Curriculum online con dati sensibili, sanzione dal Garante

Bene essere “trasparenti”, ma esserlo troppo anche no. Com’è noto, gli Enti pubblici hanno l’obbligo di inserire nel proprio sito istituzionale, nella pagina denominata appositamente “Amministrazione trasparente”, tutta una serie di informazioni relative agli amministratori e ai consulenti esterni di cui si avvalgono per le attività professionali specifiche che i dipendenti non sono in grado di erogare. 

 

Comune multato dall’Autority per la pubblicazione di un curriculum con dati sensibili

Il fatto è che spesso vengono pubblicati in rete e dati in pasto “al mondo” i curricula integrali inviati e forniti dai professionisti per un uso “interno”, cioè limitato all’Ente stesso, e che come tali contengono svariate informazioni sensibili quali indirizzo fisico di casa, numero di cellulare, perfino codice fiscale e quant’altro. Tutti dati che andrebbero quanto meno oscurati prima di mettere i curricula a disposizione “urbi et orbi”, ma questa precauzione di buon senso, oltre che doverosa nel rispetto delle norme sulla tutela della privacy, non sempre viene osservata, con pregiudizi per i diretti interessati ma con conseguenze sanzionatorie per lo stesso Ente. 

Ne sa qualcosa il Comune che, come riportato nella Newsletter di luglio 2022 del Garante per la protezione dei dati personali, è stato sanzionato dall’Autorità con una multa da diecimila euro appunto per aver pubblicato atti e documenti on line non pertinenti rispetto alle finalità di trasparenza richieste e perseguite, e soprattutto rischiosi per il soggetto di cui sono state diffuse avventatamente le notizie sensibili.

A presentare reclamo al Garante, con il conseguente intervento dell’Autorità, infatti, è stato un ex consulente dell’amministrazione comunale “incriminata”, il quale ha lamentato appunto la diffusione dei suoi dati personali contenuti all’interno di un curriculum vitae pubblicato sul sito web istituzionale del Comune, con cui aveva peraltro cessato da diverso tempo la collaborazione e la sua attività lavorativa per conto di esso. Con il reclamo l’interessato aveva anche fatto presente la sua peculiare condizione personale, in ragione della quale la diffusione dei dati avrebbe potuto comportare dei gravi rischi per sé e per la sua famiglia.

 

Dati mantenuti oltre il tempo previsto e non depurati dalle informazioni personali

Nel corso dell’istruttoria il Garante ha accertato che il curriculum era rimasto disponibile online oltre l’arco temporale previsto dalla disciplina di settore e che la circostanza aveva comportato la diffusione di informazioni in assenza di base giuridica. Il Comune non aveva neanche operato un’attenta selezione dei dati in esso contenuti, quali appunto indirizzo di residenza, numero di cellulare e indirizzo di posta elettronica personali, eccetera.

E’ il Comune il responsabile della gestione dei dati anche se l’affida a un “webmaster” esterno 

Quanto alla tesi difensiva avanzata dal Comune, secondo la quale la pubblicazione del curriculum del reclamante sarebbe dipesa dalla condotta negligente del fornitore a cui era stata affidata all’epoca la gestione della pagina “Amministrazione Trasparente” del sito, il Garante ha ricordato che spetta al titolare del trattamento, quindi nel caso in esame al Comune stesso, impartire adeguate indicazioni ai fini della corretta gestione del ciclo di vita dei dati a chi li tratta per suo conto. Indicazioni che l’Ente aveva mancato di dare alla società affidataria del servizio informatico. La diffusione dei dati personali del reclamante era pertanto avvenuta in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e “minimizzazione dei dati”. Tra le altre violazioni riscontrate dall’Autorità, anche la mancata risposta da parte del Comune alla richiesta di esercizio dei diritti dell’interessato.

 

Sanzione contenuta, la violazione si limitava a un oggetto, ma da monito per gli Enti pubblici

Nel determinare l’ammontare della sanzione il Garante per la privacy ha tenuto favorevolmente in considerazione il fatto che la violazione non aveva riguardato categorie particolari di dati personali e aveva coinvolto un solo interessato. Il titolare del trattamento cioè il Comune, ha inoltre fornito assicurazioni in merito alle modalità con cui in futuro provvederà a pubblicare atti e documenti contenenti dati personali sul proprio sito web istituzionale. L’episodio, tuttavia, deve far ben riflettere Comuni, Province, Città Metropolitane, Regioni e quant’altro sulla necessità di tenere un diverso, più accorato e professionale approccio nella gestione di una sezione tanto delicata del proprio sito Internet qual è appunto quella relativa all’Amministrazione trasparente.