Source: http://wemapp.eu/privacy/linee-guida-in-materia-di-trattamento-di-dati-personali-contenuti-anche-in-atti-e-documenti-amministrativi-effettuato-per-finalita-di-pubblicita-e-trasparenza-sul-web-da-soggetti-pubblici-e-da-altri/
Timestamp: 2019-05-19 11:36:20+00:00

Document:
Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati – Progetto Privacy
Formazione maggio 19, 2019
CONSIDERATO il “Parere del Garante su uno schema di decreto legislativo concernente il riordino della disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle P.a.” del 7 febbraio 2013 (in www.garanteprivacy.it, doc. web n. 2243168);
VISTO il decreto legislativo 14 marzo 2013, n. 33 recante “Riordino della disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni” (in G.U. 5 aprile 2013, n. 80);
VISTE le “Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web” del 2 marzo 2011 (in G.U. 19 marzo 2011, n. 64, p. 32; in www.garanteprivacy.it, doc. web n. 1793203);
RITENUTA l´opportunità di individuare un quadro organico e unitario di garanzie finalizzato a indicare apposite cautele in relazione alle ipotesi di diffusione di dati personali mediante la pubblicazione sui siti web da parte di organismi pubblici e in particolare di quelli chiamati a dare attuazione al d. lgs. n. 33/2013 attraverso l´adozione di nuove “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati”;
1) ai sensi dell´art. 154, comma 1, lett. h), del Codice di adottare le “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” contenute nel documento allegato che forma parte integrante della presente deliberazione;
1. Principi e oggetto del “decreto trasparenza” (artt. 1, 2 e 3 del d. lgs. n. 33/2013)
6. Limiti al “riutilizzo” di dati personali (artt. 4 e 7 del d. lgs. n. 33/2013)
7.a. Le sezioni di “archivio” dei siti web istituzionali (art. 9, comma 2, del d. lgs. n. 33/2013)
Le presenti “Linee guida” hanno, pertanto, lo scopo di definire un quadro unitario di misure e accorgimenti volti a individuare opportune cautele che i soggetti pubblici, e gli altri soggetti parimenti destinatari delle norme vigenti, sono tenuti ad applicare nei casi in cui effettuano attività di diffusione di dati personali sui propri siti web istituzionali per finalità di trasparenza o per altre finalità di pubblicità dell´azione amministrativa. Pertanto, il presente provvedimento sostituisce le precedenti “Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web” del 2 marzo 2011 (doc. web n. 1793203).
In particolare, gli obblighi di pubblicazione online di dati per finalità di “trasparenza” sono quelli indicati nel d. lgs. n. 33/2013 e nella normativa vigente in materia avente a oggetto le “informazioni concernenti l´organizzazione e l´attività delle pubbliche amministrazioni, allo scopo di favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull´utilizzo delle risorse pubbliche”. A tali obblighi si applicano le indicazioni contenute nella parte prima delle presenti Linee guida.
Con il d. lgs. 14 marzo 2013 n. 33 intitolato “Riordino della disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni” il legislatore – in attuazione della delega contenuta nella legge 6 novembre 2012, n. 190, recante: “Disposizioni per la prevenzione e la repressione della corruzione e dell´illegalità nella pubblica amministrazione” (art. 1, commi 35 e 36) – ha disciplinato in maniera organica i casi di pubblicità per finalità di trasparenza mediante inserzione di dati, informazioni, atti e documenti sui siti web istituzionali dei soggetti obbligati.
A tal fine, nel capo I dedicato ai “principi generali”, la trasparenza è definita come “l´accessibilità totale delle informazioni concernenti l´organizzazione e l´attività delle pubbliche amministrazioni, allo scopo di favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull´utilizzo delle risorse pubbliche” (art. 1, comma 1).
Nel medesimo capo I è precisato che “oggetto del decreto” è l´individuazione degli obblighi di trasparenza “concernenti l´organizzazione e l´attività delle pubbliche amministrazioni” e che “tutti i documenti, le informazioni e i dati oggetto di pubblicazione obbligatoria ai sensi della normativa vigente sono pubblici e chiunque ha diritto di conoscerli, di fruirne gratuitamente, e di utilizzarli e riutilizzarli ai sensi dell´articolo 7” (art. 2, comma 1, e art. 3).
Si evidenzia, in proposito, che lo stesso legislatore, ai soli fini del campo di applicazione del decreto, definisce la “pubblicazione” come l´inserimento nei siti istituzionali delle pubbliche amministrazioni, in conformità alle specifiche e alle regole tecniche previste nell´allegato al decreto stesso, dei documenti, delle informazioni e dei dati “concernenti l´organizzazione e l´attività delle pubbliche amministrazioni” (art. 2, comma 2).
Da ciò si deduce che tutte le volte in cui nel decreto legislativo n. 33/2013 è utilizzata la locuzione “pubblicazione obbligatoria ai sensi della normativa vigente” – cfr. artt. 3, 5, 7, 8, 9, 10, 41, 43, 45, 46 e 48 – il riferimento è limitato agli “obblighi di pubblicazione concernenti l´organizzazione e l´attività delle pubbliche amministrazioni” contenuti oltre che nel d. lgs. n. 33/2013 anche in altre disposizioni normative aventi analoga finalità di trasparenza, con esclusione degli obblighi di pubblicazione aventi finalità diverse.
La tipologia dei predetti obblighi di pubblicazione per finalità di trasparenza concernenti l´organizzazione e l´attività delle pubbliche amministrazioni è schematicamente riassunta nell´allegato al d. lgs. n. 33/2013 che individua la “struttura delle informazioni sui siti istituzionali”(1) e che precisa come la sezione dei siti istituzionali denominata “Amministrazione trasparente” deve essere organizzata in sotto-sezioni all´interno delle quali devono essere inseriti i documenti, le informazioni e i dati previsti dal decreto (art. 48 e allegato al d. lgs.).
Uno schema più particolareggiato degli obblighi di pubblicazione ai sensi della normativa vigente per finalità di trasparenza sopra descritti è contenuto poi nell´allegato n. 1 della delibera della CIVIT n. 50/2013 recante “Linee guida per l´aggiornamento del Programma triennale per la trasparenza e l´integrità 2014-2016”) cui si rimanda.(2)
Per tale motivo, come si è detto, devono ritenersi estranei all´oggetto del citato decreto legislativo tutti gli obblighi di pubblicazione previsti da altre disposizioni per finalità diverse da quelle di trasparenza, quali gli obblighi di pubblicazione a fini di pubblicità legale(3), pubblicità integrativa dell´efficacia, pubblicità dichiarativa o notizia (già illustrati in forma esemplificativa nell´”Introduzione” (pag. 4) e presi in considerazione nella parte seconda delle presenti Linee guida.
Di conseguenza, tutte le ipotesi di pubblicità non riconducibili a finalità di trasparenza (cfr. gli esempi forniti nell´”Introduzione” alle presenti Linee guida), qualora comportino una diffusione di dati personali, sono escluse dall´oggetto del d. lgs. n. 33/2013 e dall´ambito di applicazione delle relative previsioni fra cui, in particolare, quelle relative all´accesso civico (art. 5), all´indicizzazione (art. 4 e 9), al riutilizzo (art. 7), alla durata dell´obbligo di pubblicazione (art. 8) e alla trasposizione dei dati in archivio (art. 9).
In merito, si rappresenta che “dato personale” è “qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale” (art. 4, comma 1, lett. b, del Codice).
Inoltre, la “diffusione” di dati personali – ossia “il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione” (art. 4, comma 1, lett. m) – da parte dei “soggetti pubblici” è ammessa unicamente quando la stessa è prevista da una specifica norma di legge o di regolamento (art. 19, comma 3). Pertanto, in relazione all´operazione di diffusione, occorre che le pubbliche amministrazioni, prima di mettere a disposizione sui propri siti web istituzionali informazioni, atti e documenti amministrativi (in forma integrale o per estratto, ivi compresi gli allegati) contenenti dati personali, verifichino che la normativa in materia di trasparenza preveda tale obbligo (artt. 4, comma 1, lett. m, 19, comma 3 e 22, comma 11, del Codice).
I soggetti pubblici, infatti, in conformità ai principi di protezione dei dati, sono tenuti a ridurre al minimo l´utilizzazione di dati personali e di dati identificativi(4) ed evitare il relativo trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi o altre modalità che permettano di identificare l´interessato solo in caso di necessità (cd. “principio di necessità” di cui all´art. 3, comma 1, del Codice). Pertanto, anche in presenza degli obblighi di pubblicazione di atti o documenti contenuti nel d. lgs. n. 33/2013, i soggetti chiamati a darvi attuazione non possono comunque “rendere […] intelligibili i dati personali non pertinenti o, se sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione” (art. 4, comma 4, del d. lgs. n. 33/2013).
È, quindi, consentita la diffusione dei soli dati personali la cui inclusione in atti e documenti da pubblicare sia realmente necessaria e proporzionata alla finalità di trasparenza perseguita nel caso concreto (cd. “principio di pertinenza e non eccedenza” di cui all´art. 11, comma 1, lett. d, del Codice). Di conseguenza, i dati personali che esulano da tale finalità non devono essere inseriti negli atti e nei documenti oggetto di pubblicazione online. In caso contrario, occorre provvedere, comunque, all´oscuramento delle informazioni che risultano eccedenti o non pertinenti.
È, invece, sempre vietata la diffusione di dati idonei a rivelare lo “stato di salute” (art. 22, comma 8, del Codice) e “la vita sessuale” (art. 4, comma 6, del d. lgs. n. 33/2013).
In particolare, con riferimento ai dati idonei a rivelare lo stato di salute degli interessati, è vietata la pubblicazione di qualsiasi informazione da cui si possa desumere, anche indirettamente, lo stato di malattia o l´esistenza di patologie dei soggetti interessati, compreso qualsiasi riferimento alle condizioni di invalidità, disabilità o handicap fisici e/o psichici(5)� (art. 22, comma 8, del Codice).
Il procedimento di selezione dei dati personali che possono essere resi conoscibili online deve essere, inoltre, particolarmente accurato nei casi in cui tali informazioni sono idonee a rivelare l´origine razziale ed etnica, le convinzioni religiose, filosofiche, le opinioni politiche, l´adesione a partiti, sindacati, associazioni o organizzazioni a carattere religioso, filosofico, politico o sindacale (“dati sensibili”), oppure nel caso di dati idonei a rivelare provvedimenti di cui all´articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, nonché la qualità di imputato o di indagato (“dati giudiziari”) (art. 4, comma 1, lett. d ed e, del Codice).
I dati sensibili e giudiziari, infatti, sono protetti da un quadro di garanzie particolarmente stringente che prevede la possibilità per i soggetti pubblici di diffondere tali informazioni solo nel caso in cui sia previsto da una espressa disposizione di legge e di trattarle solo nel caso in cui siano in concreto “indispensabili” per il perseguimento di una finalità di rilevante interesse pubblico come quella di trasparenza; ossia quando la stessa non può essere conseguita, caso per caso, mediante l´utilizzo di dati anonimi o di dati personali di natura diversa (art. 4, commi 2 e 4, del d. lgs. n. 33/2013 cit.; artt. 20, 21 e 22, con particolare riferimento ai commi 3, 5 e 11, e art. 68, comma 3, del Codice).
Effettuata, alla luce delle predette indicazioni, la previa valutazione circa i presupposti e l´indispensabilità della pubblicazione di dati sensibili e giudiziari, devono essere adottate idonee misure e accorgimenti tecnici volti ad evitare “la indicizzazione e la rintracciabilità tramite i motori di ricerca web ed il loro riutilizzo” (cfr. art. 4, comma 1 e art. 7, del d. lgs. n. 33/2013, nonché le precisazioni fornite infra nei parr. 6 e 8 delle presente parte ai quali si rimanda).
Le pubbliche amministrazioni non sono libere di diffondere “dati personali” ulteriori, non individuati dal d. lgs. n. 33/2013 o da altra specifica norma di legge o di regolamento (art. 19, comma 3, del Codice).
L´eventuale pubblicazione di dati, informazioni e documenti, che non si ha l´obbligo di pubblicare, è legittima solo “procedendo alla anonimizzazione dei dati personali eventualmente presenti” (art. 4, comma 3, del d. lgs. n. 33/2013).
Per rendere effettivamente “anonimi”(6) i dati pubblicati online occorre, quindi, oscurare del tutto il nominativo e le altre informazioni riferite all´interessato che ne possono consentire l´identificazione anche a posteriori (7)
L´art. 6 del d. lgs. n. 33/2013 sancisce che “Le pubbliche amministrazioni garantiscono la qualità delle informazioni riportate nei siti istituzionali nel rispetto degli obblighi di pubblicazione previsti dalla legge, assicurandone l´integrità, il costante aggiornamento, la completezza, la tempestività, la semplicità di consultazione, la comprensibilità, l´omogeneità, la facile accessibilità, nonché la conformità ai documenti originali in possesso dell´amministrazione, l´indicazione della loro provenienza e la riutilizzabilità secondo quanto previsto dall´articolo 7” e che “L´esigenza di assicurare adeguata qualità delle informazioni diffuse non può, in ogni caso, costituire motivo per l´omessa o ritardata pubblicazione dei dati, delle informazioni e dei documenti”.
L´art. 7 del d. lgs. n. 33/2013 prevede che “I documenti, le informazioni e i dati oggetto di pubblicazione obbligatoria ai sensi della normativa vigente, resi disponibili anche a seguito dell´accesso civico di cui all´articolo 5, sono pubblicati in formato di tipo aperto ai sensi dell´articolo 68 del Codice dell´amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82, e sono riutilizzabili ai sensi del decreto legislativo 24 gennaio 2006, n. 36, del decreto legislativo 7 marzo 2005, n. 82, e del decreto legislativo 30 giugno 2003, n. 196, senza ulteriori restrizioni diverse dall´obbligo di citare la fonte e di rispettarne l´integrità”.
La disposizione citata persegue, peraltro, lo scopo di non obbligare gli utenti a dotarsi di programmi proprietari o a pagamento per la fruizione – e, quindi, per la visualizzazione – dei file contenenti i dati oggetto di pubblicazione obbligatoria. Infatti, il “formato di tipo aperto” è “un formato di dati reso pubblico, documentato esaustivamente e neutro rispetto agli strumenti tecnologici necessari per la fruizione dei dati stessi” (art. 68, comma 3, lett. a, del d. lgs. 7 marzo 2005, n. 82, Codice dell´amministrazione digitale-CAD) .(8)
Con riferimento ai dati personali (dal novero dei quali sono esclusi i dati delle persone giuridiche, enti e associazioni non riconosciute, nonché i dati anonimi o aggregati; cfr. la definizione contenuta nell´art. 4, comma 1, lett. b, del Codice), si rappresenta, quindi, che l´obbligo di pubblicazione in “formato di tipo aperto” non comporta che tali dati, pubblicati sui siti web istituzionali in ottemperanza agli obblighi di trasparenza, siano anche “dati di tipo aperto” nei termini definiti dal CAD .(9)
Occorre, infatti, tenere distinto il concetto di “formato di tipo aperto” avente il significato sopra descritto, da quello di “dato di tipo aperto” che attiene, invece, più propriamente alla disponibilità unita alla riutilizzabilità del dato da parte di chiunque, anche per finalità commerciali e in formato disaggregato (art. 52, comma 2, e art. 68, comma 3, lett. b, del CAD).
In altri termini, il semplice fatto che informazioni personali siano rese pubblicamente conoscibili online per finalità di trasparenza non comporta che le stesse siano liberamente riutilizzabili da chiunque e per qualsiasi scopo, bensì impone al soggetto chiamato a dare attuazione agli obblighi di pubblicazione sul proprio sito web istituzionale di determinare – qualora intenda rendere i dati riutilizzabili – se, per quali finalità e secondo quali limiti e condizioni eventuali utilizzi ulteriori dei dati personali resi pubblici possano ritenersi leciti alla luce del “principio di finalità” e degli altri principi di matrice europea in materia di protezione dei dati personali.(17)
In particolare, in attuazione del principio di finalità di cui all´art. 11 del Codice, il riutilizzo dei dati personali conoscibili da chiunque sulla base delle previsioni del d. lgs. n. 33/2013 non può essere consentito “in termini incompatibili” con gli scopi originari per i quali i medesimi dati sono resi accessibili pubblicamente (art. 7 del d. lgs. n. 33/2013, art. 6, comma 1, lett. b, direttiva 95/46/CE; art. 11, comma 1, lett. b, del Codice).(18)
Pertanto, al fine di evitare di perdere il controllo sui dati personali pubblicati online in attuazione degli obblighi di trasparenza e di ridurre i rischi di loro usi indebiti, è quindi in primo luogo opportuno che le pubbliche amministrazioni e gli altri soggetti chiamati a dare attuazione agli obblighi di pubblicazione di cui al d. lgs. n. 33/2013 inseriscano nella sezione denominata “Amministrazione trasparente” dei propri siti web istituzionali un Alert generale con cui si informi il pubblico che i dati personali pubblicati sono “riutilizzabili solo alle condizioni previste dalla normativa vigente sul riuso dei dati pubblici (direttiva comunitaria 2003/98/CE e d. lgs. 36/2006 di recepimento della stessa), in termini compatibili con gli scopi per i quali sono stati raccolti e registrati, e nel rispetto della normativa in materia di protezione dei dati personali”.
– limitatamente ai dati rielaborati in forma anonima e aggregata, individuando il livello appropriato di aggregazione e la specifica tecnica di anonimizzazione da utilizzare sulla base di una ponderata valutazione del rischio di re-identificazione degli interessati oppure rispetto a tutti o soltanto ad alcuni dei dati personali resi pubblici (cfr. artt. 3 e 11, lett. d, del Codice)(21);
– per qualsiasi scopo ulteriore o solo per taluni scopi determinati (art. 11, comma 1, lett. b, del Codice)(22);
– secondo modalità di messa a disposizione online conformi ai principi di necessità, proporzionalità e pertinenza (artt. 3 e 11 del Codice)(23);
– a condizione che gli utilizzatori adottino modalità tecniche e ri-spettino specifici vincoli giuridici definiti in apposite licenze predisposte al fine di individuare idonee cautele per tutelare i diritti degli interessati nei successivi trattamenti di dati a fini di riutilizzo(24).
L´art. 8, comma 3, del d. lgs. n. 88/2013 prevede che i dati, le informazioni e i documenti oggetto di pubblicazione “sono pubblicati per un periodo di 5 anni, decorrenti dal 1° gennaio dell´anno successivo a quello da cui decorre l´obbligo di pubblicazione, e comunque fino a che gli atti pubblicati producono i loro effetti, fatti salvi i diversi termini previsti dalla normativa in materia di trattamento dei dati personali e quanto previsto dagli articoli 14, comma 2, e 15, comma 4”.
b) per alcuni dati e informazioni riguardanti i “titolari di incarichi politici, di carattere elettivo o comunque di esercizio di poteri di indirizzo politico, di livello statale regionale e locale” (art. 14, comma 2) e i “titolari di incarichi dirigenziali e di collaborazione o consulenza” che devono rimanere pubblicati online per i tre anni successivi dalla cessazione del mandato o dell´incarico (art. 15, comma 4);
c) nel caso in cui siano previsti “diversi termini” dalla normativa in materia di trattamento dei dati personali. In merito, si evidenzia come il Codice – che non prevede termini espliciti (come già evidenziato dal Garante nel parere del 7 febbraio 2013(32)), – richiede espressamente che i dati personali devono essere “conservati per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati” e che l´interessato ha diritto di ottenere la cancellazione dei dati personali “di cui non è necessaria la conservazione in relazione agli scopi per i quali sono stati raccolti o successivamente trattati” (artt. 11, comma 1, lett. e, e 7, comma 3, lett. b, del Codice). Tali articoli recepiscono, peraltro, le identiche disposizioni contenute nella direttiva 95/46/CE relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali(33) le quali, in quanto tali, non possono essere derogate dalla disciplina nazionale in virtù del primato del diritto europeo. Da tale principio, inoltre, discende l´obbligo di interpretare il diritto nazionale in maniera conforme al diritto europeo(34) e, nello specifico, alle disposizioni direttamente applicabili che impongono il rispetto dei principi di pertinenza, necessità e proporzionalità, in base alle quali la pubblicazione di dati personali è consentita soltanto quando è al contempo necessaria e appropriata rispetto all´obiettivo perseguito e, in particolare, quando l´obiettivo perseguito non può essere realizzato in modo ugualmente efficace con modalità meno pregiudizievoli per la riservatezza degli interessati.(35)
L´art. 9, comma 2, del d. lgs. n. 33/2013 prevede che “Alla scadenza del termine di durata dell´obbligo di pubblicazione di cui all´articolo 8, comma 3, i documenti, le informazioni e i dati sono comunque conservati e resi disponibili, con le modalità di cui all´articolo 6, all´interno di distinte sezioni del sito di archivio, collocate e debitamente segnalate nell´ambito della sezione “Amministrazione trasparente”. I documenti possono essere trasferiti all´interno delle sezioni di archivio anche prima della scadenza del termine di cui all´articolo 8, comma 3″.
Con riferimento alla documentazione contenente dati personali, si precisa che la predetta ipotesi di “messa a disposizione” della documentazione nella sezione di archivio non comporta l´accesso e la conoscenza indiscriminata degli stessi una volta scaduti i diversi periodi di pubblicazione previsti dall´art. 8, comma 3, del d. lgs. n. 33/2013. Ciò perché, in caso contrario, si determinerebbe una diffusione sine die di dati personali online in violazione dei principi contenuti nella normativa europea come quello di proporzionalità descritto nel paragrafo precedente(36). Inoltre, sempre ragionando a contrario, la formazione della sezione archivio si trasformerebbe in un mero trasferimento di documenti, informazioni e dati da una parte all´altra dello stesso sito web e all´interno, peraltro, della stessa sezione “Amministrazione trasparente”.
In tale quadro, bisogna, quindi, rendere disponibile la documentazione contenuta nelle sezioni di archivio secondo le regole sull´accessibilità degli “archivi”(37), individuando le condizioni di accesso e selezionando, a tal fine, anche preliminarmente, nell´ambito dei singoli atti e documenti, le informazioni da rendere consultabili. In tale prospettiva, si ritiene che le informazioni personali contenute in atti e documenti possano essere reperibili nelle sezioni di archivio, mediante modalità che ne garantiscano tra l´altro la “semplicità di consultazione” e la “facile accessibilità” (art. 6 del d. lgs. n. 33/2013) (38), attraverso, ad esempio, l´attribuzione alle persone che ne hanno fatto richiesta, nel rispetto delle predette regole, di una chiave personale di identificazione informatica secondo le regole stabilite in materia dal Codice dell´amministrazione digitale.
In alternativa, il Garante ritiene che è comunque possibile la libera consultazione da parte di chiunque della sezione di archivio a condizione che i soggetti destinatari degli obblighi di pubblicazione in materia di trasparenza adottino opportune misure a tutela degli interessati avendo cura di rendere anonimi i dati personali contenuti nella documentazione inserita in archivio, fermo restando il rispetto delle disposizioni normative sulla tenuta degli “archivi” sopra richiamate. Sulle misure e sugli accorgimenti necessari per l´anonimizzazione dei dati si rimanda alle indicazioni contenute supra in par. 3.
L´art. 9 del d. lgs. n. 33/2013 stabilisce che “Le amministrazioni non possono disporre filtri e altre soluzioni tecniche atte ad impedire ai motori di ricerca web di indicizzare ed effettuare ricerche all´interno della sezione “Amministrazione trasparente””.
Si evidenzia che l´obbligo di indicizzazione nei motori generalisti durante il periodo di pubblicazione obbligatoria è limitato ai soli dati tassativamente individuati ai sensi delle disposizioni in materia di trasparenza da collocarsi nella “sezione “Amministrazione trasparente””, con esclusione di altri dati che si ha l´obbligo di pubblicare per altre finalità di pubblicità diverse da quelle di “trasparenza”, come esposto nell´”Introduzione” e nella parte seconda delle presenti Linee guida.
L´art. 14 del d. lgs. n 33/2013 prevede la pubblicazione delle “dichiarazioni di cui all´articolo 2, della legge 5 luglio 1982, n. 441, nonché le attestazioni e dichiarazioni di cui agli articoli 3 e 4 della medesima legge, come modificata dal presente decreto, limitatamente al soggetto, al coniuge non separato e ai parenti entro il secondo grado, ove gli stessi vi consentano”(42).
– familiari a carico tra i quali possono essere indicati figli disabili;
– spese mediche e di assistenza per portatori di handicap o per determinate patologie;
– erogazioni liberali in denaro a favore dei movimenti e partiti politici;
– erogazioni liberali in denaro a favore delle organizzazioni non lucrative di utilità sociale, delle iniziative umanitarie, religiose, o laiche, gestite da fondazioni, associazioni, comitati ed enti individuati con decreto del Presidente del Consiglio dei ministri nei paesi non appartenenti all´OCSE;
– contributi associativi versati dai soci alle società di mutuo soccorso che operano esclusivamente nei settori di cui all´art. 1 della l. 15 aprile 1886, n. 3818, al fine di assicurare ai soci medesimi un sussidio nei casi di malattia, di impotenza al lavoro o di vecchiaia, oppure, in caso di decesso, un aiuto alle loro famiglie;
– spese sostenute per i servizi di interpretariato dai soggetti riconosciuti sordomuti ai sensi della l. 26 maggio 1970, n. 381;
– erogazioni liberali in denaro a favore delle istituzioni religiose;
– scelta per la destinazione dell´otto per mille;
– scelta per la destinazione del cinque per mille.
L´art. 26, comma 2, del d. lgs. n. 33/2013 stabilisce l´obbligo di pubblicazione degli atti di concessione “delle sovvenzioni, contributi, sussidi ed ausili finanziari alle imprese, e comunque di vantaggi economici di qualunque genere a persone ed enti pubblici e privati ai sensi del citato articolo 12 della legge n. 241 del 1990, di importo superiore a mille euro”. Il comma 3 del medesimo articolo aggiunge che tale pubblicazione “costituisce condizione legale di efficacia dei provvedimenti che dispongano concessioni e attribuzioni di importo complessivo superiore a mille euro nel corso dell´anno solare al medesimo beneficiario”.
b) di importo superiore a mille euro nel corso dell´anno solare a favore del medesimo beneficiario “qualora da tali dati sia possibile ricavare informazioni relative allo stato di salute” (art. 26, comma 4, d. lgs. n. 33/2013; nonché artt. 22, comma 8, e 68, comma 3, del Codice);
c) di importo superiore a mille euro nel corso dell´anno solare a favore del medesimo beneficiario “qualora da tali dati sia possibile ricavare informazioni relative […] alla situazione di disagio economico-sociale degli interessati” (art. 26, comma 4, d. lgs. n. 33/2013).
– della disposizione sulla base della quale ha avuto luogo l´erogazione del beneficio economico se da essa è possibile ricavare informazioni sullo stato di salute di una persona (si pensi all´indicazione “erogazione ai sensi della legge 104/1992” che, come noto, è la “Legge-quadro per l´assistenza, l´integrazione sociale e i diritti delle persone handicappate”);
– dei titoli dell´erogazione dei benefici (es. attribuzione di borse di studio a “soggetto portatore di handicap”, o riconoscimento di buono sociale a favore di “anziano non autosufficiente” o con l´indicazione, insieme al dato anagrafico, delle specifiche patologie sofferte dal beneficiario);
– delle modalità e dei criteri di attribuzione del beneficio economico (es. punteggi attribuiti con l´indicazione degli “indici di autosufficienza nelle attività della vita quotidiana”)(45) ;
– della destinazione dei contributi erogati (es. contributo per “ricovero in struttura sanitaria” o per “assistenza sanitaria”).
Come illustrato nell´”Introduzione” alle presenti Linee guida, esistono casi e obblighi di pubblicità online di dati, informazioni e documenti della p.a., contenuti in specifiche disposizioni di settore diverse da quelle previste in materia di trasparenza, come, fra l´altro, quelli volti a far conoscere l´azione amministrativa in relazione al rispetto dei principi di legittimità e correttezza, o quelli necessari a garantire la pubblicità legale degli atti amministrativi (es.: pubblicità integrativa dell´efficacia, dichiarativa, notizia).
Per un´elencazione non esaustiva degli obblighi di pubblicità che ricadono in tale categoria si rinvia agli esempi già illustrati nell´”Introduzione” alle presenti Linee guida.
Anche per tali fattispecie occorre – come già indicato per gli obblighi di pubblicità di dati personali per finalità di “trasparenza” – che le pubbliche amministrazioni, prima di mettere a disposizione sui propri siti web istituzionali atti e documenti amministrativi (in forma integrale o per estratto, ivi compresi gli allegati) contenenti dati personali, verifichino se la normativa di settore preveda espressamente tale obbligo (art. 4, comma 1, lett. m, e art. 19, comma 3, del Codice, con riguardo ai dati comuni, nonché artt. 20, 21 e 22, comma 11, con riferimento ai dati sensibili e giudiziari).
Ciò pure in considerazione del fatto che, anche in tale ipotesi, i soggetti pubblici sono tenuti a ridurre al minimo l´utilizzazione di dati personali e di dati identificativi (art. 4, comma 1, lett c, del Codice), ed evitare il relativo trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi o altre modalità che permettano di identificare l´interessato solo in caso di necessità (c.d. “principio di necessità” di cui all´art. 3, comma 1, del Codice).
Pertanto, anche in presenza di un obbligo di pubblicità è consentita la diffusione dei soli dati personali la cui inclusione in atti e documenti sia realmente necessaria e proporzionata al raggiungimento delle finalità perseguite dall´atto (c.d. “principio di pertinenza e non eccedenza” di cui all´art. 11, comma 1, lett. d, del Codice).
Il procedimento di selezione dei dati personali suscettibili di essere resi diffusi deve essere, inoltre, particolarmente accurato nei casi in cui tali informazioni sono idonee a rivelare l´origine razziale ed etnica, le convinzioni religiose, filosofiche, le opinioni politiche, l´adesione a partiti, sindacati, associazioni o organizzazioni a carattere religioso, filosofico, politico o sindacale, la vita sessuale (“dati sensibili”), oppure nel caso di dati idonei a rivelare provvedimenti di cui all´articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, nonché la qualità di imputato o di indagato (“dati giudiziari”) (art. 4, comma 1, lett. d ed e, del Codice).
I dati sensibili e giudiziari, infatti, sono protetti da un quadro di garanzie particolarmente stringente che prevede la possibilità per i soggetti pubblici di diffondere tali informazioni solo nel caso in cui sia previsto da una espressa disposizione di legge e di trattarle solo nel caso in cui siano in concreto “indispensabili” per svolgere l´attività istituzionale che non può essere adempiuta, caso per caso, mediante l´utilizzo di dati anonimi o di dati personali di natura diversa (artt. 22, in particolare commi 3, 5 e 11 e 68, comma 3, del Codice).
Resta, invece, del tutto vietata la diffusione di “dati idonei a rivelare lo stato di salute” (art. 22, comma 8, del Codice).
A tale scopo, fin dalla fase di redazione degli atti e dei documenti oggetto di pubblicazione, nel rispetto del principio di adeguata motivazione, non dovrebbero essere inseriti dati personali “eccedenti”, “non pertinenti”, “non indispensabili” (e, tantomeno, “vietati”). In caso contrario, occorre provvedere, comunque, al relativo oscuramento(49) .
Pertanto, ogni file oggetto di pubblicazione sui siti web istituzionali, potendo essere letto in un altro ambito e in un momento successivo alla sua diffusione, dovrebbe prevedere l´inserimento dei “dati di contesto” (es. data di aggiornamento, periodo di validità, amministrazione, segnatura di protocollo o dell´albo).
La disposizione di ordine generale sulla tenuta dell´albo pretorio negli enti locali è contenuta nel “Testo unico delle leggi sull´ordinamento degli enti locali”, il quale sancisce che “Tutte le deliberazioni del comune e della provincia sono pubblicate mediante affissione all´albo pretorio, nella sede dell´ente, per quindici giorni consecutivi, salvo specifiche disposizioni di legge” e che “Tutte le deliberazioni degli altri enti locali sono pubblicate mediante affissione all´albo pretorio del comune ove ha sede l´ente, per quindici giorni consecutivi, salvo specifiche disposizioni” (art. 124, commi 1 e 2, del d. lgs. n. 267/2000).
A seguito dell´entrata in vigore della riforma contenuta nella l. 18 giugno 2009, n. 69, recante “Disposizioni per lo sviluppo economico, la semplificazione, la competitività nonché in materia di processo civile”, gli enti locali hanno provveduto all´istituzione dell´albo pretorio online al fine di adempiere agli obblighi di pubblicità legale dei propri atti.
La disciplina appena richiamata, infatti, senza abrogare le precedenti disposizioni in materia di tenuta dell´albo pretorio, ha sancito espressamente che “a far data dal 1° gennaio 2010, gli obblighi di pubblicazione di atti e provvedimenti amministrativi aventi effetto di pubblicità legale si intendono assolti con la pubblicazione nei propri siti informatici da parte delle amministrazioni e degli enti pubblici obbligati” e che “a decorrere dal 1 gennaio 2011 […] le pubblicazioni effettuate in forma cartacea non hanno effetto di pubblicità legale” (art. 32, commi 1 e 5). Dal 1° gennaio 2011, dunque, gli obblighi di pubblicità legale che gli enti locali assolvevano attraverso l´affissione all´albo pretorio sono sostituiti dalla pubblicazione della medesima documentazione nei rispettivi siti web istituzionali(60).
Nell´ipotesi in cui, invece, la normativa di riferimento non indichi la durata temporale dell´affissione all´albo, l´amministrazione deve comunque individuare un congruo periodo di tempo – non superiore al periodo ritenuto, caso per caso, necessario al raggiungimento dello scopo per il quale l´atto è stato adottato e i dati stessi sono stati resi pubblici – entro il quale i dati personali devono rimanere disponibili. Per i motivi esposti nell´”Introduzione” e nel par. 1 della parte prima delle presenti Linee guida alle pubblicazioni nell´albo pretorio online non si applica l´arco temporale dei cinque anni previsto per la pubblicità di dati e informazioni sui siti web istituzionali per finalità di trasparenza di cui all´art. 8 del d. lgs. n. 33/2013.
4. Dati identificativi sono i “dati personali che permettono l´identificazione diretta dell´interessato” (cfr. art. 4, comma 1, lett. c, del Codice).
6. Ai sensi del Codice “dato anonimo” è “il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile” (art. 4, comma 1, lett n).
7. In proposito, va considerato che ottenere dati effettivamente ‘anonimi´ è sempre più difficile stante l´avanzare delle tecnologie informatiche e la crescente e diffusa mole di informazioni disponibili online e offline che aumenta progressivamente il rischio per gli interessati di essere re-identificati. Per un esame delle tecniche con cui anonimizzare i dati si rimanda al Parere del Gruppo Art. 29 n. 6/2013 su dati aperti e riutilizzo delle informazioni del settore pubblico, sez. VI (http://www.garanteprivacy.it/documents/10160/2133805/WP207). Sul tema v. anche il codice di condotta “Anonymisation: Managing data protection risk code of practice” pubblicato dall´Information Commissioner´s Office del Regno Unito nel novembre 2012 (http://ico.org.uk/for_organisations/data_prot
ection/topic_guides/~/media/documents/library/Data_Protection/Practical_application/anonymisation-codev2.pdf) e le Linee guida “Gestion des risques vie privée” della Commission Nationale de l´Informatique et des Libertés (CNIL) del giugno 2012 (in http://www.cnil.fr/linstitution/actualite/article/
8. A mero titolo esemplificativo sono considerati file in formato aperto, fra gli altri, quelli dei file che nei sistemi personal computer sono usualmente registrati con estensione txt, pdf, xml. Sulla tipologia dei diversi “formati di tipo aperto” si rinvia alle citate “Linee guida nazionali per la valorizzazione del patrimonio informativo pubblico”, par. 6.2, pagg. 51 ss.
9. Ai sensi dell´art. 68, comma 3, lett b), del CAD sono “dati di tipo aperto” quei dati che presentano le seguenti tre caratteristiche:
“1) sono disponibili secondo i termini di una licenza che ne permetta l´utilizzo da parte di chiunque, anche per finalità commerciali, in formato disaggregato;
3) sono resi disponibili gratuitamente attraverso le tecnologie dell´informazione e della comunicazione, ivi comprese le reti telematiche pubbliche e private, oppure sono resi disponibili ai costi marginali sostenuti per la loro riproduzione e divulgazione. L´Agenzia per l´Italia digitale deve stabilire, con propria deliberazione, i casi eccezionali, individuati secondo criteri oggettivi, trasparenti e verificabili, in cui essi sono resi disponibili a tariffe superiori ai costi marginali. In ogni caso, l´Agenzia, nel trattamento dei casi eccezionali individuati, si attiene alle indicazioni fornite dalla direttiva 2003/98/CE del Parlamento europeo e del Consiglio, del 17 novembre 2003, sul riutilizzo dell´informazione del settore pubblico, recepita con il decreto legislativo 24 gennaio 2006, n. 36”.
12. Cfr., ad esempio, le indicazioni contenute nel documento “Open Data Handbook” dell´Open Knowledge Foundation (http://opendatahandbook.org/pdf/OpenDataHandbook.pdf), una fondazione non governativa che ha lo scopo di promuovere l´apertura dei contenuti e i dati aperti attraverso gruppi di lavoro internazionali (pag. 6).
15. Per dati pubblici si intendono dati conoscibili da chiunque (art. 1, comma 1, lett. n, del CAD), ma come, peraltro, specificato anche nelle Linee guida nazionali per la valorizzazione del patrimonio informativo pubblico dell´AgID, cit., par. 3.3, pag. 28 “Il concetto di dato pubblico esclude, in linea generale, i dati personali per i quali trovano applicazione le norme del “Codice in materia di protezione dei dati personali” (i.e., D. lgs. n. 196/2003 e deliberazione del 88/2011 dell´Autorità Garante per la protezione dei dati personali). Laddove, in un contesto informativo, il dato pubblico contiene riferimenti o è collegato a dati personali trova applicazione il comma 5 dell´articolo 2 del CAD “Le disposizioni del presente codice si applicano nel rispetto della disciplina rilevante in materia di trattamento dei dati personali e, in particolare, delle disposizioni del codice in materia di protezione dei dati personali approvato con decreto legislativo 30 giugno 2003, n. 196. I cittadini e le imprese hanno, comunque, diritto ad ottenere che il trattamento dei dati effettuato mediante l´uso di tecnologie telematiche sia conformato al rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell´interessato” o altre norme specifiche che consentono la pubblicazione di certe tipologie di informazioni, come ad esempio le norme sulla trasparenza come prima descritto (D. lgs. n. 33/2013)”.
28. Tale esigenza è peraltro imprescindibile al fine di non ingenerare equivoci sulla legittimità del riutilizzo dei dati personali pubblicati online, stante la disposizione del Codice dell´amministrazione digitale in base alla quale, nel rispetto dalla disciplina in materia di trattamento dei dati personali (art. 2, comma 5, d. lgs. n. 82/2005), qualunque informazione o documento pubblicato dall´amministrazione con qualsiasi modalità, senza l´espressa adozione di una licenza, si intende rilasciato come “dato di tipo aperto”, disponibile al riutilizzo gratuito da parte di chiunque, anche per finalità commerciali, e in formato aperto e disaggregato (artt. 52, comma 2, e 68, comma 3, ivi).
40. V. Provv. del Garante del 16 luglio 2009 in materia di “Pubblica amministrazione: dirigenza e assenze e presenze del personale” (doc. web n. 1639950), e circolare del Dipartimento della funzione pubblica presso la Presidenza del Consiglio dei Ministri n. 3/2009.
42. In relazione all´ambito soggettivo di applicazione di tale articolo si rimanda alle indicazioni con-tenute nella Delibera CIVIT n. 65/2013 in tema di “Applicazione dell´art. 14 del d. lgs. n. 33/2013 – Obblighi di pubblicazione concernenti i componenti degli organi di indirizzo politico” del 31 luglio 2013, in http://www.civit.it/?p=9381.
44. Cfr. sul punto la Delibera CIVIT n. 59/2013 in tema di “Pubblicazione degli atti di concessione di sovvenzioni, contributi, sussidi e attribuzione di vantaggi economici a persone fisiche ed enti pubblici e privati (artt. 26 e 27, d. lgs. n. 33/2013)” (in http://www.civit.it/?p=9059) che in proposito ha indicato: “L´art. 26, c. 2, del d. lgs. n. 33/20013, inoltre, stabilisce che la pubblicazione è obbligatoria e condizione di efficacia solo per importi superiori a mille euro. In base a quanto stabilito dalla norma, questi sono da intendersi sia se erogati con un unico atto, sia con atti diversi ma che nel corso dell´anno solare superino il tetto dei mille euro nei confronti di un unico beneficiario. Ove, quindi, l´amministrazione abbia emanato più provvedimenti i quali, nell´arco dell´anno solare, hanno disposto la concessione di vantaggi economici a un medesimo soggetto, superando il tetto dei mille euro, l´importo del vantaggio economico corrisposto, di cui all´art. 27, c. 1, lett. b), del decreto, è da intendersi come la somma di tutte le erogazioni effettuate nel periodo di riferimento. In tali casi, l´amministrazione deve necessariamente pubblicare, come condizione legale di efficacia, l´atto che comporta il superamento della soglia dei mille euro, facendo peraltro riferimento anche alle pregresse attribuzioni che complessivamente hanno concorso al suddetto superamento della soglia”.
46. Cfr. Delibera Civit n. 59/2013 in tema di “Pubblicazione degli atti di concessione di sovvenzioni, contributi, sussidi e attribuzione di vantaggi economici a persone fisiche ed enti pubblici e privati (artt. 26 e 27, d.lgs. n. 33/2013)”, cit.
51. V. Provvedimento riguardante “Motori di ricerca e provvedimenti di Autorità indipendenti: le misure necessarie a garantire il c.d. “diritto all´oblio”” del 10 novembre 2004 (doc. web n. 1116068).
56. V., al riguardo, art. 53 del CAD; v. anche d.P.R. 1 marzo 2005, n. 75 “Regolamento di attuazio-ne della l. 9 gennaio 2004, n. 4, per favorire l´accesso dei soggetti disabili agli strumenti informatici” e d.m. 30 aprile 2008 “Regole tecniche disciplinanti l´accessibilità agli strumenti didattici e formativi a favore degli alunni disabili”.
57. V. la Delibera n. 105/2010 della CIVIT recante le “Linee guida per la predisposizione del Programma triennale per la trasparenza e l´integrità (articolo 13, comma 6, lettera e, del decreto legislativo 27 ottobre 2009, n. 150)”, in http://www.civit.it/wp- content/uploads/Delibera-n.105.20102.pdf.
60. Per una specifica delle caratteristiche dell´albo pretorio si rimanda alle indicazioni contenute nel Vademecum elaborato da DigitPA (ora AgID) del luglio 2011 intitolato “Modalità di pubblicazione dei documenti nell´Albo online”, in http://www.digitpa.gov.it/sites/default/files/VADEMECUM%202011_

References: art. 3
 art. 68
 art. 4
 art. 7
 art. 68
 art. 6
 art. 11
 articolo 12
 art. 19
 art. 4
 Art. 29
 art. 53