Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9261227
Timestamp: 2020-07-12 17:24:52+00:00
Document Index: 157985097

Matched Legal Cases: ['art. 4', 'art. 5', 'art. 2', 'art. 9', 'art. 4', 'art. 168', 'art. 166', 'art. 166', 'art. 18', 'art. 166', 'art. 2', 'art. 2', 'art. 83', 'art. 166', 'art. 16', 'art. 83', 'art. 83', 'art. 2', 'art. 83', 'art. 166', 'art. 166', 'art. 27', 'art. 166']

Ordinanza ingiunzione del Comune di Francavilla Fontana - 15 gennaio 2020... - Garante Privacy
Ordinanza ingiunzione del Comune di Francavilla Fontana - 15 gennaio 2020 [9261227]
Pubblica Amministrazione , Diritto di accesso agli atti , Dati sanitari , Trasparenza amministrativa
[doc. web n. 9261227]
Ordinanza ingiunzione del Comune di Francavilla Fontana - 15 gennaio 2020
n. 3 del 15 gennaio 2020
Questa Autorità ha ricevuto un reclamo da parte del Sig. XX, in ordine alla pubblicazione sul sito web istituzionale del Comune di Francavilla Fontana di propri dati e informazioni personali.
Dalla verifica preliminare effettuata dall’Ufficio data 21/11/2018, è risultato che sul sito web istituzionale del predetto Comune, nella sezione dedicata all’Albo pretorio (url http://www....), era visibile e liberamente scaricabile la Determinazione XX, avente a oggetto «XX» (url http://...).
Con la determinazione dirigenziale sopracitata veniva disposta la liquidazione delle spese legali per un procedimento giudiziario in cui era stato parte il Comune di Francavilla Fontana e nella parte motiva risultavano riportati anche dati e informazioni personali del reclamante, con dettagliati riferimenti alle relative infermità per cause di servizio, come l’indicazione che lo stesso aveva «diritto all’equo indennizzo per XX».
Nella stessa deliberazione, inoltre, risultavano riportati anche le coordinate IBAN dell’avvocato incaricato dall’Ente.
Al riguardo, il Comune di Francavilla Fontana ha fornito riscontro alla richiesta di informazioni di questa Autorità (nota prot. n. 34076 del 21/11/2018) con la nota prot. n. 42180 del 28/11/2018.
Nello specifico, il Dirigente dott. XX ha, fra l’altro, rappresentato che:
- «per mero refuso e per mero errore materiale, contrariamente alle disposizioni operative impartite allo stesso personale addetto, è stato erroneamente pubblicato il documento XX [oggetto del reclamo]»;
- «Il suddetto documento, alla data attuale, non risulta più consultabile in Rete né con i normali motori di ricerca tantomeno con quelli propri del sito dell’ENTE come da evidenza sotto riportata (società incaricata alla gestione dell’albo pretorio e amministrazione trasparente PARSEC su repository esterna)».
- «con riferimento al tema della pubblicazione ON LINE da parte dei soggetti pubblici […] l’Amministrazione Comunale di Francavilla Fontana sta attuando un percorso di adeguamento al GDPR del proprio sistema gestionale e documentale – attività peraltro stimolata dal Responsabile della protezione dei dati che legge per conoscenza - anche per mezzo di specifici interventi formativi rivolti al personale con compiti di responsabilità in tema di GDPR»;
- «I due interventi formativi somministrati al personale operativo e con funzioni dirigenziali […] pur avendo sviscerato il tema della trasparenza amministrativa non hanno tuttavia potuto impedire l’errore umano per il quale si stano ulteriormente rafforzando le misure di controllo interno»;
- «Si è provveduto […] a disabilitare l’opzione software che consente l’ostensione degli atti amministrativi per un periodo superiore ai 15 giorni (nel caso dell’albo pretorio) decorsi i quali i medesimi vengono archiviati e consultabili esclusivamente da personale interno».
Ai sensi della disciplina in materia, «dato personale» è «qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)» (art. 4, par. 1, n. 1, del RGPD). Inoltre, «si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale» (ibidem).
In tale quadro, il trattamento dei dati personali deve avvenire nel rispetto dei principi indicati nell’art. 5 del RGPD, fra cui quelli di «minimizzazione dei dati», secondo il quale i dati personali devono essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (par. 1, lett. c).
In ogni caso, resta assolutamente vietata la diffusione di dati relativi alla salute (art. 2-septies, comma 8, del Codice, cfr. anche art. 9, parr. 1, 2 e 4, del RGPD), ossia di «dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute» (art. 4, par. 1, n. 15; considerando n. 35, del RGPD).
In via preliminare, si rappresenta che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice «Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante».
In tale quadro, dalle verifiche compiute sulla base degli elementi acquisiti, anche attraverso la documentazione inviata dal Comune, e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, l’Ufficio ha accertato che il Comune di Francavilla Fontana con la pubblicazione integrale sito web istituzionale, nella sezione dedicata all’Albo pretorio, della Determinazione XX, avente a oggetto «XX» (url http://...) ha effettuato un trattamento non conforme alla disciplina rilevante in materia di protezione dei dati personali.
Pertanto, si è proceduto alla notifica delle violazioni effettuate, prevista dall’art. 166, comma 5, del Codice, al Comune di Francavilla Fontana, comunicando l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articolo 58, paragrafo 2, del RGPD e invitando il predetto Comune a inviare al Garante scritti difensivi o documenti ed, eventualmente, a chiedere di essere sentito da questa Autorità, entro il termine di 30 giorni (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).
4. Esito dell’istruttoria relativa al reclamo presentato
Dalle ricerche esperite all’Ufficio del protocollo non risulta pervenuto alcun riscontro da parte del Comune di Francavilla Fontana, né l’invio al Garante di scritti difensivi o di richiesta di audizione, in relazione alla citata notifica dell’avvio del procedimento effettuata ai sensi dell’art. 166, comma 5, del Codice.
Pertanto, considerando che, con riferimento al caso di specie, le argomentazioni addotte dal Comune nel riscontro alla richiesta d’informazioni dell’Ufficio, non risultano idonee a determinare l’archiviazione del procedimento, si confermano le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune di Francavilla Fontana, per aver diffuso, tramite la pubblicazione sull’albo pretorio online della Determinazione XX (avente a oggetto «XXX»):
- dati sulla salute del Sig. XX, con dettagliati riferimenti alle relative infermità per cause di servizio, in violazione dei principi di base del trattamento contenuti negli artt. 5, par. 1, lett. c); 9, parr. 1, 2 e 4, del RGPD, nonché dell’art. 2-septies, comma 8, del Codice;
- dati personali non «limitati a quanto necessario rispetto alle finalità» del trattamento, con riferimento alla indicazione in chiaro delle coordinate IBAN dell’avvocato incaricato dall’Ente, in violazione dei principi di base del trattamento contenuti negli artt. 5, par. 1, lett. c, del RGPD.
5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria (artt. 58, par. 2, lett. i; 83 RGPD)
La violazione degli artt. 5, par. 1, lett. c); 9, parr. 1, 2, 4 del RGPD, e dell’art. 2-septies, comma 8, del Codice, causata dalla condotta posta in essere dal Comune di Francavilla Fontana sopra rilevata, è soggetta all’applicazione della sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, lett. a) del RGPD.
Il Garante, ai sensi ai sensi degli artt. 58, par. 2, lett. i); 83 del RGPD nonché dell’art. 166 del Codice, ha il potere correttivo di «infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso» e, in tale quadro, «il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice» (art. 16, comma 1, del Regolamento del Garante n. 1/2019).
In relazione ai predetti elementi, la rilevata condotta tenuta in violazione della disciplina in materia di protezione dei dati personali ha avuto a oggetto la diffusione di dati relativi alla salute del reclamante con specificazione della patologia sofferta e dell’XX, nonché dati relativi al codice IBAN del professionista incaricato dal Comune. La diffusione si è protratta per un periodo superiore a due mesi. Il Comune di Francavilla Fontana ha rappresentato che la violazione sarebbe stata causata da un errore materiale degli addetti alla compilazione degli atti deliberativi, con conseguente carattere colposo della violazione. Il Comune si è attivato per rimuovere i dati personali dei soggetti interessati appena ricevuta la richiesta di informazioni da parte del Garante ed ha quindi collaborato con l’Autorità nel corso dell’istruttoria del presente procedimento al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi. Nel riscontro al Garante sono state, inoltre descritte diverse misure tecniche e organizzative messe in atto ai sensi degli artt. 25-32 del RGPD. Non risultano, inoltre, eventuali precedenti violazioni del RGPD pertinenti commesse dal Comune di Francavilla Fontana.
In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di dover determinare ai sensi dell’art. 83, par. 2 e 3, del RGPD l’ammontare della sanzione pecuniaria, prevista dall’art. 83, par. 5, lett. a) del RGPD, nella misura di euro 10.000,00 (diecimila) per la violazione degli artt. 5, par. 1, c); 9, parr. 1, 2, 4 del RGPD, e dell’art. 2-septies, comma 8, del Codice, quale sanzione amministrativa pecuniaria ritenuta effettiva, proporzionata e dissuasiva sensi dell’art. 83, par. 1, del medesimo RGPD.
Ai sensi dell’art. 166, comma 7, del Codice, si dispone la pubblicazione del presente provvedimento sul sito Internet del Garante.
rileva l’illiceità del trattamento effettuato dal Comune di Francavilla Fontana e ai sensi degli artt. 58, par. 2, lett. i); 83 del RGPD, nonché 166 del Codice
al Comune di Francavilla Fontana, in persona del legale rappresentante pro-tempore, con sede legale in Via Municipio n. 4, c.a.p. 72021, Francavilla Fontana (BR) – C.F. 00176620748 di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente paragrafo;
al medesimo Comune di pagare la somma di euro 10.000,00 (diecimila) – fermo restando quanto disposto dal citato art. 166, comma 8, del Codice – secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981.
Si ricorda che, ai sensi dell’art. 166, comma 8, del Codice, «Entro il termine di cui all’articolo 10, comma 3, del decreto legislativo n. 150 del 2011 previsto per la proposizione del ricorso, il trasgressore e gli obbligati in solido possono definire la controversia adeguandosi alle prescrizioni del Garante, ove impartite, e mediante il pagamento di un importo pari alla metà della sanzione irrogata».