Privacy violata, Comune finisce nei guai: Garante sanziona per sito web non conforme

lentepubblica.it

Un errore di leggerezza nella gestione della trasparenza amministrativa e del proprio sito web è costato caro a un Comune italiano, sanzionato dal Garante per la protezione dei dati personali con una multa da 12mila euro.

L’ente aveva infatti pubblicato sul proprio sito istituzionale informazioni sensibili riguardanti centinaia di cittadini, rendendole accessibili a chiunque per diversi anni.

La vicenda nasce dalla pubblicazione sul sito web istituzionale dell’ente, nella sezione Amministrazione trasparente, dei registri relativi alle richieste di accesso civico e documentale. Si tratta di documenti che, secondo la normativa, dovrebbero essere consultabili per garantire il diritto dei cittadini a conoscere l’operato della pubblica amministrazione. Tuttavia, in questo caso, il Comune ha oltrepassato il limite tra trasparenza e tutela della privacy, lasciando online – fino ad almeno aprile 2024 – elenchi contenenti dati personali di 1.455 persone.

Nei file caricati sul sito erano indicati nomi e cognomi dei richiedenti e dei destinatari, numeri di protocollo, oggetti delle istanze e descrizioni dei documenti richiesti. In alcune schede si potevano leggere riferimenti a pratiche edilizie, intestazioni catastali e persino elementi che permettevano di risalire allo stato di salute di un cittadino. Informazioni che, sebbene apparentemente innocue, rientrano a pieno titolo nella categoria dei dati personali tutelati dal Regolamento europeo sulla protezione dei dati (GDPR).

La giustificazione del Comune e la replica del Garante

Di fronte alle contestazioni dell’Autorità, il Comune ha tentato di difendere la propria condotta invocando una “lettura estensiva” del principio di trasparenza amministrativa. Secondo l’ente, la pubblicazione integrale dei registri avrebbe avuto l’obiettivo di garantire la massima chiarezza sulle attività degli uffici e sul numero di richieste ricevute. Una spiegazione che, tuttavia, non ha convinto il Garante.

Nel provvedimento di sanzione, l’Autorità ha ricordato che la trasparenza non può mai tradursi nella diffusione indiscriminata di dati personali, specialmente quando non strettamente necessari alla finalità informativa. I Comuni, infatti, sono tenuti a pubblicare i registri degli accessi in modo tale da garantire la conoscibilità delle attività svolte, ma oscurando i nomi e gli altri elementi identificativi delle persone coinvolte.

Il Garante ha inoltre richiamato le Linee guida dell’Autorità nazionale anticorruzione (Anac) e la circolare del Ministro per la Pubblica Amministrazione, che prescrivono chiaramente di anonimizzare le informazioni personali contenute nei registri pubblici, sia dei richiedenti sia di eventuali terzi menzionati nei documenti.

Un errore lungo sette anni

L’analisi condotta nel corso dell’istruttoria ha evidenziato che la violazione si è protratta per un lungo periodo: le istanze pubblicate risalivano infatti al 2017 e arrivavano fino al settembre 2023. Per almeno sette anni, dunque, i dati di oltre 1.400 persone sono stati liberamente consultabili e scaricabili dal web.

Si tratta di un caso emblematico di come la gestione poco accorta dei dati possa trasformare un obbligo di trasparenza in una violazione della privacy. L’Autorità garante ha sottolineato che la diffusione di simili informazioni espone i cittadini a rischi concreti, come l’uso improprio dei dati, lo spam, o persino la profilazione non autorizzata. In più, la presenza di dettagli riconducibili alla salute o alla situazione patrimoniale accresce ulteriormente la gravità dell’accaduto.

Collaborazione attenuante, ma la sanzione resta

Nel determinare l’importo della multa, il Garante ha comunque riconosciuto alcuni elementi attenuanti. Il Comune, una volta ricevuta la segnalazione, ha rimosso tempestivamente i registri dal proprio sito e collaborato in modo costruttivo con l’Autorità durante tutte le fasi del procedimento. Questo atteggiamento ha evitato che la sanzione raggiungesse cifre più elevate, come avvenuto in altri casi simili.

La multa da 12mila euro resta tuttavia un segnale chiaro: la gestione dei dati personali da parte delle pubbliche amministrazioni deve rispettare rigorosamente i principi di minimizzazione e proporzionalità previsti dal GDPR. La pubblicazione online di atti o registri contenenti informazioni personali, anche solo parzialmente identificabili, rappresenta una diffusione illecita a tutti gli effetti.

Un monito per tutte le amministrazioni pubbliche

Questo episodio riaccende il dibattito sul difficile equilibrio tra trasparenza e tutela della riservatezza. Se da un lato i cittadini chiedono giustamente di conoscere come vengono gestite le risorse pubbliche e quali decisioni assumono gli enti locali, dall’altro la pubblica amministrazione deve garantire che tale conoscenza non comporti la divulgazione di informazioni personali.

Molti Comuni, nel tentativo di dimostrarsi “trasparenti”, commettono ancora errori nella pubblicazione dei dati online, spesso per mancanza di formazione specifica o di personale esperto in materia di protezione dei dati. Il caso sanzionato dal Garante dimostra che anche un eccesso di zelo nella comunicazione istituzionale può tradursi in una violazione del diritto alla privacy.

La normativa vigente impone un approccio più prudente: pubblicare solo ciò che è indispensabile, anonimizzare le informazioni sensibili e applicare filtri di controllo prima della diffusione dei contenuti sul web. Ogni amministrazione dovrebbe inoltre aggiornare periodicamente il proprio personale sui principi del GDPR e sulle linee guida emanate dalle autorità competenti, per evitare che episodi simili si ripetano.

Trasparenza sì, ma con responsabilità

La lezione che emerge da questa vicenda è chiara: la trasparenza amministrativa non deve mai trasformarsi in una “vetrina” che espone i cittadini. Le nuove tecnologie consentono una diffusione immediata e capillare dei dati, ma proprio per questo rendono necessario un uso più attento e consapevole delle informazioni personali.

Il diritto a conoscere l’operato della pubblica amministrazione è un pilastro della democrazia, ma deve convivere con il diritto, altrettanto fondamentale, alla protezione dei dati personali. Solo bilanciando questi due principi sarà possibile garantire una vera amministrazione aperta, ma anche rispettosa della dignità e della sicurezza dei cittadini.

Il provvedimento del Garante

Qui il documento completo.

The post Privacy violata, Comune finisce nei guai: Garante sanziona per sito web non conforme appeared first on lentepubblica.it.