Come noto l'art. 37, par. 1, lett. a), del Regolamento UE 679/2016 (RGPD) prevede che i titolari e i responsabili del trattamento designino un RPD (DPO nell’accezione inglese) «quando il trattamento è effettuato da un'autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali».
Ne segue che a titolo esemplificativo sono tenuti alla individuazione e designazione gli enti pubblici non economici nazionali, regionali e locali, le Regioni e gli enti locali, le università, le Camere di commercio, industria, artigianato e agricoltura, le aziende del Servizio sanitario nazionale, le autorità indipendenti ecc.
Va bene allargare la partecipazione dei cittadini al governo della città ma per non incorrere in sanzioni meglio evitare di diffondere sul web tutti i dati dei soggetti ammessi alla discussione. Lo ha chiarito il Garante per la protezione dei dati con l'ordinanza n. 73 del 25 febbraio 2021. Un comune ha allargato la partecipazione democratica introducendo nel proprio ordinamento un nuovo istituto che permette alle persone di proporre osservazioni direttamente al consiglio comunale.
Il profilo social del sindaco non è di per sé di interesse pubblico. Il personaggio politico non può ritenere automaticamente legittimata dai compiti istituzionali la pubblicazione in rete di testi, immagini e video. È il principio desumibile dal provvedimento del Garante n. 197 del 13 maggio 2021, che ha irrogato una sanzione di 50 mila euro a un primo cittadino, per avere diffuso sulle proprie pagine social immagini e video in chiaro di minorenni disabili, persone disagiate, presunti autori di trasgressioni esponendoli ai commenti offensivi degli utenti del social network.
E' in tilt da alcuni giorni il sistema di posta elettronica e l’intera operatività dei server del Comune di Brescia. Come si legge nella nota pubblicata nello stesso sito istituzionale della pubblica amministrazione lombarda, la causa della paralisi è un attacco ransomware avvenuto il 30 marzo, e la richiesta di riscatto per fornire la chiave di sblocco avanzata dai criminali informatici per restituire la disponibilità dei dati è di 26 Bitcoin, l’equivalente al cambio odierno di 1,3 milioni di euro.
Il Garante privacy ha dato il via libera alle modalità per la realizzazione e la modifica dei siti delle pubbliche amministrazioni, proposte dall’Agenzia per l’Italia Digitale (AgID) e contenute nelle nuove “Linee guida di design per i siti internet e i servizi digitali della PA”. Lo schema delle Linee guida, come evidenzia l’Autorità nel provvedimento, rappresenta un’opportunità per offrire ai titolari del trattamento, e ai soggetti a vario titolo coinvolti, indicazioni utili ad assicurare la protezione dei dati personali trattati dalle pubbliche amministrazioni nell’ambito della gestione dei siti web e dei servizi digitali, in ossequio al principio di privacy by design e by default.
Le p.a. potranno fare controlli sugli strumenti elettronici in loro dotazione per garantire la sicurezza dei sistemi e dei dati; ma sarà l'Agid, sentito il Garante della privacy, a scrivere linee guida ad hoc. E i dipendenti pubblici dovranno stare attenti a cosa postano sui loro account privati: testi e video non devono né impegnare l'ente né danneggiarne l'immagine. I dipendenti, per altro verso, potranno fare modico uso personale dei device forniti dall'amministrazione.
Un recente caso (Provv. 16 settembre 2021, doc. web n. 9704069) affrontato dal Garante ha riguardato un reclamo con il quale si denunciava che sul sito di un Comune nell’area «Documenti e dati»/«Albo pretorio»/«storico» era possibile visualizzare e scaricare liberamente una Determinazione di liquidazione che riportava in chiaro, nel testo e nell’oggetto, dati e informazioni personali, quali il nominativo del reclamante e del padre a suo carico con indicazione della relativa situazione di disabilità in quanto portatore di handicap.
L'obbligo di pubblicare sul web la situazione patrimoniale vale solo per la dirigenza di vertice dei ministeri e per chi ricopre incarichi fiduciari. Esso non si estende dunque a tutta la dirigenza pubblica. Per questo motivo il Tar del Lazio, sezione I, con ordinanza 20/11/2019, ha accolto il ricorso presentato dal sindacato Cosmed avverso un provvedimento dell'azienda sanitaria locale di Matera, sospendendone l'efficacia e rinviando la trattazione del merito al prossimo 20 giugno. Con questa delibera l'Asl aveva imposto ai propri dirigenti la pubblicazione su Internet della propria situazione patrimoniale, in attuazione della deliberazione dell'Autorità anticorruzione n. 586 del 26 giugno 2019.
I dati personali in base al Gdpr (General data protection regulation) sono riferiti alle persone fisiche e non alle persone giuridiche, pertanto le amministrazioni pubbliche devono valutare le istanze di accesso considerando la nuova configurazione assunta dalle informazioni contenute nei documenti. Il Tar Sicilia – Palermo, sez. III, con la sentenza n. 2020 del 1° ottobre 2018 fornisce importanti chiarimenti sul concetto di dato personale e sulle differenti tipologie di accesso, alla luce dell'evoluzione normativa in materia di trasparenza.
Molte amministrazioni comunali stanno valutando, o in molte occasioni hanno già acquistato e installato le c.d. “telecamere intelligenti” tipicamente con funzione di riconoscimento targhe (OCR). Sono tecnologie automatizzate per il trattamento di dati personali su larga scala parecchio invasive dal punto di vista della privacy e che generalmente necessitano preventivamente di una valutazione d’impatto (DPIA), procedura che aiuterà a studiare l’opportuna configurazione in modo da ridurre al minimo gli eventuali rischi per i diritti e le libertà degli interessati.
