La pubblicazione nell’albo on line nel rispetto dei principi in materia di privacy
E’ illegittima, per violazione dei principi in materia di privacy, la pubblicazione all’albo on line di dati sulla salute e di informazioni non pertinenti e non necessari rispetto alle finalità del trattamento, contenuti in una determinazione dirigenziale.
Garante per la privacy – ordinanza ingiunzione – 15 gennaio 2020
La questione – Un dipendente pubblico propone reclamo al Garante in ordine alla pubblicazione all’Albo pretorio on line del comune di appartenenza di suoi dati e informazioni personali. Il reclamante lamenta, in particolare, che nel sito istituzionale era visibile e liberamente scaricabile la determinazione dirigenziale con la quale era stata disposta la liquidazione delle spese legali per un procedimento giudiziario in cui era stato parte il Comune, dove nella parte motiva risultavano riportati anche suoi dati e informazioni personali, con dettagliati riferimenti alle relative infermità per cause di servizio, come l’indicazione che lo stesso aveva «diritto all’equo indennizzo». E’ risulato dall’istruttoria che era stato pubblicato anche l’IBAN dell’avvocato incaricato dall’Ente.
Il provvedimento – Il Garante, con il provvedimento annotato, nel dare ragione al reclamante, ha valutato illecito il trattamento di dati personali effettuato con la pubblicazione della determinazione dirigenziale e ha irrogato al Comune la sanzione di 10mila euro. Il provvedimento sanzionatorio riguarda, in particolare, la diffusione, tramite la pubblicazione sull’albo pretorio on line di dati sulla salute, in violazione dei principi di base del trattamento previsti dal regolamento UE n. 679/2016, e di dati sulle coordinate IBAN di un legale ritenuti eccedenti quanto necessario rispetto alle finalità del trattamento.
A margine
Il provvedimento del Garante del 15 gennaio scorso offre lo spunto per riassumere le regole sulla pubblicazione degli atti amministrativi all’albo on line. Diverse disposizioni, come noto, sottopongono a obbligo di pubblicità numerosi atti amministrativi, prevedendo che essi debbano essere affissi in un apposito spazio fisico (albo pretorio, ora on line), per acquisire efficacia e quindi produrre gli effetti ad essi collegati (pubblicità legale) o per renderli conoscibili da parte di chiunque ne abbia interesse (pubblicità – notizia).
Alcuni esempi. Basi pensare a deliberazioni, ordinanze, determinazioni, avvisi, bandi di gara e di concorso. E, ancora, ad avvisi di deposito di atti finanziari e di cartelle esattoriali, o a particolari atti riguardanti privati cittadini, come il cambio di nome e cognome o l’avviso pubblico dell’intenzione di contrarre matrimonio.
La tenuta dell’albo pretorio deve essere curata dal personale della stessa amministrazione, che deve garantire la pubblicazione degli atti nei termini, con le modalità e per la durata prevista dalla normativa di riferimento.
Funzione della pubblicazione – E’ bene precisare che la pubblicazione telematica dell’atto costituisce forma valida di pubblicità in grado di integrare di per sé gli estremi della conoscenza erga omnes dell’atto pubblicato e di far decorrere il termine decadenziale di impugnazione, solo quando sia imperativamente impressa in precise scelte normative. L’effetto conoscitivo opponibile erga omnes deve poggiare, infatti, su una specifica disciplina di legge che attribuisca senza sottintesi questo valore alla forma di pubblicità utilizzata. Questa norma è l’art. 32 della legge n. 69 del 2009 secondo cui gli obblighi di pubblicazione di atti e provvedimenti amministrativi aventi effetto di pubblicità legale, s’intendono assolti con la pubblicazione sui siti web istituzionali. E’ opportuno sottolineare, però, che “i concetti di esecutività e conoscenza legale dell’atto amministrativo non sono coincidenti e automaticamente sovrapponibili (Cons. Stato, sez. V, 17 novembre 2009, n. 7151) , per cui la pubblicità funzionale all’acquisizione di esecutività dell’atto non debba necessariamente assolvere anche alla funzione di rendere opponibili ai terzi, ai fini della decorrenza del termine per impugnare i fatti per i quali cui essa è prevista. Nel momento in cui si tratta di determinare (in via interpretativa) gli effetti di conoscenza legale associabili o meno a questa tipologia di esternazione comunicativa, le norme in tema di pubblicazione telematica degli atti, sottostanno a un canone di interpretazione restrittiva, tassativa. e devono essere applicate con prudenza e cautela” (Consiglio di Stato, sez. III, sentenza 28-09-2018, n. 5570).
Quadro normativo – Le fonti normative in materia sono costituite essenzialmente dall’art. 40 del Codice dell’amministrazione digitale, dalla legge n. 241 del 1990 e dall’art. 32 della L. n. 69 del 2009, secondo cui, rispettivamente, le pubbliche amministrazioni hanno l’obbligo di (a) produrre i documenti esclusivamente in modalità informatica; (b) garantire, nel rispetto dei principi di eguaglianza e non discriminazione, il diritto dei cittadini di prendere visione e estrarre copia dei documenti; (c) pubblicare on line gli atti per i quali la legge impone la pubblicazione come condizione necessaria per acquisire efficacia e produrre gli effetti previsti.
L’art. 32 della legge n. 69, in particolare, ha promosso il graduale superamento della pubblicazione in forma cartacea e ha previsto che gli obblighi di pubblicazione di atti e provvedimenti amministrativi aventi effetto di pubblicità legale s’intendono assolti con la pubblicazione da parte delle amministrazioni e degli enti pubblici obbligati nei loro siti informatici. La disposizione ha previsto che, dal 1° gennaio 2011, per tutti gli atti amministrativi, e, dal 1° gennaio 2013, per le procedure ad evidenza pubblica e il bilancio, “le pubblicità effettuate in forma cartacea non hanno effetto di pubblicità legale“. Fanno eccezione a questa regola generale la pubblicità cartacea mediante inserzioni nella Gazzetta Ufficiale dell’Unione europea e nella Gazzetta Ufficiale della Repubblica italiana e quella nel sito informatico del Ministero delle infrastrutture e dei trasporti di cui al decreto del Ministro dei lavori pubblici 6 aprile 2001 (G.U. n. 100 del 2 maggio 2001), e nel sito informatico presso l’Osservatorio dei contratti pubblici relativi a lavori, servizi e forniture di cui al relativo codice dei contratti pubblici.
Resiste anche la pubblicazione sui quotidiani dei bandi di gara, grazie ad apposite reiterate proroghe, di cui l’ultima con l’art. 216, comma 11, del codice dei contratti pubblici, secondo cui fino alla data indicata nel decreto ministeriale sugli obblighi di pubblicazione, previsto dall’art. 73, comma 4, dello stesso codice, gli avvisi e i bandi devono anche essere pubblicati nella Gazzetta ufficiale della Repubblica italiana, serie speciale relativa ai contratti.
È da evidenziare che la pubblicazione, ai sensi del richiamato art. 32 della legge n. 69 del 2009, deve essere effettuata nel rispetto dei principi di eguaglianza e di non discriminazione, e dei requisiti tecnici di accessibilità di cui all’articolo 11 della legge 9 gennaio 2004, n. 4, e che la mancata pubblicazione in questi termini è rilevante ai fini della misurazione e della valutazione della performance individuale dei dirigenti responsabili.
L’AgId ha realizzato un apposito vademecum “Modalità di pubblicazione dei documenti nell’Albo online“, per supportare le pubbliche amministrazioni con suggerimenti tecnici e garantire così autorevolezza, inalterabilità, autenticità e conformità all’originale del documento pubblicato.
Pubblicazione all’albo e privacy – La pubblicazione all’albo elettronico di atti e documenti amministrativi configura, ai fini della privacy, un trattamento di diffusione, ossia di comunicazione ad una pluralità indeterminata di soggetti di dati e di informazioni riguardante una persona fisica identificata o, direttamente o indirettamente, identificabile. Il trattamento di tali dati deve avvenire nel rispetto dei principi indicati nell’art. 5 del regolamento UE 679/2016, fra cui quelli di «minimizzazione dei dati», secondo il quale i dati personali devono essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (deliberazione del Garante n.88 del 2 marzo 2011, in www.garanteprivacy.it, in G.U. n. 64 del 19 marzo 2011)
La diffusione di dati personali nell’albo on line può avvenire solo se prevista da una specifica norma di legge o di regolamento, è “corretta” se effettuata entro i limiti temporali previsti dalla normativa di riferimento o, in mancanza di indicazioni, fino al raggiungimento dello scopo per il quale l’atto è stato adottato e i dati resi pubblici, ed evitando l’indicizzazione nei motori di ricerca generalisti dei dati personali contenuti negli atti pubblicati nell’albo pretorio online. Il Garante ha ritenuto, fra l’altro, che sia illecito pubblicare nell’albo pretorio online documenti contenenti dati personali oltre il termine previsto dalla legge [doc. web n . 3882453].
In ogni caso, la diffusione è assolutamente vietata per i dati relativi alla salute (art. 2-septies, comma 8, del Codice privacy, art. 9, parr. 1, 2 e 4, del Regolamento UE 679/2016), ossia per i «dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute» (art. 4, par. 1, n. 15; considerando n. 35, del RGPD). Gli atti da pubblicare non devono contenere, inoltre, le categorie specifiche di dati personali che il Regolamento UE 679/2016 sottopone a condizioni specifiche di trattamento: origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici e biometrici; vita sessuale o orientamento sessuale della persona. La stessa cautela vale per i dati giudiziari, su situazioni di disagio (minori, anziani, soggetti inseriti in programmi di recupero, ecc.) e per i dati comuni e identificativi incompleti, o eccedenti lo scopo della pubblicazione (es. conto corrente bancario, numero di telefono, indirizzo e-mail, ecc.) [1].
Cosa fare – Riassumendo, l’amministrazione è tenuta ad adottare alcuni accorgimenti per la pubblicazione di atti amministrativi, in modo da :
- assicurare forme corrette e proporzionate di conoscibilità delle informazioni, in applicazione del c.d. principio di «minimizzazione dei dati»;
- impedire la loro indiscriminata e incondizionata reperibilità in internet, a garanzia dei principi di qualità ed esattezza dei dati;
- delimitare la durata della disponibilità delle informazioni in modalità on line al tempo previsto dalla legge;
- oscurare e rendere non intellegibili dati e informazione sulla salute e sulla vita o l’orientamento sessuale della persona. nonché gli altri dati appartenente alla c.d. “categorie specifiche” di cui all’art. 9 del Regolamento UE 679/2016.
Per maggiori dettagli si rinvia ai diversi provvedimenti del Garante per la protezione dei dati personali, pubblicati su www.garanteprivacy.it, fra cui:
– deliberazione n. 88, del 2 marzo 2011, “Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web”
– “Linee guida per i siti web delle PA – Vademecum – modalità per la pubblicazione dei documenti all’albo on line” in http://www.funzionepubblica.gov.it
– deliberazione n. 243 del 15 maggio 2014, con le nuove “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati”.
– Istruzioni per applicare le nuove regole sulla privacy dal 25 maggio 2018.
[1] D.Lgs 30 giugno 2003, n.196 recante il “Codice in materia di protezione dei dati personali”(in S.O n. 123 alla G.U. 29 luglio 2003, n. 174), integrato con le modifiche introdotte dal D.Lgs. 10 agosto 2018, n. 101, recante “Disposizioni perl’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016,relativo alla protezione delle persone fisiche con riguardo al trattamento deidati personali, nonchè alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)” (in G.U. 4 settembre 2018 n.205).