g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Comune di Guidizzolo - 10 febbraio 2022 [9751549]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9751549]

Ordinanza ingiunzione nei confronti di Comune di Guidizzolo - 10 febbraio 2022

Registro dei provvedimenti
n. 45 del 10 febbraio 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l’avv. Guido Scorza, componente, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n.1098801;

Relatore l’avv. Guido Scorza;

PREMESSO

1. Il reclamo.

Con reclamo del XX, regolarizzato in data XX, presentato ai sensi dell’art. 77 del Regolamento, è stata lamentata la pubblicazione, nell’Albo pretorio online del sito istituzionale del Comune di Guidizzolo (di seguito “Comune”), di una delibera contenente dati personali del reclamante. In particolare sul sito web del Comune è stata pubblicata la determina n. XX del XX con cui il Comune revocava la determina n. XX del XX riguardante  “l’interscambio di Agenti di Polizia Locale tra il Comune di Guidizzolo ed il Comune di Caprino Veronese” in cui veniva indicato espressamente il nominativo del reclamante, la sua qualifica professionale e numerosi riferimenti alla circostanza che il reclamante avesse presentato denunce e querele nei confronti del dipendente destinatario della revoca.

2. L’attività istruttoria.

Con la nota del XX inviata dal Comune, e con la successiva nota del XX del Responsabile della Protezione dei dati dell’Ente, è stato dato riscontro alla richiesta di informazioni formulata dall’Ufficio, con nota del XX, prot. n XX, dichiarando in particolare che:

- “con deliberazione della Giunta comunale n XX del XX [il comune] provvedeva all’interscambio di Agenti di Polizia Locale tra il Comune di Guidizzolo ed il Comune di Caprino Veronese [e solo dopo] l'assunzione in servizio […] dei nuovi agenti, il Comune di Guidizzolo […veniva] a conoscenza che al momento dello scambio il Comune di Caprino Veronese non aveva comunicato al Comune di Guidizzolo le pendenze legali dell’Agente che si era trasferita a Guidizzolo”;

- “per ristabilire la correttezza degli atti della pubblica Amministrazione [il Comune di Guidizzolo predisponeva la revoca del]l'atto n, XX con l'atto n.XX del XX [che…] trattandosi di un atto unilaterale avente impatto sul rapporto di lavoro, [era necessario contenesse anche] le pregnanti motivazioni che rendono legittimo l'atto”;

- “in particolare, tali motivazioni, […], riguardavano […gli] atti relativi alla denuncia […] presentata [dal reclamante] dell'Ufficio di Polizia Locale di Caprino, nei confronti dell'agente poi trasferita a Guidizzolo […]. [I dettagli indicati nella delibera sono stati ritenuti necessari] per motivare la revoca, come altrettanto necessario risultava il richiamo alla persona del denunciante […] sotto il profilo dell’affidabilità della fonte. La base giuridica è costituita non solo dall'art. 3 L. 241/90 ma anche dall'art. 21-quinquies L. 241/90”;

- inoltre “già in data XX è pervenuto al Comune un articolo di giornale che riportava i fatti e i nomi relativi al nostro caso”.

Con nota del XX (prot. n.XX, l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1, lett. a) e c), 6, paragrafo 1, lett. c) ed e), 2 e 3, lett. b), nonché dell’art. 2-ter, commi 1 e 3 del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo), invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Il Comune ha fatto pervenire le proprie memorie difensive, con nota prot.n. XX del XX, rappresentando che:

- “la specifica peculiarità e […] l'unicità del caso in esame è l’essere il provvedimento amministrativo specificatamente preordinato e finalizzato, nel suo contenuto motivazionale (premesse di fatto e di diritto) e nel suo contenuto dispositivo (deliberato): a resistere all’impugnazione da parte dell’amministrazione di Caprino e/o dei lavoratori interscambiati; a promuovere l'azione “giudiziale” nei confronti dell’amministrazione di Caprino per violazione principio di leale collaborazione”;

- ”il trattamento si è reso necessario “per accertare, esercitare o difendere un diritto in sede giudiziaria”, tenuto conto che la revoca del nullaosta (quale provvedimento ampliativo della sfera giuridica) ha come conseguenza l'alta probabilità, per non dire certezza, della sua impugnazione (come in effetti è dimostrato dallo svolgimento dei fatti che comprovano l'intervenuta impugnazione della revoca);

- “nel caso di specie, il trattamento ha avuto ad oggetto dati personali comuni identificativi del reclamante (nome e cognome) e, dovendo il provvedimento di revoca essere utilizzato come “la base giuridica” motivazionale e giustificatrice per resistere all'azione in giudizio (impugnazione della revoca del nulla osta come, del resto, è puntualmente avvenuto davanti al Tar), e per promuovere l'azione di accertamento della violazione del principio di leale collaborazione tra pubbliche amministrazioni di cui alla legge 241/1990 […] da un lato, è risultato doveroso fornire, nel corpo del provvedimento, tutti gli elementi utili ai destinatari del provvedimento (i due dipendenti interscambiati e il Comune di Caprino) al fine di consentire agli stessi di poter predisporre un'adeguata strategia difensiva in caso di impugnazione”;

- si è reso necessario fornire “le indicazioni, puntuali, sia dei fatti che l'amministrazione ha ritenuto rilevanti e pertinenti per adottare il provvedimento di secondo grado, di revoca del nullaosta, sia del soggetto (il reclamante [denunciante])”;

- “è risultata altresì necessaria non solo la consueta pubblicazione del provvedimento in esame in Albo pretorio on-line, ai fini della efficacia legale (ai sensi dell'articolo 124 D.Lgs. 267/2000) ma, soprattutto, è risultata necessaria la pubblicazione dell’“originale” del provvedimento, essendo destinato il provvedimento originale, reso efficace a seguito della pubblicazione all'Albo, a confluire in “copia conforme all'originale” nel fascicolo del Giudice”;

- “la stretta e inscindibile connessione tra provvedimento amministrativo e azione giurisdizionale ha condizionato, nello specifico caso in esame, la modalità di redazione e di successiva pubblicazione all’Albo, facendo prevalere il dovere di salvaguardare il testo originario del provvedimento rispetto al principio di minimizzazione (anonimizzazione dei dati anagrafici del reclamante) essendo necessario fornire al giudice, a seguito dell’azione, la copia conforme all'originale del provvedimento pubblicato”;

- “la recessione del principio di minimizzazione, che non è mai tollerabile in circostanze ordinarie, trova una (probabilmente unica) eccezione laddove il principio di minimizzazione entri in correlazione con l'esigenza di "costruire" una motivazione ampia, esaustiva, approfondita e, in definitiva, capace sia di “resistere” in giudizio davanti al Giudice, sia in caso di impugnazione del provvedimento da parte dei destinatari, sia in caso di promozione dell'azione da parte dell'amministrazione medesima”;

- "in conclusione, se nel contesto dell’esercizio dell'attività amministrativa di primo grado (qual è il rilascio di nulla osta) il principio di minimizzazione avrebbe imposto l'oscuramento di nome cognome del reclamante, nello specifico e peculiare contesto dell'esercizio di un'attività amministrativa di secondo grado (qual’ è la revoca del nulla osta già adottato ed efficace), il principio di minimizzazione ha dovuto tenere conto delle conseguenti dinamiche processuali e del principio della “prova giurisdizionale” che impone l’allegazione processuale di copia conforme all’originale dei provvedimenti amministrativi adottati e resi efficaci mediante pubblicazione”;

- “il fatto contestato, se contestualizzato nella dinamica “attività amministrativa-attività processuale”, che lo rende peculiare, risulta pertanto privo dei caratteri della illiceità, mancanza di correttezza, mancanza di trasparenza e violazione del principio di minimizzazione, avendo - per contro - l’amministrazione non tanto il potere quanto il giuridico dovere, per la liceità, la correttezza e la trasparenza dell’azione a cui resistere o da promuovere in giudizio di esplicitare tutti fatti posti a fondamento della decisione (di secondo grado) e di esplicitare tutti i soggetti a cui i fatti si riferiscono, i quali devono essere posti nella condizione di poter impugnare il provvedimento. A tanto è finalizzata la pubblicità legale mediante la pubblicazione all'albo Pretorio”;

- “la pubblicazione per 15 giorni consecutivi all’Albo pretorio, dal XX al XX (come risulta dalla Certificazione del Segretario Comunale, su conforme dichiarazione del messo, secondo cui copia del verbale è stato affisso all’albo pretorio comunale per la pubblicazione di 15 giorni consecutivi dal XX) giova della “copertura” rappresentata dalla base giuridica dell’art. 124 comma 2 del D.Lgs 267/2000”;

- “la durata della contestata diffusione dei dati comuni identificativi va conseguentemente limitata: al solo periodo della pubblicazione dei dati comuni identificativi medesimi in Amministrazione trasparente (dal giorno XX fino al XX). Al riguardo si ricorda che la delibera della Giunta Comunale n. XX del XX è stata pubblicata non oltre il giorno XX, data in cui il responsabile dell’Ufficio Polizia Locale, sentito il Responsabile Protezione Dati, dava disposizioni alla società Kibernetes di togliere dal sito istituzionale del Comune il testo integrale della delibera n.XX”.

- “fermo restando la contestata natura della violazione (diffusione di dati comuni), va esclusa la gravità della stessa, tenuto conto delle seguenti circostanze: non si è trattato di diffusione di dati particolari; per il trattamento dei dati comuni identificativi del reclamante, nella sua qualità di dipendente pubblico non sussiste il divieto di trattamento (previsto per contro per i dati particolari); la diffusione dei predetti dati ha riguardato solo:- nr. 1 dipendente, nella sua qualità di agente di PL; i dati personali comuni, identificativi, dei dirigenti e PO pubblici devono essere pubblicati ai sensi del D.Lgs. 33/2013 (art. 13 comma 1, lett.c) e, tenuto conto, dell'obbligo di promuovere maggiori livelli di trasparenza, anche i dati personali dei dipendenti, funzionalmente incardinati in una unità organizzativa vanno resi pubblici; i dati comuni identificativi del reclamante sono stati riferiti a: fatti esatti, pertinenti e selezionati dal fascicolo giurisdizionale per sostenere la decisione di revoca”.

In occasione dell’audizione, richiesta dal Comune ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX (verbale prot. n. XX del XX), il Comune ha ribadito quanto già precedentemente dichiarato, specificando ulteriormente che: “la pubblicazione del nome dell’interessato fosse lecita, in quanto vi era un procedimento per mobilità per interscambio tra due amministrazioni, nell’ambito del quale si è venuti a conoscenza di alcuni procedimenti penali che, se conosciuti prima, avrebbero indotto l’Amministrazione a non assumere la decisione di procedere alla mobilità. Si è pertanto ritenuto necessario adottare un provvedimento di revoca, in cui necessariamente doveva farsi riferimento all’identità [del reclamante], nonché pubblicare lo stesso sull’albo pretorio, anche in ragione della probabile impugnazione della stessa da parte dell’interessato e dalla conseguente necessità di produrre in giudizio una copia conforme all’originale pubblicato”.

3. Esito dell’attività istruttoria.

3.1 Il quadro normativo.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici possono trattare i dati personali degli interessati se il trattamento è necessario, in generale, per adempiere a specifici obblighi o compiti previsti dalle norme nazionali di settore. In particolare, nell’ambito del contesto lavorativo, i soggetti pubblici possono trattare i dati personali degli interessati, anche relativi a categorie particolari, se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4 e 88 del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, parr. 1, lett. e), 2 e 3, e art. 9, par. 2, lett. g), del Regolamento; art. 2-ter del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di “diffusione” di dati personali (come la pubblicazione online), da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (cfr. art. 2-ter, commi 1 e 3 del Codice nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

Il titolare del trattamento è poi, in ogni caso, tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c) del Regolamento).

3.2 La diffusione dei dati personali.

In via preliminare si fa presente che per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile”, dovendosi considerare “identificabile la persona fisica che può essere identificata, direttamente o indirettamente […]” (art. 4, par. 1, n. 1).

Nel caso di specie la determina relativa alla revoca del nullaosta riguardante l’interscambio tra dipendenti del Comune di Guidizzolo e del Comune di Caprino Veronese conteneva anche l’espressa indicazione del nominativo del reclamante, non direttamente coinvolto nella procedura, la sua qualifica professionale e numerosi riferimenti alla circostanza che il reclamante avesse presentato denunce e querele nei confronti di uno dei colleghi destinatario del provvedimento revocato.

Nel corso dell’istruttoria, il Comune, invocando la disciplina sulla pubblicità degli atti degli enti locali sull’albo pretorio (art. 124, d.lgs. 18 agosto 2000, n. 267 nonché art. 32, l. 18 giugno 2009, n. 69) e l’obbligo di motivazione degli atti amministrativi (art. 3 della legge n. 241 del 1990), ha inteso giustificare le ragioni per le quali nel documento oggetto di pubblicazione online fossero stati riportati dati personali riferiti al reclamante e numerosi elementi di dettaglio sulla vicenda, pur non essendo il reclamante destinatario del provvedimento stesso. La delibera adottata dal Comune e oggetto di successiva pubblicazione conteneva, infatti, le generalità del reclamante e il riferimento alle denunce da questi presentate nei confronti del collega destinatario del provvedimento stesso, al dichiarato fine di esplicitare le ragioni sottese alla revoca.

Al riguardo, come chiarito dal Garante in numerose occasioni, anche in presenza di una eventuale norma di legge che preveda l’obbligo di pubblicare determinati atti e documenti, il titolare deve comunque rispettare i principi di protezione dei dati, tra i quali il principio di liceità, necessità nonché di “minimizzazione dei dati” (art. 5, par. 1, lett. c), del Regolamento; cfr. parte II, par. 3(a), delle “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” del Garante del 15 maggio 2014 doc. web n. 3134436; cfr .tra gli altri provv. 16 settembre 2021, n. 321, doc. web n. 9718196; provv. 16 settembre 2021, n. 319, doc. web n. 9704048; provv. 16 settembre 2021, n. 318, doc. web n. 9718134; provv. 24 giugno 2021, n. 256, doc. web n. 9689607; provv. 24 giugno 2021, n. 255, doc. web n. 9686899).

Anche con riguardo alla necessità di corredare il provvedimento di una adeguata motivazione (art. 3 della l. 241/1990) non è peraltro necessaria la pubblicazione della versione integrale dell’atto poiché esso, rimanendo agli atti dell’amministrazione che lo ha formato, continua ad essere accessibile, da parte di soggetti qualificati, nei modi e nei limiti previsti dalla legge (sul punto si veda il costante orientamento dell’Autorità, proprio con riguardo a documenti amministrativi formati nell’ambito di procedimenti coinvolgenti anche il personale dell’amministrazione  tra gli altri provv. 25 febbraio 2021, n. 68, doc. web n. 9567429; provv. 25 febbraio 2021, n. 69, doc. web n. 9565258).

Peraltro la pubblicazione della determina nella sua versione integrale si è protratta anche oltre il termine dei 15 giorni previsto dalla normativa di settore relativa alla pubblicità sull’albo pretorio, essendo rimasta visibile anche successivamente nella sezione Amministrazione Trasparente del sito del Comune fino al XX. Come rappresentato dal Comune, infatti, “per una impostazione informatica predefinita […] gli atti al termine della pubblicazione in Albo Pretorio finivano in Amministrazione Trasparente con il testo integrale”.

In ordine a tale circostanza si ricorda che, come chiarito sin dal 2014 dal Garante, le disposizioni che regolano gli obblighi di pubblicità dell’azione amministrativa per finalità di trasparenza vanno tenute distinte da quelle che regolano forme di pubblicità per finalità diverse, considerato il diverso regime giuridico applicabile (cfr. del 15 maggio 2014, sopra citate e anche “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico" del 14 giugno 2007, doc. web n. 1417809). Nè rileva nel caso di specie il richiamo effettuato dal titolare nel corso dell’istruttoria alle specifiche esigenze di trasparenza (d.lgs. n. 33 del 2013) in riferimento alla pubblicazione di dati e informazioni riguardanti i dipendenti pubblici considerato che il Comune, per i motivi sopra indicati, non aveva alcun obbligo previsto da tale disciplina di settore di pubblicare l’atto in questione senza aver previamente proceduto all’anonimizzazione dei dati personali in essa contenuti (art. 7-bis, comma 3, del d.lgs. n. 33/2013).

Al riguardo la giurisprudenza ha chiarito che in casi analoghi si configuri una “colpa di organizzazione”, da intendersi, in senso normativo, come rimprovero derivante dall’inottemperanza da parte dell’ente dell’obbligo di adottare le cautele, organizzative e gestionali, necessarie a prevenire la commissione degli illeciti (cfr. Cass. civ., sez. II, ord. n. 18292 del 3 settembre 2020, che ha confermato un precedente provvedimento del Garante, ordinanza ingiunzione n. 193 del 26 marzo 2015, doc web n. 4000337).

Non rileva, peraltro, quanto affermato dal Comune in merito alla circostanza che la pubblicazione della determinazione in questione sia stata effettuata in ragione della generica esigenza, rappresentata dal Comune, “in ordine alla necessità di consentire ai destinatari la conoscenza completa del processo decisionale di revoca del nulla osta [e] di disporre di una copia conforme all’originale in forma integrale”, o comunque “per resistere” ad una eventuale azione in giudizio derivante dall’impugnazione del provvedimento di revoca, ciò in quanto, la conoscibilità e l’utilizzo da parte di soggetti coinvolti in un procedimento amministrativo o giurisdizionale, che peraltro nel momento in cui il provvedimento è stato adottato era solo eventuale, è in ogni caso garantita da specifiche norme di legge, senza che per questo si debba ricorrere alla pubblicazione online di atti che riportino integralmente riferimenti a informazioni e a vicende personali degli interessati o di terzi.

Alla luce delle considerazioni che precedono, quindi, e contrariamente a quanto ritenuto dal Comune nelle memorie difensive, la pubblicazione della determina con il previo oscuramento dei dati personali del reclamante non avrebbe affatto compromesso il principio di adeguata motivazione di cui all’art. 3 della l. 241/1990, né future esigenze difensive in un eventuale contenzioso coinvolgente l’azione amministrativa dell’ente, considerato che la versione completa della stessa sarebbe comunque rimasta agli atti dell’amministrazione ed eventualmente accessibile a soggetti interessati al ricorrere dei presupposti previsti dalla legge sulla base di specifiche valutazioni rimesse all’amministrazione (artt. 22 ss. della l. n. 241 del 7/8/1990 e art. 5 d.lgs. 33/2013).

Da ultimo si evidenzia che neppure possono essere ritenute sufficienti per giustificare la pubblicazione dei dati personali del reclamante le circostanze per cui la vicenda e i nominativi dei soggetti coinvolti fossero già noti nell’ambito della comunità locale, essendo stati riportati da alcuni organi di stampa a livello locale. Come chiarito in numerose decisioni dal Garante, infatti, i soggetti pubblici possono diffondere dati personali solo ove consentito dal quadro giuridico di riferimento (art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139) a nulla rilevando che i medesimi dati siano eventualmente stati resi di pubblico dominio altrove per altre finalità (cfr. provv. 2 luglio 2020, n. 118, doc. web n. 9440025; provv. 25 febbraio 2021, n. 68, doc. web n. 9567429).

Alla luce delle considerazioni che precedono si deve concludere che il Comune ha posto in essere una illecita diffusione di dati personali del reclamante, in violazione degli artt. 5, 6 del Regolamento e dell’art.2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si rappresenta, altresì, che per la determinazione della norma applicabile, sotto il profilo temporale, deve essere richiamato in particolare il principio di legalità di cui all’art. 1, comma 2, della l. n. 689/1981 che sancisce come «Le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e nei tempi in esse considerati». Ciò determina l’obbligo di prendere in considerazione le disposizioni vigenti al momento della commessa violazione.

Dagli atti dell’istruttoria è emerso che la determinazione nel suo testo integrale è stata pubblicata dal XX (data di emanazione della stessa) fino al XX, data in cui, secondo quanto dichiarato dal Comune, è stata rimossa dal sito e, pertanto, in piena vigenza delle disposizioni del Regolamento e del Codice.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal comune di Guidizzolo, per aver diffuso dati personali relativi al reclamante, contenuti nella delibera n. XX del X, in assenza di idonei presupposti normativi, in violazione dell’art. 6 del Regolamento e dell’art.2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), nonché dei principi di base del trattamento contenuti nell’art. 5, par. 1, lett. a) e c) del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo e art. 166, comma 2, del Codice.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che la pubblicazione della delibera in questione sul sito istituzionale del Comune è cessata, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5.  Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stato considerato che la rilevata condotta ha avuto ad oggetto la diffusione di dati personali attinenti a vicende connesse al rapporto di lavoro, nonostante i numerosi precedenti in materia e, più in generale, le indicazioni rese dal Garante a tutti i soggetti pubblici con le “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” (provv. n.243 del 15 maggio 2014 doc. web n. 3134436) e con le “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico" (provv. n. 23 del 14 giugno 2007, doc. web n. 1417809).

Di contro si è tenuto favorevolmente in considerazione che il titolare si è attivato per rimuovere i dati oggetto di reclamo prestando piena collaborazione nel corso dell’istruttoria, al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi. Non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria, nella misura di euro 2.000 (duemila euro) per la violazione degli artt. 5, par. 1, lett. a) e c), 6 del Regolamento e dell’art. 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto del lasso temporale durante il quale i predetti dati sono stati resi reperibili in rete, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito web del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecita la condotta tenuta dal Comune di Guidizzolo descritta nei termini di cui in motivazione, consistente nella violazione degli artt. 5, par. 1, lett. a) e c), 6 e del Regolamento e dell’art. 2-ter e del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), nei termini di cui in motivazione.

ORDINA

al Comune di Guidizzolo, in persona del legale rappresentante pro-tempore, con sede legale in Piazza Marconi, 1 - 46040 Guidizzolo (MN), C.F.:  81000790204, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, del Regolamento e 166, comma 2, del Codice, di pagare la somma di euro 2.000 (duemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

INGIUNGE

al predetto Comune di pagare la somma di euro 2.000 (duemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981. Al riguardo, si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata, entro 30 giorni dalla data della notifica del presente provvedimento, ai sensi dell’art. 166, comma 8, del Codice (cfr. anche art. 10, comma 3, del d.lgs. n. 150 dell’1/9/2011);

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 10 febbraio 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei