Ogni Comune pubblica, ogni giorno, decine di atti sul proprio albo online: determinazioni, delibere, ordinanze, graduatorie, avvisi, provvedimenti di assegnazione di contributi. È un obbligo di legge e un presidio di trasparenza. Ma albo pretorio e privacy sono due esigenze che convivono male quando la pubblicazione avviene senza alcun filtro, e l’esperienza dei provvedimenti del Garante mostra che il confine viene superato con una frequenza sorprendente.
Albo pretorio e privacy: dove si rompe l’equilibrio
Il principio è semplice da enunciare e difficile da applicare: la pubblicazione è legittima nei limiti in cui è prevista da una norma e nella misura in cui i dati contenuti nell’atto sono necessari rispetto alla finalità della pubblicazione stessa. Tutto ciò che eccede quella misura è una diffusione priva di base giuridica.
Le situazioni in cui l’equilibrio si rompe sono sempre le stesse. Delibere di assistenza sociale pubblicate con nome, cognome e indirizzo dei beneficiari e con l’indicazione della condizione che ha giustificato il contributo. Ordinanze che riportano per esteso i dati del segnalante. Atti che richiamano certificazioni sanitarie, verbali di invalidità, situazioni familiari. Provvedimenti disciplinari relativi a dipendenti. Determinazioni di liquidazione che espongono dati bancari. Elenchi di morosi.
Il Garante ha sanzionato amministrazioni comunali proprio per pubblicazioni di questo tipo, inclusa la diffusione di dati giudiziari contenuti in atti pubblicati all’albo. In Campania il tema è particolarmente sentito, perché la rete dei Comuni di piccole e medie dimensioni opera spesso con uffici sotto organico e con procedure di pubblicazione largamente automatizzate: l’atto viene caricato così com’è prodotto dall’ufficio che lo ha adottato, senza che nessuno ne verifichi il contenuto in chiave di protezione dei dati.
Il tempo è parte del problema
Una seconda famiglia di contestazioni non riguarda che cosa viene pubblicato, ma per quanto. Gli atti restano online ben oltre il periodo previsto, spesso indefinitamente, perché nessuno ha predisposto un meccanismo di rimozione automatica e perché la sezione di archivio è percepita come un valore e non come un rischio.
Il risultato è che il nome di un cittadino, associato a una vicenda conclusa da anni, continua a essere indicizzato dai motori di ricerca e a comparire fra i primi risultati quando qualcuno lo cerca. È la situazione che genera il maggior numero di reclami, perché la persona se ne accorge in un momento preciso – un colloquio di lavoro, una pratica bancaria, una ricerca fatta da un conoscente – e in quel momento chiede conto all’amministrazione. Una volta avviata, la sequenza è difficile da fermare: l’ente deve rispondere nei termini di legge, e la risposta tardiva o incompleta diventa a sua volta una contestazione autonoma. Sul punto lo studio ha pubblicato un approfondimento sul riscontro alle richieste degli interessati.
La responsabilità resta dell’ente, anche quando l’atto arriva da fuori
Un’obiezione ricorrente degli uffici è che l’atto pubblicato proviene da un altro settore, da un’azienda consortile, da un soggetto gestore o da un professionista incaricato. Sul piano organizzativo è spesso vero; sul piano giuridico non sposta nulla. Il Comune che pubblica è titolare del trattamento di diffusione e risponde della legittimità di quella diffusione, a prescindere da chi abbia redatto il documento.
Lo stesso vale per il rapporto con il fornitore della piattaforma di pubblicazione e con la software house che gestisce il protocollo informatico. Si tratta di rapporti da qualificare, non di forniture neutre, come illustrato nell’articolo sulla nomina del responsabile del trattamento.
Trasparenza e diffusione non sono sinonimi
Vale la pena sciogliere un equivoco che circola negli uffici: il fatto che un dato sia conoscibile non significa che debba essere diffuso a chiunque, in rete, senza limiti di tempo e indicizzabile dai motori di ricerca. La disciplina sulla trasparenza amministrativa individua obblighi di pubblicazione puntuali, con un proprio perimetro e una propria durata; al di fuori di quel perimetro non esiste un obbligo generale di pubblicare tutto.
Il riflesso difensivo di molti uffici – «nel dubbio pubblichiamo, così siamo trasparenti» – è esattamente il comportamento che genera le contestazioni. La trasparenza che eccede il proprio fondamento normativo non è un merito: è una diffusione illecita di dati personali.
Che cosa rischia concretamente un Comune
Le violazioni che riguardano i principi del trattamento e la liceità della diffusione rientrano nella fascia più severa prevista dall’articolo 83, paragrafo 5, del GDPR. Per le pubbliche amministrazioni italiane il regime sanzionatorio presenta particolarità, ma l’esperienza dei provvedimenti dell’Autorità dimostra che le sanzioni ai Comuni vengono effettivamente irrogate e che sono pubbliche.
Accanto alla sanzione pecuniaria, l’Autorità può adottare provvedimenti correttivi: ordinare la rimozione dei dati, imporre limiti al trattamento, prescrivere misure organizzative. Per un ente locale, l’ordine di rimuovere dal proprio archivio online un numero consistente di atti è un’operazione tutt’altro che banale. E resta sullo sfondo la possibilità di azioni risarcitorie da parte degli interessati.
Un problema organizzativo, prima che giuridico
La pubblicazione eccedente non nasce quasi mai da una scelta: nasce dall’assenza di un passaggio di controllo tra la produzione dell’atto e la sua messa online. È il motivo per cui il tema non si risolve con una circolare, ma richiede di guardare come l’ente lavora, chi redige gli atti, chi li pubblica, con quali strumenti e con quali tempi. In questo il responsabile della protezione dei dati ha un ruolo centrale, come già osservato a proposito del DPO nei Comuni della Campania e degli obblighi in caso di data breach negli enti locali.
Lo studio dell’avv. Elio Errichiello ricopre incarichi di responsabile della protezione dei dati presso enti pubblici, ordini professionali e strutture sanitarie, con sede a Napoli e attività in tutta Italia; il quadro del servizio è nella pagina sulla consulenza privacy e protezione dei dati personali, mentre l’attività nel contenzioso amministrativo è descritta su avvocatoelioerrichiello.it.
Agli enti che hanno ricevuto un reclamo, o che semplicemente non hanno mai verificato che cosa contenga il proprio archivio online, lo studio offre un esame preliminare della documentazione e delle procedure in uso: per avviarlo è sufficiente scrivere allo studio.
Avv. Elio Errichiello
