[doc. web n. 6521730]

Ordinanza ingiunzione nei confonti di Regione Abruzzo - 6 aprile 2017

Registro dei provvedimenti
n. 179 del 6 aprile 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Garante, con provvedimento n. 313 del 19 giugno 2014 (pubblicato sul sito www.garanteprivacy.it; doc. web n. 3259444), che qui si intende integralmente richiamato, adottato ai sensi dell´art. 154, comma 1, lettera d), del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003 n. 196, di seguito "Codice"), ha definito il procedimento amministrativo relativo ad una segnalazione accertando l´illiceità del trattamento effettuato dalla Regione Abruzzo, in relazione all´avvenuta diffusione di dati idonei a rivelare lo stato di salute degli interessati in violazione dell´art. 22, comma 8, del Codice, mediante la pubblicazione sul proprio sito istituzionale degli elenchi dei candidati ammessi e non ammessi alle prove concorsuali riservate esclusivamente alle categorie dei disabili di cui all´art. 1 della legge 12 marzo 1999, n. 68 (Norme per il diritto al lavoro dei disabili), contenenti alcune centinaia di  nominativi, tra cui anche quello della segnalante, con indicazione in chiaro dei dati anagrafici;

VISTO, l´atto di contestazione, che qui deve intendersi integralmente richiamato, prot. n. 26051/93638 del 9 settembre 2014 con cui è stata contestata alla Regione Abruzzo, in persona del legale rappresentante pro-tempore, con sede in L´Aquila, via Leonardo da Vinci, n. 6, la violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice, in relazione all´art. 22, comma 8, per aver diffuso dati idonei a rivelare lo stato di salute degli interessati, ritenuta l´aggravante di cui all´art. 164-bis, comma 3, del Codice in ragione dell´elevato numero degli interessati;

VISTO il rapporto relativo all´atto di contestazione di cui sopra, predisposto dall´Ufficio ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;
VISTI gli scritti difensivi della Regione Abruzzo dell´8 ottobre 2014 e il verbale di audizione dell´8 giugno 2015, che qui si intendono integralmente richiamati, nei quali si legge:

-  "il provvedimento n. 313/2014 è viziato sotto il profilo della violazione di legge, per contrasto con la previsione recata dall´art. 7 della L. 241/90, esplicitamente richiamato dall´art. 12, comma 2 del Regolamento interno n. 1/2007 (concernente le "procedure interne all´Autorità aventi rilevanza esterna, finalizzate allo svolgimento dei compiti demandati al Garante per la protezione dei dati personali") applicabile anche ai procedimenti scaturenti dalle segnalazioni di cui all´art. 13 […]. Né l´omissione può considerarsi ininfluente, atteso che quello adottato dal Garante nel caso di specie non può considerarsi atto di natura vincolata, il cui contenuto, cioè, non avrebbe potuto essere diverso da quello in concreto adottato, dal momento che la partecipazione dell´Amministrazione al procedimento ne avrebbe consentito la conclusione con un differente esito ";

- "dalla lettura del provvedimento emerge come il Collegio abbia analizzato la questione sotto un profilo non perfettamente pertinente all´oggetto della vicenda che ci occupa: il richiamo alle indicazioni fornite con proprio Provvedimento n. 243 del 15 maggio 2014, recante "Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati" […]  lascia, infatti, ipotizzare che si sia ritenuto che le motivazioni sottese alla condotta censurata fossero da rinvenire nella necessità di dover garantire il rispetto di quel generale principio di trasparenza codificato nel d.lgs. 33/2013 […]. Dalla lettura della parte seconda, punto 1 delle predette Linea Guida, peraltro adottate in data successiva a quella degli elenchi in questione, appare del tutto evidente  come vengano fornite indicazioni tese soprattutto ad un adeguato contemperamento tra il principio di trasparenza nell´azione della pubblica amministrazione […] e quanto stabilito dal codice in materia di protezione dei dati personali […]  ";

-  "il bando di concorso […] aveva previsto che ogni forma di comunicazione e di notifica circa la procedura concorsuale sarebbe avvenuta per il tramite della pubblicazione sul sito internet [della Regione Abruzzo] e che le notizie pubblicate effettuate in tal modo avrebbero assolto ad ogni obbligo di comunicazione nei confronti dei candidati […]. In tal modo, la pubblicazione sul sito web della Regione […] diveniva obbligatoriamente l´unico modo per notificare ai concorrenti notizie relative alla procedura concorsuale […]";

- "la semplice indicazione delle sole iniziali e della data di nascita avrebbe comportato una violazione del bando, nella parte in cui stabiliva che le notifiche ai candidati dovessero avvenire secondo certe modalità, tali da garantire la certezza delle comunicazioni sia rispetto al contenuto delle stesse sia rispetto ai destinatari; ed inoltre si è ritenuto che tale modalità avrebbe potuto creare difficoltà addirittura agli stessi candidati, posto che un qualsiasi errore nella battitura delle iniziali o della data di nascita avrebbe potuto ingenerare una erronea valutazione da parte degli stessi";

- "la compresenza di documentazione cartacea ed elettronica ha reso impossibile la attivazione in modalità automatizzata di codici identificativi alfanumerici non direttamente riconducibili a ciascun soggetto e pertanto nella compilazione della graduatoria non è stato possibile utilizzare detti codici in luogo dei nomi dei candidati";

- "si insiste pertanto nella richiesta di archiviazione quanto meno sotto il profilo della buona fede poiché non era intenzione dell´Ente di violare alcuna norma ma di consentire una più ampia partecipazione al concorso di tutti i possibili interessati  ed una immediata conoscenza delle graduatorie";

- negli scritti difensivi la parte ha anche richiesto, in caso di riconoscimento della responsabilità del Regione Abruzzo in ordine alla violazione contestata, l´applicazione della diminuente di cui all´art. 164-bis, comma 1, del Codice, avuto riguardo, fra l´altro, alla "particolare natura anche sociale dei trattamenti svolti";

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra, per le ragioni di seguito esposte:

- per quanto riguarda la mancata comunicazione dell´avvio del procedimento amministrativo, si evidenzia che il provvedimento n. 313 del 19 giugno 2014, non risulta essere stato impugnato dalla parte ai sensi dell´art. 152 del Codice. Peraltro, si osserva che quello in argomento è un provvedimento inibitorio dell´Autorità che, sulla base dell´art. 154, comma 1, lett. d), del Codice, il Garante può adottare con ogni consentita sollecitudine in tutti i casi in cui, come quello di specie, sussiste il rischio di un pregiudizio rilevante per gli interessati. D´altronde, l´invocato art. 7 della legge 7 agosto 1990, n. 240 dispone che: "Ove non sussistano ragioni di impedimento derivanti da particolari esigenze di celerità del procedimento, l´avvio del procedimento stesso è comunicato, con le modalità previste dall´articolo 8, ai soggetti nei confronti dei quali il provvedimento finale è destinato a produrre effetti diretti", esigenze di celerità che, in ragione della diffusione dei dati personali idonei a rivelare lo stato di salute degli interessati disabili, sono state, opportunamente, ravvisate dall´Ufficio nel caso di specie. Inoltre, diversamente da quanto argomentato dalla parte, la partecipazione della Regione Abruzzo nel procedimento amministrativo non avrebbe potuto determinare l´adozione di un provvedimento diverso da quello in concreto adottato. Ciò in quanto la segnalazione e la relativa verifica effettuata dall´Ufficio hanno permesso di acquisire tutti gli elementi utili a valutare la condotta posta in essere dalla Regione, la quale era palesemente in contrasto con la disciplina in materia di protezione dei dati personali, senza necessità di svolgere un supplemento istruttorio. Infatti, ciò che ha determinato l´adozione del provvedimento di divieto in parola è rappresentato dalla diffusione dei dati personali qualificati come sensibili dal legislatore (art. 4, comma 1, lett. d, del Codice), in quanto idonei a rivelare lo stato di salute degli interessati disabili; ai fini della qualificazione giuridica del fatto non rilevano le ragioni che hanno indotto la Regione Abruzzo ad effettuare tale diffusione. Sul punto, è bene sottolineare come ormai costante e consolidata giurisprudenza ritenga che la mancata comunicazione dell´avvio del procedimento amministrativo non pregiudica il provvedimento conclusivo, qualora il contenuto di questo non possa essere modificato sulla base di eventuali osservazioni del destinatario (Consiglio Stato Sez. V, 28.02.2017, n. 930; Consiglio di Stato, Sez. IV, 12.05.2016, n. 1915; Consiglio di Stato Sez. III, 04.02.2016, n. 443 Consiglio di Stato Sez. V, 30.12.2015, n. 5863);

- quanto argomentato circa il fatto che il Collegio avrebbe analizzato la questione sotto un profilo non perfettamente pertinente all´oggetto della vicenda risulta privo di pregio in quanto, diversamente da quanto ritenuto dalla Regione, il richiamo alle indicazioni fornite nella parte II, punto 1, del Provvedimento n. 243 del 15 maggio 2014, recante "Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati" (pubblicato in G. U. n. 134 del 12 giugno 2014, doc. web n. 3134436),  è specifico in materia di limiti alla diffusione di dati personali nella pubblicazione di atti e documenti sul web per finalità diverse dalla trasparenza. Parimenti privo di pregio risulta quanto argomentato circa la pubblicazione delle citate linee guida successivamente alla pubblicazione degli elenchi da parte della Regione in ragione della circostanza che il divieto alla diffusione di dati idonei a rivelare lo stato di salute, ribadito dal Garante con le linee guida in parola, oltre ad essere già stato oggetto del Provvedimento n. 88 del 2 marzo 2011 (cfr. "Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web", pubblicato in G.U. n. 64 del 19 marzo 2011, doc. web n. 1793203), è innanzitutto disciplinato dall´art. 22, comma 8, del Codice;

- le argomentazioni relative all´obbligo di comunicazione nei confronti dei candidati mediante la pubblicazione sul sito internet della Regione, alle difficoltà connesse all´utilizzazione delle iniziali e all´impossibilità di attivazione di codici identificativi alfanumerici in presenza di documentazione cartacea, non sono condivisibili poiché  la Regione, tenuto conto del divieto assoluto di diffusione dei dati idonei a rivelare lo stato di salute, poteva assolvere agli obblighi contenuti nel bando di concorso mediante svariate modalità con cui rendere conoscibili le informazioni riportate negli elenchi ai soli soggetti richiedenti o a coloro che vi abbiano interesse per la tutela di situazioni giuridicamente rilevanti, evitando la diffusione della condizione di disabilità dei candidati (es. attribuendo a tali soggetti idonee credenziali di accesso, quali username o password, n. di protocollo per coloro che presentavano la domanda in modalità cartacea, o predisponendo, nei siti istituzionali, aree ad accesso selezionato ecc.);

- quanto argomentato circa la scusabilità del comportamento della Regione non consente di qualificare gli elementi costitutivi della disciplina sull´errore scusabile di cui all´art. 3 della legge n. 689/1981, atteso che l´errore sulla liceità del fatto, comunemente indicato come buona fede, può rilevare come causa di esclusione della responsabilità solo quando esso risulti incolpevole. A tal fine occorre, cioè, un elemento positivo idoneo ad indurre un errore siffatto, non ovviabile dall´interessato con l´ordinaria diligenza, elemento che non è riscontrabile nel caso di specie (Cass. civ. sez. VI del 2 ottobre 2015, n. 19759; Cass. civ. sez. lavoro del 12 luglio 2010, n. 16320; Cass. Civ. sez. II del 13 marzo 2006, n. 5426);

- infine, non può riconoscersi l´invocata diminuente di cui all´art. 164-bis, comma 1, del Codice atteso che proprio in considerazione della "particolare natura anche sociale dei trattamenti svolti" si dovevano adottare  tutte le cautele per evitare di arrecare pregiudizio ai numerosi interessati, diffondendone illecitamente i dati; al contrario, poiché la violazione ha coinvolto un numero elevato di interessati, pari ad alcune centinaia di soggetti i cui dati idonei a rivelare lo stato di salute sono stati diffusi mediante la pubblicazione sul sito istituzionale della Regione Abruzzo, deve confermarsi l´applicazione dell´aggravante di cui all´art. 164-bis, comma 3, del Codice;

RILEVATO, quindi, che la Regione Abruzzo, sulla base delle considerazioni sopra richiamate, ha effettuato un trattamento di dati personali ai sensi dell´art. 4, comma 1, lett. a) e b), del Codice, consistito nella diffusione sul sito web istituzionale della Regione di dati personali idonei a rivelare lo stato di salute degli interessati in violazione dell´art. 22, comma 8, del Codice, ritenuta l´aggravante di cui all´art. 164-bis, comma 3, del medesimo Codice, in ragione dell´elevato numero di interessati coinvolti;

VISTO l´art. 162, comma 2-bis, del Codice che punisce le violazioni delle norme indicate nell´art. 167, tra le quali quelle di cui all´art. 22, comma 8, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

VISTO l´art. 164-bis, comma 3, del Codice che, in caso di violazioni di maggiore gravità o che coinvolgano un elevato numero di interessati, prevede che i limiti minimi e massimi delle predette sanzioni siano raddoppiati;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione risulta connotata da elementi specifici connessi alla natura sensibile dei dati trattati;

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere considerato che la Regione Abruzzo ha tempestivamente adempiuto alle prescrizioni impartite dal Garante;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la Regione Abruzzo non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, si deve evidenziare che si tratta di un ente pubblico territoriale;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila), ritenuta l´aggravante di cui all´art. 164-bis, comma 3 del Codice ;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

alla Regione Abruzzo, in persona del legale rappresentante pro-tempore, con sede in L´Aquila, via Leonardo da Vinci, n. 6, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

al medesimo di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 6 aprile 2017

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia