Provvedimento del 23 marzo 2023 [9888096] - reidentificazione da diverse versioni del documento online

estimated reading time: 27 min

[doc. web n. 9888096]

Provvedimento del 23 marzo 2023

Registro dei provvedimentin. 83 del 23 marzo 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al Trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al Trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, il Sig. XX ha rappresentato che, avendo partecipato una procedura concorsuale indetta dal Consiglio Nazionale dell'Ordine degli Assistenti Sociali (di seguito, il “Consiglio”), quest’ultimo ha pubblicato sul proprio sito web istituzionale la graduatoria finale di detta procedura (in cui il reclamante figurava quale non vincitore) e ha successivamente adottato e pubblicato una deliberazione finalizzata all’adozione di un provvedimento di esclusione del reclamante in ragione della sussistenza di pregresse condanne penali (con oscuramento del nome e del cognome dello stesso e delle motivazioni sottese all’esclusione); da ultimo, ha pubblicato sul medesimo sito web una versione rettificata delle predetta graduatoria, priva di riferimenti al reclamante.

Il reclamante ha, quindi, lamentato che la pubblicazione di tali documenti, se considerati congiuntamente tra loro, avrebbe comportato l’illegittima diffusione di Dati personali a lui relativi - con particolare riferimento alla circostanza di essere stato Destinatario di un provvedimento di esclusione -, inclusi Dati personali relativi a condanne penali e reati.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni del Garante (nota prot. n. XX del XX), il Consiglio, con nota prot. n. XX dell’XX, ha dichiarato, in particolare, che:

“il [reclamante] partecipava al concorso indetto dal [Consiglio] […] nel XX […] volto alla copertura di un posto […]”;

“all’esito della valutazione dei titoli e delle prove sostenute dai candidati, il reclamante maturava un punteggio tale da collocarlo in seconda posizione nella graduatoria finale”;

a seguito di taluni accertamenti avviati dall’Ordine in merito alle dichiarazioni rese dal partecipante in sede di domanda di partecipazione alla procedura concorsuale in questione, il Consiglio si determinava a “escludere il reclamante dal concorso anzidetto, con Determina del Presidente del [Consiglio] del XX”;

“[…] alcun tipo di riferimento a dati […] giudiziari è stato effettuato negli atti […] pubblicati dall’Ente. Nessun ‘lettore’, pertanto, potrebbe in alcun modo risalire a tali dati […] giudiziari attraverso la consultazione dei provvedimenti pubblicati dal [Consiglio]”;

“i motivi per i quali un Ente può escludere da un concorso pubblico un candidato possono essere dei più vari, da una rivalutazione dei titoli o delle prove sostenute tale da attribuire un punteggio inferiore alla soglia min ima di ammissibilità, all’intervenuta rinuncia del candidato o alla diversa valutazione in ordine alla sussistenza di tutti i requisiti di accesso necessari per la partecipazione al concorso. Nessuno, pertanto, avrebbe potuto conoscere dalla mera pubblicazione degli anzidetti atti lo specifico motivo di esclusione del reclamante, né tantomeno i suoi dati […] giudiziari in possesso dell’Ente”;

“tutti i provvedimenti pubblicati, in ossequio al principio di min imizzazione dei dati, sono stati debitamente omissati, tanto nei considerando, quanto nella parte motiva, quanto ancora nel dispositivo”;

“[…] il [Consiglio], quale ente pubblico non economico, è soggetto all’applicazione di tutte le norme di matrice pubblicistica concernenti le procedure di selezione del personale della P.A.”;

“[…] i partecipanti menzionati nelle posizioni da 2 a 5 risultano essere “idonei non vincitori”. Un soggetto “idoneo non vincitore”, in un concorso pubblico, vanta una posizione di aspettativa all’assunzione, atteso che l’Amministrazione conserva un’ampia discrezionalità ed ha la facoltà di procedere anche al successivo scorrimento della graduatoria. Dunque, l’adempimento agli oneri di pubblicazione previsti dalla P.A. è necessario, altresì, per assicurare che la graduatoria esplichi i suoi effetti anche oltre la conclusione del concorso all’esito del quale viene formata, a fronte di eventuali ulteriori iniziative concernenti lo scorrimento della predetta graduatoria, sia ad opera della P.A. presso la quale si è perfezionata, sia di altre P.A. interessate ad utilizzarla”;

“la pubblicazione della graduatoria di merito, dunque, trova il suo fondamento normativo nelle norme contenute nel d.P.R. n. 3/57, d.P.R. n. 487/94, D.Lgs. n. 165/01 e nel D.Lgs. n. 33 del 2013”;

“con riferimento a quest’ultima norma, si ricorda che il [Consiglio], quale Ordine professionale avente natura di ente pubblico non economico, è sottoposto al rispetto di tutti gli obblighi derivanti dalla normativa in tema di prevenzione della corruzione e trasparenza. In particolare, [trova applicazione] l’art. 19 co.1 del D.Lgs n. 33 del 2013 [ai sensi del quale] […] le pubbliche amministrazioni pubblicano […] le graduatorie finali, aggiornate con l'eventuale scorrimento degli idonei non vincitori”;

“accanto agli oneri di pubblicazione anzidetti, vi sono, poi, gli obblighi di aggiornamento della graduatoria. Infatti, il secondo comma della art. 19 sopra richiamato, sancisce che “le pubbliche amministrazioni pubblicano e tengono costantemente aggiornati i dati di cui al comma 1”. Da tale assunto, pertanto, si ricava che, l’Amministrazione non poteva in alcun modo esimersi dal pubblicare la graduatoria di merito e i successivi aggiornamenti”;

“con riferimento ai tempi di pubblicazione e di validità delle graduatorie, inoltre, si precisa che, ai sensi dell’art. 8, co. 3, del D.Lgs. n. 33 del 2013 “i dati, le informazioni e i documenti oggetto di pubblicazione obbligatoria ai sensi della normativa vigente sono pubblicati per un periodo di 5 anni, decorrenti dal 1° gennaio dell’anno successivo a quello da cui decorre l’obbligo di pubblicazione”. Tale principio di carattere generale deve armonizzarsi con quello ulteriore, desumibile dal T.U. sul pubblico impiego, circa il periodo di vigenza delle graduatorie concorsuali; ai sensi dell’art. 35, co. 5ter, D.Lgs. n. 165/01, “Le graduatorie dei concorsi per il reclutamento del personale presso le amministrazioni pubbliche rimangono vigenti per un termine di due anni dalla data di approvazione. Sono fatti salvi i periodi di vigenza inferiori previsti da leggi regionali”. Dunque, gli effetti di una graduatoria concorsuale, per espressa previsione normativa, non cessano in conseguenza della conclusione delle operazioni concorsuali a valle delle quali essa è formata, ma deve rimanere disponibile anche successivamente sia per la stessa Amministrazione che ha bandito il concorso, sia per le altre, in virtù di eventuali scorrimenti su di essa disposti”;

“la graduatoria del XX è stata pubblicata nella sezione dell’amministrazione trasparente https://cnoas.org/amm-trasparente/concorsi/bandi-di-concorso/ dal XX […]”;

“la graduatoria del XX è stata pubblicata nella sezione dell’amministrazione trasparente https://cnoas.org/amm-trasparente/concorsi/bandi-di-concorso/ dal XX […]”;

“la delibera n. XX del XX riporta al suo interno il periodo di pubblicazione: “si attesta che copia della delibera n. XX esecutiva ai sensi dell’art. 21 quater della L. 241/1990, è pubblicata alla Bacheca on-line del Consiglio nazionale dell’Ordine degli Assistenti sociali sul sito istituzionale all’indirizzo https://cnoas.org/bacheca/, ai sensi dell’art. 32 della legge n. 69/2009 e vi rimarrà, in visione, per 15 giorni consecutivi a decorrere dal giorno XX e fino al giorno XX”. Dunque, essa è stata inizialmente pubblicata sotto la sezione chiamata “bacheca” (https://cnoas.org/albo-on-line/) e, successivamente, ‘trasferita’ nella sezione “amministrazione trasparente” […] (https://cnoas.org/amm-trasparente/albo-degli-atti/)”;

“il [Consiglio] […] ha, altresì, l’obbligo di pubblicare le proprie delibere ai sensi dell’art. 32 comma 1 della legge 69/2009, secondo cui “gli obblighi di pubblicazione di atti e provvedimenti amministrativi aventi effetto di pubblicità legale si intendono assolti con la pubblicazione nei propri siti informatici da parte delle amministrazioni e degli enti pubblici obbligati””;

“[…] il [Consiglio] ha provveduto a non far comparire all’interno della delibera pubblicata né l’identificazione né la parte relativa ai motivi dell’esclusione del [reclamante]”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Consiglio, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente alla data dei fatti oggetto di reclamo), invitando il predetto Titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota prot. n. XX del XX, il Consiglio ha presentato la propria memoria difensiva, dichiarando, in particolare, che:

“[il Trattamento è] stato effettuato nell’ambito di una procedura concorsuale pubblica, come noto, soggetta a oneri di pubblicazione particolarmente stringenti  […] nell’esercizio delle funzioni amministrative che la legge attribuisce al [Consiglio] […] esclusivamente nell’apposita sezione ‘Amministrazione trasparente’ - ‘Bandi di concorso’, prevista dal D.Lgs. n. 33/13 proprio per garantire la massima trasparenza dell’agire amministrativo, a maggior ragione in un settore - come quello delle procedure di selezione del personale […] caratterizzate dal maggior rischio corruttivo”;

“dunque, il nominativo del [reclamante] (ed il punteggio da esso ottenuto) sì compariva, ma al solo fine di rendere edotto il medesimo partecipante circa l’esito delle prove concorsuali sostenute; il nome ed il cognome del partecipante alla procedura, pertanto, erano menzionati in via esclusiva nella predetta graduatoria ed in nessun altro atto o provvedimento adottato dall’Ente ed oggetto di pubblicazione”;

“[…] non era possibile in alcun modo rinvenire le ragioni per le quali tale soggetto è stato poi escluso dalla procedura; la delibera di esclusione successivamente pubblicata e con la quale si sanciva l’estromissione dalla procedura concorsuale del [reclamante] pubblicata in ossequio all’art. 32 co.1 della legge n. 69/2009, era comprensiva di debito oscuramento mediante “omissis”, in ordine sia al nominativo della persona oggetto della delibera medesima, sia in ordine alle motivazioni giustificatrici dell’adozione dell’atto”;

“d’altra parte, le motivazioni che potevano portare all’esclusione del candidato potevano essere le più disparate […]”;

“verosimilmente […] l’artificiosa opera di sinossi tra le versioni di graduatorie pubblicate dal [Consiglio] ha esclusivamente riguardato un numero limitatissimo di utenti, ovverosia i soli cinque partecipanti alla prova concorsuale che avevano superato la prova preselettiva […] [; tale] numero è talmente esiguo da eliminare in radice qualsivoglia effetto pregiudizievole nei confronti dell’interessato o, in ogni caso, qualsivoglia profilo di gravità nel Trattamento operato dall’Ente”;

“il reclamante si doleva del Trattamento dei suoi Dati personali rispetto alla combinata pubblicazione (i) della prima graduatoria, debitamente eliminata dal sito istituzionale dell’Ente (ii) di quella rettificata e (iii) della delibera n. XX del XX, con la quale si delegava il Presidente a procedere all’esclusione del reclamante. Ebbene, quest’ultima - comunque omissata - è stata pubblicata solo per 15 giorni nella sezione ‘Albo on line’. Dunque, anche la durata del Trattamento dei Dati personali effettuata dall’Ente è di entità tale da scongiurare qualsiasi profilo di gravità del Trattamento operato. Tanto più che la determina presidenziale di esclusione del XX, con cui il Presidente ha esercitato la delega all’esclusione ad esso conferita dal Consiglio con la delibera n. 163 sopra menzionata non è neanche mai stata oggetto di pubblicazione”;

“[…] va rappresentato il difficile quadro normativo che orienta – e molto spesso confonde - le Amministrazioni, soprattutto quelle di più modeste dimensioni”;

“il fatto che [l’art. art. 19 co. 1, D.Lgs. n. 33/13] specifichi, nell’ultimo periodo, che vadano pubblicati i criteri “aggiornati con l’eventuale scorrimento degli idonei non vincitori” ha indotto l’Amministrazione ad adottare una condotta votata alla più puntigliosa e completa trasparenza amministrativa […]”;

“al fine, dunque, di valutare la assoluta buona fede dell’azione dell’Amministrazione, va considerata la complessità magmatica in cui questa è costretta ad agire, oltre al potere deterrente spiccato dalle sanzioni previste nel caso in cui si disattendano gli obblighi di pubblicità citati”;

“[…] tale difficoltà esegetica e applicativa deve […] essere valutata nei confronti di un Ordine professionale, in possesso di un organico assai contenuto […]”;

“[…] l’Amministrazione si è immediatamente premurata di rimuover[e] il nominativo [del reclamante] dalla prima versione della graduatoria pubblicata”;

“[…] accanto alla eliminazione dei documenti pubblicati nella sezione “Amministrazione trasparente”, è stata eliminata qualsivoglia indicizzazione presente sui motori di ricerca, in modo tale da interrompere radicalmente qualsivoglia ‘collegamento digitale’ tra il [reclamante] e il [Consiglio]”;

“[…] deve escludersi con forza l’avvenuto Trattamento non conforme al [Regolamento] di Dati particolari o comunque afferenti a condanne giudiziali ex artt. 9 e 10 del [Regolamento]”.In occasione dell’audizione, richiesta dal Consiglio ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX, il Consiglio ha, inoltre, dichiarato, in particolare, che:

“considerata la peculiare natura giuridica dell’Ente, sussiste […] un’ulteriore difficoltà a comprendere il quadro giuridico effettivamente applicabile all’Ordine [, anche tenuto conto del fatto che, ad avviso dell’Autorità Nazionale Anticorruzione,] gli Ordini professionali non rientrano tra le pubbliche amministrazioni di cui all’art. 1, comma 2, del d.lgs. 165/2001”.

3. Esito dell’attività istruttoria.

La disciplina di protezione dei Dati personali prevede che i soggetti pubblici, nell’ambito del contesto lavorativo, possono trattare i Dati personali degli interessati, se il Trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4 e 88 del Regolamento). Il Trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il Titolare del trattamento” (art. 6, parr. 1, lett. e), 2 e 3, e art. 9, par. 2, lett. g), del Regolamento; art. 2-ter del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

La disciplina nazionale ha introdotto, inoltre, disposizioni più specifiche per adeguare l’applicazione delle norme del Regolamento, determinando, con maggiore precisione, requisiti specifici per il Trattamento e altre misure atte a garantire un Trattamento lecito e corretto (art. 6, par. 2, del Regolamento), e, in tale ambito, ha previsto che le operazioni di trattamento, e tra queste la “diffusione” di dati personali, sono ammesse solo quando previste da una norma di legge o, nei casi previsti dalla legge, di regolamento (art. 2-ter, commi 1 e 3, del Codice nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, vigente al tempo dei fatti oggetto di reclamo).

Il Titolare del Trattamento è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” e di “minimizzazione dei dati”, in base ai quali i Dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

Nel caso di specie, il Consiglio ha pubblicato:

a partire dal XX, la graduatoria definitiva relativa alla predetta procedura concorsuale, datata XX, nella sezione “Amministrazione Trasparente” del proprio sito web istituzionale, con l’indicazione del nominativo del candidato vincitore e di quello di quattro candidati idonei ma non vincitori, tra cui il reclamante (con l’indicazione del punteggio da ciascuno di essi conseguito);

la delibera consiliare n. XX del XX, con cui si dava “mandato al Presidente per la conseguente adozione del provvedimento di esclusione dalla graduatoria del [nome e cognome del reclamante]”, dapprima in una pagina del proprio sito web istituzionale (“Bacheca on-line”), dal XX e per i successivi 15 giorni, e poi nella sezione “Amministrazione trasparente” dello stesso, con oscuramento mediante “omissis” degli estremi del reclamante e della motivazione della delibera, e con il seguente testo in chiaro nella parte dispositiva: “delibera di dare mandato al Presidente per la conseguente adozione del provvedimento di esclusione dalla graduatoria (OMISSIS)”;

la versione rettificata della predetta graduatoria del XX, a partire dalla medesima data, sulla sezione “Amministrazione Trasparente” del proprio sito web istituzionale, con l’indicazione del candidato vincitore e di tre candidati idonei ma non vincitori – tra i quali non compare più in reclamante – e con il seguente testo in calce: “graduatoria rettificata ai sensi della Delibera del Consiglio nazionale n. 163 del 14/11/20 e della Determina del Presidente del 26/11/20”.

Ciò premesso, si osserva anzitutto, che, all’esito della procedura concorsuale in questione, il Consiglio ha pubblicato sul proprio sito web istituzionale, a partire dal XX, una graduatoria nella quale comparivano il nominativo del candidato vincitore e quello di quattro candidati idonei ma non vincitori, tra cui il reclamante, con l’indicazione del punteggio da ciascuno di essi conseguito.

Con riguardo alla pubblicazione delle graduatorie relative a procedure concorsuali, il Garante ha fornito specifiche indicazioni alle pubbliche amministrazioni in ordine alle cautele da adottare per la diffusione di Dati personali in Internet per finalità di trasparenza e pubblicità dell’azione amministrativa già con le “Linee guida in materia di Trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” (provv. n. 243 del 15 maggio 2014, doc. web n. 3134436, spec. II, par. 3.b; cfr. anche le “Linee guida in materia di Trattamento di dati personali, di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, provv. del 14 giugno 2007, n. 161, doc. web n.1417809).

Le disposizioni normative che stabiliscono, in generale, la pubblicità dei provvedimenti finali e delle graduatorie nonché degli altri atti riguardanti i concorsi, le prove selettive e le progressioni di carriera e di altri procedimenti che si concludono con la formazione di graduatorie, nonché le altre specifiche forme di conoscibilità di tali atti previste dall’ordinamento, trovano la propria disciplina in disposizioni stratificatesi nel tempo (cfr. art. 7, d.P.R. 10 gennaio 1957, n. 3; art. 15, d.P.R. 9 maggio 1994, n. 487, in particolare, commi 5, 6 e 6-bis; più in generale, sulla pubblicità delle procedure di reclutamento del personale delle pubbliche amministrazioni, cfr. art. 35, comma 3, d.lgs. 30 marzo 2001, n. 165).

Tali disposizioni svolgono la funzione di consentire agli interessati, partecipanti alle procedure concorsuali o selettive, l’attivazione delle forme di tutela dei propri diritti e di controllo della legittimità dell’azione amministrativa, in quanto della pubblicazione della graduatoria nei bollettini ufficiali dei rispettivi enti (e sui siti istituzionali degli stessi) è data notizia mediante avviso nella Gazzetta Ufficiale della Repubblica. Dalla data di pubblicazione di detto avviso decorre il termine per le eventuali impugnative (v. art. 15, comma 6 d.P.R. 9 maggio 1994, n. 487).

Tali norme dispongono, inoltre, che siano pubblicate le sole graduatorie definitive dei vincitori di concorso e non anche gli esiti delle prove intermedie o i Dati personali dei concorrenti non vincitori o non ammessi (cfr. art. 15, comma 6-bis, del d.P.R. 9 maggio 1994, n. 487, “Regolamento recante norme sull’accesso agli impieghi nelle pubbliche amministrazioni e le modalità di svolgimento dei concorsi, dei concorsi unici e delle altre forme di assunzione nei pubblici impieghi”).

Infatti, in base a quanto previsto dal d.lgs. 14 marzo 2013, n. 33, “fermi restando gli altri obblighi di pubblicità legale, le pubbliche amministrazioni pubblicano i bandi di concorso per il reclutamento, a qualsiasi titolo, di personale presso l’amministrazione, nonché i criteri di valutazione della Commissione, le tracce delle prove e le graduatorie finali, aggiornate con l'eventuale scorrimento degli idonei non vincitori. Le pubbliche amministrazioni pubblicano e tengono costantemente aggiornati i dati di cui al comma 1” (art. 19, commi 1 e 2; v. Memoria del Presidente dell'Autorità garante per la protezione dei Dati personali sul disegno di legge di bilancio 2020 commissione 5°, Bilancio, del Senato della Repubblica, del 12 novembre 2019, doc. web 9184376; cfr., da ultimo, provv. 28 aprile 2022, n. 151, doc. web n. 9778996, e i precedenti provvedimenti in esso richiamati, tra cui, in particolare, il provv. 25 novembre 2021 n. 407, doc. web 9732406).

Il Consiglio ha, invece, pubblicato sul proprio sito web istituzionale una graduatoria, rispetto alla quale non è stato effettuato lo scorrimento, e quindi contenente anche gli estremi dei candidati idonei ma non vincitori e il punteggio da questi conseguito.

Non rileva, a tal riguardo, quanto dichiarato dal Consiglio in merito alla circostanza che gli Ordini professionali non rientrano tra le pubbliche amministrazioni di cui all’art. 1, comma 2, del d.lgs. 165/2001, atteso che, ai sensi dell’art. 2-bis, comma 2, lett. a), del d.lgs. 14 marzo 2013, n. 33, che definisce l’ambito soggettivo di applicazione della normativa in materia di trasparenza, la medesima disciplina prevista per le pubbliche amministrazioni di cui al comma 1, incluse tutte le amministrazioni di cui all'art. 1,  comma  2, del  d.lgs.  30  marzo  2001,  n.  165, “si applica anche, in quanto compatibile agli enti pubblici economici e agli ordini professionali”.

Si rileva, inoltre, che la pubblicazione sul sito web istituzionale della Consiglio della graduatoria XX, della delibera consiliare n. XX del XX e della versione rettificata della graduatoria del XX, ha comportato la diffusione di ulteriori informazioni relative al reclamante, con specifico riguardo alla circostanza che lo stesso fosse stato escluso dalla graduatoria relativa alla procedura concorsuale in questione.

Sebbene, infatti, la predetta documentazione, nella versione pubblicata online, non contenesse riferimenti diretti al nome e al cognome del reclamante, quest’ultimo avrebbe potuto essere identificato da un eventuale raffronto tra la graduatoria iniziale del XX e quella rettificata del XX, in quanto il proprio nominativo non compare più in quest’ultima. Inoltre, mettendo in relazione il testo che compare in calce alla graduatoria rettificata (“graduatoria rettificata ai sensi della Delibera del Consiglio nazionale n. 163 del 14/11/20 e della Determina del Presidente del 26/11/20”) con la parte dispositiva della delibera consiliare n. XX del XX (“delibera di dare mandato al Presidente per la conseguente adozione del provvedimento di esclusione dalla graduatoria (OMISSIS)”) è possibile rilevare che i riferimenti al reclamante non compaiono più nella graduatoria definitiva, in quanto lo stesso è stato Destinatario di un provvedimento di esclusione, ancorché non sia comunque evincibile dal contesto di riferimento la specifica motivazione sottesa all’esclusione (cfr. Gruppo di Lavoro Art. 29, Parere 05/2014 sulle tecniche di anonimizzazione, WP216, ove si chiarisce che “per identificazione non si intende solo la possibilità di recuperare il nome e/o l’indirizzo di una persona, ma anche la potenziale identificabilità mediante individuazione, correlabilità e deduzione”).

La diffusione dei Dati personali del reclamante e degli altri candidati idonei ma non vincitori sul sito web istituzionale del Consiglio è, pertanto, avvenuta in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente alla data dei fatti oggetto di reclamo).

Da ultimo, si evidenzia che, contrariamente a quanto ritenuto dal reclamante, la diffusione in questione non ha riguardato Dati personali relativi a condanne penali e reati (art. 10 del Regolamento), atteso che nei documenti oggetto di pubblicazione non è stata indicata la specifica motivazione sottesa al provvedimento di esclusione che ha interessato il reclamante, dovendosi, pertanto, disporre l’archiviazione del reclamo, limitatamente a tale profilo.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal Titolare del Trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del Trattamento di Dati personali effettuato dal Consiglio, per aver diffuso Dati personali del reclamante e di altri tre interessati, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che la diffusione dei Dati personali del reclamante è cessata, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stato considerato che la diffusione dei Dati personali in questione è avvenuta nonostante il Garante abbia da tempo fornito specifiche indicazioni alle pubbliche amministrazioni in ordine alle cautele da adottare per la diffusione di Dati personali in Internet per finalità di trasparenza e pubblicità dell’azione amministrativa (v. le “Linee guida in materia di Trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati”, cit., spec. II, par. 3.b; cfr. le “Linee guida in materia di Trattamento di dati personali, di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, cit.).

Di contro, si è tenuto in considerazione che:

la diffusione dei Dati personali in questione ha coinvolto un numero limitato di interessati (ovvero il reclamante e altri tre partecipanti idonei ma non vincitori);

la condotta ha natura colposa, essendo stata la violazione causata da un’erronea interpretazione del quadro giuridico in materia di obblighi di pubblicazione delle graduatorie relative alle procedure concorsuali, avendo, pertanto, il Consiglio agito in buona fede, nella convinzione che il Trattamento in questione fosse necessario per adempiere a obblighi di legge e assicurare la trasparenza dell’azione amministrativa;

è ragionevole ipotizzare che solo un numero limitato di persone abbiano effettivamente consultato gli atti oggetto di pubblicazione e messo gli stessi in relazione tra loro venendo così a conoscenza della circostanza che il reclamante fosse stato Destinatario di un provvedimento di esclusione; ciò anche in considerazione del fatto che, come dichiarato dal Consiglio,  la delibera n. XX del XX, con la quale si delegava il Presidente a procedere all’esclusione del reclamante, è stata pubblicata solo per quindici giorni nella sezione ‘Albo on line’ del sito web istituzionale del Consiglio;

il Titolare del Trattamento è un Ente di piccole dimensioni, che dispone di una limitata dotazione organica;

il Titolare del Trattamento ha prestato piena collaborazione all’Autorità nel corso dell’istruttoria;

il Titolare del Trattamento ha assunto iniziative per rafforzare la propria organizzazione interna, al fine di assicurare una ancor più stringente osservanza della normativa in materia di protezione dei dati personali.

Non risultano, infine, precedenti violazioni pertinenti commesse dal Titolare del Trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 3.000 (tremila) per la violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, paragrafo 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto che la diffusione dei Dati personali in questione ha avuto luogo nella fase prodromica all’eventuale instaurazione del rapporto di lavoro e ha riguardato anche la delicata informazione relativa all’esclusione del reclamante dalla procedura, si ritiene, altresì, che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del Trattamento effettuato dal Consiglio Nazionale dell'Ordine degli Assistenti Sociali per violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), nei termini di cui in motivazione;

ORDINA

al Consiglio Nazionale dell'Ordine degli Assistenti Sociali, in persona del legale rappresentante pro-tempore, con sede legale in Via Del Viminale, 43 - 00184 Roma (RM), C.F. 97131960581, di pagare la somma di euro 3.000 (tremila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Consiglio Nazionale dell'Ordine degli Assistenti Sociali, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 3.000 (tremila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 23 marzo 2023

IL PRESIDENTEStanzione

IL RELATOREGhiglia

IL SEGRETARIO GENERALEMattei