Salta al contenuto

DIRITTI E PREVENZIONE > COME TUTELARE LA TUA PRIVACY

ricerca avanzata

Provvedimento del 24 maggio 2017 [6619327]

[doc. web n. 6619327]

Provvedimento del 24 maggio 2017

Registro dei provvedimenti
n. 253 del 24 maggio 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il ricorso al Garante presentato in data 3 marzo 2017 da XX, rappresentata e difesa dagli avv.ti Simone Bassi e Nicola Gramantieri, nei confronti della Regione Emilia Romagna-Giunta Regionale, con il quale la ricorrente - ribadendo le istanze già avanzate ai sensi degli artt. 7 e 8 del d.lgs. 30 giugno 2003 n. 196, Codice in materia di protezione dei dati personali (di seguito "Codice") - ha chiesto, con riferimento a due determinazioni adottate dalla resistente, di procedere alla loro rettifica, cancellazione o trasformazione in forma anonima secondo quanto di seguito meglio precisato;

CONSIDERATO che le menzionate determinazioni  riguardano operazioni di rettifica del punteggio relativo ad un concorso pubblico straordinario per titoli, indetto dalla Regione per l'assegnazione di sedi farmaceutiche sul territorio e che, in ordine ad esse, la ricorrente ha segnatamente lamentato che:

- nella prima determinazione (n. XX) è stata dichiarata "la assunta non veridicità delle dichiarazioni rese dalla ricorrente in sede di presentazione della domanda di partecipazione al concorso";

- tale contestazione riguarda lei stessa ed altre due candidate, tutte individuate mediante l'indicazione del nome, del cognome e del numero di protocollo delle rispettive domande;

- detta determinazione è stata poi inviata alle tre menzionate candidate e agli altri partecipanti al concorso che avevano presentato con esse la domanda in forma associata;

- la seconda determinazione (n. XX), che dispone di procedere alla rettifica della graduatoria, è stata pubblicata nel Bollettino Ufficiale telematico e nel sito web della Regione, realizzando una "pubblicazione erga omnes", a favore quindi anche di soggetti estranei al concorso "che non avevano alcun diritto e/o interesse a conoscere il nominativo del destinatario della rettifica";

- l'indicazione nelle citate determinazioni delle generalità dei candidati, le cui domande sono state oggetto di verifica e rettifica, hanno configurato "una grave e palese violazione, oltre che delle disposizioni contenute nel Bando di gara, delle norme a tutela della privacy delle persone", che si sarebbe potuta evitare se nelle determinazioni "si fosse fatto riferimento ai soli numeri di protocollo delle domande oggetto di verifica e rideterminazione del punteggio, evitando l'indicazione dei nomi e cognomi dei candidati";

COSI' PREMESSO la ricorrente ha quindi chiesto di:

1. rettificare la determinazione n. XX, eliminando dalla stessa il proprio nome e cognome e "lasciando come unico riferimento il numero di protocollo delle relative domande";

2. di pubblicare nel Bollettino Ufficiale e nel sito web della Regione, la determinazione n. XX rettificata nei termini di cui sopra;

3. di disporre la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge e quindi la cessazione del comportamento illegittimo, come pure "l'attestazione  che le predette operazioni sono state portate a conoscenza di coloro ai quali i dati sono stati comunicati o diffusi";

VISTI gli ulteriori atti d'ufficio e, in particolare: a) la nota del 16 marzo 2017 con la quale questa Autorità, ai sensi dell'art. 149, comma 1, del Codice, ha invitato la resistente a fornire riscontro alle richieste dell'interessata,  b) il verbale di audizione delle parti redatto presso gli uffici del Garante il 6 aprile 2017; c) la nota datata 28 aprile 2017 con cui è stata disposta, ai sensi dell'art. 149, comma 7, del medesimo Codice, la proroga del termine per la decisione sul ricorso;

VISTE le note del 30 marzo e del 14 aprile 2017 con le quali la resistente, nel riportarsi ai riscontri già inviati alla ricorrente e nel richiamare la disciplina dettata in materia di trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni dal d.lgs. 14 marzo 2013, n. 33, così come modificato dal d.lgs. 25 maggio 2016, n. 97, nonché le "Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati" adottate dal Garante il 15 maggio 2014, ha rappresentato che:

- alla citata procedura concorsuale, cui si poteva partecipare solo avvalendosi della piattaforma tecnologica appositamente realizzata dal Ministero della Salute, era possibile prender parte sia individualmente sia in forma associata "sommando i titoli posseduti" e, in tale ultimo caso, i concorrenti dovevano individuare un referente all'interno del gruppo, il cui nominativo sarebbe stato l'unico a comparire "nella graduatoria generata dalla piattaforma informatica";

- attraverso quest'ultima vengono generate tutte le graduatorie, le eventuali relative rettifiche, nonché i conseguenti provvedimenti amministrativi: "l'associazione del nominativo del referente o del singolo partecipante, al numero di protocollo è quindi generata automaticamente dalla piattaforma e dalla stessa viene resa pubblica nella graduatoria";

- con la determinazione n. XX, accertata la mancata corrispondenza tra alcuni titoli dichiarati dai partecipanti rispetto alla documentazione successivamente verificata, è stato autorizzato il personale degli uffici preposti ad intervenire sulla piattaforma ministeriale per modificare i dati inseriti;

- in tale contesto fare riferimento solo al numero di protocollo della domanda, quando la stessa conteneva dichiarazioni di più persone, "non avrebbe consentito di chiarire esattamente su quali dati si era autorizzati ad intervenire, al fine di generare la graduatoria rettificata";

- il trattamento dei dati in questione, posto in essere attraverso la lamentata comunicazione ha ormai esaurito i suoi effetti e "la Regione già nelle successive comunicazioni per casi analoghi intende modificare le forme di comunicazione delle determinazioni analoghe, prevedendo la comunicazione […] con l'utilizzo degli "omissis" e che pertanto al richiesta di rettifica appare pretestuosa";

- la successiva determinazione n. XX dà atto "del conseguente ricalcolo dei punteggi delle candidature interessate";

- l'aver riportato l'indicazione del nome e cognome dei concorrenti accanto al numero di protocollo della domanda, oltre ad essere conforme a quanto previsto dall'art. 10 del  bando di concorso, risponde anche alla necessità di assicurare il rispetto del principio di economicità dell'attività amministrativa, adottando meccanismi oggettivi e trasparenti e scongiurando il coinvolgimento delle persone associate all'interessata nella domanda di partecipazione al concorso ai quali "non sono riferibili dichiarazioni non veritiere";

- la pubblicazione con tali modalità ha lo scopo di rendere noto anche alle altre amministrazioni regionali, presso le quali poteva essere presentata la domanda, i dati necessari ad operare il ricalcolo del punteggio dei candidati che hanno partecipato in due regioni;

VISTO il verbale di audizione, nel quale le parti hanno sostanzialmente confermato le rispettive posizioni;

VISTA la memoria del 13 aprile 2017 con la quale la ricorrente ha contestato le affermazioni della controparte sostenendo che:

- nessuna norma di legge o regolamento impone di indicare espressamente il nominativo del soggetto nei cui confronti era stato operato un ricalcolo del punteggio: l'art. 10 del bando di concorso, infatti, prevede che i dati identificativi dei concorrenti con il relativo punteggio siano riportati solo nella graduatoria finale definitiva;

- con riferimento alla scelta di inviare un solo atto, senza alcuna omissione, alle interessate e relativi associati, non può trovare giustificazione nel principio di economicità sostenuto dalla resistente, "posto che tale principio non può in alcun modo ledere o limitare il diritto alla protezione dei dati personali di ciascun concorrente";

- la pubblicazione della determinazione n. XX sul sito web della Regione, con l'indicazione del nominativo, viola palesemente i principi di necessità, pertinenza e non eccedenza nel trattamento;

RILEVATO che, attraverso l'invio della determinazione n. XX a soggetti che, benché interessati e parti del medesimo provvedimento, risultano comunque terzi rispetto alla singola comunicazione indirizzata ad ognuno di loro, è stato posto in essere un trattamento non conforme alla disciplina in materia di protezione dei dati personali da parte della resistente, la quale, nell'utilizzare per una finalità lecita i dati relativi alla ricorrente, era comunque tenuta a conformare il loro trattamento al rispetto del principio di non eccedenza ai sensi dell'art. 11, comma 1, lett. d) del Codice;

PRESO ATTO che il lamentato trattamento si è esaurito con l'avvenuta comunicazione e che la resistente ha fornito rassicurazioni circa l'intenzione "nelle successive comunicazioni per casi analoghi […di] modificare le forme di comunicazione delle determinazioni analoghe, prevedendo la comunicazione nelle forme sopra esplicitate con l'utilizzo degli omissis" (v. nota della resistente del 14 aprile 2017, p. 4);

RITENUTO, alla luce di quanto appena esposto di dover dichiarare il non luogo a provvedere sul ricorso, pur sottolineando l'esigenza che la resistente dia corso in futuri casi a quanto sopra assicurato;

RILEVATO che la pubblicazione sul sito web della graduatoria rettificata dei candidati al concorso allegata, "quale parte integrante e sostanziale", alla determinazione n. XX rientra nel regime di conoscibilità degli atti amministrativi che l'amministrazione può porre in essere in base a specifiche previsioni legislative o regolamentari con la funzione di rendere pubbliche le decisioni adottate dalla commissione esaminatrice, anche al fine di consentire agli interessati l'attivazione di eventuali forme di tutela dei propri diritti e di controllo delle procedure concorsuali;

RILEVATO invece che la pubblicazione della determinazione n. XX con cui si approva la menzionata graduatoria nella parte in cui elenca in chiaro i nominativi dei concorrenti dei quali sia stata assunta la non veridicità delle dichiarazioni rese, non risulta conforme al principio di  non eccedenza dei dati trattati di cui all'art. 11, comma 1, lett. d) del Codice, in quanto, la pubblicazione di tali informazioni, anche alla luce degli obblighi di adeguata motivazione degli atti amministrativi, non è strettamente necessaria e proporzionata al raggiungimento delle finalità perseguite con la pubblicazione di una nuova graduatoria rettificata;

RITENUTO di dover pertanto accogliere il ricorso in ordine a tale profilo, e per l'effetto, di dover ordinare alla Regione Emilia Romagna-Giunta Regionale, ai sensi dell'art. 150, comma 2, del Codice, di provvedere, entro dieci giorni dalla data di ricezione del presente provvedimento, ad oscurare i dati identificativi diretti (nome e cognome) della ricorrente contenuti nella determinazione n. XX pubblicata nel Bollettino Ufficiale telematico della Regione Emilia Romagna n. 306 del 14 ottobre 2016 e nel sito web della Regione;

VISTI gli artt. 145 e ss. del Codice;

VISTE le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Antonello Soro;

TUTTO CIÒ PREMESSO IL GARANTE:

a) dichiara non luogo a provvedere, relativamente al trattamento dei dati personali della ricorrente effettuato con determinazione n. XX;

b) accoglie il ricorso relativamente alla diffusione dei dati personali della ricorrente effettuato con la pubblicazione della determinazione n. XX e, per l'effetto, ordina alla resistente di provvedere, entro dieci giorni dalla data di ricezione del presente provvedimento, ad oscurare i dati identificativi diretti (nome e cognome) di quest'ultima contenuti nella versione pubblicata nel Bollettino Ufficiale telematico della Regione Emilia Romagna n. XX del XX e nel sito web istituzionale.

Il Garante, nel chiedere alla Regione Emilia Romagna – Giunta Regionale, ai sensi dell'art. 157 del Codice, di comunicare quali iniziative siano state intraprese al fine di dare attuazione al presente provvedimento e di fornire comunque riscontro entro venti giorni dalla ricezione dello stesso, ricorda che l'inosservanza di provvedimenti del Garante adottati in sede di decisione dei ricorsi è punita ai sensi dell'art. 170 del Codice. Ricorda altresì che il mancato riscontro alla richiesta ex art. 157 è punito con la sanzione amministrativa di cui all'art. 164 del Codice.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 24 maggio 2017

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia