Source: http://deaweb.org/semplice/newsletter/notizie/albo-pretorio-on-line-garante-illecito-pubblicare-dati-sulla-salute
Timestamp: 2020-02-29 12:08:22+00:00
Document Index: 73403153

Matched Legal Cases: ['art. 166', 'art. 166', 'art. 18', 'art. 166', 'art. 2', 'art. 2', 'art. 83']

Albo pretorio on line: Garante, illecito pubblicare dati sulla salute — DeAWeb
Ti trovi in: Home :: Semplice :: Newsletter :: Ricerca Notizie :: Albo pretorio on line: Garante, illecito pubblicare dati sulla salute
[12/02/2020] Privacy: Albo pretorio on line: Garante, illecito pubblicare dati sulla salute
Il Garante della Privacy sanzione un Comune che aveva pubblicato dati inerenti la salute di un soggetto sul proprio sito internet. Pare strano che, dopo quasi 20 anni di applicazione della normativa in materia di trattamento dati, vi siano pubbliche amministrazioni che ignorano i principi fondamentali di pertinenza e non eccedenza nel trattamento dati con particolare riferimento ai c.d. dati sensibili afferenti lo stato di salute delle persone. Nel provvedimento, adottato lo scorso 15 gennaio, il Garante ricorda ai Comuni che, prima di pubblicare documenti sull'albo pretorio on line, devono accertarsi che siano oscurate tutte le informazioni che non possono essere diffuse, in particolare i dati sulla salute di una persona.
Nel caso specifico, a fronte della violazione commessa da un Comune, il Garante per la privacy ha comminato una sanzione di ben 10.000,00 euro in applicazione del nuovo Regolamento europeo in materia di dati personali (Gdpr).
Tutto nasce da una segnalazione effettuata da una persona che si era rivolta al Garante in quanto sull'albo pretorio del proprio Municipio era stata pubblicata una determina dirigenziale che riportava la grave patologia per la quale aveva presentato un'istanza per il riconoscimento della causa di servizio.
L'Autorità ha accertato che le informazioni sull'infermità e sull'operazione subita dal reclamante erano liberamente accessibili a chiunque mediante la lettura della determinazione dirigenziale, ed ha sottolineato come anche la normativa sulla privacy vieti la diffusione dei dati sulla salute di una persona. Nell’esame della vicenda il Garante ha anche accertato un’ulteriore violazione: infatti l’atto pubblicato riportava anche le coordinate di conto corrente bancario dell'avvocato al quale dovevano essere liquidate le spese del procedimento. Tale trattamento di dati era effettuato in contrasto con il principio di “minimizzazione” previsto dal Gdpr, secondo il quale i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
Questa Autorità ha ricevuto un reclamo da parte del Sig. XX, in ordine alla pubblicazione sul sito web istituzionale del Comune di FF di propri dati e informazioni personali.
Con la determinazione dirigenziale sopracitata veniva disposta la liquidazione delle spese legali per un procedimento giudiziario in cui era stato parte il Comune di FF e nella parte motiva risultavano riportati anche dati e informazioni personali del reclamante, con dettagliati riferimenti alle relative infermità per cause di servizio, come l’indicazione che lo stesso aveva «diritto all’equo indennizzo per XX».
Al riguardo, il Comune di FF ha fornito riscontro alla richiesta di informazioni di questa Autorità (nota prot. n. 34076 del 21/11/2018) con la nota prot. n. 42180 del 28/11/2018.
‐ «per mero refuso e per mero errore materiale, contrariamente alle disposizioni operative impartite allo stesso personale addetto, è stato erroneamente pubblicato il documento XX [oggetto del reclamo]»;
‐ «Il suddetto documento, alla data attuale, non risulta più consultabile in Rete né con i normali motori di ricerca tantomeno con quelli propri del sito dell’ENTE come da evidenza sotto riportata (società incaricata alla gestione dell’albo pretorio e amministrazione trasparente PARSEC su repository esterna)».
‐ «con riferimento al tema della pubblicazione ON LINE da parte dei soggetti pubblici […] l’Amministrazione Comunale di FF sta attuando un percorso di adeguamento al GDPR del proprio sistema gestionale e documentale – attività peraltro stimolata dal Responsabile della protezione dei dati che legge per conoscenza - anche per mezzo di specifici interventi formativi rivolti al personale con compiti di responsabilità in tema di GDPR»;
‐ «I due interventi formativi somministrati al personale operativo e con funzioni dirigenziali […] pur avendo sviscerato il tema della trasparenza amministrativa non hanno tuttavia potuto impedire l’errore umano per il quale si stano ulteriormente rafforzando le misure di controllo interno»;
‐ «Si è provveduto […] a disabilitare l’opzione software che consente l’ostensione degli atti amministrativi per un periodo superiore ai 15 giorni (nel caso dell’albo pretorio) decorsi i quali i medesimi vengono archiviati e consultabili esclusivamente da personale interno».
In tale quadro, dalle verifiche compiute sulla base degli elementi acquisiti, anche attraverso la documentazione inviata dal Comune, e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, l’Ufficio ha accertato che il Comune di FF con la pubblicazione integrale sito web istituzionale, nella sezione dedicata all’Albo pretorio, della Determinazione XX, avente a oggetto «XX» (url http://...) ha effettuato un trattamento non conforme alla disciplina rilevante in materia di protezione dei dati personali.
Pertanto, si è proceduto alla notifica delle violazioni effettuate, prevista dall’art. 166, comma 5, del Codice, al Comune di FF, comunicando l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articolo 58, paragrafo 2, del RGPD e invitando il predetto Comune a inviare al Garante scritti difensivi o documenti ed, eventualmente, a chiedere di essere sentito da questa Autorità, entro il termine di 30 giorni (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).
Dalle ricerche esperite all’Ufficio del protocollo non risulta pervenuto alcun riscontro da parte del Comune di FF, né l’invio al Garante di scritti difensivi o di richiesta di audizione, in relazione alla citata notifica dell’avvio del procedimento effettuata ai sensi dell’art. 166, comma 5, del Codice.
Pertanto, considerando che, con riferimento al caso di specie, le argomentazioni addotte dal Comune nel riscontro alla richiesta d’informazioni dell’Ufficio, non risultano idonee a determinare l’archiviazione del procedimento, si confermano le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune di FF, per aver diffuso, tramite la pubblicazione sull’albo pretorio online della Determinazione XX (avente a oggetto «XXX»):
‐ dati sulla salute del Sig. XX, con dettagliati riferimenti alle relative infermità per cause di servizio, in violazione dei principi di base del trattamento contenuti negli artt. 5, par. 1, lett. c); 9, parr. 1, 2 e 4, del RGPD, nonché dell’art. 2-septies, comma 8, del Codice;
‐ dati personali non «limitati a quanto necessario rispetto alle finalità» del trattamento, con riferimento alla indicazione in chiaro delle coordinate IBAN dell’avvocato incaricato dall’Ente, in violazione dei principi di base del trattamento contenuti negli artt. 5, par. 1, lett. c, del RGPD.
La violazione degli artt. 5, par. 1, lett. c); 9, parr. 1, 2, 4 del RGPD, e dell’art. 2-septies, comma 8, del Codice, causata dalla condotta posta in essere dal Comune di FF sopra rilevata, è soggetta all’applicazione della sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, lett. a) del RGPD.
In relazione ai predetti elementi, la rilevata condotta tenuta in violazione della disciplina in materia di protezione dei dati personali ha avuto a oggetto la diffusione di dati relativi alla salute del reclamante con specificazione della patologia sofferta e dell’XX, nonché dati relativi al codice IBAN del professionista incaricato dal Comune. La diffusione si è protratta per un periodo superiore a due mesi. Il Comune di FF ha rappresentato che la violazione sarebbe stata causata da un errore materiale degli addetti alla compilazione degli atti deliberativi, con conseguente carattere colposo della violazione. Il Comune si è attivato per rimuovere i dati personali dei soggetti interessati appena ricevuta la richiesta di informazioni da parte del Garante ed ha quindi collaborato con l’Autorità nel corso dell’istruttoria del presente procedimento al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi. Nel riscontro al Garante sono state, inoltre descritte diverse misure tecniche e organizzative messe in atto ai sensi degli artt. 25-32 del RGPD. Non risultano, inoltre, eventuali precedenti violazioni del RGPD pertinenti commesse dal Comune di FF.
rileva l’illiceità del trattamento effettuato dal Comune di FF e ai sensi degli artt. 58, par. 2, lett. i); 83 del RGPD, nonché 166 del Codice
al Comune di FF, in persona del legale rappresentante pro-tempore, con sede legale in Via Zzzzzz n. Y, c.a.p. 0000000, FF – C.F. xxxxxxxxxxx di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente paragrafo;