[doc. web n. 6110269]

Ordinanza ingiunzione nei confronti di Provincia di Vercelli - 24 novembre 2016

Registro dei provvedimenti
n. 492 del 24 novembre 2016

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Garante ha definito un procedimento amministrativo a seguito di una segnalazione, con il quale è stato accertato che sul sito web istituzionale, la Provincia di Vercelli Cod. fisc.: 80005210028, con sede in Vercelli, via San Cristofaro n. 7, ha pubblicato, nelle aree tematiche del sito web istituzionale dedicate alla formazione, lavoro e politiche sociali- energia ed impianti energetici, nell´ambito delle procedure previste per il rilascio delle autorizzazioni all´installazione di impianti di energia elettrica, informazioni relative ai soggetti interessati alle procedure stesse, tra cui le copie fotostatiche delle carte di identità e i codici iban degli istituti di credito, con ciò determinando un´illecita diffusione di dati personali in quanto effettuata in assenza di idonei presupposti normativi, in violazione 19, comma 3, del Codice in materia di protezione dei dati personali (di seguito denominato "Codice");

VISTO il verbale n. 2856/82595 del 29 gennaio 2014 con cui è stata contestata alla Provincia di Vercelli, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice, in relazione all´art. 19, comma 3, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTA la memoria difensiva del 26 febbraio 2014 ai sensi dell´art. 18 della legge n. 689/1981, con la quale la Provincia di Vercelli ha rilevato come "(…) la diffusione dei dati personali è conseguenza diretta di quanto stabilito dal combinato disposto di una pluralità di previsioni normative e regolamentari a cui l´Amministrazione si è semplicemente conformata. (…) I dati personali di cui è stata contestata (…) l´illegittima diffusione sono contenuti in documenti allegati al modulo di domanda di autorizzazione unica, previsto ai sensi del D.Lgs. 29.12.2003 n. (2)387, art. 12, comma 3, (…). In particolare, i documenti da allegare alla domanda di autorizzazione sono specificati nell´allegato 1 della D.G.R. del Piemonte 30.1.2012 (…)".

Ha osservato, altresì, come "(…) il titolare del trattamento (vgs interessato) è stato previamente edotto che i dati contenuti nei documenti allegati alla domanda sarebbero stati resi accessibili a un pubblico indifferenziato tramite estrazione di copia ovvero consultazione nell´ambito del sito istituzionale dell´Ente on-line", atteso che "(…) In calce al modulo standard di domanda di autorizzazione è rilasciata dal soggetto richiedente l´autorizzazione un´espressa DICHIARAZIONE (…)"risultando da ciò che "(…) il titolare dei dati (vgs. Interessato) è stato preventivamente messo nelle condizioni di richiedere all´Amministrazione di non rendere pubblica parte della documentazione presentata".

Inoltre, ha evidenziato come "(…) i dati personali di cui viene contestata la diffusione (…) sono quelli presenti sulla carta di identità. Si tratta di dati che sono tutti pubblici e facilmente accessibili da chiunque, semplicemente rivolgendosi all´anagrafe (…). Quei dati, a ben vedere, non sono stati diffusi per la semplice ragione che erano già a disposizione del pubblico".

Ha rilevato, altresì, "(…) come venga richiesto all´interessato di fornire copia del bonifico bancario (…) e non certo di fornire il suo IBAN. (…) Nulla vieta (…) che sulla distinta del documento fornito dalla Banca venga preventivamente cancellato dall´interessato il numero di conto corrente su cui è stato disposto l´addebito. Chi, volontariamente, lascia indicato il numero di conto corrente non ha (…) alcun problema a renderlo noto al pubblico";

LETTO il verbale di audizione, svoltasi il 22 settembre 2014, ai sensi dell´art. 18 della legge n. 689/1981, con cui la Provincia di Vercelli ha sostanzialmente ribadito quanto esposto nella predetta memoria difensiva;

CONSIDERATO che le argomentazioni addotte dalla Provincia di Vercelli non permettono di escludere la responsabilità dell´ente in relazione alla contestazione in argomento.

Riguardo le menzionate "(…) pluralità di previsioni normative e regolamentari (D.Lgs. 29.12.2003 n. (2)387, art. 12, comma 3 e allegato 1 della D.G.R. del Piemonte 30.1.2012) a cui l´Amministrazione si è semplicemente conformata. (…)", si rileva come quanto disposto nelle citate norme non consenta di superare, alla luce di quanto argomentato nella nota datata 8 gennaio 2014 di chiusura del procedimento amministrativo della segnalazione, il divieto di diffusione di dati, in quanto è stato accertato che tale operazione sia stata effettuata in mancanza di idonei presupposti normativi (art. 19, comma 3 del Codice). Pertanto, in ragione del fatto che le argomentazioni prodotte non abbiano fornito alcun elemento ulteriore rispetto a quanto preso in considerazione dall´Autorità nella citata nota dell´8 gennaio 2014 con la quale è stata accertata la violazione di che trattasi e che tale nota, quale atto conclusivo del procedimento menzionato, non è stata impugnata in sede giurisdizionale ai sensi dell´art. 152 del Codice, devono essere ribadite le valutazioni poste a base della richiamata nota dell´8 gennaio 2014, sulla scorta delle quali non sono ravvisabili gli elementi costitutivi della disciplina di cui agli artt. 3 e 4 della legge n. 689/1981.

Risulta poi inconferente quanto argomentato sia circa il fatto che "(…) il titolare dei dati (vgs. Interessato) è stato preventivamente messo nelle condizioni di richiedere all´Amministrazione di non rendere pubblica parte della documentazione presentata"sia quanto argomentato circa il fatto che "Quei dati, a ben vedere, non sono stati diffusi per la semplice ragione che erano già a disposizione del pubblico", atteso che spetta all´Amministrazione pubblica destinataria di obblighi normativi di trasparenza, individuare e selezionare le informazioni oggetto di pubblicazione secondo criteri di pertinenza e non eccedenza, oltre che verificare la sussistenza di uno specifico e idoneo presupposto regolamentare o legislativo che preveda espressamente la diffusione nel caso di specie (art. 19, comma 3 e 11 del Codice) rispetto alle finalità perseguite. In tale quadro, non risulta condivisibile quanto ritenuto da codesta Amministrazione in ordine all´onere degli interessati di chiedere, nel caso di specie, che le fotocopie dei propri documenti di identità non fossero rese pubbliche. Ove peraltro, sul punto la Provincia non tiene conto di quanto disciplinato dal Garante al punto 9.a) delle "Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati" del 15 maggio 2014, (in www.garanteprivacy.it, doc. web n. 3134436) ove è previsto che "Non devono formare invece oggetto di pubblicazione dati eccedenti, quali ad esempio i recapiti personali oppure il codice fiscale degli interessati, ciò anche al fine di ridurre il rischio di c.d. furti di identità".

Parimenti inconferente risulta quanto dedotto circa il fatto che "(…) Chi, volontariamente, lascia indicato il numero di conto corrente non ha (…) alcun problema a renderlo noto al pubblico", atteso che, come sopra rappresentato, è evidentemente responsabilità del titolare del trattamento dei dati dell´interessato applicare il disposto di cui agli art. 19, comma 3 e 11 del Codice senza discostarsi dagli obblighi in tale disposto contenuti in relazione alla diffusione di dati personali pertinenti e non eccedenti rispetto alla finalità perseguita. Anche in questo caso la Provincia non tiene conto di quanto previsto al punto 9.e) delle citate Linee guida del Garante del 15 maggio 2014, secondo le quali "Non risulta, pertanto, giustificato diffondere, fra l´altro, dati quali, ad esempio, l´indirizzo di abitazione o la residenza, il codice fiscale di persone fisiche, le coordinate bancarie dove sono accreditati i contributi o i benefici economici (codici IBAN) (…)".

RILEVATO, pertanto, che la Provincia di Vercelli ha effettuato un trattamento di dati personali ai sensi dell´art. 4, comma 1, lett. b) del Codice, pubblicando in assenza di idonei presupposti normativi, nelle aree tematiche dedicate alla formazione, lavoro e politiche sociali- energia ed impianti energetici, nell´ambito delle procedure previste per il rilascio delle autorizzazioni all´installazione di impianti di energia elettrica, informazioni relative ai soggetti interessati alle procedure stesse, tra cui le carte di identità e i codici iban degli istituti di credito, con ciò determinando un´illecita diffusione di dati personali, in violazione 19, comma 3, del Codice;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quella di cui all´art. 19 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´ammontare della sanzione pecuniaria deve essere quantificato nella misura di euro 10.000,00 (diecimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

alla Provincia di Vercelli Cod. fisc.: 80005210028, con sede in Vercelli, via San Cristofaro n. 7, in persona del legale appresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 162, comma 2-bis, del Codice indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 10.000,00 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 24 novembre 2016

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia