Garante per la protezione
    dei dati personali


Pubblicazione di graduatorie di unconcorso idonee a rivelare lo stato di salute dei partecipanti sul sito web diun Comune

PROVVEDIMENTO DEL 6 MARZO 2014

Registro dei provvedimenti
 n. 109 del 6 marzo 2014

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n.196, di seguito "Codice");

VISTAla segnalazione presentata l'8 gennaio 2014 da XY con la quale è statalamentata la pubblicazione di dati personali relativi alla condizione diinvalidità della segnalante sul sito istituzionale di Roma Capitale agevolmenteraggiungibili mediante i comuni motori di ricerca;

RILEVATO,da accertamenti preliminari effettuati dall'Ufficio, che sul sito webhttp://www.comune.roma.it, facente capo a Roma Capitale, risulta pubblicata indata 10 giugno 2013 la graduatoria finale relativa alla "Proceduraselettiva pubblica, per titoli ed esami, per il conferimento di n. 60 posti nelprofilo professionale di istruttore urp- redattore pagine web - categoria c(posizione economica c1) - Famiglia Comunicazione, riservata ai soggettidisabili di cui alla legge n. 68/1999", alla paginahttp://www.comune.roma.it/..., recante tra i 291 nominativi oggetto didiffusione anche quello della segnalante (unitamente alla data di nascita degliinteressati e ad ulteriori informazioni concernenti titoli di preferenza);

RILEVATOaltresì che sul medesimo sito istituzionale, all'indirizzohttps://www.comune.roma.it/..., risulta pubblicata il 16 gennaio 2013 la"valutazione titoli" riferiti ai partecipanti alla medesima proceduraselettiva (contenente 542 nominativi, e tra questi quello segnalante) con larelativa data di nascita e il punteggio a ciascuno attribuito nonché (per imedesimi soggetti) il 14 dicembre 2012 la "valutazione elaborati provascritta" all'indirizzo http://www.comune.roma.it/...;

VISTOche dal medesimo accertamento preliminare è stato altresì verificato che ilnominativo della segnalante nonché quello dei restanti interessati (puremenzionati negli elenchi sopra riportati) sono immediatamente visibili in retetramite l'inserimento delle rispettive generalità nei piò diffusi motori diricerca generalisti;

CONSIDERATOche per dato personale si intende "qualunque informazione relativa apersona fisica, identificata o identificabile, anche indirettamente, medianteriferimento a qualsiasi altra informazione, ivi compreso un numero diidentificazione personale" (art. 4, comma 1, lett. b), del Codice);

CONSIDERATOche per diffusione dei dati personali si intende "il dare conoscenza deidati personali a soggetti indeterminati, in qualunque forma, anche mediante laloro messa a disposizione o consultazione" (art. 4, comma 1, lett. m), delCodice);

PRESOATTO che la pubblicazione delle menzionate graduatorie – recanti inchiaro i dati identificativi degli interessati nell'ambito di una proceduraselettiva pubblica "riservata ai soggetti disabili di cui alla legge n.68/1999" –, agevolata dalla immediata reperibilità nel web deinominativi riguardanti i destinatari mediante i piò diffusi motori di ricerca,ha causato una diffusione di dati sensibili in quanto idonei a rivelare lostato di salute degli interessati (art. 4, comma 1, lett. d), del Codice), inragione dell'espresso riferimento allo status di disabile degli interessatinonché dell'espresso richiamo (nel medesimo contesto) alla legge n. 68/1999,concernente le "Norme per il diritto al lavoro dei disabili";

CONSIDERATOche l'art. 22, comma 8, del Codice prevede che nel trattamento effettuato dasoggetti pubblici i "dati idonei a rivelare lo stato di salute non possonoessere diffusi" (cfr., in tal senso, anche l'art. 65, comma 5, e l'art.68, comma 3, del Codice) e che, pertanto, è vietata la diffusione di dati dacui si possa desumere lo stato di malattia o l'esistenza di patologie deisoggetti interessati, compreso qualsiasi riferimento alla condizioni diinvalidità, disabilità o handicap fisici e/o psichici (cfr. da ultimo, tra ledecisioni del Garante, il Provv. 6 giugno 2013, n. 277);

RICHIAMATEle indicazioni fornite dal Garante con il Provvedimento del 2 marzo 2011, n.88, recante le "Linee guida in materia di trattamento di dati personalicontenuti anche in atti e documenti amministrativi, effettuato da soggettipubblici per finalità di pubblicazione e diffusione sul web" (pubblicatoin G.U. n. 64 del 19 marzo 2011) in cui è stato precisato che:

a. inrelazione "alle sole operazioni di comunicazione e di diffusione, lepubbliche amministrazioni, nel mettere a disposizione sui propri sitiistituzionali dati personali, contenuti anche in atti e documentiamministrativi (in forma integrale, per estratto, ivi compresi gli allegati),devono preventivamente verificare che una norma di legge o di regolamentopreveda tale possibilità (artt. 4, comma 1, lett. l) e m), 19, comma 3, 20 e21, del Codice), fermo restando comunque il generale divieto di diffusione deidati idonei a rivelare lo stato di salute dei singoli interessati (artt. 22,comma 8, 65, comma 5, 68, comma 3, del Codice)" (par. 2.1.);

b. ilregime di conoscibilità di elenchi e graduatorie quando effettuato nell'ambitodelle attività previste dalla disciplina sul collocamento mirato dei soggettidisabili "può essere assicurato anche attraverso la loro messa adisposizione on line, purché vengano prescelte modalità che ne impediscano lalibera consultabilità in Internet, tenuto conto che gli elenchi e legraduatorie del collocamento obbligatorio contengono informazioni idonee arivelare lo stato di salute delle persone iscritte" (punto 6.C.1, oveapplicabile);

CONSIDERATOche il titolare del trattamento, al fine di assolvere agli obblighi dipubblicità aventi ad oggetto le menzionate graduatorie ben avrebbe potutolimitarsi a rendere pubblico sul sito web istituzionale di Roma Capitale gliavvisi sintetici – rinvenibili all'indirizzo http://www.comune.roma.it/...– concernenti l'avvenuta approvazione delle graduatorie con l'indicazionedelle modalità di accesso alle medesime per i soggetti interessati, senzadiffondere, quindi, i dati sensibili riferiti ai partecipanti alle procedureselettive;

CONSIDERATO,inoltre, con riferimento alla graduatoria finale pubblicata il 10 giugno 2013,quanto previsto dall'art. 23, comma 1, lett. c), d.lg. 14 marzo 2013, n. 33,che, in relazione alle prove selettive per l'assunzione di personale, prevedela pubblicazione, in forma di "scheda sintetica", dei soli elementidi sintesi relativi all'intero procedimento indicati dal comma 2 della medesimadisposizione;

RILEVATA,pertanto, l'illiceità del trattamento effettuato da Roma Capitale in relazioneall'avvenuta diffusione di dati idonei a rivelare lo stato di salute degliinteressati in violazione dell'art. 22, comma 8, del Codice;

CONSIDERATOche il Garante, ai sensi degli artt. 143, comma 1, lett. c), e 154, comma 1,lett. d), del Codice, ha il compito di "vietare anche d'ufficio, in tuttoo in parte, il trattamento illecito o non corretto dei dati o disporne ilblocco", nonché "di adottare gli altri provvedimenti previsti dalladisciplina applicabile al trattamento di dati personali";

RITENUTOnecessario, in ragione dell'illiceità del trattamento effettuato, vietare aRoma Capitale, ai sensi dei citati artt. 143, comma 1, lett. c), e 154, comma1, lett. d), del Codice, l'ulteriore diffusione in Internet dei dati personaliidonei a rivelare lo stato di salute dei soggetti interessati contenuti neimenzionati elenchi;

CONSIDERATO,inoltre, che risulta indispensabile l'adozione da parte del titolare deltrattamento di idonei accorgimenti nella pubblicazione di dette graduatorie,con particolare riferimento alla necessità di rispettare il divieto didiffusione di dati idonei a rivelare lo stato di salute dell'interessato;

CONSIDERATO,in merito, che il Garante, ai sensi degli artt. 143, comma 1, lett. b), e 154,comma 1, lett. c), del Codice, ha il compito di prescrivere, anche d'ufficio,"le misure necessarie o opportune al fine di rendere il trattamentoconforme alle disposizioni vigenti";

RITENUTOnecessario prescrivere a Roma Capitale, ai sensi dei citati artt. 143, comma 1,lett. b), e 154, comma 1, lett. c), del Codice, di conformare per il futuro lapubblicazione di atti e documenti in Internet alle disposizioni contenute nelCodice in materia di protezione dei dati personali e nelle citate "Lineeguida in materia di trattamento di dati personali contenuti anche in atti edocumenti amministrativi, effettuato da soggetti pubblici per finalità dipubblicazione e diffusione sul web", rispettando, in particolare, il divietodi diffusione dei dati idonei a rivelare lo stato di salute degli interessati(art. 22, comma 8, del Codice; par. 2.1 e par. 6.C.1., ove applicabile, delleLinee guida);

RITENUTOdi valutare, con separato provvedimento, gli estremi per contestare al titolaredel trattamento la violazione amministrativa prevista dall'art. 162, comma2-bis, del Codice come modificato dalla legge 27 febbraio 2009, n. 14 diconversione, con modificazioni, del decreto legge del 30 dicembre 2008 n. 207;

TENUTOCONTO che, ai sensi dell'art. 170 del Codice, chiunque essendovi tenuto nonosserva il presente provvedimento di divieto è punito con la reclusione da tremesi a due anni e che ai sensi dell'art. 162, comma 2-ter, del Codice, in caso diinosservanza del medesimo provvedimento, è altresì applicata in sedeamministrativa, in ogni caso, la sanzione del pagamento di una somma datrentamila a centottantamila euro;

VISTAla documentazione in atti;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

TUTTO CIO' PREMESSO IL GARANTE

neiconfronti di Roma Capitale, rilevata l'illiceità del trattamento dei datieffettuato nei termini indicati in premessa:

1. vieta, ai sensi dei citati artt. 143, comma 1, lett. c), e 154, comma 1, lett.d), del Codice, l'ulteriore diffusione in Internet dei dati personali idonei arivelare lo stato di salute dei soggetti interessati contenuti nelle graduatoriemenzionate nel presente provvedimento;

2.prescrive, ai sensi dei citati artt. 143, comma 1, lett. b), e 154, comma 1,lett. c), del Codice, di conformare per il futuro la pubblicazione di atti edocumenti in Internet alle disposizioni contenute nel Codice in materia diprotezione dei dati personali e nelle citate "Linee guida in materia di trattamentodi dati personali contenuti anche in atti e documenti amministrativi,effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sulweb", rispettando, in particolare, il divieto di diffusione dei datiidonei a rivelare lo stato di salute degli interessati (art. 22, comma 8, delCodice; par. 2.1 e par. 6.C.1, ove applicabile, delle Linee guida).

Ai sensidegli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 6 marzo 2014

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia