Garante per la protezione
    dei dati personali


Pubblicazione sul sito webistituzionale di un Comune dei dati personali riferiti a un dipendente

PROVVEDIMENTO DEL 13 MARZO 2014

Registro dei provvedimenti
 n. 121 del 13 marzo 2014

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

ESAMINATAla segnalazione del 19 giugno 2013 di XY;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTEle Linee guida in materia di trattamento di dati personali di lavoratori perfinalità di gestione del rapporto di lavoro in ambito pubblico del 14 giugno 2007 (pubblicate in G.U. 13 luglio 2007, n. 161);

VISTEle Linee guida in materia di trattamento di dati personali contenuti anche inatti e documenti amministrativi, effettuato da soggetti pubblici per finalitàdi pubblicazione e diffusione sul web del 2 marzo 2011 (pubblicate in G.U. n.64 del 19 marzo 2011);

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

PREMESSO

1.XY, dipendente del Comune di KK in qualità di responsabile del serviziofinanziario, ha lamentato – unitamente ad altri profili non rientrantinelle attribuzioni proprie del Garante – la pubblicazione di datipersonali a sé riferiti sul sito web istituzionale del Comune (in particolarenelle sezioni denominate "delibere" ed "albo pretorio")contenuti in deliberazioni del Consiglio comunale, segnatamente le n. 6 e n. 11(e relativo allegato A), entrambe adottate il JJ 2013 (cfr. segnalazione esuccessive note del 20, 21 e 24 giugno 2013).

Inparticolare, la delibera n. 6/2013, avente ad oggetto "Convenzione peril servizio associato di segreteria tra i comuni di KK e WW", reca alproprio interno − oltre al contenuto del parere espresso dalla segnalantein ordine alla regolarità contabile della convenzione ai sensi dell'art. 49,d.lg. 18 agosto 2000, n. 267 ("Testo unico delle leggi sull'ordinamentodegli enti locali") − anche valutazioni manifestate dal Sindaco nelcorso della seduta consiliare in ordine alla condotta tenuta dalla segnalantenei giorni antecedenti l'adozione della convenzione ("La responsabilenegli ultimi giorni ha tempestato lo stesso, il Segretario e il Comune [di ]di note e comunicazioni tese ad esprimere le proprie considerazioni [] e ciòcertamente mina l'efficienza, l'economicità, ed il buon funzionamento degliUffici": cfr. delibera n. 6, cit.).

Ladelibera n. 11/2013, avente ad oggetto "Mozione d'ordine ai sensidell'art. 8 del regolamento di consiglio comunale", finalizzataall'istituzione di una commissione speciale d'indagine relativa a vicende chehanno coinvolto la segnalante, riporta anch'essa giudizi sul contegno el'operato della stessa ed è stata pubblicata unitamente alla nota redatta da unconsigliere nella quale si riferiscono al Consiglio, nel dettaglio,comportamenti asseritamente tenuti dall'interessata.

2.1.Nel dare riscontro alla richiesta di informazioni formulata dall'Ufficio, connota del 5 luglio 2013 il Comune ha dichiarato:

a) dinon ravvisare "la violazione della normativa in materia di protezione deidati personali tale da avere conseguenze gravi e pregiudizievoli della dignità"dell'interessata;

b) diaver provveduto "per eccesso di zelo" a disporre "l'oscuramentodella delibera n. 11/2013", di cui peraltro viene ribadita la regolaritàformale;

c) che,con riguardo alla delibera n. 6/2013 (tuttora consultabile tramite il sito),l'unico profilo concernente la segnalante riguarderebbe il parere negativodalla stessa espresso in ordine ad emolumenti che l'Amministrazione sarebbechiamata ad erogare, reso pubblico inserendolo nel testo della delibera(peraltro su richiesta della segnalante medesima).

2.2.Nel corso del procedimento sono stati inoltre lamentati dall'interessataelementi nuovi rispetto alle richieste formulate nella segnalazione (cfr. inparticolare le comunicazioni del 5 agosto, 14 e 16 settembre nonché 18 ottobre2013): segnatamente, la pubblicazione sul medesimo sito istituzionale delladelibera n. 39 del 19 luglio 2013 che, a detta della segnalante, conterrebbedati personali alla stessa riferibili, nonché la diffusione di alcunedeliberazioni della giunta comunale − nn. 20, 37, 38, 41, 48, 49, 52 del2013 – "contenenti la menzione espressa del parere del responsabiledel relativo servizio [] del tutto inesistente, in quanto mai reso dalloscrivente funzionario e allo stesso neppure richiesto [] essendo alcune diqueste delibere irregolari anche nei restanti contenuti []" (cfr. notadel 16 settembre 2013, cit.).

2.3.In ordine a tali ulteriori profili il Comune ha rappresentato (cfr. nota 4dicembre 2013) che:

a) conriguardo alle delibere nn. 6 e 39 del 2013, le stesse non conterrebbero"dati personali e/o sensibili, di cui all'art. 4 comma 1 lett. b)"del Codice;

b) conriguardo alle restanti delibere, che conterrebbero il riferimento a pareriespressi ai sensi dell'art. 49, d.lg. n. 267/2000, che:

i. solonella delibera n. 37 "effettivamente la responsabile [] non ha maiespresso parere sulla proposta circa la delibera"; rispetto ad essa ilComune "valuterà l'opportunità di revocar[la] in autotutela";

ii. conriguardo alle delibere nn. 38, 48, 49, "l'unico parere a dover essere resoera quello dell'Ufficio tecnico comunale [] non di competenza della[segnalante]";

iii. conriguardo alla delibera n. 41, questa non sarebbe soggetta a parere tecnico inquanto "mero atto di indirizzo";

iv. conriguardo alla delibera n. 52, "il parere del[la segnalante] è statoregolarmente reso";

c)inoltre, "tutte le deliberazioni citate sono state pubblicate all'Albopretorio on line per 15 giorni ed attualmente non sono più presenti sulmedesimo, ma solo sullo storico e rintracciabili solo attraverso l'inserimentodel numero e della data di approvazione, così come è possibile rilevareattraverso il sito istituzionale dell'Amministrazione".

Conriguardo alla delibera n. 20, infine, il Comune ha dato prova che la segnalanteabbia reso il parere (cfr. all. 2 alla nota del 4 dicembre 2013).

2.4.A seguito delle verifiche effettuate è emerso che le delibere sopra menzionate(eccettuata la 11/2013) sono ancora disponibili in internet, accessibilitramite il sito istituzionale del Comune nella sezione "Attiamministrativi - delibere" (cfr. documentazione in atti).

3.1.Con riferimento alla lamentata diffusione di dati personali – taledovendo essere qualificata l'operazione di trattamento effettuata nel caso dispecie dal Comune ai sensi dell'art. 4, comma 1, lett. m), del Codice –,deve rilevarsi che la stessa – per quanto qui interessa, non formandooggetto di diffusione di dati sensibili – può essere lecitamenteeffettuata da parte di un soggetto pubblico, nel rispetto del principio dipertinenza e non eccedenza (art. 11, comma 1, lett. d) ed e) del Codice),unicamente quando tale operazione sia prevista, da una norma di legge o diregolamento (artt. 11, comma 1, lett. a) e 19, comma 3, del Codice), anche conriferimento alla pubblicazione di dati personali "in forma integrale, perestratto, ivi compresi gli allegati" (cfr. punto 2.1 Linee guida inmateria di trattamento di dati personali contenuti anche in atti e documentiamministrativi, effettuato da soggetti pubblici per finalità di pubblicazione ediffusione sul web).

3.2.Tanto premesso, ritenuta applicabile al caso di specie la disciplina diprotezione dei dati personali, si ritiene che, la pubblicazione sul web nellaversione integrale delle delibere nn. 6 e 11 (quest'ultima corredata altresìdel menzionato allegato) – riportanti, oltre all'espressa indicazionedegli estremi identificativi della segnalante, anche valutazioni e giudizi cheriguardano il suo operato nell'esecuzione della propria prestazione lavorativa −sia stata effettuata in violazione del principio di pertinenza e non eccedenza(art. 11, comma 1, lett. d), del Codice; principio ora ribadito anche all'art.4, comma 4, d.lg. n. 33/2013, anche in relazione alla pubblicità di atti,documenti e informazioni per finalità di trasparenza). Come già rilevato dalGarante, in particolare in relazione a documenti oggetto di pubblicazione(specie se online), "nel rispetto dell'obbligo di adeguata motivazionedegli atti amministrativi", è necessario valutare con attenzione letecniche di redazione delle deliberazioni e selezionare "le informazionida diffondere alla luce dei princìpi di pertinenza e indispensabilità rispettoalle finalità perseguite dai singoli provvedimenti" (cfr. punto 6.3, Lineeguida in materia di trattamento di dati personali di lavoratori per finalità digestione del rapporto di lavoro in ambito pubblico, cit.; in tal senso v. giàil parere del Garante del 26 ottobre 1998; Provv.ti 17 aprile 2003; 12 gennaio 2004; 25 gennaio 2007; 7 ottobre 2009; 1 agosto 2013; nella giurisprudenza di legittimità, in sensoanalogo, cfr. Cass., 20 luglio 2012, n. 12726, che ha confermato il Provv. 9dicembre 2003; ribadisce la necessità dell'osservanza del principiodi pertinenza e proporzionalità, con particolare riferimento alla diffusionesull'albo pretorio di dati riferiti alle condizioni di salute dell'interessato,Cass., 8 agosto 2013, n. 18980; v. pure Cass. 18 gennaio 2012, n. 2034).

3.3.Deve inoltre ritenersi che, con riguardo ai dati personali contenuti nelladelibera n. 11/2013 (non più disponibile online), sia stata posta in essere unadiffusione illecita di dati personali (artt. 11, comma 1, lett. a) e 19 comma 3del Codice), in quanto la stessa è rimasta consultabile sul sito istituzionaledel Comune oltre l'arco temporale previsto dalla disciplina di settoreconcernente la pubblicità degli atti degli enti locali sull'albo pretorio (cfr.art. 124, d.lg. 18 agosto 2000, n. 267 nonché art. 32, l. 18 giugno 2009, n.69).

Ciòè accaduto anche con riguardo alla delibera n. 6/2013 per la quale non risultain atti indicata dal titolare del trattamento la base normativa che negiustifica la persistente diffusione online. Ed invero, alla luce della menzionatadisciplina di settore in materia di pubblicità degli atti degli enti locali,richiamata anche dal titolare del trattamento, la pubblicazione delledeliberazioni del comune (e della provincia) all'albo pretorio online deveavvenire per (soli) quindici giorni consecutivi, arco temporale ampiamentesopravanzato nei casi di specie e senza che risultino giustificate, ai sensidegli artt. 11, comma 1, lett. a) e 19, comma 3, del Codice, le ragioni per lequali la menzionata diffusione di dati personali debba prolungarsi(potenzialmente) sine die nella sezione "delibere" del sitoistituzionale (cfr. Provv. 23 febbraio 2012, n. 73; Provv. 6 dicembre 2012, n. 384; nonché par. 5.2 e 6.B, Linee guida in materia ditrattamento di dati personali contenuti anche in atti e documentiamministrativi, effettuato da soggetti pubblici per finalità di pubblicazione ediffusione sul web, cit.: "nelle ipotesi in cui specifiche disposizioni disettore individuino determinati periodi di tempo per la pubblicazione di atti eprovvedimenti amministrativi [] i soggetti pubblici sono tenuti ad assicurareil rispetto dei limiti temporali previsti, rendendoli accessibili sul propriosito web durante il circoscritto ambito temporale individuato dalledisposizioni normative di riferimento, anche per garantire il diritto all'obliodegli interessati" e che, "trascorsi i [] periodi di tempospecificatamente individuati, determinate notizie, documenti o sezioni del sitodevono essere rimossi dal web o privati degli elementi identificativi degliinteressati ovvero, in alternativa, laddove l'ulteriore diffusione dei dati siavolta a soddisfare esigenze di carattere storico-cronologico, gli stessi vannosottratti all'azione dei comuni motori di ricerca, ad esempio, inserendoli inun'area di archivio consultabile solo a partire dal sito stesso o in un'area adaccesso riservato").

4.Alla luce delle considerazioni svolte, salve eventuali pretese risarcitoriedella segnalante, da far valere avanti alla competente autorità giudiziaria(art. 15 del Codice), deve pertanto essere vietato al Comune di KK ai sensidegli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d) del Codice,diffondere ulteriormente in Internet, tramite il sito web istituzionale, i datipersonali riferiti direttamente alla segnalante nella delibera n. 6/2013.

5.Rilevato che, con riguardo alle restanti delibere citate in narrativa, nonricorrono gli estremi per un intervento prescrittivo o inibitorio del Garante, trattandosi di atti nei quali non ricorrono dati personali riconducibilidirettamente all'interessata.

6.L'Autorità si riserva di valutare, con separato procedimento, gli estremi perla contestazione della violazione amministrativa prevista dall'art. 162, comma2-bis, del Codice.

Incaso d'inosservanza del presente provvedimento, si renderanno applicabili lesanzioni (rispettivamente penale e amministrativa) di cui agli artt. 170 e 162,comma 2-ter del Codice.

TUTTO CIO' PREMESSO IL GARANTE

neiconfronti del Comune di KK, ritenuta illecita, nei termini indicati inmotivazione, la diffusione dei dati personali riferiti alla segnalanteeccedenti e non pertinenti nonché privi di idonea base normativa ai sensidell'art. 19, comma 3, del Codice, vieta, ai sensi degli artt. 143, comma 1,lett. c), 144 e 154, comma 1, lett. d), del Codice, di diffondere ulteriormentein Internet, mediante il proprio sito web istituzionale, i dati personalioggetto di segnalazione riferiti alla segnalante contenuti nella delibera n.6/2013.

Ai sensidegli artt. 152 del Codice e 10, d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 13 marzo 2014

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia