L’Autorità Garante ha irrogato una sanzione amministrativa al Comune di Greve in Chianti (FI) a seguito del reclamo presentato da una ex dipendente per la pubblicazione, nella sezione “Albo online” del sito web del Comune, di una determinazione al cui interno erano menzionati riferimenti a vicende relative al suo rapporto di lavoro. Vi erano riferimenti non solo alla persona ma anche ai dati personali relativi a condanne penali e reati.

Secondo il Garante è noto che i soggetti pubblici trattino i dati dei dipendenti in forza di molteplici obblighi di legge o per l’esecuzione di un compito di interesse pubblico (art. 4, 6, 88 GDPR).

In taluni casi previsti dalla legge o dal regolamento (art. 2-ter, commi 1 e 3, del Codice Privacy), poi, è autorizzata anche la diffusione dei dati stessi (come per esempio la pubblicazione su internet); così dev’essere soprattutto riguardo al trattamento dei dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza (art. 2-octies, commi 1 e 5, del Codice Privacy).

Il titolare del trattamento è tenuto, però, a rispettare i principi in materia di protezione dei dati e, in particolare, il principio di “minimizzazione dei dati”, anche in presenza di un obbligo di pubblicazione. I soggetti chiamati a darvi attuazione non possono comunque diffondere i dati personali eccedenti o non pertinenti (provv. n. 243 del 15 maggio 2014, Linee guida in materia di trattamento di dati personali[1]).

Sin dal 2014, infatti le Linee Guida hanno chiarito che sostituire nome e cognome con le iniziali è misura insufficiente per anonimizzare i dati, dovendosi invece procedere a “oscurare del tutto il nominativo e le altre informazioni riferite all’interessato che ne possono consentire l’identificazione anche a posteriori”. Sul punto, infatti, l’Autorità ha affermato che il “rischio di identificare l’interessato è tanto più probabile quando, fra l’altro, accanto alle iniziali del nome e cognome permangono ulteriori informazioni di contesto che rendono comunque identificabile l’interessato”.

Con riferimento agli obblighi di cui D.Lgs. n. 33/2013[2], il Garante, come già più volte chiarito in precedenza, ha nuovamente ribadito che nel pubblicare le delibere per le finalità di trasparenza va verificato caso per caso “se ricorrono i presupposti per l’oscuramento di determinate informazioni”, in conformità al principio di minimizzazione dei dati, “quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi o altre modalità che permettano di identificare l’interessato solo in caso di necessità”.

Le medesime considerazioni valgono, altresì, in merito agli obblighi derivanti dall’art. 124 del D.Lgs. n. 267/2000[3] atteso che anche alle pubblicazioni nell’albo pretorio online si applicano tutti i limiti previsti sopra menzionati con riguardo al rispetto del principio di minimizzazione dei dati e alle cautele nel caso in cui gli atti da pubblicare contengano dati appartenenti a categorie particolari.

Nella Newsletter del 27 luglio 2020 n. 467, l’Autorità Garante ha ribadito che gli Enti Locali debbano “rispettare i principi indicati dal Regolamento europeo in materia di protezione dei dati personali, in particolare, quelli di liceità, correttezza e trasparenza nonché di minimizzazione, in base al quale i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”.

 

[1] https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/3134436

[2] http://www.rgs.mef.gov.it/_Documenti/VERSIONE-I/Selezione_normativa/D-Lgs-/DLGS14-03-2013_n33.pdf

[3] Art. 124 “Pubblicazione delle deliberazioni”, DECRETO LEGISLATIVO 18 agosto 2000, n. 267, TESTO UNICO DELLE LEGGI SULL’ORDINAMENTO DEGLI ENTI LOCALI. 1. Tutte le deliberazioni del comune e della provincia sono pubblicate mediante pubblicazione all’albo pretorio, nella sede dell’ente, per quindici giorni consecutivi, salvo specifiche disposizioni di legge (comma così modificato dall’art. 9, comma 5-bis, legge n. 221 del 2012) 2. Tutte le deliberazioni degli altri enti locali sono pubblicate mediante pubblicazione all’albo pretorio del comune ove ha sede l’ente, per quindici giorni consecutivi, salvo specifiche disposizioni (comma così modificato dall’art. 9, comma 5-bis, legge n. 221 del 2012.