[doc. web n. 9938413]

Provvedimento del 31 agosto 2023

Registro dei provvedimenti
n. 388 del 31 agosto 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (Regolamento generale sulla protezione dei dati, di seguito, "Regolamento");

VISTO il Decreto legislativo 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, recante il Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO il regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali (di seguito: “Regolamento 1/2019”);

ESAMINATO il reclamo presentato dal signor XX relativo ad un presunto trattamento illecito di dati personali riferiti allo stesso ed alla sua coniuge, XX, effettuato dall’Ordine degli Avvocati di XX (d’ora in avanti “Ordine”);

Esaminate le informazioni fornite dalle parti;

Vista la restante documentazione in atti;

Viste le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’Ufficio del Garante per la protezione dei dati personali (d’ora in avanti “Garante o l’Autorità”);

Relatore il prof. Pasquale Stanzione;

1. La vicenda e l’attività istruttoria del Garante

1.1. Con nota del 27 agosto 2020, indirizzata all’Ordine, nonché al Garante, il Sig. XX (d’ora in avanti “reclamante”) ha lamentato, anche per conto della coniuge Sig.ra XX (d’ora in avanti “coniuge del reclamante”), la pubblicazione sul sito dell’Ordine di alcuni statini di rinvio di udienze presso il Tribunale di XX, nei quali il reclamante e la coniuge del reclamante comparivano imputati in procedimenti penali, segnalando che, a seguito di una ricerca dei loro nominativi sul motore di ricerca di Google, risultavano informazioni relative alle loro udienze ed era possibile scaricare i suddetti statini non anonimizzati. Il reclamante ha prodotto gli statini suddetti, nonché gli screenshots da cui risultava la divulgazione dei dati. Con nota del 22 settembre 2020, il reclamante forniva aggiornamenti sulla vicenda in esame, informando l’Autorità che sebbene l’Ordine, con PEC inviata il 14 settembre 2020 lo avesse informato di aver rimosso dal portale web dell’Ordine il documento oggetto di corrispondenza, lamentava che il documento oscurato nel sito dell’Ordine rimaneva comunque indicizzato su Google e che permanevano altri documenti non anonimizzati sulla rete, con i pregiudizi derivanti a sé e alla moglie. In particolare, affermava, “eravamo in contatto con una agenzia immobiliare per affittare un immobile su Roma e la stessa, dopo aver inviato i nostri documenti, redditi etc. ci ha detto che la proprietaria non loca immobili ai pregiudicati” e, in ordine al suo lavoro in un’azienda, che “l'aggravamento di immagine via web derivanti da tali atti potrebbero anche comportare di dover dare le mie dimissioni”. Il reclamante inviava ulteriori richieste all’Ordine, indirizzate anche al Garante (note del 26 settembre 2020, 17 ottobre 2020, 23 febbraio 2021).

Esaminata tutta la documentazione prodotta, il Garante ha indirizzato una richiesta di informazioni all’Ordine, con nota prot. n. 18471 del 7 aprile 2021, con particolare riferimento alla divulgazione sul sito istituzionale dei nominativi del reclamante e della coniuge – associati, per quanto riguarda il reclamante, allo statino di udienza del 1° luglio 2020, reperibile su internet tramite il motore di ricerca “Google”, e, per quanto riguarda la moglie, agli statini d’udienza del 19 giugno 2020, del 17 luglio 2020, anch’essi reperibili su internet attraverso il motore di ricerca “Google”, nonché allo statino del 5 marzo 2021.

In particolare, alla luce del “principio di minimizzazione” ex art. 5 del Regolamento e di quanto sancito, per i dati personali relativi alle condanne penali e ai reati, dagli artt. 10 del Regolamento e 2-octies del Codice, si è chiesto di conoscere le finalità e le modalità del trattamento suddetto; il contenuto degli statini oggetto di iniziale divulgazione, con specifico riferimento ai dati di cui all’art. 10 del Regolamento in essi contenuti, e se e quando si fosse proceduto alla loro anonimizzazione; le misure tecnico-organizzative adottate dall’Ordine, al fine di garantire che i trattamenti dei dati personali si svolgano nel rispetto dei principi di liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza, nonché nel rispetto delle disposizioni relative al trattamento dei dati di cui all’articolo 10 del Regolamento.

Con la medesima nota di richiesta di informazioni, il Garante ha segnalato la divulgazione in questione al Consiglio superiore della magistratura, al Ministero della giustizia, nonché al Tribunale, nel cui sito istituzionale sono stati divulgati alcuni statini di udienza concernenti gli interessati, il quale ha riscontrato, con nota del 19 aprile 2021, rappresentando che il caso segnalato è stato dovuto “ad un mero errore da parte del soggetto addetto alla pubblicazione” e che “l’accaduto ha offerto l’occasione per richiamare l’attenzione di tutti, magistrati (in particolare i presidenti di sezione) e personale di cancelleria (in particolare i direttori amministrativi) al puntuale e rigoroso rispetto delle disposizioni a tutela della riservatezza dei dati personali”.

Con nota prot. n. 21253 del 19 aprile 2021, anche l’Ordine ha dato riscontro alla richiesta del Garante, rappresentando, in merito alle finalità ed alle modalità del trattamento in questione, che con l’emergenza sanitaria, essendosi dovuti limitare gli accessi ai plessi giudiziari da parte dell’avvocatura, “d’intesa con gli Uffici apicali del Palazzo di Giustizia di XX, si decise per la pubblicazione degli statini di udienza (consistenti il più delle volte, nell'indicazione dell'A.G. interessata, del n. di R.G., del cognome del difensore, del cognome e nome della parte interessata nel procedimento , della data del rinvio) anche sul portale web di questo Ordine. Così si fece, quindi, per consentire agli Avvocati l'aggiornamento della propria agenda professionale con la lettura dei provvedimenti pubblici resi dell'A.G.  così come pervenuti dalle Cancellerie interessate.”. Ha affermato, inoltre, che “nell'ottica procedurale, che vede la trattazione di talune udienze in forma pubblica, nulla di errato veniva rilevato per la pubblicazione dei relativi statini sul portale web del Tribunale e di questo Ordine; documenti, questi, peraltro, sempre affissi sulle porte delle Aule di udienza e/o nelle bacheche ubicate nei corridoi del Palazzo di Giustizia e mai censurate nella parte nominativa degli imputati interessati. Ritengo, prima facie, che la mancata indicazione del luogo e della data di nascita e/o del codice fiscale impedisce all'eventuale lettore dei provvedimenti che ci interessano di risalire all'identità certa dei soggetti in essi indicati.”. Con riguardo alla richiesta relativa all’avvenuta anonimizzazione degli statini in questione, l’Ordine ha affermato di essersi “prontamente  attivato, ogni qualvolta richiesto  dal [reclamante], nel rimuovere i documenti da questi segnalati dal solo sito internet di pertinenza dell'Ordine, essendo, ovviamente, preclusi  gli accessi tecnici a portali web di altri Enti, come quello del locale Tribunale, pure interessato dalle segnalazioni del reclamante, per le quali lo scrivente nulla ha potuto disporre”.  Alcun riscontro, invece, è stato fornito in merito alle richieste del Garante relative al contenuto dei suddetti statini oggetto di iniziale divulgazione, con specifico riferimento ai dati giudiziari in essi contenuti, nonché alle misure tecnico-organizzative adottate al fine di garantire che i trattamenti dei dati personali si svolgano nel rispetto dei principi di cui agli artt. 5 e 10 del Regolamento.

1.2. Con nota prot. n. 46557 del 16 settembre 2021, il Garante ha comunicato all’Ordine l’avvio dei procedimenti per l’adozione di provvedimenti di cui all’art. 58 del Regolamento, rappresentando che risultava accertato che il trattamento effettuato dall’Ordine era risultato avvenuto “in assenza di un presupposto giuridico legittimante, ai sensi del combinato disposto degli articoli 10 RGPD e 2-octies del Codice, non essendovi alcuna disposizione di legge o di regolamento che autorizzi il trattamento di dati giudiziari in esame, nonché in maniera non conforme ai principi di cui all’articolo 5, par.1, lett. a), c) ed f) RGPD” e che entro il termine di 30 giorni dal ricevimento della stessa comunicazione potevano essere inviati scritti difensivi o eventualmente chiedere di essere sentiti dal Garante (artt. 166, commi 6 e 7, del Codice e 18, comma 1, della l. 689/1981).

Con nota prot. n. 5689 del 13 ottobre 2021, l’Ordine chiedeva un’audizione al fine di poter particolareggiare gli avvenimenti e di far emergere la assoluta buona fede dell’Odine nel gestire le procedure che hanno portato al reclamo.

1.3. Successivamente il Sig. XX, con nota prot. n. 36859 del 7 luglio 2022, sollecitata con ulteriore nota del 26 luglio 2022, ha inviato al Garante l’ulteriore richiesta rivolta all’Ordine di rimozione dei dati pubblicati sul sito www.oravta.it, con specifico riferimento all’integrazione dello statino di udienza dell’11 luglio 2022 presso il Tribunale di XX.

A seguito di un accertamento da parte dell’Ufficio dell’11 luglio 2022, con cui si è constatata la presenza del suddetto statino nel sito istituzionale dell’Ordine, con nota prot. 40252 del 26 luglio 2022, il Garante ha rappresentato all’Ordine quanto verificato con il citato accertamento nonchè, in considerazione dell’intenzione manifestata di esercitare il diritto di difesa, di inviare gli scritti difensivi relativi al procedimento in oggetto e di indicare se si intendeva comunque essere sentiti dall’Autorità, ad integrazione di quanto si sarebbe rappresentato negli scritti difensivi.

1.4. E’ stata inviata anche un’ulteriore segnalazione al Consiglio Superiore della Magistratura, al Ministero della Giustizia, nonché al suddetto Tribunale, avendo il Garante verificato che lo statino di udienza dell’11 luglio 2022, contenente i dati giudiziari riferiti anche ad altri tredici interessati, risultava pubblicato nel sito istituzionale del medesimo Tribunale, il quale ha riscontrato “di aver accertato che la pubblicazione di quel documento è avvenuta per mera svista dell'operatore, avendo - questa Presidenza - già richiamato il personale amministrativo e i presidenti di sezione interessati al rigoroso rispetto dei principi e delle norme in materia di divulgazione dei dati personali da parte del Tribunale” e che “in ogni caso, al fine di ridurre al minimo le possibilità di errore, malgrado le condizioni date, è già stata diramata alle cancellerie coinvolte una nuova nota di richiamo contenente ulteriori accorgimenti da adottare in caso di pubblicazione degli statini di udienza nel sito del Tribunale.”.

Anche il Ministero della Giustizia ha assicurato il proprio impegno affinchè i dati giudiziari siano trattati in maniera tale da garantire la loro protezione e sicurezza mediante opportuni accorgimenti tecnici ed organizzativi. A tale scopo ha rappresentato che “è stata da ultimo diramata una circolare agli Uffici giudiziari (…) per sensibilizzare ulteriormente gli operatori della giustizia sull’importanza della tutela dei dati giudiziari” e, con una nota indirizzata agli uffici giudiziari, ha rammentato che lo stesso Consiglio Superiore della Magistratura, già con il parere n. 185/2003, ha ritenuto che, con riferimento alle udienze civili, esaminati gli articoli 83 e 116 disp. att. c.p.c. e 128 c.p.c., “(…) può ritenersi sufficiente l’indicazione, sul ruolo affisso sulla porta della sala dell’udienza, del solo numero del registro generale della controversia, con esclusione di ulteriori riferimenti ai normi delle parti ed all’oggetto della causa”.

1.5. A seguito della citata nota del Garante n. 40252 del 26 luglio 2022, l’Ordine, con nota prot. 5594 del 29 luglio 2022, ha rappresentato di aver deliberato che sarebbe stata eliminata dal sito internet istituzionale la sezione relativa alla pubblicazione degli statini di udienza a far data dal 1° agosto 2022 e di aver provveduto a rimuovere anche da Google i riferimenti agli statini, inclusi quelli relativi al reclamante.

Con nota prot. n. 5744 del 10 agosto 2022, l’Ordine ha presentato scritti difensivi, chiedendo anche un’audizione presso il Garante.

Con comunicazione prot. n. 45954 del 2 settembre 2022, il reclamante ha lamentato il mancato riscontro alla richiesta di rimozione dei propri dati del 7 luglio, nonché la mancata rimozione dei dati medesimi da parte dell’Ordine.

L’Ufficio ha inviato, pertanto, un’ulteriore nota all’Ordine, prot. n. 49261 del 19 settembre 2022, restando in attesa di conoscere l’avvenuto riscontro da parte dell’Ordine alla richiesta del reclamante, anche in relazione a quanto sancito dall’art. 12, par. 3, del Regolamento.

Il 21 ottobre 2022 si è svolta l’audizione con modalità telematiche, a seguito della quale l’Ordine ha inviato una comunicazione al Garante, nota prot. n. 57926 del 24 ottobre 2022, fornendo riscontro alla richiesta del reclamante del 7 luglio 2022, sollecitata dall’Autorità con la suddetta nota del 19 settembre 2022.

2. Normativa applicabile ed esito dell’attività istruttoria.

In base all’art. 5, lett. a), c) ed f), del Regolamento i dati personali devono essere trattati in modo lecito, corretto e trasparente nei confronti dell'interessato («liceità, correttezza e trasparenza»), adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»); trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»).

Inoltre, con riguardo alla categoria dei dati relativi a condanne penali e reati, l’art. 10 del Regolamento sancisce che il loro trattamento deve avvenire soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati (cfr. art. 2 octies del Codice).

All’esito dell’attività istruttoria e preso atto di quanto rappresentato dall’Ordine sia nelle memorie difensive sia in sede di audizione, è stato accertato che il trattamento di dati personali da parte dell’Ordine, consistente nella divulgazione - tramite il sito internet istituzionale www.oravta.it - di dati di cui all’articolo 10 del Regolamento, riferiti al reclamante ed alla coniuge dello stesso è avvenuto in assenza di un presupposto giuridico legittimante, ai sensi del combinato disposto degli articoli 10 del Regolamento e 2-octies del Codice, non essendovi alcuna disposizione di legge o di regolamento che autorizzi il trattamento di dati giudiziari in esame, nonché in maniera non conforme ai principi di cui all’articolo 5, par.1, lett. a), c) ed f) del Regolamento.

La divulgazione, in assenza di presupposti di liceità, di tali dati da parte del Consiglio dell’Ordine degli avvocati di XX in qualità di titolare del trattamento integra, pertanto, gli estremi dell’illecito amministrativo previsto e sanzionato dall’art. 166, comma 2, del Codice, in combinato disposto con l’art. 83, par.5, del Regolamento.

3. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ e considerato che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante” ˗ gli elementi forniti dal titolare del trattamento nelle memorie difensive e nell’audizione non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Per tali ragioni si rileva l’illiceità del trattamento di dati personali, che ha portato alla divulgazione dei dati giudiziari in questione, effettuato dall’Ordine in violazione degli articoli 5, par. 1, lett. a), c) ed f) e 10 del Regolamento e 2-octies del Codice.

Considerato che la condotta ha esaurito i suoi effetti e che l’Ordine ha dichiarato di aver adottato misure atte a evitare la ripetizione della condotta lamentata, non ricorrono allo stato i presupposti per l’adozione delle misure correttive di cui all’art. 58, par. 2, del Regolamento.

4. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria (artt. 58, par. 2, lett. i) e 83 del Regolamento; art. 166, comma 7, del Codice).

Le violazioni degli artt. 5, par. 1, lett. a), c) e f) del Regolamento e dell’art. 2-octies del Codice (cfr. art. 166, comma 2, del Codice), causate dalla condotta dell’Ordine, sono soggette all’applicazione di sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, del Regolamento.

Si consideri che il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

La predetta sanzione amministrativa pecuniaria, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenuto conto dei principi di effettività, proporzionalità e dissuasività, indicati nell’art. 83, par. 1, del Regolamento, alla luce degli elementi previsti all’art. 83, par. 2, del Regolamento stesso in relazione ai quali si osserva che:

- il titolare ha realizzato una condotta illecita perdurante nel tempo, nonostante l’interessato abbia avanzato diverse istanze riguardanti la divulgazione dei dati personali in questione (art. 83, par. 2, lett. a), del Regolamento);

- l’Autorità ha preso conoscenza dell’evento a seguito di reclamo da parte di un interessato (art. 83, par. 2, lett. h) del Regolamento);

- il trattamento dei dati effettuato dall’Ordine ha riguardato la diffusione sul web di dati giudiziari riferiti agli interessati (art. 83, par. 2, lett. a) e g) del Regolamento);

− sotto il profilo riguardante l’elemento soggettivo non emerge alcun atteggiamento intenzionale da parte del titolare del trattamento (art. 83, par. 2, lett. b) del Regolamento);
- il titolare ha dimostrato un sufficiente grado di cooperazione con l’Autorità (art. 83, par. 2, lett. f) del Regolamento);

− nei confronti dell’Ordine non risultano precedenti provvedimenti del Garante per violazioni pertinenti (art. 83, par. 2, lett. e) del Regolamento);

− il fatto si è verificato nel peculiare contesto emergenziale da pandemia da Covid-19 caratterizzato da una elevata complessità (art. 83, par. 2, lett. k) del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria prevista dall’art. 83, par. 5, del Regolamento, nella misura di euro 20.000,00 (ventimila) per la violazione degli artt. 5 del Regolamento e 2 octies del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara l’illiceità del trattamento di dati personali effettuato dall’Ordine degli avvocati di XX per la violazione degli artt. 5 del Regolamento e 2-octies del Codice.

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, all’Ordine degli avvocati di XX, con sede in XX – XX XX, in persona del Presidente pro-tempore, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata.

INGIUNGE

al predetto Ordine, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 20.000,00 (ventimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 31 agosto 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei