La P.A. su Internet, atti amministrativi online e privacy

Vediamo ora, in concreto, quali siano le parti salienti del Provvedimento del Garante, che si divide in una parte generale, (i punti da 1 a 5), ed una parte speciale (il punto 6), contenente delle fattispecie esemplificative in relazione a specifiche ipotesi.

Si chiarisce, innanzitutto, come restino fermi i principi generali, sanciti nel Codice della Privacy, quali imprescindibile presupposto per la liceità dei trattamenti di dati personali da parte dei soggetti pubblici.

In particolare, i soggetti pubblici possono trattare dati personali, anche in assenza di una norma di legge e di regolamento, e senza richiedere il consenso dell’interessato, laddove il trattamento avvenga per lo svolgimento delle finalità istituzionali.

Se però il trattamento si sostanzia nelle operazioni di comunicazione o di diffusione (definite  rispettivamente dalle lettere l e m dell’art. 4 del D.lgs 196/2003), allora occorre verificare la sussistenza di una norma di legge o di regolamento, che legittimi tale modalità.

Per i dati sensibili, invece, la pubblicazione è consentita soltanto ove la stessa sia autorizzata da espressa disposizione di legge nella quale siano specificati i tipi di dati, le operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite, ovvero qualora tale operazione sia identificata nel cd. “Regolamento privacy”, di cui all’art. 20 del Codice Privacy.

Resta fermo, peraltro, il generale divieto (ribadito in più parti nelle linee guida), di diffusione dei dati idonei a rivelare lo stato di salute dei singoli interessati.

In tutto il provvedimento si ribadisce poi più volte che le amministrazioni pubbliche siano tenute al rispetto dei principi di necessità e proporzionalità del trattamento dei dati personali, di cui agli artt. 3 ed 11 del Codice della Privacy.

Nella parte generale si procede poi a definire tre concetti, cardine della disciplina: trasparenza, pubblicità e consultabilità.

Più che di vere e proprie definizioni, si tratta di individuazione delle finalità sottese ai tre distinti aspetti.

Per ciò che concerne la trasparenza (che è “volta a garantire una conoscenza generalizzata delle informazioni concernenti aspetti dell’organizzazione dell’amministrazione al fine di assicurare un ampio controllo sulle capacità delle pubbliche amministrazioni di raggiungere gli obiettivi, nonché sulle modalità adottate per la valutazione del lavoro svolto dai dipendenti pubblici”), si tratta di una definizione che diverge in maniera evidente dal concetto tradizionale, di cui alla L. 241/90, intimamente connesso al diritto di accesso, per abbracciare la diversa ricostruzione operata dall’art. 11 del  D.lgs 150/2009, quale “accessibilità totale, anche attraverso lo strumento della pubblicazione sui siti istituzionali delle amministrazioni pubbliche, delle informazioni concernenti ogni aspetto dell’organizzazione, degli indicatori relativi agli andamenti gestionali e all’utilizzo delle risorse per il perseguimento delle funzioni istituzionali, dei risultati dell’attività di misurazione e valutazione svolta dagli organi competenti, allo scopo di favorire forme diffuse di controllo del rispetto dei principi di buon andamento e imparzialità”.

Tra gli strumenti della trasparenza viene individuata anche la “pubblicità” online, “ volta a far conoscere l’azione amministrativa in relazione al rispetto dei principi di legittimità e correttezza, nonché a garantire che gli atti amministrativi producano effetti legali al fine di favorire eventuali comportamenti conseguenti da parte degli interessati”.

La consultabilità, invece, è volta a garantire la messa a disposizione online di documenti, non in via generalizzata, ma a soggetti determinati, al fine di assicurare la partecipazione al procedimento o, più in generale, alle attività amministrative.

Dalla lettura complessiva delle linee guida, si ricavano poi altre indicazioni generali, valide per tutti i trattamenti, che trovano la loro applicazione pratica nelle singole ipotesi particolari.

In primo luogo, le pubbliche amministrazioni devono individuare quali tra le finalità (trasparenza, pubblicità oppure consultabilità) siano perseguite nei singoli casi.

La definizione delle finalità è preliminare, e va effettuata nel rispetto dei principi di necessità e proporzionalità di cui agli artt. 3 e 11 del Codice della Privacy.

Le diverse finalità (e i suddetti principi) rendono pertanto necessarie modalità differenziate di messa a disposizione di dati e documenti, nonché un’accurata scelta (anche sotto il profilo tecnico) degli strumenti e dei mezzi utilizzati.

Nel punto 5, difatti, si descrivono proprio gli accorgimenti tecnici da adottare in relazione alle finalità perseguite, accorgimenti che dovranno essere (o meglio avrebbero già dovuto) essere recepiti nella creazione e gestione dei siti istituzionali.

In particolare, il provvedimento si sofferma:

1. Sulla necessità di evitare l’indiscriminata e incondizionata reperibilità in Rete

Sotto tale profilo, si pone l’accento sul rischio, insito nelle modalità di funzionamento dei motori di ricerca “generalisti” (e non di quelli interni ai siti delle amministrazioni pubbliche), di “decontestualizzazione del dato”. Occorre pertanto, almeno in via tendenziale, evitare che i dati siano reperibili mediante motori di ricerca esterni (attraverso l’adozione delle opportune cautele tecniche, come già indicato dal Garante ad esempio nel provvedimento 16/7/2009).

2. Sulla necessità di una accurata determinazione della durata della disponibilità delle informazioni online.

In sede di pubblicazione online, occorre individuare dei congrui periodi di tempo entro i quali i dati debbano rimanere disponibili (in forma che consenta l’identificazione dell’interessato), ed evitare la permanenza per un tempo superiore a quello necessario per raggiungere le finalità richieste, anche al fine di garantire il rispetto del diritto all’oblio.

Si possono dunque presentare due ipotesi.

Se la normativa di settore individua determinati periodi di tempo per la pubblicazione, le pubbliche amministrazioni sono (ovviamente) tenute a rispettare tali termini, rendendo dunque gli atti e provvedimenti accessibili direttamente soltanto per il periodo richiesto.

Se invece manca, a livello normativo, l’individuazione di un termine (e sempre che la pubblicazione non debba avere carattere di permanenza), occorre che siano le stesse pubbliche amministrazioni a individuare il periodo, che, naturalmente, dovrà essere congruo rispetto alle finalità perseguite.

Sotto tale profilo, in coerenza alla Linee guida per i siti web della PA del Ministro per la pubblica amministrazione e l’innovazione, dovranno essere adottate procedure di verifica periodica, e sistemi (anche automatici) di rimozione.

Il Garante, già nella sua Relazione 2008, aveva sottolineato come gli enti fossero tenuti a “ad individuare con regolamento periodi di tempo congrui rispetto alle finalità perseguite”.

Decorso il termine (imposto dalla norma o fissato dall’Amministrazione) i documenti dovranno essere rimossi, ovvero privati degli elementi identificativi, o infine (laddove l’ulteriore diffusione sia comunque giustificata dalle finalità perseguite) inseriti in un area d’archivio, anche (eventualmente) ad accesso riservato.

3. Sul rischio di duplicazione massiva dei file contenenti dati personali, e sulla necessità di garantire dati esatti ed aggiornati

Le linee guida pongono infine l’accento su due importanti aspetti: in primo luogo, la necessità di ostacolare, per quanto possibile, le operazioni di duplicazione massiva dei file contenenti dati personali (ed il conseguente riutilizzo in differenti contesti).

Tali condotte, effettuabili mediante sistemi automatizzati quali web downloader o similari (ad esempio, i sistemi operativi GNU/Linux dispongono del comando wget, che consente di scaricare in locale il contenuto di interi siti, mediante una sola istruzione), possono essere contrastate mediante apposite “contromisure” tecniche.

In secondo luogo, si pone l’accento sulla necessità (ribadita peraltro anche dall’art. 54 del CAD) che le amministrazioni pubbliche mettano a disposizione soltanto dati esatti e aggiornati.

Sotto questo profilo, le linee guida suggeriscono, oltre all’adozione di idonee misure per eliminare o ridurre il rischio di cancellazioni, modifiche o alterazioni (in adempimento dell’obbligo di sicurezza di cui all’art. 31 del Codice della Privacy), anche una serie di accorgimenti volti a prevenire la “decontestualizzazione” dei dati.

E’ importante quindi prevedere l’inserimento, all’interno dei file e dei documenti, dei dati di contesto (esemplificati in data di aggiornamento, periodo di validità, amministrazione, segnatura di protocollo o dell’albo), come peraltro suggerito anche dalle Linee guida per la predisposizione del Programma triennale per la trasparenza e l’integrità.

Le amministrazioni potranno infine valutare, per specifiche categorie di documenti, la sottoscrizione con firma digitale “o altro accorgimento equivalente”, al fine di garantire l’autenticità e l’integrità dei documenti pubblicati, anche laddove gli stessi vengano ad essere “decontestualizzati”.

La “parte speciale” delle linee guida, contenuta nel punto 6, è costituita da alcune fattispecie esemplificative, relative a talune ipotesi normative che prevedono obblighi di comunicazione e di diffusione di dati personali.

Non è questa la sede per esaminare analiticamente tutte le ipotesi, anche perché il provvedimento non fa altro che esplicitare, con riguardo alle singole fattispecie, i principi generali enunziati nella prima parte.

Merita un commento la parte relativa all’albo pretorio online, introdotto, come detto, dall’art. 32 della L. 69/2009, ed entrato in vigore prima della pubblicazione delle linee guida stesse.

Si tratta di un’innovazione di non poco momento, che ha creato rilevanti problemi, in quanto forse poco meditata sia sotto il profilo normativo, che sotto quello dell’applicazione pratica.

L’obbligo di pubblicazione (per adempiere al fondamentale requisito della pubblicità legale dell’atto) è stato spesso (erroneamente) interpretato quale facoltà di diffusione senza limiti di dati personali, a volte in assenza di pur minimali cautele.

Al contrario, viene opportunamente precisato come occorra evitare, anche con riguardo all’albo pretorio online, l’indiscriminata reperibilità tramite i comuni motori di ricerca, e sia necessario prevedere idonee cautele al fine di evitare che i provvedimenti rimangano pubblicati indefinitamente, e debba comunque essere rispettato il principio di proporzionalità, con particolare riguardo alla pertinenza ed alla non eccedenza rispetto alle finalità perseguite.

Si ribadisce poi, una volta di più, il divieto generale di diffusione di dati idonei a rivelare lo stato di salute dei singoli interessati.

Sotto tale profilo, e con particolare riguardo agli elenchi e graduatorie del collocamento obbligatorio dei disabili, il provvedimento sottolinea come la conoscibilità possa venire assicurata anche online, ma a condizione di prevedere modalità che ne impediscano l’accesso indiscriminato: tali atti dovranno dunque essere soggetti ad un regime di consultabilità, mediante un accesso selezionato.

Tra l’altro, il Garante, ben prima delle linee guida, era già intervenuto sul punto, con svariati provvedimenti. In uno dei casi più eclatanti era stato disposto il blocco dei trattamenti effettuati da un’Amministrazione Provinciale, a seguito della pubblicazione nel portale web istituzionale di alcune graduatorie, accessibili integralmente e senza alcuna limitazione, relative agli elenchi del collocamento obbligatorio dei disabili, ai sensi dell’art. 8 della legge n. 68/1999.