Pubblicazione dati personali online: il Garante sanziona un Comune per 1.455 istanze pubblicate senza oscuramento. Cosa imparare da questo caso.
Pubblicazione dati personali e trasparenza amministrativa: dove passa il confine
Il Garante per la Protezione dei Dati Personali ha sanzionato un Comune con 12.000 euro per aver pubblicato online documenti contenenti dati personali senza le dovute cautele.
Il caso riguarda 1.455 richieste di accesso civico e documentale pubblicate integralmente sul sito istituzionale, con nomi, cognomi, numeri di protocollo e descrizioni che consentivano di identificare terze persone.
In un caso, si potevano persino dedurre informazioni sullo stato di salute di un cittadino.Il Comune si è difeso invocando la trasparenza amministrativa, ma l’Autorità ha chiarito che trasparenza e protezione dei dati non sono in conflitto: vanno conciliati rispettando i principi di liceità, necessità e minimizzazione del GDPR.
La lezione vale per tutti: ogni soggetto – pubblico o privato – deve garantire che la pubblicazione online non esponga dati personali oltre il necessario.
Cosa prevede la normativa sulla pubblicazione dati personali online
Il GDPR e il Codice Privacy stabiliscono che i dati personali possono essere diffusi solo se esiste una base giuridica adeguata e se l’informazione pubblicata è proporzionata allo scopo.
Il principio di minimizzazione (art. 5 GDPR) impone di trattare dati solo nella misura strettamente necessaria.
Nel caso delle PA, Linee guida ANAC e Circolare n. 1/2019 indicano che i registri o gli elenchi pubblicati devono essere anonimizzati.
Per le aziende private, ciò si traduce nello stesso principio: non è mai lecito pubblicare online documenti, verbali, atti o comunicazioni interne contenenti nomi, riferimenti sanitari, o informazioni che consentano di identificare persone, se non esiste un obbligo normativo esplicito.
Il Garante ha ricordato che anche il solo nome e cognome è sufficiente per configurare un dato personale ai sensi dell’articolo 4 del GDPR.
Le conseguenze della pubblicazione dati personali non conforme al GDPR
La sanzione di 12.000 euro è stata considerata di gravità media, ma il caso è emblematico.
Pubblicare dati personali in rete, specie se indicizzati dai motori di ricerca, espone gli interessati a rischi reputazionali e di violazione della privacy.
Oltre alla multa, l’ente ha subito un danno d’immagine e la pubblicazione del provvedimento sul sito del Garante.
Gli stessi rischi valgono per qualsiasi impresa o studio professionale che diffonda inavvertitamente dati di clienti o dipendenti online, ad esempio:
- in comunicati stampa o report contenenti nominativi;
- in sezioni del sito web dedicate a bandi, premi o collaborazioni;
- in documenti condivisi in cloud senza controllo dei permessi.
La pubblicazione di dati personali errata può generare sanzioni, danni reputazionali e richieste di risarcimento.
Il provvedimento completo è disponibile qui.
Best practice per evitare violazioni nella pubblicazione dati personali
Qualsiasi azienda che comunichi o pubblichi informazioni deve adottare un approccio strutturato.
Alcune buone pratiche:
- verificare l’obbligo legale prima di pubblicare documenti contenenti dati personali;
- applicare la minimizzazione: pubblicare solo ciò che è essenziale, oscurando nomi e riferimenti non necessari;
- effettuare un controllo privacy preventivo su ogni documento destinato alla pubblicazione, preferibilmente con la supervisione del DPO o del consulente privacy;
- formare il personale su come riconoscere dati personali e sensibili nei documenti.
Per approfondire > Dati sensibili e GDPR: quali sono e come trattarli a norma di legge; - programmare audit periodici per monitorare le pubblicazioni online e rimuovere tempestivamente eventuali informazioni non conformi.
Anche nei contesti privati, la pubblicazione di dati personali su siti web, social o portali aziendali deve rispettare le stesse regole: nessun dato va diffuso se non necessario, proporzionato e giustificato.
Ti serve aiuto per verificare la conformità delle tue pubblicazioni online?
