Sanzionato dal Garante della privacy il Comune che diffonde i dati personali di una dipendente, tenendoli oltre 15 giorni nell’albo pretorio on line. Uno sforamento del tempo massimo indicato dal Testo unico degli enti locali, per la pubblicazione delle delibere comunali. La Corte di cassazione, con la sentenza 18292, respinge il ricorso del Comune, finito nel mirino dell’Authority, per aver lasciato sul web, per oltre un anno, decisioni dirigenziali nelle quali era indicato non solo il nome e il cognome della dipendente e l’esistenza di un contenzioso con l’amministrazione municipale, ma anche altre notizie.
Sono state almeno 174 le istituzioni comunali e oltre 3mila organizzazioni collegate ad essere prese di mira dai ransomware nel corso del 2019, con un aumento a livello mondiale del 60% rispetto all'anno precedente.
La protezione delle informazioni personali e il rispetto della vita privata vale anche nel pubblico impiego dove permane, comunque, una ragionevole aspettativa di riservatezza. Questo è uno dei principi ribaditi nel provvedimento del Garante Privacy n. 190 del 13 maggio 2021 con il quale ha irrogato una sanzione da 84 mila euro al Comune di Bolzano per aver tratto illecitamente i dati dei propri dipendenti in violazione degli artt. 5, 6, 9, 88 e 35 del GDPR, nonché 113 e 114 del Codice Privacy.
Cade l’obbligo di pubblicare online i dati personali sul reddito e sul patrimonio dei dirigenti pubblici diversi da quelli che ricoprono incarichi apicali. Con la sentenza n. 20 depositata oggi (relatore Nicolò Zanon), la Corte costituzionale ha infatti dichiarato illegittima la disposizione che estendeva a tutti i dirigenti pubblici gli stessi obblighi di pubblicazione previsti per i titolari di incarichi politici.
Il Regolamento comunitario sulla protezione dei dati personali n. 2016/679 non prevede una disciplina ad hoc per il trattamento dei dati personali effettuato dai soggetti pubblici al di là di riferimenti specifici relativi all’applicazione di alcune norme o istituti, talvolta anche in regime di eccezione rispetto a regole generali. IL GDPR, in realtà, non contiene una formale bipartizione tra titolari pubblici e privati e non contiene nemmeno norme specifiche dedicate al settore privato e pubblico, ma si occupa in generale delle condizioni di liceità del trattamento (v. art. 6 e art. 9, comma 2, per i dati particolari).
L'autorità di controllo per la protezione dei dati danese ha recentemente rilevato che due comuni, quello di Gladsaxe e quello di Hørsholm non garantiscono un livello adeguato di sicurezza dei dati come richiesto dal Gdpr, a seguito della notifica di due rispettivi data breach rischiamo adesso di essere sanzionati.
Un’altra pubblica amministrazione colpita da un attacco informatico: stavolta è stato il gruppo di hacker NetWalker ha sferrare un attacco ransomware contro il Comune di Weiz, una cittadina dello Stato Federale austriaco della Stiria, a pochi chilometri dalla capitale Graz. Il malware ha compromesso il sistema di servizi pubblici ed ha esposto online dati privati relativi a ispezioni e progetti edilizi.
L’atteggiamento italiano verso la privacy europea lo si può forse capire dall’andamento degli iscritti al registro del responsabile dei dati (Dpo) tenuto dal Garante. Agli inizi di luglio risultano presenti nell’archivio circa 35.300 di quei profili, oltre 21mila dei quali hanno inviato la comunicazione all’Autorità a ridosso del d-day, ovvero quel 25 maggio in cui in tutta la Ue sono diventate operative le nuove regole sulla tutela dei dati.
Gli enti locali devono valutare con particolare attenzione se, in base alla normativa, possono rendere pubblici i dati personali, spesso anche particolarmente riservati, contenuti in delibere e in altri documenti. Lo ha ribadito il Garante per privacy in alcuni provvedimenti sanzionatori adottati il 2 luglio 2020 nei confronti di una Regione, di due Comuni e di un’Unione di Comuni.
Nella pubblica amministrazione stop alla incetta di nomine di Dpo (Responsabile della protezione dei dati); freno alla nomina in questo ruolo di fornitori esterni di information technology (It) e di avvocati che difendono l'ente; illegittimo riservare le gare per sceglierlo a chi ha un particolare titolo (laurea, certificazione, iscrizione a un albo). Sono alcune delle indicazioni fornite dal Garante della privacy con il «Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati in ambito pubblico», che tutte le p.a. sono obbligate a nominare (art. 37 regolamento Ue n. 2016/679 o Gdpr). Il documento, allegato al provvedimento del Garante n. 186 del 29/4/2021, dà molte indicazioni pratiche, ma numerosi aspetti rimangono ancora a carico dei singoli enti, che devono valutare il da farsi caso per caso.
