Sanzione di 6.000,00 Euro al Comune di Bracciano nonostante siano state pubblicate solo le iniziali di nome e cognome

Rispondi
Giancarlo Favero
Messaggi: 226
Iscritto il: dom gen 24, 2021 6:45 am

Sanzione di 6.000,00 Euro al Comune di Bracciano nonostante siano state pubblicate solo le iniziali di nome e cognome

Messaggio da Giancarlo Favero »

Interessante questo provvedimento, con il quale il Comune di Bracciano è stato sanzionato nonostante nella versione delle determina pubblicata avesse messo le inziali del nome e del cognome.
Di seguito trovate il testo integrale del provvedimento, consultabile anche al seguente link:

https://www.garanteprivacy.it/web/guest ... eb/9853429

Grazie e buona lettura,

Giancarlo Favero
Ordinanza ingiunzione nei confronti di Comune di Bracciano - 15 dicembre 2022

Registro dei provvedimenti
n. 420 del 15 dicembre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Il reclamo.

Con reclamo presentato al Garante, XX ex dipendente del Comune di Bracciano (di seguito “Comune”) ha lamentato la pubblicazione, sul sito istituzionale, della Determina n. XX del XX con la quale, a seguito di presentazione di dimissioni da parte della reclamante, il Comune “prendeva atto della cessazione dal servizio [della reclamante], con rinuncia reciproca del preavviso e dell’indennità di mancato preavviso”.

Nella Determina, inoltre, “veniva esplicitamente fatto riferimento allo stato di salute della [reclamante…] chiaramente identificata” con le iniziali del proprio nome e cognome e con l’indicazione dell’incarico svolto presso il Comune.

In particolare, nella predetta Determina, il cui oggetto riportava il numero di matricola della reclamante, si faceva espressamente riferimento alle particolari condizioni di salute della stessa riportando l’informazione che la reclamante rinunciava al periodo di preavviso previsto contrattualmente “al fine di non aggravare il proprio stato invalidante stante la terapia farmacologica in corso”.

2. L’attività istruttoria.

Con nota del XX, rispondendo alla richiesta di informazioni formulata da questa Autorità, il Comune ha rappresentato, in particolare, che:

- “[…] la reclamante si assentava dal servizio per malattia a far data dal XX e non rientrava più presso il Comune […] fino alle dimissioni volontarie avvenute con decorrenza XX”;

- “[…] [la reclamante], con nota acquisita a protocollo generale del Comune n. XX del XX, rassegnava […] le proprie dimissioni volontarie dal servizio motivando la decisione “al fine di non aggravare il proprio stato di salute, anche in ragione della terapia farmacologica seguita””;

- “l’Amministrazione […] ha deciso di (i) prendere atto delle dimissioni; (ii) accogliere la richiesta rinuncia al preavviso […] [e ha provveduto] ad adottare la Determina n. XX e a pubblicarla sull’Albo pretorio del Comune nei termini e secondo le modalità previste dal d.lgs. 33/2013. In detta determina si provvedeva a: (i) individuare esclusivamente la decisione di rinunciare al preavviso riportando pedissequamente, seppur genericamente, le ragioni che l’istante stessa aveva riferito essere alla base delle dimissioni”;

- “la determina in questione doveva necessariamente essere pubblicata sull’albo pretorio del Comune, ai sensi del d.lgs. 33/2013, in quanto detta modalità costituisce condizione integrativa dell’efficacia del provvedimento”;

- “[…] l’indicazione delle sole iniziali [è] idonea a non rendere nota l’identità della [reclamante] alla luce della platea dei soggetti potenzialmente raggiunti dalla Determina che non sono costituiti dai soli dipendenti del Comune, ma da tutti i soggetti interessati che possono accedere al sito internet dell’Ente e, in particolare, all’Albo Pretorio. D’altronde, il Comune non avrebbe potuto oscurare del tutto le generalità dell’istante per ragioni di trasparenza […]”;

- “[…] non sono stati affatto diffusi dati relativi alla salute e/o alla terapia farmacologica alla quale l’istante è stata sottoposta. Il Comune si è limitato a fare riferimento […] alla condizione dell’istante assunta e formalmente comunicata al protocollo generale del Comune, dalla stesa, quale giustificazione delle dimissioni”;

- “[…] [l’indicazione della motivazione del provvedimento] era vieppiù necessaria, perché, con la Determina, il Comune non si è limitato a prendere atto delle dimissioni, ma ha anche accolto la richiesta di esonero del preavviso, scelta che, se non adeguatamente motivata, avrebbe potuto determinare ipotesi di (i) annullabilità del provvedimento e/o (ii) di responsabilità erariale a carico dell’Ente rinunciando al suddetto termine come richiesto dall’istante”;

- “la pubblicazione della determina è avvenuta esclusivamente sull’Albo Pretorio del Comune di Bracciano per il tempo minimo previsto dalla suddetta normativa, 15 giorni consecutivi e precisamente dal XX al XX”.

Sulla base degli elementi acquisiti l’Ufficio ha notificato al Comune, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, in quanto la pubblicazione sul sito web del Comune della predetta Determina ha causato la “diffusione” dei dati personali della reclamante, anche relativi alla salute, in violazione degli artt. 5, 6 e 9 del Regolamento e 2-ter del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, nonché dell’art.2-septies, comma 8, del Codice). Pertanto ha invitato il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

Il Comune ha fatto pervenire le proprie memorie difensive rappresentando, in particolare, che:

- “a seguito della lunga assenza dal servizio presso questo Comune, iniziata il XX, con nota acquisita a protocollo generale del Comune n. XX del XX [l’interessata] rassegnava, senza più rientrare in servizio presso questo Comune, le proprie dimissioni volontarie dal servizio inserendo nell’atto determinativo di presa d’atto delle dimissioni dal servizio “al fine di non aggravare il proprio stato di salute, anche in ragione della terapia farmacologica seguita”. Per la medesima ragione, l’istante chiedeva all’Amministrazione di rinunciare al previsto periodo di preavviso”;

- “l’Amministrazione ha preso in carico la richiesta (pervenuta al protocollo generale dell’Ente senza richiesta di protocollazione riservata) e, conformemente alle previsioni del CCNL e agli orientamenti applicativi ARAN, in considerazione della particolare condizione in cui versava la dipendente, ha:(i) preso atto delle dimissioni; (ii) accolto la richiesta rinuncia al periodo di preavviso, anche in considerazione del fatto che, come espressamente dichiarato nel parere ARAN RAL_1641, il decorso del termine di preavviso è sospeso durante il periodo di malattia e subisce, di conseguenza, uno spostamento per un tempo corrispondente alla stessa malattia. Esprimendo di fatto, in accoglimento di tale rinuncia, una volontà di natura discrezionale in quanto definita “una facoltà” dallo stesso comma 5 dell’art. 12 del CCNL 09.05.2006”;

- “si precisa infatti che, in diversa maniera, ai sensi del comma 4 del predetto art. 12, l’ex dipendente era tenuta a corrispondere un'indennità pari all'importo della retribuzione spettante per il periodo di mancato preavviso, con conseguente necessità di espressione esplicita della motivazione di quanto applicato nel caso di specie”;

- “pertanto la scrivente, su conforme proposta di provvedimento dell’ufficio comunale risorse umane, provvedeva ad adottare la Determina n. XX e a pubblicarla sull’Albo pretorio del Comune nei termini e secondo le modalità previste dal d.lgs. 33/2013. In detta determina, si provvedeva a: (i) individuare l’istante esclusivamente tramite le iniziali del proprio nome e cognome […] e il numero di matricola e a (ii) ben motivare la decisione di rinunciare al preavviso riportando pedissequamente, seppur genericamente, le ragioni che l’istante stessa aveva riferito essere alla base delle dimissioni”;

- “preliminarmente si evidenzia come la Determina in questione doveva necessariamente essere pubblicata sull’albo pretorio del Comune, ai sensi del d.lgs. 33/2013 […] in quanto detta modalità costituisce condizione integrativa dell’efficacia del provvedimento”;

- “l’obbligo di pubblicazione delle determinazioni è sancito, oltre che dalle norme sopra richiamate, anche dallo stesso regolamento comunale vigente per la disciplina dell’Albo Pretorio Informatico, approvato con deliberazione di Giunta Comunale n. XX del XX e s.m.i. (art. 9, comma 2 lettera d) allegato a) alla presente), obbligo dal quale l’ufficio (risorse umane) procedente non poteva assolutamente prescindere. La pubblicazione ha costituito presidio di legalità a tutela innanzitutto dell’istante, la cui richiesta è stata formalmente accolta dal Comune, prima, con la formalizzazione della Determina e, poi, con la sua pubblicazione sull’Albo Pretorio”;

- “con riferimento alle generalità dell’istante […] si sottolinea come l’ufficio in assoluta buona fede abbia […] ritenuto che l’indicazione delle sole iniziali fosse idonea a non rendere nota l’identità della stessa alla luce della platea dei soggetti potenzialmente raggiunti dalla Determina che non sono costituiti dai soli dipendenti del Comune, ma da tutti i soggetti interessati che possono accedere al sito internet dell’Ente e, in particolare, all’Albo Pretorio. D’altronde, il Comune ha ritenuto di non poter oscurare del tutto le generalità dell’istante per ragioni di trasparenza, principio che deve sempre sovraintendere l’azione amministrativa al fine di favorire un controllo da parte dei cittadini sulla legittimità dell’azione del Comune. In tale prospettiva, si è ritenuto che un corretto contemperamento dei due principi - trasparenza, da un lato, e protezione dei dati personali, dall’altro - potesse essere adeguatamente operato tramite la sola indicazione delle iniziali del nome e del numero di matricola”;

- “si premette [inoltre] che certamente non sono stati diffusi dati relativi alla salute e/o alla terapia farmacologica alla quale l’istante è stata sottoposta. Il Comune si è limitato a fare riferimento, in maniera generica e assolutamente asettica, alla condizione dell’istante assunta e formalmente comunicata al protocollo generale del Comune, dalla stessa, quale giustificazione delle dimissioni. Nel provvedimento è stato riportato solo ed esclusivamente quanto riferito dall’istante avendo cura di evitare qualsiasi riferimento a (i) specifiche condizioni di salute e a (ii) dettagli ulteriori sulla terapia seguita”;

- “l’Ente ha dovuto, seppur genericamente, riferire i motivi per i quali, da un lato, l’istante ha rassegnato le dimissioni con richiesta di esonero dal preavviso e, dall’altro, il Comune stesso ha assecondato la richiesta giustificando così il trattamento di maggior favore all’istante medesima caratterizzato dalla rinuncia al periodo di preavviso che sarebbe stato di 1 mese e che in tal caso avrebbe impedito alla medesima di poter prendere servizio, come effettivamente ha preso, in data XX presso [altro Comune]. Applicando pedissequamente il previsto preavviso infatti [l’interessata] avrebbe cessato il suo rapporto di lavoro con il Comune di Bracciano il XX (decorrenza minima del preavviso ex art. 12, comma 1 e 2 del CCNL 09.05.2006) e questo avrebbe pregiudicato l’instaurazione di un nuovo rapporto di lavoro nei termini in cui ciò è effettivamente avvenuto”;

- “tali circostanze hanno pertanto costituito, infatti, l’essenza della motivazione della Determina, elemento necessario di qualsiasi provvedimento amministrativo in assenza del quale questo sarebbe stato certamente illegittimo in quanto avrebbe potuto determinare ipotesi di (i) annullabilità del provvedimento e/o (ii) di responsabilità erariale a carico dell’Ente”;

- “si chiarisce che la pubblicazione della determina è avvenuta esclusivamente sull’Albo Pretorio del Comune di Bracciano per il tempo minimo previsto dalla suddetta normativa, 15 giorni consecutivi e precisamente dal XX al XX e che, successivamente a detto periodo, il provvedimento è stato eliminato completamente dalla relativa sezione del sito web comunale Albo storico cancellando quindi senza ritardo i dati personali in esso contenuti”.

Il Comune, inoltre, nel corso dell’audizione, ai sensi dell’art. 166, comma 6, del Codice, ha rappresentato che (cfr. verbale prot.n. XX del XX):

- “l’Ufficio del Comune ha inserito nel provvedimento in questione i dati personali oggetto di reclamo per un eccesso di zelo”;

- “il provvedimento adottato dal Comune metteva fine a una lunga e complessa vicenda che ha interessato la reclamante, che ha usufruito di un lungo periodo di malattia. In tale contesto, molti dei dipendenti del Comune erano già a conoscenza delle condizioni di salute dell’interessata e della circostanza che la stessa non sarebbe rientrata in servizio”;

- “il provvedimento è stato adottato nell’immediatezza del ricevimento della lettera di dimissioni, perché il Comune aveva interesse a porre fine alla predetta complessa vicenda. Vi era pertanto l’esigenza di motivare adeguatamente il provvedimento adottato, anche in ragione della richiesta dell’interessata di rinunciare al preavviso”;

- “come rappresentato in memoria difensiva, il Comune ha in ogni caso effettuato la pubblicazione del documento in quesitone in albo pretorio per il termine previsto dalla legge e poi lo stesso è stato immediatamente rimosso”.

3. Normativa applicabile.

3.1 Il quadro normativo.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, anche qualora operino nello svolgimento dei propri compiti di datori di lavoro, possono trattare i dati personali dei lavoratori, se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalle norme nazionali di settore (artt. 6, par. 1, lett. c), 9, parr. 2, lett. b), e 4, e 88 del Regolamento) oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. e), del Regolamento).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che le operazioni di trattamento che consistono nella “diffusione” di dati personali sono ammesse solo quando previste da una norma di legge o di regolamento (art. 2-ter, nel testo del Codice antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

Con riguardo alle categorie particolari di dati personali, il trattamento è, di regola, consentito, oltre che per assolvere a specifici obblighi “in materia di diritto del lavoro […] nella misura in cui sia autorizzato dal diritto […] in presenza di garanzie appropriate” (art. 9, par. 2, lett. b), del Regolamento), anche ove “necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. g), del Regolamento).

In ogni caso, i dati relativi alla salute, ossia quelli “attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute” (art. 4, par. 1, n. 15, del Regolamento; cfr. anche cons. 35 dello stesso), in ragione della loro particolare delicatezza, “non possono essere diffusi” (art. 2-septies, comma 8, e art. 166, comma 2, del Codice e art. 9, parr. 1, 2, 4, del Regolamento).

Il datore di lavoro, titolare del trattamento, è, in ogni caso, tenuto a rispettare i principi generali in materia di protezione dei dati personali (art. 5 del Regolamento).

3.2. La diffusione dei dati personali.

Come risulta dagli atti e dalle dichiarazioni rese dal titolare del trattamento, nonché dall’accertamento compiuto sulla base degli elementi acquisiti a seguito dell’attività istruttoria e dalle successive valutazioni di questo Dipartimento, il Comune ha pubblicato, dal XX al XX, sul sito web istituzionale, sezione Albo Pretorio, la determinazione n.XX del XX, contenente informazioni riguardanti il rapporto di lavoro della reclamante, identificata con le iniziali del proprio nome e cognome e con il numero di matricola, e ulteriori dati relativi alla salute della stessa.

Stante la definizione di dato personale (“qualsiasi informazione riguardante una persona fisica identificata o identificabile”, dovendosi considerare “identificabile la persona fisica che può essere identificata, direttamente o indirettamente […]”) e di dato relativo alla salute (art. 4, par. 1 e 15, del Regolamento), si ritiene accertato che la pubblicazione sul sito web istituzionale del Comune della Determina n. XX del XX, contenente riferimenti a informazioni relative al rapporto di lavoro tra il Comune e la reclamante, nonché sullo stato di salute della stessa, ha determinato - ancorché per effetto di “un eccesso di zelo” da parte del Comune, al fine di assecondare la richiesta di esonero dal preavviso della reclamante “giustificando così il trattamento di maggior favore all’istante medesima”- la diffusione dei dati personali, anche relativi alla salute, della reclamante, in assenza di un idoneo presupposto normativo e in violazione del generale divieto alla diffusione dei dati relativi alla salute (degli artt. 5, 6 e 9 del Regolamento e 2-ter e 2-septies, comma 8, del Codice).

Stante, infatti, la definizione di dato personale, come sopra richiamata, l’utilizzo delle iniziali del cognome e del nome degli interessati può non essere sufficiente a evitare l’identificabilità degli stessi, specie quando ad esse siano associate altre informazioni di contesto ovvero ulteriori elementi identificativi (nel caso di specie, il numero di matricola).

Più precisamente, sebbene la determinazione in questione non menzionasse espressamente il nome e il cognome della reclamante, quest’ultima era in ogni caso identificabile attraverso il riferimento alle proprie iniziali, al ruolo ricoperto, al genere (in ragione dell’uso del femminile) e al numero di matricola, nello specifico contesto lavorativo, peraltro di limitate dimensioni. Pertanto, considerato, altresì, che la reclamante era una dipendente del Comune, la stessa risultava essere facilmente identificabile, sia all’interno che all’esterno dell’Ente, dovendosi, pertanto, considerare le informazioni contenute nella predetta determina, relative alla reclamante, come “dati personali” ai sensi dell’art. 4, par. 1, n. 1, del Regolamento (cfr., sul punto, provv. 25 febbraio 2021, n. 68, doc. web n. 9567429 e provvedimenti in esso richiamati).

Sul punto si osserva che, sin dal 2014, il Garante, nelle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del Garante, provv. n. 23 del 14 giugno 2007, doc. web n. 1417809, ha chiarito che “la prassi seguita da alcune amministrazioni di sostituire il nome e cognome dell´interessato con le sole iniziali è di per sé insufficiente ad anonimizzare i dati personali contenuti negli atti e documenti pubblicati online” e che “il rischio di identificare l´interessato è tanto più probabile quando, fra l´altro, accanto alle iniziali del nome e cognome permangono ulteriori informazioni di contesto che rendono comunque identificabile l´interessato”, come nel caso di specie, essendo necessario, al fine di rendere effettivamente anonimi i dati pubblicati online, “oscurare del tutto il nominativo e le altre informazioni riferite all´interessato che ne possono consentire l´identificazione anche a posteriori”.

Con specifico riferimento alla natura dei dati oggetto di diffusione non può invece ritenersi rilevante quanto dichiarato dal Comune circa il fatto che non sono stati diffusi i dati relativi “alla terapia farmacologica alla quale l’istante è stata sottoposta”, limitandosi il Comune a fare riferimento, in maniera generica, alla condizione di salute della reclamante.

A tale riguardo avendo il Comune sostenuto che la determinazione in questione menzionasse solo l’assenza per malattia del reclamante, senza l’indicazione della diagnosi, si rileva che, secondo il costante orientamento del Garante (v., provv. 25 febbraio 2021, n. 68, cit.), nella nozione di dato personale relativo alla salute “può rientrare anche una informazione relativa all’assenza dal servizio per malattia, indipendentemente dalla circostanza che sia contestualmente indicata esplicitamente la diagnosi” (par. 8 delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico", sopra menzionate; v. anche, con specifico riguardo al contesto lavorativo, provv. 7 maggio 2015, n. 269, doc. web n.4167648; provv. 10 ottobre 2013, doc. web n.2753605; provv.ti 7 luglio 2004, doc. web n. 1068839 e 1068917; in giurisprudenza, cfr. punto 50 della sentenza della Corte di giustizia delle Comunità europee 6 novembre 2003 C-101/01, Lindqvist, e Cass. civ. Sez. I, 8 agosto 2013, n. 18980, ove si afferma che “non può essere messo in dubbio che un'assenza dal lavoro "per malattia" costituisca un dato personale "relativo alla salute" del soggetto cui l'informazione si riferisce”).

Nel corso dell’istruttoria, il Comune, inoltre, ha giustificato la diffusione dei dati personali della reclamante, richiamando gli obblighi di trasparenza di cui al d.lgs. 14 marzo 2013, n. 33.

Si osserva sul punto che la pubblicazione della Determina in questione è avvenuta nella sezione “Albo pretorio” del sito web istituzionale del Comune e non, invece, in quella “Amministrazione trasparente”, essendo, pertanto, tale richiamo normativo inconferente rispetto ai fatti oggetto di reclamo. Peraltro, nessuna delle previsioni del d.lgs. 14 marzo 2013, n. 33 impone la pubblicazione delle informazioni e dei dati personali in questione. Nel caso di specie, peraltro, si è altresì dato corso alla pubblicazione di dati relativi alla di salute di una dipendente, in violazione del divieto generale a diffondere tali delicatissime informazioni (art. 2-septies del Codice).

Al riguardo va ricordato, in ogni caso, che il Garante, in più occasioni, ha chiarito che anche l’eventuale presenza di uno specifico regime di pubblicità (circostanza che comunque non ricorre nel caso di specie), non può comportare alcun automatismo rispetto alla diffusione online dei dati e informazioni personali, né una deroga ai principi in materia di protezione dei dati personali. Ciò è d’altronde confermato anche dal sistema di protezione dei dati personali contenuto nel Regolamento, alla luce del quale è previsto che il titolare del trattamento deve mettere “in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento” e deve essere “in grado di dimostrare” – alla luce del principio di “responsabilizzazione” – di averlo fatto (artt. 5, par. 2; 24 e 25, par. 2, Regolamento). In numerose decisioni (cfr. da ultimo provv. n. 299 del 15 settembre 2022, doc. web n. 9815665 e provvedimenti in esso richiamati), infatti, il Garante ha ribadito che anche alle pubblicazioni sull’albo pretorio online si applicano tutti i limiti previsti dai principi della protezione dei dati con riguardo alla liceità e alla minimizzazione dei dati (cfr. parte II, par. 3.a. delle “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” del Garante del 15 maggio 2014 doc. web n. 3134436).

Anche con riguardo alla necessità, così come rappresentato dal Comune, di corredare il provvedimento di una adeguata motivazione non si rileva l’esigenza di pubblicare la versione integrale dell’atto poiché esso, rimanendo agli atti dell’amministrazione che lo ha formato, continua ad essere accessibile, da parte di soggetti qualificati, nei modi e nei limiti previsti dalla legge (sul punto si veda il costante orientamento dell’Autorità, proprio con riguardo a documenti amministrativi formati nell’ambito di procedimenti coinvolgenti anche il personale dell’amministrazione, da ultimo, provv. n. 45 del 10 febbraio 2022, doc. web n. 9751549 e provvedimenti in esso richiamati).

Quanto alla circostanza che la pubblicazione della predetta Determina sarebbe stata necessaria ai fini dell’integrazione dell’efficacia della stessa, si evidenzia che -salvo in ogni caso il divieto di diffondere dati sulla salute- codesto Comune, anche in tale caso, non ha comprovato l’esistenza di una specifica norma di legge che stabilisca la pubblicazione di una determinazione di presa d’atto delle dimissioni di un dipendente e di accoglimento della richiesta di esonero dal preavviso, come requisito ai fini dell’integrazione dell’efficacia dell’atto.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Pertanto, si confermano le valutazioni preliminari dell'Ufficio, e si rileva l'illiceità del trattamento di dati personali effettuato dal Comune, in violazione degli artt. 5, 6, 9 del Regolamento e degli artt. 2-ter nonché 2-septies, comma 8, del Codice.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo e dell’art. 166, comma 2, del Codice.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l'adozione di misure correttive, di cui all'art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stata considerata la particolare delicatezza dei dati personali illecitamente trattati riguardanti vicende relative al rapporto di lavoro della reclamante, nonché informazioni riguardanti la salute, in contrasto con le indicazioni che, da tempo, il Garante, ha fornito ai datori di lavoro pubblici e privati con le Linee guida sopra richiamate e con numerose decisioni su singoli casi sopra richiamati.

Di contro è stato considerato che la condotta illecita è stata determinata dalla volontà del Comune di assecondare la richiesta di esonero dal preavviso della reclamante “giustificando così il trattamento di maggior favore all’istante medesima”. Si è tenuto altresì conto del fatto che i dati trattati riguardano un singolo caso e sono stati pubblicati per 15 giorni. Il Comune ha manifestato altresì un’ampia collaborazione con l’Autorità nel corso dell’istruttoria del presente procedimento. Si è tenuto, inoltre, favorevolmente atto che non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria, nella misura di euro 6.000,00 (seimila) per la violazione degli artt. 5, 6, 9 del Regolamento e 2-ter, nonché 2-septies, comma 8, del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.
Tenuto conto della natura dei dati oggetto di trattamento, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), dichiara l'illiceità del trattamento di dati personali effettuato dal nei termini descritti in motivazione, consistente nella violazione degli artt. 5, 6, 9 del Regolamento e 2-ter, nonché 2-septies, comma 8 del Codice;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Comune di Bracciano in persona del legale rappresentante pro-tempore, con sede legale in Piazza IV Novembre, 6 - 00062 Bracciano (RM)– C.F. 80157470586 di pagare la somma di euro 6.000,00 (seimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Comune di Bracciano, fermo restando quanto disposto dal citato art. 166, comma 8 del Codice, di pagare la somma di euro 6.000,00 (seimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice (v. art. 16 del Regolamento del Garante n. 1/2019);

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento (v. art. 17 del Regolamento n. 1/2019).

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 15 dicembre 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei

Rispondi