Garante per la protezione

Pubblicazione nel sito webistituzionale di un Comune di documenti contenenti dati sensibili idonei arivelare lo stato di salute

PROVVEDIMENTO DEL 21 FEBBRAIO 2013

Registro dei provvedimenti
n. 76 del 21 febbraio 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n.196, di seguito "Codice");

VISTAla comunicazione in atti presentata dalla Guardia di finanza della Tenenza diGioia del Colle con la quale è stata segnalata la pubblicazione, nel sito webistituzionale del Comune di Capaccio, delle ordinanze (...), aventi a oggettola sottoposizione a trattamenti sanitari obbligatori e contenenti «datisensibili idonei ad identificare le persone interessate e rivelare lo stato disalute di esse, consentendone l'accessibilità indistintamente a qualsiasiutente durante la navigazione nella rete web»;

RILEVATO,da un accertamento preliminare effettuato dall'Ufficio in data 4 febbraio 2013,che sul sito web istituzionale del predetto comunehttp://www.comune.capaccio.sa.gov.it/, al link situato nella homepagedenominato "WW", à possibile consultare l'archivio delle ordinanzedall'anno 2007 al 2013;

RILEVATO,nel medesimo accertamento preliminare, che in detta area sono visibili eliberamente scaricabili le predette ordinanze ai seguenti url segnalati dallaGuardia di finanza: http://www.comune.capaccio.sa.gov.it/....pdf;http://www.comune.capaccio.sa.gov.it/....pdf;http://www.comune.capaccio.sa.gov.it/....pdf;http://www.comune.capaccio.sa.gov.it/....pdf;http://www.comune.capaccio.sa.gov.it/....pdf;http://www.comune.capaccio.sa.gov.it/....pdf;http://www.comune.capaccio.sa.gov.it/....pdf; http://www.comune.capaccio.sa.gov.it/....pdf;http://www.comune.capaccio.sa.gov.it/....pdf;http://www.comune.capaccio.sa.gov.it/....pdf;http://www.comune.capaccio.sa.gov.it/....pdf;http://www.comune.capaccio.sa.gov.it/....pdf;

PRESOATTO che con le ordinanze suindicate à stato ordinato il ricovero immediato perla sottoposizione a trattamento sanitario obbligatorio dei rispettividestinatari, con indicazione in chiaro oltre che dei dati anagrafici(nominativo, luogo e data di nascita) e di residenza dei soggetti interessati,anche della patologia dagli stessi sofferta;

CONSIDERATOche per dato personale si intende «qualunque informazione relativa a personafisica, identificata o identificabile, anche indirettamente, mediante riferimentoa qualsiasi altra informazione, ivi compreso un numero di identificazionepersonale» (art. 4, comma 1, lett. b), del Codice);

CONSIDERATOche per diffusione di dati personali si intende «il dare conoscenza dei datipersonali a soggetti indeterminati, in qualunque forma, anche mediante la loromessa a disposizione o consultazione» (art. 4, comma 1, lett. m), del Codice);

PRESOATTO che la pubblicazione delle ordinanze (...) – recanti in chiaro idati identificativi degli interessati e la loro condizione di salute – hacausato una diffusione di dati sensibili in quanto idonei a rivelare lo statodi salute degli interessati (art. 4, comma 1, lett. d), del Codice);

CONSIDERATOche l'art. 22, comma 8, del Codice prevede che nel trattamento effettuato da soggettipubblici i "dati idonei a rivelare lo stato di salute non possono esserediffusi" (cfr., in tal senso, anche l'art. 65, comma 5, e l'art. 68, comma3, del Codice) e che, pertanto, à vietata la diffusione di dati da cui si possadesumere lo stato di malattia o l'esistenza di patologie dei soggettiinteressati, compreso qualsiasi riferimento alla condizioni di invalidità,disabilità o handicap fisici e/o psichici (cfr. i provvedimenti del Garante 22 novembre 2012; 29 novembre 2012; 7 ottobre 2009; 17 settembre 2009; 25 giugno 2009; 8 maggio 2008; 18 gennaio 2007; 27 febbraio 2002).

RICHIAMATEle indicazioni fornite dal Garante con il Provvedimento del 2 marzo 2011 n. 88recante le "Linee guida in materia di trattamento di dati personalicontenuti anche in atti e documenti amministrativi, effettuato da soggettipubblici per finalità di pubblicazione e diffusione sul web" (pubblicatoin G.U. n. 64 del 19 marzo 2011) in cui à stato precisato che in «relazione alle soleoperazioni di comunicazione e di diffusione, le pubbliche amministrazioni, nelmettere a disposizione sui propri siti istituzionali dati personali, contenutianche in atti e documenti amministrativi (in forma integrale, per estratto, ivicompresi gli allegati), devono preventivamente verificare che una norma dilegge o di regolamento preveda tale possibilità (artt. 4, comma 1, lett. l) em), 19, comma 3, 20 e 21, del Codice), fermo restando comunque il generaledivieto di diffusione dei dati idonei a rivelare lo stato di salute dei singoliinteressati (artt. 22, comma 8, 65, comma 5, 68, comma 3, del Codice)» (cfr.par. 2.1.);

RILEVATA,pertanto, l'illiceità del trattamento effettuato dal Comune di Capaccio inrelazione all'avvenuta diffusione di dati idonei a rivelare lo stato di salutedegli interessati in violazione dell'art. 22, comma 8, del Codice;

CONSIDERATOche il Garante, ai sensi degli artt. 143, comma 1, lett. c), e 154, comma 1,lett. d), del Codice, ha il compito di "vietare anche d'ufficio, in tuttoo in parte, il trattamento illecito o non corretto dei dati o disporne ilblocco", nonché "di adottare gli altri provvedimenti previsti dalladisciplina applicabile al trattamento di dati personali";

RITENUTOnecessario, in ragione dell'illiceità del trattamento effettuato, vietare alComune di Capaccio, ai sensi dei citati artt. 143, comma 1, lett. c), e 154,comma 1, lett. d), del Codice, l'ulteriore diffusione in Internet – siaattraverso la pubblicazione nell'area "WW" che in qualsiasi altraarea del sito web istituzionale – dei dati personali idonei a rivelare lostato di salute dei soggetti interessati contenuti nelle ordinanze (...) aventia oggetto la sottoposizione a trattamento sanitario obbligatorio, nonché intutti gli altri atti aventi analogo oggetto pubblicati alla data di ricezionedel presente provvedimento;

CONSIDERATO,inoltre, che risulta indispensabile adottare idonei accorgimenti nellapredisposizione degli atti del Comune con cui si ordina il ricovero immediatoper la sottoposizione a trattamento sanitario obbligatorio, con particolareriferimento alla necessità di rispettare il divieto di diffusione di datiidonei a rivelare lo stato di salute dell'interessato;

CONSIDERATO,in merito, che il Garante, ai sensi degli artt. 143, comma 1, lett. b), e 154,comma 1, lett. c), del Codice, ha il compito di prescrivere, anche d'ufficio,"le misure necessarie o opportune al fine di rendere il trattamentoconforme alle disposizioni vigenti";

RITENUTOnecessario prescrivere al Comune di Capaccio, ai sensi dei citati artt. 143,comma 1, lett. b), e 154, comma 1, lett. c), del Codice, di conformare per ilfuturo la pubblicazione di atti e documenti in Internet alle disposizionicontenute nel Codice in materia di protezione dei dati personali e nelle citate"Linee guida in materia di trattamento di dati personali contenuti anchein atti e documenti amministrativi, effettuato da soggetti pubblici per finalitàdi pubblicazione e diffusione sul web", rispettando, in particolare, ildivieto di diffusione dei dati idonei a rivelare lo stato di salute degliinteressati (art. 22, comma 8, del Codice; par. 2.1 delle Linee guida);

RITENUTOdi valutare, con separato provvedimento, gli estremi per contestare al Comunedi Capaccio la violazione amministrativa prevista dall'art. 162, comma 2-bis,del Codice come modificato dalla legge 27 febbraio 2009, n. 14 di conversione,con modificazioni, del decreto legge del 30 dicembre 2008 n. 207;

TENUTOCONTO che, ai sensi dell'art. 170 del Codice, chiunque essendovi tenuto nonosserva il presente provvedimento di divieto à punito con la reclusione da tremesi a due anni e che ai sensi dell'art. 162, comma 2-ter del Codice, in casodi inosservanza del medesimo provvedimento, à altresì applicata in sedeamministrativa, in ogni caso, la sanzione del pagamento di una somma datrentamila a centottantamila euro;

VISTAla documentazione in atti;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

Relatoreil dott. Antonello Soro;

TUTTO CIO' PREMESSO IL GARANTE

rilevatal'illiceità del trattamento dei dati effettuato dal Comune di Capaccio neitermini indicati in premessa:

1. vietaal Comune di Capaccio, ai sensi dei citati artt. 143, comma 1, lett. c), e 154,comma 1, lett. d), del Codice, l'ulteriore diffusione in Internet – siaattraverso la pubblicazione nell'area "WW" che in qualsiasi altraarea del sito web istituzionale – dei dati personali idonei a rivelare lostato di salute dei soggetti interessati contenuti nelle ordinanze (...) aventia oggetto la sottoposizione a trattamento sanitario obbligatorio, nonché intutti gli altri atti aventi analogo oggetto pubblicati alla data di ricezionedel presente provvedimento;

2.prescrive al Comune di Capaccio, ai sensi dei citati artt. 143, comma 1, lett.b), e 154, comma 1, lett. c), del Codice, di conformare per il futuro lapubblicazione di atti e documenti in Internet alle disposizioni contenute nelCodice in materia di protezione dei dati personali e nelle citate "Lineeguida in materia di trattamento di dati personali contenuti anche in atti edocumenti amministrativi, effettuato da soggetti pubblici per finalità dipubblicazione e diffusione sul web", rispettando, in particolare, ildivieto di diffusione dei dati idonei a rivelare lo stato di salute degliinteressati (art. 22, comma 8, del Codice; par. 2.1 delle Linee guida).

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 21 febbraio 2013

Il presidente
Soro

Il relatore
Soro

Il segretario generale
Busia