La trasparenza degli atti amministrativi, tra obbligo di pubblicità e tutela della privacy: l’ordinanza di ingiunzione del Garante Privacy nei confronti della regione Lombardia (provv. n. 296/2021)

Le ricadute pratiche del (potenziale) conflitto tra esigenza di trasparenza e il diritto alla protezione dei dati personali offrono lo spunto per una analisi della normativa vigente in materia nell’ottica di un bilanciamento tra i due istituti, anche alla luce del recentissimo provvedimento del Garante Privacy n. 296 del 22 luglio 2021, con il quale il Garante per la Protezione dei dai personali ha applicato la sanzione amministrativa pecuniaria di € 200.000,00 nei confronti della Regione Lombardia per aver diffuso dati personali ed economici di soggetti riceventi un contributo economico.

E' questo l'abstract dell'articolo di Rita Pocchia dal titolo La trasparenza degli atti amministrativi, tra obbligo di pubblicità e tutela della privacy: l’ordinanza di ingiunzione del Garante Privacy nei confronti della regione Lombardia (provv. n. 296/2021).

In Gazzetta la legge di conversione del D.L. 127/2021. Cosa cambia per la verifica del Green Pass nel lavoro pubblico?

 E' stata pubblicata sulla Gazzetta Ufficiale, Serie Generale n. 277 del 20-11-2021, la Legge 19 novembre 2021, n. 165 "Conversione in legge, con modificazioni, del decreto-legge 21 settembre 2021, n. 127, recante misure urgenti per assicurare lo svolgimento in sicurezza del lavoro pubblico e privato mediante l'estensione dell'ambito applicativo della certificazione verde COVID-19 e il rafforzamento del sistema di screening". 

La legge contiene un'importante modifica in ordine all'organizzazione dei controlli in ordine alla certificazione verde dei datori di lavoro pubblici.

Comune diffonde informazioni su cittadini positivi al Covid. Il no del Garante privacy

Nel provvedimento oggetto di commento il Garante ha sanzionato un Comune per la pubblicazione da parte di quest’ultimo dei dati relativi alla positività al Covid-19 di un suo cittadino. In particolare, all’Autorità era giunta una segnalazione con la quale veniva contestata la violazione delle disposizioni in materia di dati personali in quanto erano stati diffusi, sulla pagina facebook e sul sito web istituzionale del Comune di Buccino, informazioni personali di persone o sottoposte a tampone o risultate positive al Covid-19 o poste in quarantena. Infatti, nella pagina web del Comune erano stati pubblicati ed erano direttamente accessibili a chiunque degli avvisi che riportavano, ad esempio, la positività di un cittadino al test Covid-19.

Controllo della certificazione verde in ambito lavorativo: dal Parlamento una semplificazione che il Garante Privacy ritiene affetta da criticità

Il Senato ha approvato il 10 novembre in prima lettura il DDL di conversione del D.L. 127/2021. Nel provvedimento di conversione, all'art. 1, comma 5 del decreto-legge 21 settembre 2021, n. 127 sono aggiunti, in fine, i seguenti periodi: "Al fine di semplificare e razionalizzare le verifiche di cui al presente comma, i lavoratori possono richiedere di consegnare al proprio datore di lavoro copia della propria certificazione verde COVID-19. I lavoratori che consegnano la predetta certificazione, per tutta la durata della relativa validità, sono esonerati dai controlli da parte dei rispettivi datori di lavoro".

Si tratta di un emendamento approvati in sede referente, che si propongono - con l'integrazione, rispettivamente, del testo del comma 1, capoverso 5, dell'articolo 1 e del comma 1, capoverso 5, dell'articolo 3 del presente D.L. n. 127 - di prevedere che i lavoratori, pubblici e privati, possano richiedere di consegnare al proprio datore copia della certificazione verde COVID19, con conseguente esonero dai controlli per tutta la durata della validità.

Whistleblowing non sicuro: Garante privacy sanziona un'università per 30.000 € (diffusi i nomi di chi aveva segnalato illeciti)

Il datore di lavoro, che adotta procedure tecnologiche per la segnalazione anonima di possibili comportamenti illeciti (whistleblowing), deve verificare che le misure tecnico-organizzative e i software utilizzati siano adeguati a tutelare la riservatezza di chi invia le denunce. Lo ha ribadito il Garante per la protezione dei dati personali nel sanzionare un’università per aver reso accessibili on line i dati identificativi di due persone che avevano segnalato all’ateneo possibili illeciti.

L’università aveva dichiarato che, a causa di un aggiornamento della piattaforma software utilizzata, si era verificata la sovrascrittura accidentale dei permessi di accesso ad alcune pagine web interne dell’applicativo usato per il whistleblowing, rendendo così possibile a chiunque consultare i nomi e altri dati di coloro che avevano inviato segnalazioni riservate. Tali informazioni erano di conseguenza state indicizzate da alcuni motori di ricerca fino a che l’università, dopo essere venuta a conoscenza del problema, era intervenuta per farli deindicizzare e cancellare le relative copie cache.

Violazioni privacy e PA, il dirigente rischia di tasca propria: ecco perché

Due provvedimenti adottati dalla Corte dei Conti mettono al centro la responsabilità personale di funzionari pubblici dell’adempimento degli obblighi previsti dalle norme privacy. Ecco perché la Pubblica amministrazione può rivalersi sui suoi vertici.

Gdpr e albo pretorio on line: Garante, illecito pubblicare dati sulla salute. Il Garante sanziona un Comune per 10mila euro

I Comuni, prima di pubblicare documenti sull'albo pretorio on line, devono accertarsi che siano oscurate tutte le informazioni che non possono essere diffuse, in particolare i dati sulla salute di una persona.

Lo ricorda il Garante per la privacy nel comminare una delle prime sanzioni a un ente locale ai sensi del nuovo Regolamento europeo in materia di dati personali (Gdpr).

Una persona si era rivolta al Garante perché sull'albo pretorio del proprio Municipio era stata pubblicata una determina dirigenziale che riportava la grave patologia per la quale aveva presentato un'istanza per il riconoscimento della causa di servizio.

L'Autorità ha accertato che le informazioni sull'infermità e sull'operazione subita dal reclamante erano liberamente accessibili a chiunque, ed ha sottolineato come anche la nuova normativa sulla privacy vieti la diffusione dei dati sulla salute di una persona.

Salute: Garante, no alla e-mail con più indirizzi in chiaro. Ammonita una Provincia che ha inviato a sedici famiglie dati di minori non in regola con i vaccini

Il Garante per la privacy richiama l'attenzione sulle regole di una corretta comunicazione attraverso la posta elettronica. Con un provvedimento ha dichiarato illecito l'invio da parte di un'articolazione della Provincia di Trento di una e-mail destinata, contemporaneamente e con gli indirizzi in chiaro, a sedici genitori di bambini non in regola con l'obbligo delle vaccinazioni.

In prossimità dell'avvio dell'anno scolastico, l'e-mail della Provincia informava le famiglie dell'impossibilità di ammettere i minori alle scuole dell'infanzia, in assenza della regolarità vaccinale.

Garante: sì al censimento permanente, ma più tutele per i dati personali

L'Istat potrà procedere con i trattamenti necessari alla realizzazione del censimento permanente, ma dovrà adottare ulteriori misure per rafforzare la tutela dell'ingente mole di informazioni raccolte, in particolare migliorando le tecniche di pseudonimizzazione dei dati.

Questa la decisione del Garante per la privacy, adottata al termine di una lunga istruttoria che aveva portato nel 2018 l'Autorità a esprimere un parere non favorevole sul censimento permanente, previsto nel Programma statistico nazionale, e poi ad autorizzare la raccolta dei dati della popolazione, ma non il loro successivo trattamento, in assenza di una revisione del progetto.

Con quest'ultimo provvedimento, il Garante, analizzato il nuovo Piano generale di censimento (Pgc), autorizza l'Istituto nazionale di statistica a procedere con l'elaborazione dei dati raccolti.

Legittimo il diniego di accesso civico ai dati personali contenuti nella documentazione (verbali e provvedimenti finali) riferita ad abusi edilizi

E' legittimo il diniego alla richiesta di accesso civico generalizzato ai dati personali contenuti nella documentazione (verbali e provvedimenti finali) riferita ad abusi edilizi negli ultimi due anni (2018-2019).

E' questa la conclusione cui è giunto il Garante della Privacy nel parere n. 220 del 18 dicembre 2019.
Queste le motivazioni del garante:

Nessuna abilitazione professionale per l'esercizio del ruolo di RPD (Responsabile Protezione dati)

L' Autorità garante della concorrenza e del mercato, con apposita delibera si è occupata di possibili criticità concorrenziali nelle procedure di affidamento del servizio di Responsabile Protezione Dati (RPD). Ciò in quanto talvolta le pubbliche amministrazioni, nel selezionare un RPD esterno, richiedono l’iscrizione nell’albo professionale degli avvocati o la laurea in giurisprudenza.

Rispetto ai requisiti che il RPD deve possedere, l'Autorità chiarisce che la normativa in vigore non fa riferimento a specifici titoli di studio, né richiede iscrizioni agli albi professionali per l’esercizio del ruolo di RDP.

Queste le conclusioni cui giunge l'Autorità nell'atto di segnalazione AS1636 Selezioni per l'affidamento del servizio di responsabile protezione dati:

Responsabilità amministrativa per la pubblicazione di dati di minori di età e disabili

E' responsabile la Dir. scolastica per il danno indiretto cagionato all'Istituto a seguito del pagamento di una sanzione amm. irrogata dal G della privacy per la pubblicazione online di una circolare contente dati di scolari minori di età e disabili.

Lo stato di salute di un minore è un dato sensibile, per cui la P.A. è tenuta ad adottare tutte le misure necessarie per evitare la violazione del diritto alla privacy, la cui tutela fornita dal D.lgs. n. 196/2003 riguarda il minore ma anche gli altri familiari. La diffusione delle informazioni sulle condizioni di salute del minore si riflette infatti anche sul genitore o su altro familiare, poiché la situazione del familiare congiunto a persona affetta da invalidità in ogni caso esprime una situazione di debolezza o di disagio sociale, di per sé potenzialmente idonea ad esporre la persona a condizionamenti o discriminazioni. L'ostensione del dato sulla salute conduce quindi ad una dolorosità e a rischi di discriminazione sociale che riguardano tutti i membri della comunità familiare. I capi degli istituti scolastici vedono disciplinati poteri e limiti principalmente nel D.lgs. n. 165/2001, che attribuisce loro la responsabilità della organizzazione e gestione scolastica. Pertanto, gli obblighi normativi (in uno alle normative sovranazionali poste a tutela dei diritti fondamentali della persona, in diretta attuazione disposizioni comunitarie), sono stati disattesi dalla Dirigente scolastica, che con la sua condotta gravemente sprezzante degli stessi ha leso il diritto alla tutela della riservatezza del minore, causando per sua esclusiva colpa (personale ed in vigilando) l'irrogazione della sanzione, così da creare un danno, indiretto, alle casse dell'Istituto scolastico, in quanto il pagamento di somme con denaro pubblico a causa dell'inosservanza di obblighi imposti normativamente costituisce un aggravio di spesa e sottrae le relative somme all'attuazione degli scopi istituzionali.

Obblighi di pubblicazione nella sezione "Amministrazione trasparente"

1) Per quanto concerne gli obblighi di pubblicazione degli atti di concessione di benefici economici, l’art. 26, D.Lgs. n. 33/2013, esclude espressamente la pubblicazione dei dati identificativi delle persone fisiche destinatarie, qualora gli atti oggetto di pubblicazione possano rivelare informazioni relative allo stato di salute ovvero alla situazione di disagio economico-sociale degli interessati. In tal caso, tale divieto non vale ad escludere la pubblicazione del relativo provvedimento, ma si traduce in un obbligo di oscuramento dei suddetti dati personali. 

2) Per quanto riguarda l’obbligo di pubblicazione dei dati relativi ai pagamenti, di cui all’art. 4-bis, D.Lgs. n. 33/2013, l’ANAC (delibera 28 dicembre 2016, n. 1310), nel rilevare l’esigenza che il legislatore intervenga per chiarire il contenuto effettivo dei dati sui pagamenti, ha ritenuto opportuno limitare la pubblicazione, in una prima fase, alle tipologie di spesa a più alta necessità di monitoraggio, in quanto attinenti alle aree di rischio a rilevanza esterna: incarichi di consulenza, enti controllati, contratti pubblici di acquisizione di beni e servizi.

Redditi on line dei dirigenti Pa: la sentenza della Consulta indica un percorso di bilanciamento tra protezione dei dati personali e interessi costituzionalmente rilevanti. Dichiarazione di Antonello Soro

La sentenza 20/2019 della Corte costituzionale indica con nettezza un percorso virtuoso di bilanciamento tra la protezione dei dati personali e gli altri interessi costituzionalmente rilevanti, che alla prima possano contrapporsi nell’ambito delle politiche pubbliche. Il legislatore spesso, anche in queste settimane, ha opposto una certa insofferenza al nostro richiamo al rispetto del principio di proporzionalità che deve governare il bilanciamento tra diritti, libertà e altri beni giuridici primari. 

Indicazioni operative sull'attuazione del Regolamento europeo sulla protezione dei dati nei comuni (GDPR)

L’ing. Pietro Collevecchio, collaboratore di Leganet e DPO in diversi Comuni del Lazio e delle Marche, traccia in questo articolo, in maniera chiara e puntuale, l’intero processo da seguire per dare piena attuazione al Regolamento europeo per la protezione dei dati personali (GDPR) in vigore dal 25 maggio 2018. Richiamata in sintesi la complessa e delicata normativa in materia, l’autore descrive in termini operativi le fasi del processo e i soggetti cui compete la relativa attuazione. Conclude con l’esigenza di organizzare adeguate iniziative di formazione del personale e richiama l’attenzione sulle sanzioni previste in caso di inadempimento. Legautonomie presenta con questa pubblicazione una guida utile per molti Comuni tuttora impegnati nelle operazioni di adeguamento.

La tutela della privacy nello scambio di dati personali tra pubbliche amministrazioni

Pubblicato sulla rivista Amministrativ@mente un articolo di Filippo Lorè, Docente a contratto Università degli studi di Bari per l’insegnamento “Trattamento dei dati sensibili”, dal titolo "La tutela della privacy nello scambio di dati personali tra pubbliche amministrazioni".

Questo il sommario:

Audizione del Garante Privacy sul DDL concretezza

Pubblicato sul sito del Garante della Privacy il documento relativo all'audizione del Presidente dell’Autorità Garante per la protezione dei dati personali, Antonello Soro, nell'ambito dell'esame del disegno di legge C. 1433 recante interventi per la concretezza delle azioni delle pubbliche amministrazioni e la prevenzione dell'assenteismo.

La tutela della privacy tra esigenze di trasparenza e nuove regole di riservatezza

Pubblicato sulla rivista Amministrativ@mente un articolo di Silvia Di Pietro dal titolo La tutela della privacy tra esigenze di trasparenza e nuove regole di riservatezza.

Questo il sommario:

Pubblicazione di documenti nei siti informatici della p.a. e protezione dei dati personali

La pubblicazione di deliberazioni e determinazioni all’albo pretorio degli enti locali per finalità di pubblicità legale, ai sensi dell’art. 1, c. 15, L.R. n. 21/2003, così come la pubblicazione di documenti per finalità di trasparenza, ai sensi del D.Lgs. n. 33/2013 e di altre disposizioni normative – anche di natura regolamentare – aventi analoga finalità di trasparenza, devono rispettare il principio di “minimizzazione dei dati” personali espresso dall’art. 5 del Regolamento (UE) n. 679/2016, per cui è consentita la diffusione dei soli dati personali la cui inclusione in atti e documenti sia realmente necessaria e proporzionata al raggiungimento delle finalità perseguite.

L’art. 2-ter (Base giuridica per il trattamento di dati personali effettuato per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri), comma 1, del D.Lgs. n. 196/2003, introdotto dal D.Lgs. n. 101/2018, in adeguamento al Regolamento (UE) n. 679/2016, stabilisce che “la base giuridica prevista dall’art. 6, paragrafo 3, lett. b), del regolamento è costituita esclusivamente da una norma di legge o, nei casi previsti dalla legge, di regolamento”. 

Le amministrazioni possono prevedere nel Piano triennale di prevenzione della corruzione integrato con il programma della trasparenza e l’integrità (PTPCT) la pubblicazione di dati ulteriori, per i quali non sussiste uno specifico obbligo di trasparenza. Trattasi, in tal caso, di pubblicazione di documenti non obbligatoria in forza di una norma di legge o di regolamento – il PTPCT è infatti atto programmatorio, la cui natura non pare regolamentare – per cui, ai sensi dell’art. 7-bis, c. 3, D.Lgs. n. 33/2013, i dati personali ivi contenuti devono essere resi anonimi oscurando il nominativo e le altre informazioni che possano consentire l’identificazione dell’interessato.

Il nuovo regolamento europeo per la protezione dei dati (GDPR) e la figura del Data Protection Officer (DPO): incidenza sulla attività della pubblica amministrazione

Pubblicato sulla rivista on line Amministrativ@mente un articolo di Adriano Tortora dal titolo Il nuovo regolamento europeo per la protezione dei dati (GDPR) e la figura del Data Protection Officer (DPO): incidenza sulla attività della pubblica amministrazione.