Le identificazioni indirette. La bestia nera delle pubblicazioni sull'albo pretorio online

Oggi voglio parlarvi di una vicenda molto interessante che ci mostra una delle bestie nere per i dpo degli enti pubblici (e non solo): l’identificazione indiretta.

Lo facciamo con una vicenda che si conclude con un lieto fine ed un punto interrogativo.

Ce ne dà occasione un recente provvedimento del Garante della Privacy (provvedimento n. 311 del 18 luglio 2023) che dovrebbero tenere ben a mente tutti quelli che si occupano di pubblicazioni online per gli enti pubblici.

La vicenda può essere così riassunta: un Ente ha una controversia con un dipendente che lamenta di esser stato demansionato. Le due parti, dopo l’iniziale lite, raggiungono una transazione ed il relativo atto transattivo viene pubblicato sul sito istituzionale dell’Ente. Chi effettua la pubblicazione si pone il problema di non diffondere dati personali di un soggetto coinvolto in una controversia: capisce che potrebbe essere illecita tale pubblicazione e quindi procede ad oscurare il nome del dipendente ed i suoi dati identificativi. Bene!

Il problema è che nell’atto di transazione è indicato il numero del provvedimento con cui si assegnavano le nuove mansioni al dipendente, quello che ha originato la controversia.

E quel documento è ancora pubblicato sul sito dell’ente e liberamente consultabile. Nessuno però aveva pensato ad oscurare i dati personali contenuti in quel provvedimento, dove – per colmo di sfortuna – viene menzionato un unico dipendente.

Diventa quindi possibile capire a chi si riferiva l’atto di transazione, facendo venir meno l’anonimizzazione.

Il dipendente ha sporto così reclamo all’Autorità garante la quale ha ape

rto un’inchiesta.

Qual è il lieto fine? Il Garante ha riconosciuto che l’Ente aveva approntato le opportune iniziative per evitare tali incidenti ed aveva dimostrato consapevolezza nella gestione dei dati personali. L’errore vi era stato, ma si era trattato di mero errore umano e pertanto si è limitato ad irrogare un’ammonizione.

Dove sta invece il punto interrogativo? Non sappiamo se il dipendente abbia deciso di fare causa per risarcimento dei danni, qualora ne avesse ravvisato gli estremi. In tale sede i risultati avrebbero anche potuto essere meno lieti per l’Ente.

Bisogna quindi sempre fare attenzione alle identificazioni indirette, quelle nascoste, quelle a cui si potrebbe non pensare affatto.