Nomi dei disabili on line: sanzionata la Regione Puglia
Il Garante privacy ha ordinato alla Regione Puglia di pagare una sanzione di 40.000 euro per aver pubblicato sul sito istituzionale informazioni sulla salute di 4.500 disabili che avevano usufruito di un sussidio per l’acquisto di un computer.
Per un lungo periodo di tempo sul sito della Regione si sono potuti consultare gli elenchi di tutte le domande presentate per avere il contributo. E, circostanza ancor più grave, accanto ai nomi e cognomi dei richiedenti erano associate anche le diverse patologie: disabili dell’udito e del linguaggio, disabili della vista, disabili motori. Pubblicando informazioni così delicate la Regione è dunque incorsa in un illecito trattamento di dati sanitari vietato dalla legge.
Proprio in considerazione dell’evidente rilevanza sociale dell’iniziativa, l’ente avrebbe dovuto invece adottare tutte le cautele per evitare di arrecare un grave pregiudizio ai numerosi disabili che avevano fatto domanda per il sussidio diffondendone i dati sanitari in Internet. Con l’ingiunzione di pagamento si chiude un complesso procedimento amministrativo iniziato nel 2007 che ha richiesto, oltre alla sanzione amministrativa, anche due provvedimenti di divieto del Garante.
Ordinanza di ingiunzione nei confronti di Regione Puglia – 23 settembre 2010
Registro delle deliberazioni
Del. n. 45 del 23 settembre 2010
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Giuseppe Fortunato, componente e del dott. Daniele De Paoli, segretario generale;
ESAMINATO il rapporto dell’Ufficio del Garante per la protezione dei dati personali predisposto ai sensi dell’art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 1° ottobre 2009 nei confronti della Regione Puglia, con sede in Bari Lungomare Nazario Sauro n. 33, per la violazione dell’art. 22 in relazione all’art. 164 bis, comma 3 del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2006, n. 196, di seguito denominato “Codice”);
CONSIDERATO il provvedimento di divieto del Garante datato 17 settembre 2009 e adottato ai sensi dell’art. 154, comma 1, lettera d), del Codice, dal quale è emerso che, anche a fronte di quanto già rilevato con analogo provvedimento dell’Autorità datato 18 gennaio 2007, la Regione, pubblicando dati idonei a rilevare lo stato di salute di soggetti disabili nel bollettino Ufficiale datato 11 aprile 2006 n. 45, li rende liberamente consultabili anche tramite i propri siti istituzionali con particolare riferimento all’indirizzo http://www.regione.puglia.it/……., in violazione di quanto disposto dall’art. 22, comma 8, del Codice;
VISTO il verbale n. 21326/64444 del 1° ottobre 2009 con cui è stata contestata alla predetta Regione la violazione prevista dall’art. 162, comma 2-bis in combinato disposto con l’art. 164-bis, comma 3, del Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell’art. 16 della legge n. 689/1981;
RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;
VISTO lo scritto difensivo inviato ai sensi dell’art. 18 della legge n. 689/1981 nel quale la Regione ha rilevato che:
– dall’esame dei provvedimenti dell’Autorità datati 18 gennaio 2007 e 17 settembre 2009 si osserva come il fatto che ha determinato la violazione amministrativa contestata possa consistere “(…) nella pubblicazione degli elenchi e delle graduatorie del bollettino Ufficiale della Regione Puglia dell’11 aprile 2006 n. 45” ovvero “(…) nella pubblicazione degli elenchi e delle graduatorie contenuti nel BURP nel sito istituzionale della Regione Puglia”. In entrambe i casi la contestazione appare illegittima atteso che “(…) l’Autorità avrebbe dovuto e potuto chiedere alla Regione la rimozione della pagina http://www.regione.puglia.it/… di cui al provvedimento di settembre 2009, già con provvedimento di gennaio 2007. Allo stesso modo già con provvedimento (gennaio 2007), avrebbe potuto prescrivere alla Regione quanto ha poi stabilito nel secondo provvedimento (settembre 2009), ossia il divieto di diffusione dei dati illecitamente trattati mediante la consultazione in qualsiasi forma del citato BURP e non soltanto mediante consultazione di una specifica pagina web”;
– si rileva poi che “(…) il procedimento amministrativo che ci occupa si è concluso oltre il termine di 90 gg previsto dalle disposizioni applicabili”, atteso che il dies a quo dal quale far decorrere i 90 giorni del termine previsto, deve essere individuato nel 14 luglio 2009, data di notifica all’Autorità del ricorso presentato dal sig. [OMISSIS];
– inoltre, il provvedimento del 17 settembre 2009 riporta impropriamente che alla pagina web http://www.regione.puglia.it/… sarebbero stati pubblicati i “documenti relativi agli elenchi e alle graduatorie di disabili già oggetto del provvedimento del 18 gennaio 2007”, atteso che, come si evince dalla documentazione prodotta, risultano invece pubblicate solo una parte delle predette graduatorie ovvero quelle relative alle disabilità motorie;
– sulla quantificazione del pagamento in misura ridotta, poi, si osserva come l’importo indicato per l’oblazione della sanzione contestata (80.000,00 euro) è errato, considerato che l’ammontare della sanzione edittale, ai sensi del combinato disposto degli artt. 162, comma 2-bis modificato dalla legge 20 novembre 2009 n 166 e 164-bis, comma 3, del Codice, determina una sanzione (da euro 20.000,00 a euro 240.000,00) definibile in via breve con il pagamento di quarantamila euro (40.000,00);
– nel caso di specie, inoltre, “(…) le sanzioni applicabili (…) dovrebbero essere quelle che erano vigenti al tempo del verificarsi della condotta illecita in virtù del principio di irretroattività e legalità previsto dall’art. 1 della legge 689/1981 (…)”, facendo quindi risalire l’azione commissiva che ha generato l’illecito contestato “(…) all’11 aprile 2006, ossia alla data di pubblicazione del Bollettino Ufficiale della Regione Puglia n. 45 (…)”. Peraltro, qualora quello contestato fosse qualificato come illecito amministrativo di carattere “permanente”, troverebbero applicazione i principi già statuiti dalla Corte di Cassazione Sez. lavoro n. 4119 del 17 aprile 1991 (secondo cui nel campo delle violazioni amministrative, in ipotesi di successione di leggi, opera il principio penalistico della norma più favorevole al reo) e dal Tar. Toscana n. 702 del 7 dicembre 1996 (per il quale deve ritenersi contenuto nella legge n. 689/1981 il principio dell’applicazione della sanzione più favorevole al reo di cui all’art. 2, 3° comma c.p., quand’anche la violazione amministrativa si configuri quale illecito permanente);
– sulla quantificazione dell’eventuale sanzione pecuniaria, rileva come una più attenta valutazione dei criteri di cui all’art. 11 della legge n. 689/1981, considerati anche alla luce della condotta tenuta dalla Regione nonché della pregevole attività sociale nel corso della quale sarebbe stata commessa la violazione, dovrebbe condurre “(…) ove non si dovesse disporre l’archiviazione degli atti, all’applicazione di una sanzione pecuniaria quanto più prossima ai minimi edittali”. Sul punto, poi, preme sottolineare come, se si è ritenuta l’applicazione delle ipotesi aggravate di cui all’art. 164-bis, comma 3, nessuna valutazione è stata fatta circa lo svolgimento, da parte della Regione “(…) di una attività sociale meritevole di tutela quale quella relativa ad un bando pubblicato dall’assessorato alla solidarietà (…) rivolto a soggetti disabili (…)”, ai fini dell’applicazione dei casi di minore gravità di cui all’art. 164-bis, comma 1;
RITENUTO che le argomentazioni addotte non risultano idonee ad escludere la responsabilità in ordine a quanto contestato poiché:
– il fatto che ha determinato l’adozione dei provvedimenti di divieto del 2007 e del 2009 è rappresentato dalla diffusione dei dati personali idonei a rivelare lo stato di salute degli interessati disabili; ai fini della qualificazione giuridica del fatto non rilevano le modalità con le quali tale diffusione avviene. D’altro canto, quelli in argomento, sono provvedimenti inibitori dell’Autorità che, sulla base dell’art. 154, comma 1, lett. d), del Codice, il Garante può adottare in via d’urgenza, anche d’ufficio, in tutti i casi in cui, come quello di specie, sussiste il rischio di un pregiudizio rilevante per gli interessati;
– l’accertamento della violazione amministrativa (dies a quo), disciplinato dall’art. 13 della legge n. 689/1981, consiste nel rilievo di fatti integranti un illecito amministrativo che implica anche una necessaria valutazione e qualificazione dei fatti. A tal fine è stato, pertanto, avviato un procedimento amministrativo ex art. 143 del Codice i cui esiti hanno condotto all’adozione del provvedimento inibitorio del 17 settembre 2009. E’ proprio nel momento dell’adozione del provvedimento da parte del Garante che si determina la qualificazione giuridica del fatto da cui origina l’autonomo procedimento sanzionatorio. Come infatti chiaramente indicato nell’atto di avvio di detto procedimento (contestazione), l’accertamento della violazione è ricondotto alle motivazioni riportate nel provvedimento del 17 settembre 2009, che è stato coerentemente notificato al contravventore in data 15 ottobre 2009, ovvero entro i termini previsti dall’art. 13 della legge n. 689/1981. Del resto, come già ribadito dalla Corte di cassazione (ex multis Cass. Sez. II n. 12830/2006), “(…) l’attività di accertamento dell’illecito non coincide con il momento in cui viene acquisito il fatto nella sua materialità, ma deve essere intesa come comprensiva del tempo necessario alla valutazione dei dati acquisiti e afferenti agli elementi (soggettivi e oggettivi) dell’infrazione (…)”;
– con riferimento all’indicazione delle graduatorie che risultano ancora pubblicate nel 2009 e di cui al provvedimento del 17 settembre 2009, anche accogliendo la precisazione formulata dalla Regione negli scritti difensivi circa la presenza solo delle graduatorie delle persone con disabilità motorie ossia, come precisato, soltanto le ultime 4 delle 12 graduatorie richiamate nel provvedimento, resta impregiudicato il fatto che, per sua stessa ammissione, l’Ente ha diffuso dati idonei a rivelare lo stato di salute di un cospicuo numero di soggetti (circa 2.800) affetti da disabilità motorie. Quanto dedotto, quindi, non influisce sul procedimento logico del provvedimento che ha accertato l’illiceità del trattamento e la violazione da cui origina la contestazione; né appare idonea a modificare sostanzialmente le valutazioni alla base della contestazione della sanzione nella forma aggravata di cui all’art. 164-bis, comma 3, atteso che la violazione coinvolge un numero di interessati che, anche se ridotto rispetto a quello originariamente ritenuto (4.500), resta comunque particolarmente elevato;
– il carattere di “permanenza” dell’illecito contestato deriva dal fatto che la Regione, così come accertato dal provvedimento del 2009, (che peraltro non risulta essere stato impugnato) ha protratto nel tempo la propria condotta e che, conseguentemente, l’offesa derivante da tale condotta, da un lato ha assunto carattere continuativo e dall’altro poteva essere fatta cessare con effetti utili, indipendentemente dalla contestazione. Tale qualificazione dell’illecito implica la necessaria applicazione del principio tempus regit actum, che disciplina l’applicazione di norme che si succedono nel tempo, unitamente a quanto disposto dall’art. 1, comma 2, della legge n. 689/1981. Quanto sopra comporta che, all’illecito permanente contestato, debba applicarsi la norma sanzionatoria vigente al momento del suo accertamento ovvero alla data di adozione del provvedimento dell’Autorità del 17 settembre 2009 e non quelle in vigore alla data di pubblicazione del Bollettino Ufficiale della Regione Puglia n. 45 dell’11 aprile 2006. E’ pertanto applicabile, al caso di specie, l’art. 162, comma 2-bis, nella formulazione anteriore alle modifiche introdotte dalla legge 20 novembre 2009, n 166, che prevedeva una sanzione da 20.000,00 a 120.000,00 euro. La riduzione a 10.000,00 euro del minimo edittale della sanzione è entrata in vigore, invece, in data 25 novembre 2009 quindi successivamente alla data di accertamento, contestazione e notifica della violazione. Da quanto sopra discende, pertanto, la correttezza della quantificazione del pagamento in misura ridotta pari a 80.000,00 euro, a fronte della sanzione contestata;
– risultano, poi, pacifiche le valutazioni che hanno determinato l’applicazione dell’art. 164-bis, comma 3 -mentre la Regione ritiene erroneamente ravvisabili i casi di minore gravità di cui al comma 1 del medesimo articolo- atteso che, proprio in considerazione dell’evidente valenza sociale dell’attività relativa al “(…) bando pubblicato dall’Assessorato alla solidarietà dell’ente regionale rivolto a soggetti disabili e finalizzato alla distribuzione di un contributo monetario per l’acquisto di un personal computer” si dovevano adottare tutte le cautele per evitare di arrecare pregiudizio ai numerosi interessati, diffondendone illecitamente i dati via Internet in violazione della legge (art. 22, comma 8 del Codice);
RILEVATO, pertanto, che la Regione ha effettuato un trattamento di dati personali idonei a rilevare lo stato di salute diffondendoli anche tramite il portale web istituzionale, contravvenendo, così, al divieto di diffusione degli stessi ai sensi dell’art. 22, comma 8 del Codice;
VISTO l’art. 162, comma 2-bis, del Codice, nella formulazione antecedente alla modifica apportata con la legge 20 novembre 2009 n. 166, che punisce la violazione delle disposizioni indicate nell’art. 167 del Codice, tra le quali quella di cui all’art. 22, comma 8, del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro
VISTO l’art. 164-bis, comma 3, del Codice che, per i casi di maggiore gravità quali la maggiore rilevanza del pregiudizio per uno o più interessati ovvero quando la violazione coinvolge numerosi interessati, prevede il raddoppio dei limiti minimo e massimo delle sanzioni previste dal Codice e che pertanto la sanzione amministrativa applicabile deve essere quantificata da un minimo di quarantamila (40.000,00) a un massimo di duecentoquarantamila (240.000,00) euro;
VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;
RITENUTO di dover determinare l’ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell’art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all’opera svolta dall’agente, alla gravità della violazione e alle condizioni economiche del contravventore, nella misura del minimo pari alla somma di quarantamila/00 euro;
VISTA la documentazione in atti;
VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;
RELATORE il dott. Giuseppe Fortunato;
ORDINA
alla Regione Puglia, con sede in Bari Lungomare Nazario Sauro n. 33, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 40.000,00 (quarantamila) a titolo di sanzione amministrativa pecuniaria per la violazione dell’art. 162, comma 2 bis in combinato disposto con l’art. 164 bis, comma 3 del Codice, indicata in motivazione;
INGIUNGE
alla medesima Regione di pagare la somma di euro 40.000,00 (quarantamila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell’avvenuto versamento;
DA’ ATTO CHE
avverso il presente provvedimento, ai sensi dell’art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.
Roma, 23 settembre 2010
IL PRESIDENTE
Pizzetti
IL RELATORE
Fortunato
IL SEGRETARIO GENERALE
De Paoli
stampa chiudi
