Servizi di Staff della Direzione Generale Servizio Affari Generali e Normativa Istituzionale

Transcript

1 Servizi di Staff della Direzione Generale Servizio Affari Generali e Normativa Istituzionale AGGIORNAMENTO IN MATERIA DI TRATTAMENTO DI DATI PERSONALI CONTENUTI ANCHE IN ATTI E DOCUMENTI AMMINISTRATIVI, EFFETTUATO PER FINALITA DI PUBBLICITA E TRASPARENZA SUL WEB DA SOGGETTI PUBBLICI E DA ALTRI ENTI OBBLIGATI LINEE GUIDA DEL GARANTE N. 243 DEL 15 MAGGIO 2014 (PUBBLICATO IN G.U.R.I. N. 134 DEL 12 GIUGNO 2014) Premessa La presente analisi trae spunto dal provvedimento n. 243 del 15 maggio 2014, emanato dal Garante per la protezione dei dati personali (e pubblicato sulla Gazzetta Ufficiale della Repubblica Italiana, n. 134 del ), sotto forma di Linee Guida relative al trattamento, alla gestione ed alla pubblicazione dei dati personali nell ambito dell intervenuta normativa in materia di trasparenza nella Pubblica Amministrazione (D. Lgs. n. 33 del 2013). Le anzidette Linee Guida hanno pertanto lo scopo di definire un quadro unitario di misure ed accorgimenti volti ad individuare opportune cautele che i soggetti pubblici ( ) sono tenuti ad applicare nei casi in cui effettuano attività di diffusione dei dati personali sui propri siti web istituzionali, per finalità di trasparenza o per altre finalità di pubblicità dell azione amministrativa. Pare dunque opportuno richiamare anzitutto il concetto di trasparenza e, dunque, individuare ciò che ne è oggetto, secondo quanto statuito dall art. 1 del D. Lgs. n. 33/2013 che così recita: La trasparenza è intesa come accessibilità totale delle informazioni concernenti l organizzazione e l attività delle pubbliche amministrazioni, allo scopo di favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull utilizzo delle risorse pubbliche. Concetto che va quindi contemperato con le statuizioni in materia di tutela dei dati personali, recate dal D. Lgs. n. 196/03. Infine è bene precisare che le Linee Guida attengono esclusivamente agli aspetti legati agli obblighi di pubblicazione, per finalità di trasparenza, di documenti contenenti anche dati sensibili. Sono pertanto esclusi dalla portata del provvedimento in esame, nonché del D. Lgs. n. 33/2013, i documenti pubblicati per finalità diverse da quelle di trasparenza. Limiti generali alla trasparenza La disciplina dettata dal D. Lgs. n. 33/2013, è ovviamente soggetta alle limitazioni del caso previste dal Codice in materia di protezione dei dati personali (D. Lgs. n. 196/03), il cui art. 4 ne da una definizione, intendendosi per essi qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso il numero di identificazione personale. Il presupposto di base è che laddove vi sia un obbligo di pubblicazione derivante dall applicazione del D. Lgs. n. 33/2013, che comporti l ostensione di documenti contenenti dati personali, l Amministrazione dovrà limitarsi a pubblicare, se strettamente necessario, i dati personali attinenti alla pubblicazione effettuata ed al fine della pubblicazione stessa.

2 In tal modo è così possibile soddisfare gli obblighi in materia di trasparenza, senza tuttavia violare alcuna delle tutele predisposte dal Codice in materia di protezione dei dati personali (D. Lgs. n. 196/2003). Di conseguenza allora non potrà non tenersi conto dei principi di non eccedenza, proporzionalità e di necessità enunciati dal D. Lgs. n. 196/03. In quest ottica il Garante arriva a consigliare di pubblicare i dati in forma anonima 1 quando ciò non precluda in alcun modo la finalità prefissata dal D. Lgs. n. 33/2013 nel caso di specie. Le Linee Guida infatti ribadiscono il concetto, disponendo che i soggetti pubblici sono comunque tenuti a ridurre al minimo l utilizzazione di dati personali e di dati identificativi ed evitare il relativo trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi o altre modalità che permettano di identificare l interessato solo in caso di necessità. Lo stesso legislatore conferma l avvertenza di cui sopra all art. 4, comma 4 del D. Lgs. n. 33/2013: nella pubblicazione per fini di trasparenza l Amministrazione infatti non può rendere [ ] intelligibili i dati personali non pertinenti o, se sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza e pubblicazione. Con particolare riferimento ai dati sensibili (riguardanti lo stato di salute, la vita sessuale, l orientamento politico e/o religioso, l appartenenza a movimenti sindacali ecc.) la loro diffusione è sempre vietata, anche qualora si possa risalire a tali informazioni indirettamente. Con riferimento ai dati sensibili di carattere giudiziario, vale lo stesso principio, salve due eccezioni: a) la pubblicazione dei dati è imposta da una norma di legge; b) la pubblicazione dei dati giudiziari è necessaria al fine del perseguimento di fini aventi rilevante interesse pubblico, come ad esempio la trasparenza. Qualità delle informazioni L art. 6 del D. Lgs. 33/2013 impone alle pubbliche amministrazioni di verificare l attendibilità delle informazioni compresi i dati personali presenti in documenti soggetti all obbligo di pubblicazione ai fini di trasparenza. Non solo, l ente è infatti chiamato ad aggiornare i dati pubblicati, qualora ne ricorrano gli estremi, dovendo inoltre assicurarne l integrità, la completezza, la semplicità di consultazione, la comprensibilità, l omogeneità, la facile accessibilità, nonchè la conformità ai documenti originali in possesso dell amministrazione. Fattispecie concrete Riutilizzo dei dati sensibili Il provvedimento in esame affronta quindi una serie di istituti introdotti dal D. Lgs. n. 33/2013, come ad esempio il riutilizzo dei dati personali (artt. 4 e 7, del predetto Decreto) già in possesso della pubblica amministrazione. Il Garante per la privacy interviene al riguardo, precisando quali siano l oggetto e le modalità del riutilizzo dei dati personali. Il riutilizzo dei dati personali è tra l altro già previsto dalla normativa europea (Direttiva 2003/98/CE) e il legislatore nazionale si premura di ribadire che nel procedere in tal senso non deve venire meno l essenziale livello di tutela delle persone fisiche con riguardo al trattamento dei loro dati personali. In particolare, le Linee Guida dispongono che l ente pubblico, il quale volesse predisporre dei dati personali per il loro riutilizzo, una volta pubblicati, deve preliminarmente avvisare l utenza del 1 Le Linee Guida raccomandano, ai fini dell anonimizzazione dei dati, di oscurare totalmente i dati stessi, non potendo ritenersi di sufficiente tutela riportate, ad esempio, le sole iniziali del soggetto interessato. 2

3 possibile riutilizzo dei dati, indicando i casi in cui sarà possibile, i limiti entro cui si potrà procedere in tal senso e a quali condizioni. In ogni caso il riutilizzo potrà legittimamente intervenire purché nel rispetto dei fini per i quali i dati sono stati inizialmente pubblicati. Le Linee Guida raccomandano a questo proposito che, ogni qual volta una pubblica amministrazione debba rispondere agli obblighi di trasparenza, pubblicando dati personali nell apposita sezione del proprio sito istituzionale Amministrazione trasparente, dovrà dare congruo avviso del possibile riutilizzo dei dati personali stessi, precisando che detti dati sono riutilizzabili solo alle condizioni previste dalla normativa vigente sul riuso dei dati pubblici (direttiva comunitaria 2003/98/CE e D. Lgs. n. 36/2006 di recepimento della stessa), in termini compatibili con gli scopi per i quali sono stati raccolti e registrati, e nel rispetto della normativa in materia di protezione dei dati personali. Resta fermo che i dati personali di carattere giudiziario e quelli idonei a rivelare lo stato di salute, l orientamento politico, sessuale e religioso dell interessato, non possono mai essere oggetto di riutilizzo. Durata degli obblighi di pubblicazione Ai sensi dell art. 8, comma terzo, del D. Lgs. n. 33/2013, i dati, le informazioni e i documenti oggetto di pubblicazione sono pubblicati per un periodo di 5 anni, decorrenti dal 1 gennaio dell anno successivo a quello da cui decorre l obbligo di pubblicazione. La norma prosegue precisando infine che i documenti restano comunque pubblicati fino a quando producono i propri effetti, salvo diversi termini previsti dalla normativa in materia di trattamento dei dati personali e quanto previsto dagli artt. 14, comma secondo, e 15, comma 4. Sono dunque previste alcune fattispecie in cui è possibile derogare al termine dei 5 anni fissato dalla norma sopra richiamata: 1) una prima deroga interviene allorquando gli atti pubblicati producano ancora i loro effetti, una volta scaduti i cinque anni; 2) si deroga al termine di 5 anni quando vi siano dati e/o informazioni i titolari di incarichi politici, di carattere elettivo o comunque di esercizio di poteri di indirizzo politico, di livello statale, regionale e locale, nonché i titolari di incarichi dirigenziali, di collaborazione o di consulenza, i quali devono rimanere pubblicati nei tre anni successivi alla cessazione dell incarico; 3) ulteriore deroga interviene laddove siano previsti diversi termini dalla normativa in materia di trattamento dei dati personali. Riguardo al punto 3) si ricorda che il Codice in materia di protezione dei dati personali prevede espressamente che i dati personali devono essere conservati per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati (art. 11, comma primo, lett. e)). Inoltre, l interessato ha sempre il diritto di richiedere la cancellazione dei dati personali che lo riguardano (art. 7, comma terzo, D. Lgs. n. 196/2003). In ultimo, il Garante precisa che qualora i dati personali pubblicati non siano più necessari ai fini dell efficacia dell atto pubblicato, essi possono essere occultati ossia anonimizzati. L archivio del sito web istituzionale L art. 9 del D. Lgs. n. 33/2013 dispone che, una volta decorso il periodo di pubblicazione dei documenti oggetto di obbligo di trasparenza, i dati in essi contenuti sono comunque conservati e resi disponibili dall Amministrazione all interno di distinte sezioni del sito di archivio, collocate e debitamente segnalate nell ambito della sezione Amministrazione trasparente. La norma prevede inoltre che i documenti possono essere trasferiti all interno delle sezioni di archivio, 3

4 anche prima della scadenza del termine di cui all art. 8, comma terzo, il che rimanda al periodo durante il quale devono restare pubblicati i documenti oggetto degli obblighi di trasparenza (cfr. paragrafo precedente). Riguardo alla norma richiamata il Garante precisa che l accesso, tramite la sezione Archivio, ai dati personali contenuti nei relativi documenti non è automatico ed indiscriminato. Stando alle Linee Guida infatti non è in linea generale giustificato, alla luce del principio di proporzionalità, consentire, al di fuori dei casi espressamente previsti, l accesso on line libero e incondizionato alla consultazione di atti e documenti contenenti informazioni personali, specie se aventi natura sensibile, senza applicare criteri selettivi. Ciò significa che l Amministrazione deve predisporre apposite misure di accesso a tali documenti e dati personali: le Linee Guida infatti richiedono di individuare le condizioni di accesso e di selezionare, nell ambito dei singoli atti e documenti, le informazioni da rendere consultabili. Al fine di meglio filtrare l accesso ai dati tramite modalità di accesso, che garantiscano comunque la semplicità di consultazione e la facile accessibilità, l Amministrazione può attribuire alle persone che ne facciano richiesta un chiave personale di identificazione informatica secondo le regole stabilite dal Codice dell amministrazione digitale (D. Lgs. n. 82/2005). In alternativa l Amministrazione può anche procedere all anonimizzazione dei dati. Indicizzazione tramite motori di ricerca Il D. Lgs. n. 33/2013 pone il divieto (art. 9), per le amministrazioni pubbliche, di disporre filtri e altre soluzioni tecniche atte ad impedire ai motori di ricerca web di indicizzare ed effettuare ricerche all interno della sezione Amministrazione trasparente. Per quanto superfluo ribadirlo, sono esclusi dall indicizzazione i dati sensibili e giudiziari. Obblighi di pubblicazione dei provvedimenti amministrativi relativi a concorsi, prove selettive per l assunzione del personale e progressioni di carriera L art. 23 del D. Lgs. n. 33/2013 obbliga le pubbliche amministrazioni a pubblicare, tra gli altri, provvedimenti relativi a concorsi e prove selettive per l assunzione del personale e per le progressioni di carriera. Con riferimento ai dati personali ivi contenuti ed al provvedimento finale relativo alla procedura concorsuale, non sono da ritenersi oggetto di pubblicazione gli atti nella loro veste integrale contenenti (anche in allegato) le graduatorie formate a conclusione del procedimento, né le informazioni comunque concernenti eventuali prove intermedie che preludono all adozione dei provvedimenti finali. Relativamente a questi ultimi infatti è prevista la possibilità di pubblicare soltanto elementi come il contenuto, l oggetto, l eventuale spesa prevista e gli estremi dei principali documenti contenuti nel fascicolo del procedimento. Obblighi di pubblicazione degli atti di concessione di sovvenzioni, contributi, sussidi e attribuzione di vantaggi economici L art. 26 del D. Lgs. n. 33/2013 dispone per la pubblicazione dei criteri di cui le amministrazioni pubbliche si avvalgono per concedere sovvenzioni, contributi sussidi ed ausili finanziari, nonché per l attribuzione di vantaggi economici di qualunque genere a persone ed enti pubblici o privati. I relativi atti di concessione, di importo comunque superiore ai 1.000, devono anch essi essere pubblicati, fermo restando il rispetto della privacy dei soggetti interessati. Sostanzialmente dunque si ricordi che in nessun caso sono pubblicabili dati idonei a rivelare lo stato di salute della persona, tantomeno dati che possano far desumere lo stato di disagio economico o comunq ue di indigenza del soggetto. I destinatari dell obbligo di pubblicazione devono dunque evitare di rendere pubblici dati superflui rispetto a quelli necessari per lo scopo dell atto e per la corretta pubblicazione. 4

5 Limiti alla diffusione di dati personali nella pubblicazione di atti e documenti sul web per finalità diverse dalla trasparenza L ultima tematica affrontata riguarda la pubblicazione on line dei dati, sottesa in ogni caso ai medesimi principi in materia. Il Garante ricorda che anche in questo caso i dati relativi alla salute dell interessato non possono mai essere pubblicati, mentre quelli giudiziari soltanto laddove siano essenziali e necessari al fine di perseguire lo scopo cui tende il relativo procedimento posto in atto dall Amministrazione. Per quanto riguarda gli altri dati personali, permangono il principio di necessità, di non eccedenza e di pertinenza. Le amministrazioni pubbliche dovranno cioè pubblicare on line i dati personali strettamente necessari ai fini dell efficacia del provvedimento posto in essere. Considerato che la pubblicazione avviene on line, il Garante prescrive infine alcuni accorgimenti. In primo luogo viene affrontato l argomento attinente ad evitare l indicizzazione dei motori di ricerca: per evitare la reperibilità dei dati personali tramite motori di ricerca (ad esempio Google) è ritenuto opportuno preferire il ricorso all utilizzo di funzionalità di ricerca interne al sito web. Si ha così la possibilità di selezionare gli accessi al documento, pur sempre garantendo l accessibilità alla documentazione e la conoscibilità del documento stesso. Laddove poi la normativa vigente non fissi un limite temporale alla pubblicazione on line dei documenti, essi sono rimossi, a discrezione dell Amministrazione competente, quando la loro pubblicazione non sia più necessaria ai fini del procedimento interessato. Resta fermo l obbligo di garantire l accessibilità e la fruibilità dei dati personali sul sito istituzionale dell ente pubblico. 5