Domanda
La deliberazione ANAC n. 1310 del 28/12/2016 “Prime linee guida recanti indicazioni sull’attuazione degli obblighi di pubblicità, trasparenza e diffusione di informazioni contenute nel d.lgs. 33/2013 come modificato dal d.lgs. 97/2016” prevede la pubblicazione, nella sezione web di “Amministrazione Trasparente” – Sottosezione “Consulenti e collaboratori”, del curriculum vitae in formato europeo di ogni consulente o collaboratore al quale viene conferito un incarico esterno.
Questo obbligo normativo è in contrasto con quanto previsto dal Regolamento UE 679/2016 (GDPR) e dal decreto legislativo n. 101 del 10 agosto 2018?
Risposta
Il 25 maggio 2018, ha dispiegato tutti i suoi effetti il Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 «relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati)» (di seguito GDPR).
In seguito, il 19 settembre 2018, è entrato in vigore il decreto legislativo 10 agosto 2018, n. 101 che adegua il Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196) alle disposizioni del Regolamento (UE) 2016/679.
Con riferimento al quesito posto, occorre anzitutto evidenziare che l’articolo 2-ter, del decreto legislativo 196/2003 – introdotto dal decreto legislativo 101/2018 – dispone al comma 1 che la base giuridica per il trattamento di dati personali effettuato per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, paragrafo 3, lett. b) del Regolamento (UE) 2016/679, «è costituita esclusivamente da una norma di legge o, nei casi previsti dalla legge, di regolamento».
Ciò sta a dimostrare che il regime normativo per il trattamento di dati personali da parte dei soggetti pubblici è rimasto sostanzialmente inalterato, restando fermo il principio per cui lo stesso trattamento sia consentito unicamente se ammesso da una norma di legge o di regolamento.
Pertanto, occorre che l’ente, prima di mettere a disposizione sul proprio sito web istituzionale dati e documenti in forma integrale o per estratto – allegati compresi – contenenti dati personali, verifichi che la disciplina in materia preveda l’obbligo di pubblicazione e, in più, accerti il rispetto di tutti i principi applicabili al trattamento dei dati personali contenuti all’art. 5 del Regolamento (UE) 2016/679.
In particolare, assumono rilievo i principi di adeguatezza, pertinenza e limitazione a quanto necessario rispetto alle finalità per le quali i dati personali sono trattati («minimizzazione dei dati») (par. 1, lett. c) e quelli di esattezza e aggiornamento dei dati, con il conseguente dovere di adottare tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti (o non pertinenti) rispetto alle finalità per le quali sono trattati (par. 1, lett. d).
Nel caso di specie prospettato dal quesito, dovrà essere obbligatoriamente pubblicato il curriculum vitae dell’incaricato (secondo l’articolo 15, comma 1, lettera b) decreto legislativo 33/2013, avendo cura di oscurare le informazioni non direttamente connesse all’attività professionale, come ad esempio la data di nascita, la residenza privata, la casella mail e il numero di telefono privato del professionista.
