[doc. web n. 5562422]

Ordinanza di ingiunzione nei confronti di Comune di San Lorenzo Nuovo - 28 luglio 2016

Registro dei provvedimenti
n. 340 del 28 luglio 2016

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che l´Ufficio del Garante, con atto n. 31657/88385 del 5 dicembre 2013 (notificato mediante posta elettronica certificata in pari data), che qui deve intendersi integralmente riportato, ha contestato al Comune di San Lorenzo Nuovo, in persona del legale rappresentante pro-tempore, con sede legale in San Lorenzo Nuovo, piazza Europa, C.F. 00238480560, la violazione delle disposizioni di cui agli artt. 19, comma 3 e 162, comma 2-bis, del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato "Codice");

DATO ATTO, in sintesi, di quanto riportato nell´atto di contestazione, e cioè che: a) il 28 settembre 2012 è pervenuta al Garante una segnalazione da parte di un´interessata, che ha lamentato la pubblicazione presso l´Albo pretorio on-line del Comune di San Lorenzo Nuovo dell´elenco dei giudici popolari della Corte di assise, biennio 2012-2014 (nel quale figurava anche il nome della segnalante), per un periodo superiore ai dieci giorni prescritti dagli artt. 17, comma 1 e 19, comma 1, della legge n. 287/1951; b) la cancellazione del file in formato PDF (portable document format) contenente il documento di cui sopra è avvenuta solo in epoca successiva alla segnalazione; c) la pubblicazione dell´elenco dei giudici popolari oltre il termine previsto dalla legge ha determinato una illecita diffusione di dati personali in assenza di idonei presupposti normativi ai sensi dell´art. 19, comma 3, del Codice;

LETTO il rapporto relativo all´atto di contestazione di cui sopra, predisposto dall´Ufficio ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale risulta non essere stato effettuato il pagamento in misura ridotta;

LETTI gli scritti difensivi presentati il 3 gennaio 2014 e le dichiarazioni rese il 14 aprile 2014 dalla parte in sede di audizione ai sensi dell´art. 18 della legge n. 689/1981, con i quali è stato eccepito che: a) "Il file PDF oggetto di pubblicazione nell´Albo Pretorio è stato regolarmente rimosso dal sito istituzionale www.comunesanlorenzonuovo.it alla scadenza del decimo giorno dalla pubblicazione e pertanto, a partire da tale data, non era più visibile sullo stesso. Il Comune ha pertanto ottemperato ad effettuare gli adempimenti previsti dalla vigente normativa e non ha consentito la visione del documento sul proprio sito oltre il termine di pubblicazione"; b) "Dal momento in cui il file PDF viene pubblicato in qualsiasi sito, sia istituzionale che non, e viene visualizzato da parte degli utenti della rete, i motori di ricerca utilizzati, qualsiasi essi siano, provvedono ad effettuare una "indicizzazione", vale a dire provvedono a organizzare le informazioni estratte dalla rete Internet attraverso appositi software e le offrono agli utenti cosi come organizzate. […] Nel caso di specie quindi non è dato sapere con certezza da quale sito sia stato indicizzato il file oggetto del presente contendere e, conseguentemente, a chi sia attribuibile la responsabilità della diffusione dei dati in rete"; c) "l´Ente Pubblico responsabile del contenuto del sito istituzionale ha […] adottato tutte le precauzioni necessarie alla pubblicazione ed ha rispettato pedissequamente il periodo di pubblicazione, rimuovendo il file PDF alla scadenza del decimo giorno dalla pubblicazione; […] in particolare, l´odierno esponente, oltre ad aver fatto sì che, terminato il periodo di pubblicazione, questa non sia stata più visibile dal sito internet, ha posto in essere tutte le precauzioni attualmente conosciute dalla scienza informatica volte ad evitare il fenomeno dell´indicizzazione da parte dei motori di ricerca: al momento della pubblicazione infatti, il sito internet del Comune di San Lorenzo Nuovo, come ben specificato dalla società PitSoft S.a.s. nella allegata relazione, era impostato mediante l´utilizzo del file robot.txt contenente l´istruzione "User-agent;Disallow:/bandi", vale a dire l´istruzione volta ad escludere dalla possibilità di indicizzazione la directory "bandi". Ebbene, analizzando la struttura del sito internet del Comune di San Lorenzo Nuovo, emerge che i documenti pubblicati nell´albo on-line si trovano proprio sotto la directory "bandi", vale a dire quella parte del sito impostata per evitare l´indicizzazione da parte dei motori di ricerca"; d) pertanto, "per accedere al file PDF infatti, non era sufficiente una ricerca nel web, sia essa più o meno approfondita, […] ma era necessario digitare esattamente nella barra del browser la seguente dicitura http://www.comunesanlorenzonuovo.it/bandi/20110000536002.pdf, vale a dire una sorta di codice segreto, composto da ben 59 caratteri suddivisi tra lettere, numeri e simboli";

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra: deve infatti osservarsi che, al di là degli accorgimenti che il Comune di San Lorenzo Nuovo può avere adottato per impedire il facile reperimento in Internet del file contenente l´elenco dei giudici popolari della Corte di assise per il periodo 2012-2014, resta il fatto che, come dichiarato dallo stesso Comune nella nota inviata al Garante il 14 settembre 2013 in riscontro ad una prima richiesta di informazioni dell´Autorità, la pubblicazione di cui sopra era stata "tolta dall´albo on line senza possibilità di essere visionata dal sito istituzionale, pur rimanendo nel database del dominio comunale localizzato nei server del provider ARUBA SPA". Nel riscontro al Garante, il Comune, peraltro, ha dichiarato che "del problema comunque è stata immediatamente interessata la software house che ha progettato il sito istituzionale del comune e che provvede anche alla sua regolare manutenzione ed aggiornamenti di legge che di volta in volta si rendano necessari. La ditta si è subito attivata per la cancellazione fisica del file (comunque non più accessibile tramite normale procedura già dalla data di scadenza della pubblicazione) […] dal data base residente sul server di Aruba e accessibile solo al Comune con apposite procedure e password. Inoltre, come da indicazioni del Garante, ha provveduto ad inserire un metatag, secondo le specifiche del robot.text, nell´head delle pagine dell´albo on line per evitarne l´indicizzazione da parte dei maggiori motori di ricerca che aderiscono a tale standard internazionale, facendoci però presente che tali metatag possono essere inseriti nelle pagine del sito internet ma non nei files tipo pdf, doc, jpg, xls ecc eventualmente da esso richiamati che perciò restano indicizzabili e possono quindi comparire interrogando un qualsiasi motore di ricerca. Per cercare comunque di limitare il problema la software house che gestisce il sito internet del Comune di San Lorenzo, sta realizzando un software che permetterà la cancellazione automatica remota dalle cartelle del dominio di tutti i files allegati alle pubblicazioni scadute, trascorso il periodo di dieci giorni previsto per la pubblicazione". Emerge, da tali dichiarazioni, che il reale problema che ha determinato la diffusione dei dati personali contenuti nell´elenco pubblicato dal Comune di San Lorenzo Nuovo non risiede nella attività di indicizzazione delle pagine web operata dai motori di ricerca, indicizzazione che riguarda, come è ovvio, risorse comunque presenti in rete, bensì  nella persistenza di tali risorse (segnatamente, il file PDF contenente l´elenco dei giudici popolari) nel database del sito che, dagli accertamenti svolti durante l´istruttoria, risulta riconducibile al dominio del Comune ; parimenti, è stato accertato che la rimozione delle predette risorse sia stata effettuata solo a seguito della segnalazione di un´interessata e delle conseguenti interlocuzioni tra il Garante e l´Ente. Pertanto, in base a quanto emerso nel corso dell´istruttoria, risulta che il Comune ha pubblicato l´elenco dei giudici popolari della Corte di assise mediante l´Albo pretorio on-line del proprio sito istituzionale e, trascorso il termine di legge, ha rimosso tale pubblicazione dall´Albo pretorio on-line ma non dal server del sito, consentendo, oltre i predetti termini di legge, l´accessibilità di tale documento a chiunque, interrogando un qualsiasi motore di ricerca, e determinando pertanto un´illecita diffusione di dati personali perché effettuata in assenza di un idoneo presupposto normativo così come previsto dall´art. 19, comma 3, del Codice.

RILEVATO, quindi, che il Comune di San Lorenzo Nuovo, sulla base delle considerazioni sopra richiamate, risulta aver commesso la violazione di cui all´art. 162, comma 2-bis del Codice, per aver diffuso i dati personali contenuti nell´elenco dei giudici popolari della Corte di assise (periodo 2012-2014) in carenza di un idoneo presupposto normativo come previsto dall´art. 19, comma 3, del Codice;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni di cui all´art. 19, comma 3, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

RITENUTO che sussistono gli elementi che consentono di applicare la diminuente di cui all´art. 164-bis, comma 1, del Codice per l´illecito contestato, in ragione della natura dei dati e dei trattamenti svolti;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente  per eliminare o attenuare le conseguenze della violazione (il Comune ha rimosso il file PDF dal proprio server e sta realizzando un software che permetterà la cancellazione automatica remota dalle cartelle del dominio di tutti i files allegati alle pubblicazioni scadute), della gravità della violazione (che appare non connotata da elementi di specificità, poiché non emergono comportamenti manifestamente elusivi delle norme in materia di protezione dei dati personali), della personalità (l´Ente non risulta avere precedenti specifici in termini di violazioni delle disposizioni del Codice) e delle condizioni economiche del contravventore (è stato preso in esame il bilancio d´esercizio per l´anno 2015) e che pertanto l´ammontare della sanzione pecuniaria con riferimento alla violazione di cui all´art. 162, comma 2-bis, deve essere quantificato nella misura di euro 4.000,00 (quattromila);

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

Al Comune di San Lorenzo Nuovo, in persona del legale rappresentante pro-tempore, con sede legale in San Lorenzo Nuovo, piazza Europa, C.F. 00238480560, di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

Al Comune di San Lorenzo Nuovo di pagare la somma di euro 4.000,00 (quattromila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 28 luglio 2016

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia