Newsletter n° 305 - 22 aprile 2008

I nomi degli alunni sul sito del consigliere comunale
Il Garante interviene su segnalazione dello stesso Comune
Un consigliere comunale mette sul suo sito web la lista nominativa degli alunni delle scuole medie inferiori, secondarie e superiori che hanno ottenuto il contributo per l'acquisto dei libri di testo. E il Garante privacy blocca l'uso dei dati.

Su segnalazione del Comune di Palau, l'Autorità ha bloccato (con un provvedimento di cui è stato relatore Mauro Paissan) il trattamento dei dati personali relativi alla lista con i nomi degli alunni delle scuole medie inferiori, secondarie e superiori che hanno ottenuto il contributo per l'acquisto dei libri di testo apparsa sul sito web del capogruppo consiliare di minoranza. Tante le informazioni personali pubblicate: i dati identificativi di alunni e genitori, l'ammontare del contributo economico erogato e in alcuni casi perfino le coordinate del conto corrente bancario.

Il Comune, che aveva segnalato all'Autorità la diffusione dei dati, aveva precisato di non averne dato pubblicità per evitare che i dati personali di natura economica divenissero facilmente di dominio pubblico. Gli elenchi, infatti, non erano stati affissi né all'albo pretorio, né erano stati pubblicati sul sito istituzionale perché secondo l'amministrazione comunale la loro diffusione poteva creare imbarazzo o disagio agli interessati, che appartengono a fasce deboli della popolazione, ed esporli a conseguenze indesiderate. Le informazioni erano comunque accessibili su richiesta. Una copia degli elenchi era stata consegnata anche al capogruppo di minoranza in ragione del suo mandato politico, il quale ha deciso invece di pubblicarla sul suo sito.

Il trattamento dei dati contenuti negli atti dell'amministrazione comunale - ha ricordato l'Autorità -  può essere effettuato dai consiglieri in ragione del loro mandato, ma sempre nel rispetto del diritto alla riservatezza degli interessati. La pubblicazione su Internet di queste informazioni personali, rese in questo modo immediatamente accessibili a tutti attraverso una semplice ricerca per nome, è risultata invece illecita, in particolare perché eccessiva rispetto alle finalità per le quali le informazioni erano state raccolte. Il Garante ha, pertanto, disposto in via d'urgenza il blocco dei dati diffusi dal sito in attesa di ulteriori accertamenti. Il consigliere, nel frattempo, dovrà limitarsi a conservare i dati senza poter compiere nessun'altra operazione di trattamento.

5 per mille Irpef: elenchi degli ammessi sul web, ma a norma di legge
È possibile pubblicare gli elenchi dei soggetti ammessi, anche in via provvisoria, al beneficio del 5 per mille sul sito web dell'Agenzia delle entrate, ma occorre che ciò sia previsto da una norma di legge o di regolamento. È questo il parere "condizionato" espresso dal Garante (relatore Francesco Pizzetti)  nell'esaminare lo schema di d.p.c.m. presentato dal Ministero della solidarietà sociale riguardante le modalità di richiesta di ammissione al beneficio del 5 per mille. Lo schema prevede che le associazioni di volontariato debbano trasmettere in via telematica all'Agenzia delle entrate – oppure, per gli enti della ricerca scientifica e dell'università, al Ministero dell'università e delle ricerca – una domanda di iscrizione in un apposito elenco.

Ad avviso del Garante, la messa a disposizione su Internet degli elenchi realizzerebbe una diffusione di dati personali: è, quindi, necessario che tale forma di pubblicazione sia specificamente prevista da una norma di legge o di regolamento che l'amministrazione dovrà individuare, come stabilito dal Codice privacy.
Oltre ad evidenziare l'esigenza di una specifica norma che consenta, dunque, tale diffusione, l'Autorità ha inoltre chiesto che i modelli di domanda per l'iscrizione telematica agli elenchi rechino un'informativa con le stesse caratteristiche di quella apposta in calce al modello cartaceo destinato all'Agenzia delle entrate e che sia opportunamente omessa l'informativa nel modello di autodichiarazione successivo, trattandosi delle medesime informazioni e dello stesso procedimento.

Sì ai dati biometrici dei dipendenti per garantire la salute pubblica
È possibile trattare dati biometrici dei dipendenti per specifiche e rilevanti finalità, come ad esempio  la salute pubblica. È quanto ribadito dal Garante (con un provvedimento di cui è stato relatore Giuseppe Fortunato) nel ritenere lecito e conforme alla disciplina privacy il sistema di rilevazione biometrica proposto da una società di risorse idriche. La società chiedeva di poter utilizzare dati biometrici dei propri dipendenti al fine di monitorare gli accessi ad alcune aree dell'impresa, in particolare quelle in cui avviene la potabilizzazione dell'acqua, garantendo in questo modo la sicurezza dell'impianto idrico, la tutela della qualità delle acque e, di conseguenza, la salute pubblica.

Il sistema di rilevazione biometrica sottoposto dalla società alla verifica preliminare del Garante prevede la registrazione delle impronte digitali dei dipendenti – rilasciate con il consenso degli stessi – attraverso apparecchiature e software appositi e la successiva trasformazione delle stesse impronte in codici numerici (template) inseriti in una smart card. In più si proponeva la memorizzazione dei dati relativi all'orario di accesso e dei codici che consentono di risalire all'identità del dipendente in una banca dati centralizzata.

Nell'esaminare il progetto proposto dalla società, il Garante ha precisato che la raccolta delle impronte debba limitarsi ai soli dipendenti che hanno accesso all'area dell'impresa in cui avviene la depurazione delle acque e, soprattutto, che le impronte cifrate non debbano essere conservate in un archivio centralizzato ma solo su un supporto (una smart card ad esempio) nell'esclusiva disponibilità dell'interessato.

Il Garante ha ricordato, infine, riprendendo quanto stabilito nelle Linee Guida in materia di trattamento dei dati personali dei lavoratori, che tutti i dati raccolti relativi agli accessi potranno essere conservati per un periodo non superiore ad una settimana  con la predisposizione di specifici meccanismi di integrale cancellazione automatica delle informazioni allo scadere del termine previsto. L'accesso ai dati infine potrà essere garantito ai soli interessati oppure all'autorità giudiziaria ove specificamente richiesto.