Garante per la protezione
    dei dati personali


Pubblicazione nel sito web istituzionale di un Comune di documenti contenenti dati sensibili idonei a rivelare lo stato di salute

PROVVEDIMENTO DEL 4 APRILE 2013

Registro dei provvedimenti
n. 154 del 4 aprile 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n.196, di seguito "Codice");

VISTAla comunicazione in atti presentata dalla Guardia di finanza della Tenenza diGioia del Colle con la quale è stata segnalata la pubblicazione, nel sitoistituzionale del Comune di Avola (SR), delle ordinanze del sindaco n. QQ delWW, n. YY del HH, n. JJ del KK aventi a oggetto la sottoposizione a trattamentisanitari obbligatori e contenenti "dati sensibili idonei ad identificarele persone interessate e rivelare lo stato di salute di ciascuno di essi,consentendone l'accessibilità indistintamente a qualsiasi utente durante lanavigazione nella rete web";

RILEVATO,da un accertamento preliminare effettuato dall'Ufficio in data 20 marzo 2013,che ai seguenti url segnalati dalla Guardia di finanza sono visibili eliberamente scaricabili le predette ordinanze:
http://www.comune.avola.sr.it/...,
http://www.comune.avola.sr.gov.it/....pdf,
http://www.comune.avola.sr.gov.it/....pdf;

PRESOATTO che con le ordinanze del sindaco suindicate è stata disposta lasottoposizione ad accertamento o a trattamento sanitario obbligatorio deisoggetti interessati, con indicazione in chiaro oltre che dei dati anagrafici(nominativo, luogo e data di nascita) e di residenza, anche della patologiadagli stessi sofferta;

VISTOche dal medesimo accertamento preliminare è stato, altresì, verificato che inominativi dei soggetti interessati contenuti nelle ordinanze n. YY del HH e n.JJ del KK sono immediatamente visibili in rete tramite l'inserimento dellegeneralità dei medesimi nei più diffusi motori di ricerca generalisti comeGoogle;

CONSIDERATOche per dato personale si intende "qualunque informazione relativa apersona fisica, identificata o identificabile, anche indirettamente, medianteriferimento a qualsiasi altra informazione, ivi compreso un numero diidentificazione personale" (art. 4, comma 1, lett. b, del Codice);

CONSIDERATOche per diffusione dei dati personali si intende "il dare conoscenza deidati personali a soggetti indeterminati, in qualunque forma, anche mediante laloro messa a disposizione o consultazione" (art. 4, comma 1, lett. m, delCodice);

PRESOATTO che la pubblicazione delle ordinanze del sindaco n. QQ del WW, n. YY delHH, n. JJ del KK – recanti in chiaro i dati identificativi degliinteressati e la loro condizione di salute –, unita alla reperibilità nelweb, in alcuni casi, mediante l'inserzione dei nominativi dei destinatari neipiù diffusi motori di ricerca come Google, ha causato una diffusione di datisensibili in quanto idonei a rivelare lo stato di salute degli interessati(art. 4, comma 1, lett. d, del Codice);

CONSIDERATOche l'art. 22, comma 8, del Codice prevede che nel trattamento effettuato dasoggetti pubblici i "dati idonei a rivelare lo stato di salute non possonoessere diffusi" (cfr., in tal senso, anche l'art. 65, comma 5, e l'art.68, comma 3, del Codice) e che, pertanto, è vietata la diffusione di dati dacui si possa desumere lo stato di malattia o l'esistenza di patologie deisoggetti interessati, compreso qualsiasi riferimento alla condizioni diinvalidità, disabilità o handicap fisici e/o psichici (cfr. i provvedimenti delGarante 22 novembre 2012; 29 novembre 2012; 7 ottobre 2009; 17 settembre 2009; 25 giugno 2009; 8 maggio 2008; 18 gennaio 2007; 27 febbraio 2002).

RICHIAMATEle indicazioni fornite dal Garante con il Provvedimento del 2 marzo 2011 n. 88recante le "Linee guida in materia di trattamento di dati personalicontenuti anche in atti e documenti amministrativi, effettuato da soggettipubblici per finalità di pubblicazione e diffusione sul web" (pubblicatoin G.U. n. 64 del 19 marzo 2011) in cuiè stato precisato che in "relazione alle sole operazioni di comunicazionee di diffusione, le pubbliche amministrazioni, nel mettere a disposizione suipropri siti istituzionali dati personali, contenuti anche in atti e documenti amministrativi(in forma integrale, per estratto, ivi compresi gli allegati), devonopreventivamente verificare che una norma di legge o di regolamento preveda talepossibilità (artt. 4, comma 1, lett. l) e m), 19, comma 3, 20 e 21, delCodice), fermo restando comunque il generale divieto di diffusione dei datiidonei a rivelare lo stato di salute dei singoli interessati (artt. 22, comma8, 65, comma 5, 68, comma 3, del Codice)" (cfr. par. 2.1.);

RILEVATA,pertanto, l'illiceità del trattamento effettuato dal Comune di Avola inrelazione all'avvenuta diffusione di dati idonei a rivelare lo stato di salutedegli interessati in violazione dell'art. 22, comma 8, del Codice;

CONSIDERATOche il Garante, ai sensi degli artt. 143, comma 1, lett. c), e 154, comma 1, lett.d), del Codice, ha il compito di "vietare anche d'ufficio, in tutto o inparte, il trattamento illecito o non corretto dei dati o disporne ilblocco", nonché "di adottare gli altri provvedimenti previsti dalladisciplina applicabile al trattamento di dati personali";

RITENUTOnecessario, in ragione dell'illiceità del trattamento effettuato, vietare alComune di Avola, ai sensi dei citati artt. 143, comma 1, lett. c), e 154, comma1, lett. d), del Codice, l'ulteriore diffusione in Internet dei dati personaliidonei a rivelare lo stato di salute dei soggetti interessati contenuti nelleordinanze del sindaco n. QQ del WW, n. YY del HH, n. JJ del KK aventi a oggettola sottoposizione ad accertamento e a trattamento sanitario obbligatorio, nonchéin tutti gli altri atti aventi analogo oggetto pubblicati alla data diricezione del presente provvedimento;

CONSIDERATO,inoltre, che risulta indispensabile adottare idonei accorgimenti nellapredisposizione degli atti del sindaco che ordinano la sottoposizione ad accertamentoo a trattamento sanitario obbligatorio, con particolare riferimento allanecessità di rispettare il divieto di diffusione di dati idonei a rivelare lostato di salute dell'interessato;

CONSIDERATO,in merito, che il Garante, ai sensi degli artt. 143, comma 1, lett. b), e 154,comma 1, lett. c), del Codice, ha il compito di prescrivere, anche d'ufficio,"le misure necessarie o opportune al fine di rendere il trattamentoconforme alle disposizioni vigenti";

RITENUTOnecessario prescrivere al Comune di Avola, ai sensi dei citati artt. 143, comma1, lett. b), e 154, comma 1, lett. c), del Codice, di conformare per il futurola pubblicazione di atti e documenti in Internet alle disposizioni contenutenel Codice in materia di protezione dei dati personali e nelle citate"Linee guida in materia di trattamento di dati personali contenuti anchein atti e documenti amministrativi, effettuato da soggetti pubblici per finalitàdi pubblicazione e diffusione sul web", rispettando, in particolare, ildivieto di diffusione dei dati idonei a rivelare lo stato di salute degliinteressati (art. 22, comma 8, del Codice; par. 2.1 delle Linee guida);

RITENUTO,altresì, necessario prescrivere al Comune di Avola di attivarsi presso iresponsabili dei principali motori di ricerca, come Google, al fine disollecitare la rimozione della copia web delle ordinanze n. YY del HH e n. JJdel KK, nonché di tutti gli altri atti aventi a oggetto la sottoposizione adaccertamento o a trattamento sanitario obbligatorio pubblicati alla data diricezione del presente provvedimento, dagli indici e dalla cache dei motori diricerca a decorrere dalla data di ricezione del presente provvedimento;

RITENUTOdi valutare, con separato provvedimento, gli estremi per contestare al Comunedi Avola la violazione amministrativa prevista dall'art. 162, comma 2-bis, delCodice come modificato dalla legge 27 febbraio 2009, n. 14 di conversione, conmodificazioni, del decreto legge del 30 dicembre 2008 n. 207;

TENUTOCONTO che, ai sensi dell'art. 170 del Codice, chiunque essendovi tenuto nonosserva il presente provvedimento di divieto è punito con la reclusione da tremesi a due anni e che ai sensi dell'art. 162, comma 2-ter, del Codice, in caso diinosservanza del medesimo provvedimento, è altresì applicata in sedeamministrativa, in ogni caso, la sanzione del pagamento di una somma datrentamila a centottantamila euro;

VISTAla documentazione in atti;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

Relatoreil dott. Antonello Soro;

TUTTO CIO' PREMESSO IL GARANTE

rilevatal'illiceità del trattamento dei dati effettuato dal Comune di Avola nei terminiindicati in premessa:

1.   vietaal Comune di Avola, ai sensi dei citati artt. 143, comma 1, lett. c), e 154,comma 1, lett. d), del Codice, l'ulteriore diffusione in Internet dei datipersonali idonei a rivelare lo stato di salute dei soggetti interessaticontenuti nelle ordinanze del sindaco n. QQ del WW, n. YY del HH, n. JJ del KKaventi a oggetto la sottoposizione ad accertamento e a trattamento sanitarioobbligatorio, nonché in tutti gli altri atti aventi analogo oggetto pubblicatialla data di ricezione del presente provvedimento;

2.  prescriveal Comune di Avola, ai sensi dei citati artt. 143, comma 1, lett. b), e 154,comma 1, lett. c), del Codice, di conformare per il futuro la pubblicazione diatti e documenti in Internet alle disposizioni contenute nel Codice in materiadi protezione dei dati personali e nelle citate "Linee guida in materia ditrattamento di dati personali contenuti anche in atti e documentiamministrativi, effettuato da soggetti pubblici per finalità di pubblicazione ediffusione sul web", rispettando, in particolare, il divieto di diffusionedei dati idonei a rivelare lo stato di salute degli interessati (art. 22, comma8, del Codice; par. 2.1 delle Linee guida);

3.  prescriveal Comune di Avola, ai sensi dei citati artt. 143, comma 1, lett. b), e 154,comma 1, lett. c), del Codice, di attivarsi presso i principali motori diricerca, come Google, al fine di sollecitare la rimozione della copia web delleordinanze n. YY del HH e n. JJ del KK, nonché di tutti gli altri atti aventi aoggetto la sottoposizione ad accertamento o a trattamento sanitarioobbligatorio pubblicati alla data di ricezione del presente provvedimento,dagli indici e dalla cache dei motori di ricerca a decorrere dalla data diricezione del presente provvedimento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 4 aprile 2013

Il presidente
Soro

Il relatore
Soro

Il segretario generale
Busia