Subject: La pubblicazione di documenti ed atti amministrativi all’Albo Pretorio on line e l'osservanza della privacy
From: alessandro valentini <[email-masked]>
To: Giampiero Piras <[email-masked]>, _Antonella Pelucchini <[email-masked]>, Roberto Ronci <[email-masked]>, Giuseppe Corfeo <[email-masked]>, ciccolini Roberto <[email-masked]>
Date: Tue, 10 Jul 2018 10:42:46 +0200

La pubblicazione di documenti ed atti amministrativi all’Albo
      Pretorio on line e l'osservanza della privacy

    Nota di approfondimento sulla pubblicazione degli atti
    amministrativi all'Albo Pretorio in relazione alla normativa vigente
    in materia di privacy 

Con la *Legge 18 giugno 2009, n. 69 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2009;69%21vig=> 
è stato istituito l’Albo pretorio on line*, prevedendosi che /"*a far 
data dal 1° gennaio 2010, gli obblighi di pubblicazione * di atti e 
provvedimenti amministrativi aventi effetto di pubblicità legale *si 
intendono assolti con la pubblicazione nei propri siti informatici da 
parte delle amministrazioni e degli enti pubblici obbligati*" e che "*a 
decorrere dal 1 gennaio 2011* […] *le pubblicazioni effettuate in forma 
cartacea non hanno effetto di pubblicità legale"*. /

*La suddetta previsione, presuppone il necessario coordinamento con le 
disposizioni del D.Lgs. n. 196/2003 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%21vig=> 
* “Codice in materia di protezione dei dati personali”: infatti, *a 
norma dell’art. 20, c.1 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart20%21vig=> 
del Codice* “*/il trattamento dei dati sensibili da parte di soggetti 
pubblici è consentito solo se autorizzato da espressa disposizione di 
legge nella quale sono specificati i tipi dì dati che possono essere 
trattati / * /e di operazioni eseguibili e le finalità di rilevante 
interesse pubblico perseguite/”. In pratica, il combinato tra le due 
disposizioni, comporta che *le pubbliche amministrazioni prima di 
pubblicare all’albo un atto o documento contenente dati personali, 
devono verificare: per i dati comuni l’esistenza di una norma di legge o 
di regolamento che ne preveda l’obbligo * (ex art. 19, c.3, del Codice 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart19%21vig=>) 
*e, per i dati sensibili e giudiziari, l’esistenza di una norma di legge 
* (ex artt. 20 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart20%21vig=>, 
21 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart21%21vig=> 
e 22, c.11, del Codice 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart22%21vig=>) 
*che ne prescriva l’affissione.*

*Il Codice della privacy* *offre, inoltre,* *la soluzione per i casi in 
cui, accertato l’obbligo di pubblicazione, non siano tuttavia 
esplicitati i dati sensibili da pubblicare o meno*; infatti, il *c.2 del 
citato art. 20 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart20%21vig=>, 
*con specifico riferimento ai casi in cui “/una disposizione di legge 
specifica la finalità di rilevante interesse pubblico, ma non i tipi di 
dati sensibili / ”, *rinvia espressamente la loro individuazione alla 
Regolamentazione comunale * , prevedendo che *“/il trattamento è 
consentito solo in riferimento ai tipi di dati e di operazioni 
identificati e resi pubblici / * /a cura dei soggetti che ne effettuano 
il trattamento, *in relazione alle specifiche finalità perseguite nei 
singoli casi e nel rispetto dei principi di cui all'articolo 22 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart22%21vig=>, 
con atto di natura regolamentare * adottato in conformità al parere 
espresso dal Garante ai sensi dell'articolo 154, comma 1, lettera g) 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart154%21vig=>, 
anche su schemi tipo/”. Nel disegno del legislatore deve essere, dunque, 
*la Regolamentazione comunale in materia di diritto di accesso, da 
adottare in conformità agli schemi tipo su cui il Garante ha già 
espresso parere favorevole, a disciplinare organicamente le specifiche 
politiche dei singoli enti in materia di trasparenza, in relazione alle 
diverse procedure amministrative ed alle distinte esigenze da 
perseguire*, il tutto *ispirandosi alle linee guida in materia di 
trattamento di dati personali emanate * pro tempore *dal Garante per la 
Privacy e ai contributi consultivi dello stesso Garante*.

Ricordiamo inoltre *che è in itinere la procedura di adeguamento della 
normativa nazionale in materia di privacy (D.lgs. n. 196/2003 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%21vig=>), 
alle disposizioni del Regolamento (UE) 2016/679 
<https://www.progettoomnia.it/download/146306>* del Parlamento europeo e 
del Consiglio del 27 aprile 2016, *relativo alla protezione delle 
persone fisiche con riguardo al trattamento dei dati personali*, nonché 
*alla libera circolazione di tali dati*.

In proposito, *il Garante ha già reso il proprio parere* (n. 312 del 22 
maggio 2018) *sullo schema del D.lgs. di adeguamento rilevando*, 
dall’esito della relazione di accompagnamento al decreto *che, ”/la 
massima parte delle disposizioni del Codice sia da abrogare 
espressamente in quanto incompatibili/*/con quelle recate dal 
Regolamento che, com'è noto, sono per la maggior parte direttamente 
applicabili e costituiranno per il futuro il "regime primario interno" 
in materia di protezione dei dati personali/” mentre *“/Altra e minore 
parte delle previsioni codicistiche nazionali è stata modificata/*/(in 
alcuni casi anche in modo rilevante), in relazione a disposizioni del 
Regolamento non direttamente applicabili e che lasciavano spazi 
all'intervento del legislatore nazionale degli Stati membri/”, ma anche 
che “*/In sostanza la Parte I del Codice è profondamente innovata sotto 
il profilo sistematico, ma molte delle regole oggi presenti nel Codice 
sono confermate, benché rimodulate in alcuni casi, in conformità al 
Regolamento/….* */riproducendo in maniera sostanzialmente inalterata il 
regime normativo previsto al previgente articolo 20 del Codice per i 
trattamenti di dati sensibili effettuati da soggetti pubblici”/*.**

Ragion per cui *la presente trattazione può ritenersi*, in linea di 
massima, *allineata anche al Codice della Privacy quale risulterà in 
esito alla revisione in corso.*

In linea generale, *anche alle affissioni all'albo pretorio on line si 
applicano tutti i limiti previsti nelle vigenti Linee guida del garante 
per la privacy * "/in materia di trattamento di dati personali, 
contenuti anche in atti e documenti amministrativi, effettuato per 
finalità di pubblicità e trasparenza sul web da soggetti pubblici e da 
altri enti obbligati/” *n. 243 del 15 maggio 2014* 
<https://www.progettoomnia.it/dettaglio/164741-linee-guida-garante-privacy-15-maggio-2014>, 
pubblicate sulla Gazzetta Ufficiale n. 134 del 12 giugno 2014, riferiti 
essenzialmente al *divieto di diffusione di dati idonei a rivelare lo 
stato di salute e cautele per gli altri dati sensibili e giudiziari e al 
divieto di diffondere dati personali non necessari, non pertinenti o 
eccedenti*.

In tal senso, *le vigenti “Linee guida in materia di trattamento di dati 
personali” * , *prevedono espressamente obblighi di pubblicità on line * 
ulteriori rispetto a quelli previsti in materia di trasparenza, 
*“/contenuti in specifiche disposizioni di settore come, fra l’altro, 
quelli volti a far conoscere l’azione amministrativa in relazione al 
rispetto dei principi di legittimità e correttezza, o quelli atti a 
garantire la pubblicità legale degli atti amministrativi / * ”.

*In relazione a tali ipotesi* , secondo le Linee guida, “/Laddove 
l’amministrazione riscontri l’esistenza di un obbligo normativo che 
impone la pubblicazione dell’atto o del documento nel proprio sito web 
istituzionale *è necessario selezionare i dati personali da inserire in 
tali atti e documenti, verificando, caso per caso, se ricorrono i 
presupposti per l’oscuramento di determinate informazioni *… in 
considerazione del fatto che, *anche in tale ipotesi, i soggetti 
pubblici sono tenuti a ridurre al minimo l’utilizzazione di dati 
personali e di dati identificativi * / (art. 4, c.1, lett c, del Codice 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart4%21vig=>), 
/*ed evitare il relativo trattamento quando le finalità perseguite nei 
singoli casi possono essere realizzate mediante dati anonimi o altre 
modalità che permettano di identificare l’interessato solo in caso di 
necessità * / (c.d. ”principio di necessità” di cui all’art. 3, c.1, del 
Codice 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart3%21vig=>).

*Conseguentemente*, si può tranquillamente affermare che in presenza di 
un obbligo legale di pubblicità on line, *è consentita la diffusione dei 
soli dati personali la cui visibilità in atti e documenti sia realmente 
necessaria e proporzionata al raggiungimento delle finalità perseguite 
dall’atto * e, quindi, in sintesi, *affinché la pubblicazione di un atto 
possa qualificarsi conforme al quadro normativo vigente * in materia di 
tutela della privacy, *occorre essenzialmente che*:

  * *la pubblicazione venga assolta rispettando l’interesse del
    cittadino alla tutela dei propri dati “personali, sensibili e
    identificativi*” (art. 4, D.Lgs. n. 196/2003
    <http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart4%21vig=>);
  * *la privacy* sui predetti dati “personali, sensibili e
    identificativi” *venga assicurata: “riducendo al minimo
    l’utilizzazione di dati personali e di dati identificativi” (c.d.
    principio di NECESSITÀ * di cui all’art. 3 del D.Lgs. n. 196/2003
    <http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart3%21vig=>)
    *e utilizzando solo quei “dati personali* *la cui inclusione* in
    atti e documenti da pubblicare *sia realmente necessaria e
    proporzionata alla finalità di perseguita nel caso concreto” (c.d.
    principio di PERTINENZA, COMPLETEZZA E NON ECCEDENZA * di cui
    all’art. 11, c.1, lett. d) del D.Lgs. n. 196/2003
    <http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart11%21vig=>
    ed alle Linee Guida del 15 maggio 2014
    <https://www.progettoomnia.it/dettaglio/164741-linee-guida-garante-privacy-15-maggio-2014>).

Ad avviso del Garante, inoltre, *la selezione dei dati personali* da 
diffondere *_deve essere_* *_particolarmente accurata_ nei casi in cui 
li informazioni sono idonee a rivelare l'origine razziale, le 
convinzioni religiose, le opinioni politiche, l'adesione a partiti, 
sindacati, associazioni o organizzazioni a carattere religioso, 
filosofico, politico o sindacale, la vita sessuale * (c.d. "dati 
sensibili")**oppure *nel caso di dati idonei a rivelare provvedimenti in 
materia di casellario giudiziale, di anagrafe delle sanzioni 
amministrative dipendenti da reato e dei relativi carichi pendenti, 
nonché la qualità di imputato o di indagato * (c.d. "dati giudiziari"), 
*_mentre resta assolutamente vietata la diffusione di "/dati idonei a 
rivelare lo stato di salute/", ossia di qualsiasi informazione da cui si 
possa desumere lo stato di malattia o l'esistenza di patologie dei 
soggetti interessati, compreso qualsiasi riferimento alle condizioni di 
invalidità, disabilità o handicap fisici e/o psichici _ * (c.d. dati 
“supersensibili/"/).

In tale logica, sarebbe opportuno che, *fin dalla fase di redazione 
degli atti e dei documenti* oggetto di pubblicazione, *nel rispetto del 
principio di adeguata motivazione, non venissero inseriti dati personali 
"eccedenti", "non pertinenti", "non indispensabili" (e, tantomeno, 
"vietati") e, in caso contrario, occorrerà provvedere, comunque, al loro 
oscuramento nella fase di pubblicazione*.

*Il Garante individua*,**per altro, *nelle Linee guida 
<https://www.progettoomnia.it/dettaglio/164741-linee-guida-garante-privacy-15-maggio-2014>, 
anche una serie di accorgimenti tecnici* *finalizzati ad assicurare 
forme corrette e proporzionate di conoscibilità * di atti e documenti 
contenenti dati personali per finalità di pubblicità dell’azione 
amministrativa.

Limitandoci ad una semplice esposizione riassuntiva, i suddetti 
accorgimenti vanno: dal *privilegiare gli accessi selettivi evitando, 
ove possibile, la reperibilità dei dati personali da parte dei motori di 
ricerca esterni (es. Google) * e prevedendo esclusivamente funzionalità 
di ricerca interne al sito web dell’Ente che pubblica i dati [1] ; *al 
rispetto* rigoroso *delle disposizioni di settore che individuano 
circoscritti periodi di tempo per la pubblicazione * (e 
all’individuazione di congrui e non eccedenti periodi di pubblicazione 
in assenza di disposizioni di settore), *con la loro rimozione dal sito 
web allo scadere del periodo previsto o con l’anonimizzazione dei dati*, 
ciò anche per garantire il diritto all'oblio degli interessati e alla 
luce della residuale possibilità di consultazione dei dati integrali, a 
mezzo di rituale e motivata richiesta di accesso agli atti.

Gli altri accorgimenti suggeriti dal Garante riguardano: *l’adozione di 
opportune cautele per ostacolare operazioni di duplicazione massiva dei 
file contenenti dati personali da parte degli utenti della rete * , ad 
es. mediante ricorso a strumenti tecnologici in grado di riconoscere 
accessi anomali per frequenza o perché realizzati tramite l´azione di 
strumenti automatizzati e non da persone (fermo restando, naturalmente, 
il rispetto dei principi di fruibilità, usabilità e accessibilità dei 
siti istituzionali delle pubbliche amministrazioni) *e* *la 
pubblicazione di dati personali esatti e aggiornati*, ad es. indicando, 
tra i dati di contesto riportati all´interno del contenuto informativo 
dei documenti, le fonti attendibili per il loro reperimento o mediante 
la sottoscrizione con firma digitale o l’indicazione della data di 
aggiornamento, validità, amministrazione, protocollo, etc.).

Come per la pubblicazione all’Albo tradizionale, *anche per la 
pubblicazione all’Albo on line, una volta trascorso l’arco temporale 
previsto dalle singole discipline * (o per gli atti pubblicati 
autonomamente, *quello previsto dalle norme regolamentari dell’ente*), 
*gli enti locali non possono continuare a diffondere i dati personali in 
essi contenuti*, determinandosi in contrario per il periodo eccedente, 
una diffusione illecita in quanto non supportata da idonei presupposti 
normativi (art. 19, c.3, del Codice 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart19%21vig=>); 
così, ad es. la permanenza nel web di dati personali contenuti nelle 
deliberazioni degli enti locali oltre il termine di quindici giorni ex 
art. 124, D.Lgs. n. 267/2000 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2000;267%7Eart124%21vig=>, 
può integrare la violazione dell’art. 19, c.3, del Codice 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart19%21vig=>, 
laddove non esista un diverso parametro legislativo o regolamentare che 
ne preveda la diffusione.

*Nell’ipotesi in cui*, invece, *la normativa di riferimento non indichi 
la durata temporale dell’affissione all’albo, l’amministrazione deve 
comunque individuare a livello regolamentare, un congruo periodo di 
tempo, non eccedente quello ritenuto, caso per caso, necessario al 
raggiungimento dello scopo * per il quale l’atto è stato adottato e i 
dati stessi sono stati resi pubblici, *entro cui i dati personali devono 
rimanere disponibili*.

Inoltre, per *la diversa ratio che integra l’obbligo di pubblicazione 
all’Albo on line * (pubblicità legale//e rispetto dei principi di 
legittimità e correttezza), *rispetto a quella che sottende alle 
pubblicazioni in materia di trasparenza*, *per la prima non trova 
applicazione l'arco temporale di cinque anni previsto * per la 
pubblicità di dati e informazioni sui siti web istituzionali *per 
finalità di trasparenza ex art. 8, D.Lgs. n. 33/2013 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2013;33%7Eart3%21vig=>*; 
*ragion per cui,* *decorso il periodo di pubblicazione *previsto dalle 
singole discipline di riferimento oppure, in mancanza, quello 
individuato dalla stessa amministrazione, *se gli enti locali vogliono 
continuare a mantenere nel proprio sito web istituzionale gli atti e i 
documenti pubblicati * (ad es. all’interno delle sezioni dedicate agli 
archivi degli atti e/o norme dell'ente), *devono adottare gli opportuni 
accorgimenti per la tutela dei dati personali, provvedendo ad oscurare i 
dati e le informazioni idonei a identificare, anche in maniera 
indiretta, i soggetti interessati * .

*Qualche cenno, infine*, a due tipologie di atti soggetti a 
pubblicazione, in relazione ai quali sovente è dato riscontrare 
valutazioni ed applicazioni normative diverse da parte dei vari enti 
locali. Ci si riferisce, in particolare, *all’obbligo di pubblicazione 
dei permessi di costruire e delle Ordinanze di sospensione/demolizione 
di opere abusivamente eseguite: il primo è sancito dall’art. 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2001;380%7Eart20%21vig=>**20, 
c.6 del DPR n. 380/2001* 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2001;380%7Eart20%21vig=>, 
*secondo cui*: “*/Dell’avvenuto rilascio del permesso di costruire è 
data notizia al pubblico mediante affissione all’albo pretorio/*”, 
mentre il secondo*è stabilito dall’art. 31 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2001;380%7Eart31%21vig=>**, 
c.7, DPR n. 380/2001* 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2001;380%7Eart31%21vig=>, 
*secondo cui*: “*/Il segretario comunale redige e pubblica mensilmente, 
mediante affissione nell'albo comunale, i dati relativi agli immobili e 
alle opere realizzati abusivamente/*/, oggetto dei rapporti degli 
ufficiali ed agenti di polizia giudiziaria e delle relative ordinanze di 
sospensione / …”.

*Si tratta* , certamente, per entrambe le casistiche, *di atti soggetti 
a pubblicazione in quanto rientranti tra quelli aventi * *finalità “/di 
rilevante interesse pubblico/”* ai sensi degli artt. 67 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart67%21vig=> 
e 71 del D.Lgs. n. 196/2003 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart71%21vig=> 
*e, in rapporto ai quali*, ai sensi dell’art. 20, c.1 del Codice 
<http://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2003;196%7Eart20%21vig=> 
“*/il trattamento dei dati sensibili da parte di soggetti pubblici è 
consentito solo se autorizzato da espressa disposizione di legge nella 
quale sono specificati i tipi dì dati che possono essere trattati / * /e 
di operazioni eseguibili e le finalità di rilevante interesse pubblico 
perseguite/”.

Dalla costruzione illustrata in precedenza si può, pertanto, agevolmente 
desumere che *_la pubblicazione dei permessi di costruire e delle 
ordinanze di sospensione di opere abusivamente eseguite, rispetta il 
diritto alla Privacy se contiene il nominativo del destinatario del 
provvedimento o, alternativamente, le sue iniziali e i dati 
identificativi dell’immobile _ * (posta la possibilità di risalire 
dall’uno all’altro mediante accesso al catasto urbano) *_ed oscuri tutti 
i dati non necessari, non pertinenti e/o eccedenti _ * (i quali, 
infatti, non impediscono all’atto di raggiungere il suo scopo), *quali 
ad es. data di nascita, indirizzo anagrafico, codice fiscale, etc*.

*Naturalmente* , come spesso accade, *un conto è la regola ed altro 
l’applicazione concreta* risultante dalla pratica operativa. Infatti, 
*da una semplice analisi dei siti web* delle varie amministrazioni 
locali, così come *è possibile reperire pubblicazioni per estratto 
estremamente rispettose del disposto normativo, * *è altrettanto facile 
imbattersi in pubblicazioni di titoli edilizi o ordinanze sanzionatorie 
di opere abusive, senza la depurazione dei dati e, addirittura mediante 
affissione di copie per immagine dei provvedimenti contenenti i più 
svariati dati sensibili * (ed alle volte anche quelli c.d. 
supersensibili), come ad es. titoli edilizi per la realizzazione di 
opere atte ad assicurare l’accessibilità a portatore di handicap 
espressamente individuato o l’indicazione di specifici reati a carico 
del titolare di un’impresa e così via.

*In tal senso* , con specifico riguardo alle suddette categorie di atti, 
considerato anche il chiaro orientamento del Garante (vedasi 
provvedimento n. 384 del 21 settembre 2017 
<https://www.progettoomnia.it/dettaglio/164744-provvedimento-garante-privacy-n-384-21-settembre-2017>) 
*sarebbe*, pertanto, quanto mai *opportuno un intervento* legislativo, 
diretto ad *omogeneizzare le categorie di dati sensibili da 
assoggettare*, caso per caso, *alla pubblicazione, unitamente alla 
tempistica concernente la successiva depurazione dei dati medesimi * .

------------------------------------------------------------------------

[1] Posto che la finalità perseguita mediante gli obblighi di 
pubblicazione nell’albo on line riguarda atti e provvedimenti 
concernenti questioni rilevanti essenzialmente nell’ambito della 
collettività locale di riferimento risulta, infatti, sproporzionato 
rispetto alla finalità di pubblicità, consentire l’indiscriminata 
reperibilità in rete dei dati personali contenuti in atti e 
provvedimenti amministrativi tramite i comuni motori di ricerca 
generalisti (es. Google).