Azienda Ospedaliero-Universitaria di Bologna IRCCS
ordinanza ingiunzione con sanzione amministrativa pecuniaria ai sensi dell'art. 58, par. 2, lett. i) e art. 83 del Regolamento UE 2016/679
Sintesi del provvedimento
Il Garante accerta la violazione dei principi di liceità e correttezza del trattamento (artt. 5, 6 GDPR) e del divieto di trattamento di dati sensibili (art. 9 GDPR) per la pubblicazione online, sulla sezione Amministrazione Trasparente del sito aziendale, dell'elenco candidati idonei e non idonei a una procedura selettiva nel pubblico impiego, contenente nominativi di circa 90 partecipanti. L'Azienda ospedaliera è condannata al pagamento di euro 10.000,00 quale sanzione amministrativa pecuniaria, con pubblicazione della presente ordinanza ingiunzione sul sito del Garante.
La pubblicazione online di elenchi con nominativi di candidati non idonei a procedure pubbliche viola il principio di liceità e il divieto di trattamento dati sensibili, indipendentemente da obblighi di trasparenza amministrativa.
Approfondimento
Soggetti coinvolti
circa 90 partecipanti alla procedura selettiva (idonei e non idonei)
Riferimenti normativi
Lettura del caso
Temi affrontati — pubblicazione illegittima di dati sensibili in procedura di reclutamento pubblico
Conseguenze — L'Azienda ospedaliera deve pagare euro 10.000,00 entro trenta giorni dalla notifica del provvedimento, pena l'adozione di atti esecutivi ai sensi dell'art. 27 legge n. 689/1981. È consentita la definizione della controversia mediante pagamento di euro 5.000,00 (metà della sanzione) entro il termine per proporre ricorso. L'ordinanza ingiunzione sarà pubblicata sul sito del Garante. L'Azienda ha già rimosso i nominativi dal sito e dichiarato di aver avviato azioni di conformità tecnica e organizzativa e formazione interna.
- numero significativo di dati personali interessati (circa 90 partecipanti)
- coinvolgimento di dati particolari ai sensi art. 9 GDPR (con riferimento a disabilità e situazioni patrimoniali sfavorevoli)
- durata del trattamento dal XX a XX
- buona fede dell'Azienda fondata su erronea convinzione di conformità alla disciplina sulla trasparenza amministrativa (D.lgs. 33/2013)
- rimozione tempestiva dei dati personali dal sito web a seguito di comunicazioni dell'Autorità
- piena cooperazione con il Garante
- adozione di misure tecniche e organizzative di conformità
- assenza di precedenti violazioni pertinenti dello stesso tipo
Gli obblighi di trasparenza amministrativa non esentano da GDPR: anche la PA non può pubblicare dati sensibili senza base legale legittima, nemmeno per finalità di pubblicità procedimentale.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.