Curriculum online con dati sensibili, sanzione dal Garante
Bene essere “trasparenti”, ma esserlo troppo anche no. Com’è noto, gli Enti pubblici hanno l’obbligo di inserire nel proprio sito istituzionale, nella pagina denominata appositamente “Amministrazione trasparente”, tutta una serie di informazioni relative agli amministratori e ai consulenti esterni di cui si avvalgono per le attività professionali specifiche che i dipendenti non sono in grado di erogare.
Comune multato dall’Autority per la pubblicazione di un curriculum con dati sensibili
Il fatto è che spesso vengono pubblicati in rete e dati in pasto “al mondo” i curricula integrali inviati e forniti dai professionisti per un uso “interno”, cioè limitato all’Ente stesso, e che come tali contengono svariate informazioni sensibili quali indirizzo fisico di casa, numero di cellulare, perfino codice fiscale e quant’altro. Tutti dati che andrebbero quanto meno oscurati prima di mettere i curricula a disposizione “urbi et orbi”, ma questa precauzione di buon senso, oltre che doverosa nel rispetto delle norme sulla tutela della privacy, non sempre viene osservata, con pregiudizi per i diretti interessati ma con conseguenze sanzionatorie per lo stesso Ente.
Ne sa qualcosa il Comune che, come riportato nella Newsletter di luglio 2022 del Garante per la protezione dei dati personali, è stato sanzionato dall’Autorità con una multa da diecimila euro appunto per aver pubblicato atti e documenti on line non pertinenti rispetto alle finalità di trasparenza richieste e perseguite, e soprattutto rischiosi per il soggetto di cui sono state diffuse avventatamente le notizie sensibili.
A presentare reclamo al Garante, con il conseguente intervento dell’Autorità, infatti, è stato un ex consulente dell’amministrazione comunale “incriminata”, il quale ha lamentato appunto la diffusione dei suoi dati personali contenuti all’interno di un curriculum vitae pubblicato sul sito web istituzionale del Comune, con cui aveva peraltro cessato da diverso tempo la collaborazione e la sua attività lavorativa per conto di esso. Con il reclamo l’interessato aveva anche fatto presente la sua peculiare condizione personale, in ragione della quale la diffusione dei dati avrebbe potuto comportare dei gravi rischi per sé e per la sua famiglia.
Dati mantenuti oltre il tempo previsto e non depurati dalle informazioni personali
Nel corso dell’istruttoria il Garante ha accertato che il curriculum era rimasto disponibile online oltre l’arco temporale previsto dalla disciplina di settore e che la circostanza aveva comportato la diffusione di informazioni in assenza di base giuridica. Il Comune non aveva neanche operato un’attenta selezione dei dati in esso contenuti, quali appunto indirizzo di residenza, numero di cellulare e indirizzo di posta elettronica personali, eccetera.
E’ il Comune il responsabile della gestione dei dati anche se l’affida a un “webmaster” esterno
Quanto alla tesi difensiva avanzata dal Comune, secondo la quale la pubblicazione del curriculum del reclamante sarebbe dipesa dalla condotta negligente del fornitore a cui era stata affidata all’epoca la gestione della pagina “Amministrazione Trasparente” del sito, il Garante ha ricordato che spetta al titolare del trattamento, quindi nel caso in esame al Comune stesso, impartire adeguate indicazioni ai fini della corretta gestione del ciclo di vita dei dati a chi li tratta per suo conto. Indicazioni che l’Ente aveva mancato di dare alla società affidataria del servizio informatico. La diffusione dei dati personali del reclamante era pertanto avvenuta in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e “minimizzazione dei dati”. Tra le altre violazioni riscontrate dall’Autorità, anche la mancata risposta da parte del Comune alla richiesta di esercizio dei diritti dell’interessato.
Sanzione contenuta, la violazione si limitava a un oggetto, ma da monito per gli Enti pubblici
Nel determinare l’ammontare della sanzione il Garante per la privacy ha tenuto favorevolmente in considerazione il fatto che la violazione non aveva riguardato categorie particolari di dati personali e aveva coinvolto un solo interessato. Il titolare del trattamento cioè il Comune, ha inoltre fornito assicurazioni in merito alle modalità con cui in futuro provvederà a pubblicare atti e documenti contenenti dati personali sul proprio sito web istituzionale. L’episodio, tuttavia, deve far ben riflettere Comuni, Province, Città Metropolitane, Regioni e quant’altro sulla necessità di tenere un diverso, più accorato e professionale approccio nella gestione di una sezione tanto delicata del proprio sito Internet qual è appunto quella relativa all’Amministrazione trasparente.
Come faccio a cancellare i miei dati da internet?
Gent.le Barbara,
il diritto alla cancellazione dei propri dati personali è espressamente previsto ai sensi dell’art. 17 del Reg. (UE) 2016/679 (“GDPR”) in base al quale “l’interessato ha diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano”.
Tale diritto non è tuttavia assoluto, ma trova accoglimento in presenza di determinati requisiti (es. trattamento illegittimo, revoca del consenso antecedentemente prestato ecc) e in ogni caso è sottoposto ad alcuni limiti applicativi stringenti (es. nel caso in cui il titolare tratti i dati per adempiere ad un obbligo di legge oppure per accertare o difendere un diritto in sede giudiziaria).
Tanto premesso, la richiesta di cancellazione dei propri dati personali, è cosa diversa dall’ipotesi in cui si chieda anche la definitiva rimozione di contenuti dal web, posto che in tal caso entra in gioco l’accezione più ampia del diritto alla cancellazione, ovvero l’esercizio del c.d. diritto all’oblio (“il diritto ad essere dimenticati”).
In tale ambito, sarà quindi essenziale valutare le circostanze e i motivi per cui si agisce per la tutela del proprio diritto all’oblio. Lo stesso non si configura infatti come un diritto assoluto, ma può trovare accoglimento all’esito di un puntuale bilanciamento con altri diritti e interessi ritenuti ugualmente meritevoli di tutela (es. l’interesse pubblico a conoscere il contenuto, il tempo trascorso dall’avvenimento, l’accuratezza della notizia, la sua rilevanza, la sua veridicità ecc.).
Avv. Viola Parlato
____
Ringraziandola per il contributo fornito alla discussione sul tema, e nella speranza di averle risposto in modo soddisfacente, la invitiamo per ulteriori approfondimenti a contattarci tramite il form di contatto che troverà alla seguente pagina: https://www.bloggiuridico.it/contatti