[doc. web n. 9996064]

Provvedimento del 21 dicembre 2023

Registro dei provvedimenti
n. 606 del 21 dicembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l'avv. Guido Scorza, componente e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo presentato a questa Autorità la XX ha lamentato che “dal XX al XX” è stata pubblicata, sul sito della Camera di Commercio di Cagliari-Oristano (già Camera di Commercio di Cagliari, di seguito “Camera di Commercio”) la deliberazione n. XX del XX, avente ad oggetto la valutazione di azioni a tutela dell'Ente nell’ambito di un procedimento pendente davanti al Tribunale di Cagliari-Sezione Lavoro, contenente il riferimento esplicito al “ricorso notificato a mezzo di posta elettronica certificata in data XX e presentato dalla XX”.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni (nota prot. n. XX del XX) la Camera di Commercio, con nota prot. n. XX del XX ha dichiarato, in particolare, che:

- “l’art. 32 della Legge n. 69/2009 ha reso obbligatoria la pubblicazione ai fini di pubblicità legale dei provvedimenti nel sito web istituzionale in luogo della pubblicazione cartacea, lasciando invariate le specifiche disposizioni che la disciplinano per le quali, nel caso di specie, occorre riferirsi all’art. 34 dello Statuto della Camera di commercio di Cagliari rubricato “pubblicazione degli atti”;

- “per quanto riguarda la durata della pubblicazione, l’art. 62 del T.U. 20 settembre 1934, n. 2011, tutt’ora vigente e recante “Approvazione del testo unico delle leggi sui Consigli provinciali dell'economia corporativa (attuali Camere di Commercio in forza del d.lgs. lgt. 21 settembre 1944 n. 315 e della L. 26 settembre 1966 n. 792) e sugli Uffici provinciali dell'economia corporativa” stabilisce testualmente che “Le deliberazioni del Consiglio, nei quindici giorni successivi a quello della adunanza nella quale furono prese, debbono essere pubblicate all'albo consigliare e tenute ivi esposte una settimana”;

- “in attuazione della normativa summenzionata, il provvedimento in argomento, una volta sottoscritto dai soggetti competenti e dopo le necessarie verifiche, è stato pubblicato, ai fini della pubblicità legale integrativa dell’efficacia dello stesso e funzionale all’esercizio dei diritti di difesa e opposizione, per sette giorni all'albo camerale on-line”;

- “precisamente l’intervallo di tempo in cui il testo della deliberazione della Giunta camerale n.XX del XX è stato reperibile nel sito camerale, come confermato nel reclamo in oggetto, è compreso tra il XX e il XX. Decorso tale periodo la deliberazione non è stata più reperibile né nel sito istituzionale, né in rete”;

- “al riguardo, la società Up Provider srl - incaricata all’epoca della gestione del sito camerale e nominata, in quanto tale, responsabile del trattamento dei dati della Camera, ai sensi dell’art. 28 del Regolamento UE 2016/679 […] ha attestato che nel sistema “era presente un automatismo della gestione dei contenuti dell'albo camerale che consentiva l'archiviazione e il conseguente venir meno della visibilità dei contenuti secondo le tempistiche convenute”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Azienda, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto la violazione degli artt.5, par. 1, lett. a) e c), 6 del Regolamento e dell’art. 2-ter del Codice (antecedente alle modifiche apportate dal d. l. 8 ottobre 2021, n. 139), invitando la predetta Camera di Commercio a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX) la Camera di Commercio ha presentato una memoria difensiva, dichiarando, in particolare, che:

- “la deliberazione camerale n. XX, nella sostanza, come emerge dal decisum, dispone, nel valutare le “azioni a tutela dell’Ente”, l’avvio di un procedimento di affidamento di un incarico di patrocinio legale che è da ricondurre agli incarichi di natura consulenziale. Rispetto alla tipologia dei provvedimenti volti ad affidare incarichi di collaborazione e consulenza, la richiesta ordinamentale di trasparenza, che si estrinseca anche nella parte motivazionale del provvedimento, è rafforzata dalle previsioni di cui all’art. 7, comma 6, del d.1gs. n. 165/2001 e agli artt. 4, 17 e 51 del d.lgs. n. 50/2016, norme alle quali si aggiungono le previsioni generali di cui alla l. n. 241/90 (specie art. 1 e art. 3) e, a seconda della procedura prescelta, agli artt. 1, comma 32, della l. n. 190/2012 e 15 o 23 del d.lgs. n. 33/2013, seppur limitatamente agli estremi del provvedimento, nonché le Linee Guida Anac n. 12/2018 su “L’affidamento dei servizi legali”;

- “le suddette Linee Guida sono state emanate per dare istruzioni alle pubbliche amministrazioni su come prevenire la corruzione anche in questa sede, “a garanzia di trasparenza degli affidamenti, apertura alla concorrenza e contrasto a posizioni di rendita e favoritismi”, sebbene “gli oneri derivanti dalle indicazioni contenute nell’atto di regolazione possono, invece, essere considerati trascurabili, dal momento che non differiscono da quelli derivanti dall’applicazione dei principi generali dell’azione amministrativa in materia di imparzialità, trasparenza e adeguata motivazione”. L’Anac ha chiarito che, “in forza del combinato disposto di cui agli artt. 4 e 17 del Codice, gli incarichi costituenti contratto d’opera intellettuale devono essere affidati tramite procedimenti comparativi idonei al rispetto dei principi sanciti dall’art. 4 (economicità, trasparenza, economicità, efficacia, imparzialità, parità di trattamento, proporzionalità, pubblicità)”, fermo restando il dovere di “evitare la possibile violazione del divieto di frazionamento artificioso della commessa, previsto all’art. 51 del Codice dei contratti pubblici” (pp.4, 5 e 14 delle Linee Guida)”;

- “le menzionate disposizioni normative e regolamentari che richiedono di precisare in dettaglio il motivo del patrocinio si aggiungono al combinato disposto di cui agli artt. 32, l. n. 69/2009, 62, T.U. 2011/1934, e 34 dello Statuto della Camera di commercio di Cagliari, all’epoca vigente, che impone la pubblicazione di tutte le deliberazioni a prescindere dall’oggetto, e appaiono costituire idonea base giuridica legittimante la pubblicazione della deliberazione camerale n. XX con riferimento al suo specifico oggetto”;

- “in particolare, la deliberazione n. XX doveva obbligatoriamente giustificare e pubblicizzare il presupposto logico di fatto e di diritto connesso alla decisione dell’Amministrazione di affidare un patrocinio legale per rendere legittima la relativa spesa in relazione alle collegate responsabilità dirigenziali e contabili”;

- “la deliberazione, infatti, fondava la procedura selettiva di scelta del legale e legittimava la successiva relativa attività gestoria dell’(unico) XX camerale competente e le sue decisioni, sfociate in un apposito affidamento di patrocinio legale, disposto, secondo la sopracitata disciplina e le Linee Guida Anac, con la propria determinazione n. XX del XX, previa acquisizione del CIG n. XX e con successiva pubblicazione in Amministrazione Trasparente delle sole informazioni richieste dall’art. 1, comma 32, della l. 190/2012 e dall’art.. 23 del d.lgs. 33/2023, nel rispetto delle Linee Guida 2014 dell’Ill.mo Garante (doc. web n. 3134436)”;

- “in particolare, si precisa che il provvedimento n. XX, il cui atto presupposto è la delibera n. XX, non recava il nome della reclamante e non è stato pubblicato integralmente nella sezione Amministrazione Trasparente, come insegnato dall’Ecc.mo Garante. Tuttavia si evidenzia sommessamente che la pubblicazione in Amministrazione Trasparente degli estremi di un provvedimento è strumentale all’eventuale esercizio del diritto di accesso volto ad acquisire non solo l’atto di cui sono pubblicati gli estremi, ma ogni altro atto allo stesso concatenato”;

- “nel redigere i propri provvedimenti l’Amministrazione deve sempre prefigurarsi che essi possano essere oggetto di diritto di accesso e deve redigerli ab origine secondo i canoni della chiarezza espositiva e della logicità motivazionale. Nel caso di specie un eventuale accesso agli atti vertente sulla determinazione n. XX1 si sarebbe esteso alla delibera-presupposto n. XX”;

- “in conclusione, una volta dimostrato che la delibera n. XX non poteva che essere scritta palesando il nome della XX alla quale si riferiva e descrivendo il fatto storico (presentazione ricorso di lavoro) che giustificava la decisione con essa assunta (avviare procedimento di scelta di un legale), va considerato che: 1) l’opzione “omettere pubblicazione” non sarebbe stata legittima in quanto non contemplata dal vigente ordinamento se non in caso di “dati particolari”; 2) la suddetta opzione non sarebbe stata neanche proporzionata rispetto alle informazioni ivi contenute di natura “comune”; 3) oscurare solo il nome e/o il riferimento al ricorso e/o l’incarico di XX dell’Azienda speciale non avrebbe impedito l’identificazione della reclamante rivestendo la stessa la qualifica di XX e quindi essendo soggetta agli obblighi di trasparenza di cui all’art. 14 del d. lgs. 33/2013”;

- “in merito all’aspetto in esame, connesso alla portata dell’obbligo di dettagliata motivazione, la Camera di commercio, come può evincersi dai propri Piani Triennali per la prevenzione della Corruzione e della Trasparenza che si soffermano ad analizzare il contesto esterno in cui l’Amministrazione opera, si ispira nel suo agire alle linee segnate dalla Corte dei Conti della Sardegna, la cui Procura già dal 2017 ebbe modo di evidenziare che “Negli ultimi anni, nella contingenza di un dilagante fenomeno corruttivo, reso più incalzante dalla contemporanea emergenza finanziaria a carico dei bilanci pubblici, è stato riportato in primo piano il problema della legalità sostanziale degli atti, individuando tra le cause delle deviazioni la mancanza di un ordine sistematico di verifiche, che avesse a oggetto anche il profilo di legittimità dei provvedimenti. (...) Allo stesso tempo, va rilevata l’emersione, in misura sempre più significativa, di condotte indirettamente elusive del fine pubblico, attuate con provvedimenti e comportamenti apparentemente legittimi, ma sostanzialmente indirizzati a realizzare interessi illeciti o ingiusti, se non anche di natura personale e, comunque, divergenti da quelli individuati dalla norma”;

- “in particolare, la Procura denunciò come fatto dannoso proprio il ricorso a collaborazioni esterne non giustificate: “(…) gli atti di citazione fondano la richiesta di condanna sull’inosservanza dei restrittivi limiti legislativi e giurisprudenziali che governano la materia (…). È pacifico, infatti, che il provvedimento di incarico, oltre a dare conto dei criteri di scelta del soggetto, debba avere quale indefettibile requisito la reale ricognizione e l’attestazione dell’assenza effettiva delle professionalità richieste dentro la struttura burocratica”;

- “nel PTPCT della Camera dell’anno successivo si dava ancora conto di quanto riportato nelle Relazioni del Presidente e del Procuratore della Corte dei Conti 2018 in merito a casi di responsabilità per incarichi esterni inutilmente assegnati in violazione dell’art. 7 del d.lgs. n. 165/2001, in linea con “i numerosi casi di danno, a livello nazionale, nella sempre imperante materia dell’affidamento di incarichi a soggetti privi delle necessarie (e previste) alte qualificazioni professionali e conferiti al di fuori degli stessi parametri legali, aggirati con fittizie ricognizioni che portano dirigenti e amministratori ad affermare l’assenza di adeguate professionalità all’interno del loro rispettivo comparto”;

- “la delibera camerale n. XX appare, al contrario, costituire un caso limite di difficile equilibrio tra esigenze di trasparenza (intesa sia come motivazione chiara di un provvedimento sia come sua pubblicità) ed esigenze di tutela della privacy. Infatti, vi sono delle ipotesi che pongono l’operatore di diritto nella condizione di agire in assenza di una precisa regola di condotta e quindi al di fuori della certezza del diritto in un limbo in cui tutti i soggetti coinvolti possono ritenersi lesi”;

- “di conseguenza qualunque modalità operativa adotti l’amministrazione, dando prevalenza alla trasparenza o alla privacy, la sua condotta da entrambi gli angoli prospettici potrà apparire, comunque, sanzionabile. Infatti, per simili situazioni limite, non sono state emanate direttive precise, a livello nazionale, in riferimento al rapporto, non scontato, fra la disciplina della tutela dei dati personali di soggetti con posizioni tra loro contrapposte (XX ricorrente/dirigenti non ricorrenti) e la disciplina della trasparenza come sopra intesa che non è fine a sé stessa, ma è funzionale al controllo degli organi preposti e al controllo civico dei cittadini sull’operato delle Pubbliche Amministrazioni rappresentando lo strumento principale per la prevenzione della corruzione e per la trasparenza”;

- “la mancata pubblicazione tout court delle delibere può comportare, non solo, di fatto, una limitazione delle opportunità di partecipazione civica e di conoscibilità dei fatti, ma, come si è cercato di evidenziare nel citare la Corte dei Conti, può anche essere gravemente sanzionata, con sanzione a carico del XX responsabile del procedimento. Parimenti, può determinare una sanzione ordinamentale pubblicare una delibera che contenga solo “formule di stile” (come per esempio, “visto il ricorso n…del …, si dispone la nomina di un legale”)”;

- “allo stesso modo, pubblicare in modo parziale un provvedimento che può essere riferito in pari misura a un numero limitato di persone (tre) ben individuabili in quanto i nomi e gli incarichi sono già pubblicati (in Amministrazione Trasparente), può ledere l’immagine di coloro che tra detti soggetti non ne hanno determinato il presupposto il quale infatti potrebbe erroneamente essere ricollegato alle loro persone”;

- “nel caso di specie, dunque, l’Amministrazione nel pubblicare la delibera n. XX ha ritenuto di agire secondo una sua propria e proporzionata coerenza interna, rispettosa dei moniti appresi dall’esame delle Relazioni della Corte dei Conti e nella convinzione quindi della liceità della propria condotta e del trattamento del nominativo e del ricorso della reclamante, ritenendo che fosse dovuta la pubblicazione dei suddetti dati alla stessa riferibili essendo essa una “XX””;

- “infatti, tutti gli elementi contenuti nella delibera erano già oggetto di pubblicazione a norma dell’art. 14 del d.lgs. n. 33/2013: nome e cognome, incarico di XX dell’Azienda speciale camerale, emolumento spettante. Il ricorso presentato aveva a oggetto tale ultimo elemento”;

- “inoltre, l’Amministrazione ha ritenuto di dover esporre nella delibera compiutamente i fatti trattandosi di un provvedimento a motivazione rafforzata, di avvio di affidamento di una consulenza/collaborazione”;

- “l’accortezza di oscurare il nominativo in fase di pubblicazione non avrebbe impedito l’identificazione della reclamante. Né tale effetto sarebbe stato evitato con la formulazione del testo del provvedimento suggerita dal legale della reclamante: “XX…nominato con deliberazione n. 91 del 6 novembre 2017”. Infatti, nella sezione Amministrazione Trasparente, nel rispetto dell’art. 14 del d.lgs. n. 33/2013, con riferimento alla reclamante, come visto, era già pubblicato l’incarico di XX dell’Azienda speciale e la delibera di affidamento incarico n. 91/2017, ora non più leggibile per ritiro dalla pubblicazione per scadenza dei relativi termini. La formulazione proposta dalla reclamante non avrebbe portato a esiti diversi da quelli dalla stessa lamentati, consistenti nella sua identificazione come ricorrente”;

- “inoltre, poiché il ricorso proposto verte proprio su pretesi emolumenti aggiuntivi connessi al suo ruolo di XX, in caso di accoglimento (se la reclamante fosse ancora nei ruoli) essi sarebbero (stati) pubblicati nella sezione Amministrazione Trasparente”;

- “al riguardo, si evidenzia che, di consueto, Codesto Ill.mo Garante ha ritenuto violato il principio della non eccedenza laddove vi sia la pubblicazione, da qualificarsi senza dubbio pregiudizievole, di dati sulla situazione economica o di salute o di esiti sfavorevoli di procedimenti di natura sanzionatoria e negativa”;

- “la reclamante non ha subito alcun provvedimento di licenziamento da parte della scrivente amministrazione, a differenza del caso da cui è scaturito il menzionato doc. web n. 9815665. La reclamante ha cessato il rapporto di lavoro con la Camera di commercio per sopraggiunti limiti di età”;

- “la delibera camerale n. XX ricollega il nominativo della reclamante, già pubblicato obbligatoriamente nella sezione del sito internet “Amministrazione Trasparente”, ai sensi dell’art. 14 del d.lgs. n. 33/2013, attesa la qualifica di “XX” della reclamante, alla proposizione di un ricorso di lavoro fondato su un incarico (XX dell’Azienda Speciale Centro Servizi Promozionali per le Imprese), già pubblicato obbligatoriamente, nella stessa sezione del sito e in base allo stesso articolo di legge, con l’indicazione dell’emolumento spettante, pari a zero attesa l’onnicomprensività della retribuzione dirigenziale. Lo stesso oggetto del ricorso (differenze retributive) attiene a elementi destinati per legge alla pubblicazione”;

- “la delibera n. XX non fa, pertanto, riferimento ad alcuna circostanza parasensibile come quella del licenziamento, ma richiama, in modo pertinente e strettamente necessario, la proposizione di un ricorso per ottenere una remunerazione del citato incarico, circostanza che costituisce il presupposto logico dell’oggetto/decisum della stessa delibera”;

- la Camera di Commercio, inoltre, afferma che “essendo decorso il termine di 90 giorni di cui all’art. 14, comma 6, della Legge 24 novembre 1981, n. 689, dalla data di accertamento della violazione contestata: pubblicazione dal XX al XX0, sul sito web istituzionale, della deliberazione n. XX del XX contenente i dati personali della reclamante, in assenza di una idonea base giuridica. Infatti, gli elementi utili per avere piena conoscenza della condotta illecita contestata alla scrivente erano a disposizione di Codesto Ill.mo Garante sin dal XX data della nota con la quale la stessa Amministrazione dichiarava di avere pubblicato l’atto in questione dal XX a XX, mentre la contestazione è avvenuta solo in data XX.

3. Esito dell’attività istruttoria.

3.1 Il quadro normativo.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, nell’ambito del contesto lavorativo, possono trattare i dati personali degli interessati, anche relativi a categorie particolari, se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4 e 88 del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, parr. 1, lett. e), 2 e 3, e art. 9, par. 2, lett. g), del Regolamento; art. 2-ter del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di diffusione di dati personali (come la pubblicazione su Internet), da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (cfr. art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

Il titolare del trattamento è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

3.2 La diffusione dei dati personali.

Come risulta dagli atti e dalle dichiarazioni rese dal titolare del trattamento, nonché dall’accertamento compiuto sulla base degli elementi acquisiti a seguito dell’attività istruttoria e dalle successive valutazioni di questo Dipartimento, la Camera di Commercio ha pubblicato, dal XX al XX, sul proprio sito web istituzionale, la deliberazione n.XX del XX, contenente i dati personali della reclamante.

In via preliminare, stante quanto sollevato dalla Camera di Commercio nelle riportate memorie difensive, merita formulare alcune precisazioni in ordine ai termini procedurali, come previsti dal Regolamento del Garante n. 2/2019, adottato il 4 aprile 2019, concernente l’individuazione dei termini e delle unità organizzative responsabili dei procedimenti amministrativi presso il Garante per la protezione dei dati personali (doc. web n. 9107640).

Sul punto si evidenzia che, diversamente da quanto sostenuto dalla Camera di Commercio, al procedimento in oggetto non si applica il termine di 90 giorni di cui alla l. del 24 novembre 1981, n. 689, ma quello di 120 giorni come specificato, ai sensi dell’art. 154, comma 3 e dell’art. 166, comma 9 del Codice, con il predetto regolamento del Garante n. 2/2019, entrato in vigore a seguito della sua pubblicazione nella Gazzetta Ufficiale n. 107 del 9 maggio 2019.

Alla luce di quanto sopra chiarito in ordine ai termini procedurali applicabili al caso di specie, come previsti dalla normativa vigente, ne consegue, pertanto, con riferimento al procedimento in esame, il rispetto degli stessi da parte del Garante considerato il lasso di tempo di fatto intercorso tra l’accertamento della violazione e la contestazione della stessa.

Tanto premesso, per quanto riguarda la pubblicazione dei dati personali dell’interessata, si rappresenta che l’amministrazione che ha intenzione di pubblicare online sul proprio sito istituzionale un atto contenente dati personali è tenuta a verificare, preliminarmente, anche per i dati comuni, l’esistenza di una norma di legge o di regolamento che prescriva la pubblicazione di quell’atto.

Al riguardo si rappresenta che la Camera di Commercio non ha indicato alcuna specifica base giuridica idonea a legittimare la diffusione dei dati personali della reclamante, non potendo le disposizioni richiamate (cfr. art. 32 della legge n. 69/2009 e art. 34 dello Statuto della Camera di commercio di Cagliari e art. 62 del T.U. 20 settembre 1934, n. 2011) costituire un legittimo presupposto per la pubblicazione di una deliberazione avente ad oggetto, in particolare, la “valutazione di azioni a tutela dell'Ente” ai fini dell’ “avvio di un procedimento di affidamento di un incarico di patrocinio legale” contenente il riferimento esplicito al “ricorso notificato a mezzo di posta elettronica certificata in data XX e presentato dalla XX”.

Si evidenzia, in proposito, che questa Autorità, in più occasioni, ha chiarito che anche l’eventuale presenza di uno specifico regime di pubblicità non può comportare alcun automatismo rispetto alla diffusione online dei dati e informazioni personali, né una deroga ai principi in materia di protezione dei dati personali (v. provv. del 23 marzo 2023, n. 84, doc. web 9888113). Pertanto laddove la pubblicazione online di documenti comporti un trattamento di dati personali e quindi una loro diffusione, devono essere opportunamente contemperate le esigenze di pubblicità perseguite con i diritti e le libertà fondamentali, nonché la dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati personali.

Prima di diffondere in rete qualsiasi informazione relativa alla reclamante, la Camera di Commercio avrebbe dovuto verificare quali dati e informazioni pubblicare, avendo cura di verificare la sussistenza di idonei presupposti di liceità della diffusione online dei dati personali contenuti nella deliberazione oggetto di pubblicazione, prima ancora che alla eventuale minimizzazione degli stessi.  Nella predetta delibera non doveva, quindi, essere riportato alcun dato personale della reclamante che fosse in grado di consentire l’identificazione della stessa, tra cui anche l’indicazione del ruolo che l’interessata rivestiva nell’ambito dell’organizzazione (v. “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” doc. web n. 3134436 e “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” doc. web n. 1417809).

Si evidenzia, inoltre, che vanno distinte, anche in ragione del diverso regime giuridico applicabile, le disposizioni che regolano gli obblighi di pubblicità dell’azione amministrativa per finalità di trasparenza da quelle che regolano forme di pubblicità per finalità diverse, quali la pubblicità legale.

In particolare, gli obblighi di pubblicazione online di dati per finalità di "trasparenza" sono quelli indicati nel d.lgs. 14 marzo 2013, n. 33 avente a oggetto le "informazioni concernenti l´organizzazione e l´attività delle pubbliche amministrazioni, allo scopo di favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull´utilizzo delle risorse pubbliche" (cfr. “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati" sopra richiamate, parte I).

Accanto a questi obblighi di pubblicazione coesistono altri obblighi di pubblicità online di dati, informazioni e documenti della P.A. – contenuti in specifiche disposizioni di settore diverse da quelle approvate in materia di trasparenza – come, fra l´altro, quelli volti a far conoscere l´azione amministrativa in relazione al rispetto dei principi di legittimità e correttezza, o quelli atti a garantire la pubblicità legale degli atti amministrativi (es.: pubblicità integrativa dell´efficacia, dichiarativa, notizia; cfr. Linee guida, cit. parte II).

A tale riguardo risulta, pertanto, inconferente il richiamo all’art.14 del d.lgs. 14 marzo 2013, n. 33 che invece obbliga le Pubbliche Amministrazioni a pubblicare gli atti di nomina dei titolari di incarichi dirigenziali, non essendo rilevante che “gli elementi contenuti nella delibera erano già oggetto di pubblicazione”. Nel caso di specie il contenuto della deliberazione n.XX del XX non riguardava l’atto di nomina della reclamante, né altra informazione contenuta nel richiamato art. 14 del citato decreto, oggetto di pubblicazione obbligatoria, bensì esclusivamente le valutazioni di azioni a tutela dell’Ente ai fini dell’“avvio di un procedimento di affidamento di un incarico di patrocinio legale” nell’ambito di un procedimento pendente davanti al Tribunale.

La pubblicazione della deliberazione in questione, senza l’indicazione del nominativo della reclamante, non avrebbe, peraltro, compromesso il principio dell’obbligo di motivazione poiché la versione integrale della stessa sarebbe rimasta, in ogni caso, agli atti del Camera di Commercio e sarebbe stata accessibile, da parte di soggetti qualificati, nei modi e nei limiti previsti dalla legge (sul punto si veda il costante orientamento dell’Autorità, proprio con riguardo a documenti amministrativi formati nell’ambito di procedimenti coinvolgenti anche il personale dell’amministrazione, cfr.  provv. n. 45 del 10 febbraio 2022 doc. web 9751549).

Infine non risulta pertinente il richiamo alle Linee Guida Anac n. 12/2018 su “l’affidamento dei servizi legali”, e alla relativa normativa di settore, in quanto tale disciplina ha la finalità di prevenzione della corruzione “a garanzia di trasparenza degli affidamenti” (come anche affermato nella nota della Camera di Commercio del XX, in atti) con riguardo alla scelta “di affidamento di un incarico di patrocinio legale”.

Pertanto, sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria risulta accertato che la diffusione dei dati personali della reclamante, contenuti nella delibera n. XX del XX è, pertanto, avvenuta in maniera non conforme ai principi di protezione dei dati e in assenza di un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a) e c), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139). 

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Pertanto, si confermano le valutazioni preliminari dell'Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dalla Camera di Commercio, per aver diffuso, mediante pubblicazione online sul proprio sito web istituzionale, dal XX al XX la deliberazione n. XX del XX, contenente i dati personali della reclamante, in violazione degli artt. 5, par. 1, lett. a) e c) e 6 del Regolamento e dell’art. 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

Ciò premesso, tenuto conto che:

• la delibera oggetto di diffusione conteneva il solo nome e cognome riferito ad un unico interessato;

• la violazione non ha riguardato categorie particolari di dati personali;

• la pubblicazione della delibera è avvenuta per un brevissimo periodo di tempo (dal XX al XX anche in ragione del fatto che era presente, nell’ambito delle modalità di pubblicazione dei documenti online della Camera di Commercio, un meccanismo “che consentiva l'archiviazione e il conseguente venir meno della visibilità dei contenuti secondo le tempistiche convenute”;

• la pubblicazione della predetta delibera è avvenuta senza alcuna indicizzazione sui siti generalisti;

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento che siano analoghe rispetto al caso di specie;

- le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’”Endorsement 1/2018” del 25 maggio 2018.
   

Alla luce di tutto quanto sopra rappresentato e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire il titolare del trattamento per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 del Regolamento).

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dalla Camera di Commercio Cagliari – Oristano, (già Camera di Commercio di Cagliari) in persona del legale rappresentante pro-tempore, con sede legale in Largo Carlo Felice, 72 - 09124 Cagliari (CA), C.F. 92244600927

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce la Camera di Commercio Cagliari – Oristano, quale titolare del trattamento in questione, per aver violato gli artt.5, par. 1, lett. a) e c) e 6 del Regolamento e dell’art. 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139);

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 21 dicembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei