[doc. web n. 10314795]

Provvedimento del 20 ottobre 2026

Registro dei provvedimenti
n. 803 del 20 ottobre 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale; 

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE il dott. Agostino Ghiglia;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare

Con reclamo del 24 aprile 2025, il XX e il XX hanno lamentato, per il tramite del proprio avvocato, una presunta violazione della normativa in materia di protezione dei dati personali con riguardo alla diffusione online, sul sito web istituzionale dell’Istituto di Istruzione Superiore Della Corte Vanvitelli, di propri dati personali. 

In particolare, dal reclamo emerge che, nella sezione relativa all’albo sindacale del sito web istituzionale del predetto Istituto, sarebbero stati liberamente consultabili da chiunque i moduli di accettazione della candidatura nella lista di una organizzazione sindacale per le elezioni della RSU di Istituto sottoscritti dai reclamanti, unitamente ai rispettivi documenti di identità, da cui sarebbe stato peraltro possibile evincere l’appartenenza sindacale dei reclamanti stessi.

1.2. Attività svolta

In merito ai fatti lamentati dai reclamanti, con nota del 9 febbraio 2026 (prot. n. XX dell’XX), il predetto Istituto ha fornito evidenza dei documenti afferenti alla procedura di elezione dei rappresentanti sindacali d’Istituto che sono stati nel caso di specie oggetto di pubblicazione online e, tra questi, in particolare, dei seguenti: la lista elettorale del sindacato di appartenenza dei reclamanti, con indicazione del nominativo dei candidati, della qualifica, del luogo e della data di nascita e della firma; il modulo di candidatura, sottoscritto dai candidati, recante anche l’indicazione del relativo indirizzo di residenza e, in allegato, copia fronte e retro del documento di riconoscimento all’uopo presentato; la circolare n. 152/2024-2025, recante indicazioni operative in merito alle operazioni di voto nonché, in particolare, evidenza dei nominativi dei componenti del seggio elettorale. 

Al riguardo, l’Istituto, nel far presente che la pubblicazione delle liste elettorali costituisce prassi consolidata nell’ambito scolastico (v. il regolamento elettorale allegato all'ACNQ del 12 aprile 2022), rientrando nelle esigenze di trasparenza democratica del processo elettorale, ha comunque riconosciuto “il mero errore materiale in cui è incappato l’animatore digitale dell’Istituto” nel pubblicare online i predetti contenuti (v. nota del 9 febbraio 2026). 

Con successiva nota del 18 febbraio 2026 (prot. n. XX del XX), l’Istituto ha, in particolare, ulteriormente evidenziato che “tali documenti, nella forma in cui erano stati “caricati”, rendevano generalmente accessibili sul web, oltre ai nominativi dei candidati e alla loro appartenenza alla lista [… elettorale], anche dati personali ulteriori che non risultavano strettamente necessari alla trasparenza del procedimento elettorale”. In questa prospettiva, lo stesso Istituto ha evidenziato la distinzione sussistente tra “la liceità del trattamento dei dati dei candidati RSU e della conoscibilità, all’interno della comunità lavorativa, della loro appartenenza alla lista sindacale” e, dall’altro lato, “la non piena conformità alle norme e ai principi di protezione dei dati delle specifiche modalità di diffusione on line adottate (pubblicazione integrale dei moduli e degli allegati), che hanno ampliato l’accessibilità del dato sindacale ben oltre quanto richiesto dalle norme sulle elezioni RSU e sul diritto di informazione sindacale”. Sulla base di tale distinzione, l’Istituto ha rappresentato come fosse in corso di adozione “una nuova procedura per l’Albo sindacale e per le pubblicazioni RSU” e, per altro verso, come fosse stata già implementata una separazione tra l’”albo online dell’Istituto, destinato alla pubblicità legale degli atti della pubblica amministrazione” e la “bacheca sindacale (anche digitale), destinata alle comunicazioni interne delle OO.SS., per le quali non è necessario né opportuno un accesso indiscriminato da parte di terzi estranei alla comunità scolastica”.

Sotto il profilo della profondità temporale del trattamento in questione, l’Istituto ha dichiarato che “i documenti relativi alle candidature RSU sono stati pubblicati sul sito istituzionale successivamente alla presentazione e verifica delle liste, secondo il calendario previsto dal Regolamento elettorale allegato all’ACNQ 12.04.2022; essi sono rimasti visibili nella sezione “Albo sindacale” oltre il periodo strettamente corrispondente allo svolgimento delle elezioni e all’eventuale proposizione di ricorsi, protraendosi fino all’intervento di rimozione avviato nel febbraio 2025 a seguito della diffida dei reclamanti”.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE 

2.1. Avvio del procedimento (art. 166, comma 5, del Codice)

In base all’esame degli elementi acquisiti nel corso delle attività sopra descritte e all’accertamento delle presunte violazioni, con nota del 4 giugno 2026 (prot. n. XX), notificata ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del titolare del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Le presunte violazioni contestate, con riferimento alla diffusione online dei predetti dati personali, riguardano gli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice.

2.2. Difese del titolare del trattamento (art. 166, comma 6, del Codice)

Facendo pervenire le osservazioni del proprio Responsabile della protezione dei dati con nota del 25 giugno 2026 (prot. XX del XX), il titolare del trattamento, che non ha richiesto di essere audito, ha successivamente depositato le proprie memorie difensive con nota del 3 luglio 2026 (prot. n. XX del XX).

Nel ribadire le iniziative assunte per prevenire il verificarsi di analoghi eventi in futuro, l’Istituto, sottolineando ancora la natura isolata dell’evento occorso, ha evidenziato, in particolare, che “la pubblicazione dei documenti oggetto di reclamo deve essere qualificata, sul piano soggettivo, come iniziativa materiale autonoma, incomprensibilmente e veramente eccedente, posta [da un dipendente dell’Istituto] fuori dal perimetro delle competenze formalmente assegnate”; secondo quanto rappresentato, “non risulta, infatti, alcuna disposizione del Dirigente Scolastico che abbia ordinato, autorizzato, richiesto o anche solo legittimato la pubblicazione online delle copie dei documenti di identità dei reclamanti [… - circostanza che, comunque, non viene dedotta] per sostenere che il titolare del trattamento non sia, in assoluto, chiamato a rispondere dell’organizzazione dei trattamenti [… quanto più per sottolineare che] l’episodio incide in maniera determinante sul grado di colpa, sulla prevedibilità concreta dell’evento e sulla proporzionalità dell’eventuale risposta sanzionatoria” da parte dell’Autorità Garante.

3. VALUTAZIONI DELL’AUTORITÀ

All’esito dell’attività istruttoria, risulta accertato che l’Istituto di Istruzione Superiore Della Corte Vanvitelli ha pubblicato nella sezione dell’albo sindacale del proprio sito web istituzionale, per un periodo complessivo pari a 19 giorni, taluni documenti afferenti alla procedura di elezione della rappresentanza sindacale unitaria d’Istituto e contenenti dati personali dei candidati, ivi inclusi i reclamanti, e di altri soggetti a vario titolo coinvolti nella procedura.

In particolare, taluni dei predetti documenti recavano informazioni relative al nominativo, al luogo e alla data di nascita e all’indirizzo di residenza dei candidati, oltre a dare evidenza della loro stessa appartenenza sindacale; sono state altresì oggetto di diffusione le copie dei documenti di riconoscimento presentati dai candidati.

Al riguardo, con le proprie memorie difensive, l’Istituto ha precisato che tale erronea pubblicazione è stata in concreto occasionata da un’iniziativa di un dipendente, al di fuori del perimetro delle competenze ad esso formalmente assegnate.

Ciò premesso, nel far presente in via preliminare che, come peraltro riconosciuto anche dall’Istituto (v. nota del 3 luglio 2026), siffatta iniziativa risulta comunque riconducibile alla sfera di responsabilità dell’Istituto medesimo, spettando in ogni caso al titolare del trattamento vigilare sull’osservanza, da parte dei dipendenti autorizzati, dei profili di autorizzazione attribuiti a ciascuno di essi in ragione delle mansioni assegnate e del ruolo svolto nel quadro dell’organizzazione amministrativa (artt. 5, par. 2, 24 e 29 del Regolamento), si rappresenta quanto segue.

Ai sensi del vigente quadro normativo in materia di protezione dei dati personali, i soggetti pubblici, anche quando operano in qualità di datori di lavoro, possono trattare i dati personali dei dipendenti se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a “un obbligo legale al quale è soggetto il titolare del trattamento” (artt. 6, par. 1, lett. c), 9, parr. 2, lett. b), e 4, e 88 del Regolamento) oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. e), del Regolamento e art. 2-ter del Codice; in riferimento a categorie particolari di dati, v. anche artt. 2-sexies e 2-septies del Codice). 

Tali trattamenti devono, comunque, trovare fondamento nel diritto dell’Unione o dello Stato membro, al fine di perseguire un obiettivo di interesse pubblico ed essere proporzionato al perseguimento dello stesso. La finalità del trattamento deve, infatti, essere necessaria per l'esecuzione di un obbligo previsto dalla normativa vigente ovvero un compito svolto nel pubblico interesse o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento (cfr. art. 6, par. 2 e 3, del Regolamento e 2-ter del Codice). 

La disciplina nazionale ha introdotto disposizioni più specifiche per adeguare l’applicazione delle norme del Regolamento, determinando con maggiore precisione requisiti particolari e altre misure atte a garantire un trattamento lecito e corretto (art. 6, par. 2 del Regolamento), e, in tale ambito, ha previsto che le operazioni di trattamento che consistono nella “diffusione” di dati personali sono ammissibili in presenza di un’idonea base giuridica (art. 2-ter del Codice). 

Il datore di lavoro, quale titolare del trattamento, è tenuto in ogni caso a rispettare i principi in materia di protezione dei dati e, in un’ottica di “responsabilizzazione”, deve essere in grado di comprovarne l’osservanza (art. 5 del Regolamento).

Alla luce delle considerazioni che precedono, con riferimento al caso di specie, non sussistendo specifiche basi giuridiche che prevedono la pubblicazione online, in favore della collettività indistinta, di documenti afferenti alle procedure di elezione delle rappresentanze sindacali unitarie, si deve per l’effetto ritenere che l’Istituto ha dato luogo ad una diffusione online dei dati personali dei candidati, ivi inclusi i reclamanti, e degli altri interessati a vario titolo coinvolti nella procedura, in assenza di un idoneo presupposto di liceità.

Come espressamente riconosciuto anche dall’Istituto (cfr., in particolare, nota del 3 luglio 2026 e nota del 19 febbraio 2026), infatti, lo stesso avrebbe dovuto astenersi da una diffusione indiscriminata dei predetti dati, limitandosi a mettere a disposizione della sola comunità scolastica unicamente i dati personali necessari, limitati e pertinenti in rapporto alla finalità di assicurare all’elettorato attivo l’esercizio del diritto di voto, restando naturalmente in tale quadro impregiudicato il trattamento effettuato dai soggetti interni all’organizzazione scolastica, in qualità di autorizzati al trattamento (art. 29 del Regolamento), in concreto addetti a gestire, sotto il profilo amministrativo e logistico, le diverse fasi della procedura di elezione dei rappresentanti sindacali d’Istituto.

Non risulta, peraltro, in tale prospettiva sufficiente a escludere la responsabilità del titolare l’esigenza di assicurare la pubblicità e la trasparenza di siffatti atti interni alla procedura, non prevedendo la normativa vigente in materia di trasparenza e pubblicità degli atti amministrativi forme di divulgazione documentale quali quelle poste in essere nel caso di specie. 

Né può essere invocata a tal riguardo, come invece inizialmente sostenuto dall’Istituto, l’attuazione degli accordi collettivi applicabili al caso di specie, posto che, come sopra già evidenziato, le operazioni di “diffusione” di dati personali (art. 2-ter, comma 4, lett. a), del Codice) possono ritenersi ammesse dalla disciplina in materia di protezione dei dati, per l’adempimento di obblighi e l’esercizio di diritti in materia di diritto del lavoro, solo in presenza di un’idonea base giuridica secondo quanto previsto dall’art. 2-ter, commi 1 e 3, del Codice (v. anche art. 9, par. 2, del Regolamento, con riguardo alle categorie particolari di dati). 

In tale quadro, in particolare, in disparte dalla circostanza per cui l’Istituto non ha comunque mai comprovato l’esistenza di specifiche disposizioni desunte dalla contrattazione collettiva in merito alla diffusione erga omnes dei predetti dati, si fa presente che la base giuridica del trattamento deve essere “idonea” anche alla luce dell’assetto delle fonti dell’“ordinamento costituzionale” dello Stato membro (v. considerando 41 del Regolamento e v. anche Corte Cost. sent. n. 271/2005, in base alla quale la disciplina di protezione dei dati personali rientra fra la materia di competenza esclusiva statale riferita all’“ordinamento civile”) e che la stessa deve in ogni caso soddisfare specifici requisiti, sia in termini di qualità della fonte, contenuti necessari e misure appropriate e specifiche per tutelare i diritti e le libertà degli interessati, sia in termini di proporzionalità dell’intervento regolatorio rispetto alle finalità che si intendono perseguire (art. 6, parr. 2 e 3, lett. b), del Regolamento). 

In tal senso, nel quadro di derivazione europea della disciplina di protezione dei dati, nella prospettiva della certezza del diritto nonché del principio di non discriminazione e in coerenza con quanto ribadito anche di recente dal Garante, in assenza di una previsione normativa che soddisfi i predetti requisiti di un’idonea base giuridica, non sarebbero consentiti livelli differenziati di tutela della protezione dei dati personali su base territoriale o a livello di singola amministrazione o tra i diversi contesti lavorativi pubblici e tra questi e quelli privati.  

Tali principi, in merito alla non idoneità della contrattazione collettiva ad introdurre un trattamento di dati non previsto dalla disciplina nazionale applicabile, innovando l’ordinamento giuridico, sono stati ribaditi dal Garante, anche di recente, in numerosi provvedimenti (cfr., in particolare, tra gli altri, provv. 29 aprile 2026, n. 304, doc. web n. 10254256, relativamente all’affissione, presso una bacheca accessibile a tutto il personale, di ordini di servizio recanti anche dati relativi alla salute dei dipendenti interessati; provv. del 6 luglio 2023, n. 287, doc. web n. 9920145, nel quale è stata confermata l’inidoneità delle disposizioni contenute all’interno dei contratti collettivi ad innovare l’ordinamento giuridico sul piano del trattamento dei dati personali; provv. del 13 aprile 2023, n. 125, doc. web n. 9907846, con il quale, più nello specifico, è stato chiarito come i contratti collettivi debbano limitarsi a dettagliare in favore dei dipendenti interessati il quadro normativo già fissato a livello nazionale e non possano prevedere né giustificare in alcun modo l’introduzione di un nuovo trattamento non previsto dalle norme nazionali; cfr. anche, per analoghe considerazioni in relazione all’introduzione con ordinanza regionale di trattamenti di dati personali di dipendenti nel contesto emergenziale dovuto alla diffusione del virus Covid-19, provv. del 22 luglio 2021, n. 273, doc. web. n. 9683814). 

In particolare, quanto ai contratti collettivi nazionali e integrativi, gli stessi possono contenere specificazioni e disposizioni di dettaglio nei limiti e negli ambiti ad essi demandati da norme di legge o di regolamento (cfr. considerando 41 e art. 88 del Regolamento; v. Raccomandazione del 1° aprile 2015, CM/Rec(2015)5, sul trattamento di dati personali nel contesto occupazionale, par. 7 “Conformemente alle legislazioni e prassi nazionali o alle previsioni contenute in contratti collettivi, si possono comunicare dati personali ai rappresentanti dei dipendenti esclusivamente nella misura in cui tali dati siano necessari per permettere a questi ultimi di rappresentare adeguatamente gli interessi dei dipendenti ovvero qualora i dati in questione siano necessari per l´adempimento ed il controllo degli obblighi fissati in contratti collettivi”). Ai sensi della normativa di settore, la contrattazione collettiva disciplina, infatti, solo taluni aspetti del rapporto di lavoro, già comunque espressamente individuati dalla legge, richiedendo che ciò avvenga “nei limiti previsti dalle norme di legge” (art. 40 del d. lgs. n. 165/2001). 

I richiamati principi sono stati di recente ribaditi dal Garante, anche all’Agenzia per la Rappresentanza Negoziale delle Pubbliche Amministrazioni – ARAN, in particolare con riferimento alla comunicazione degli indirizzi e-mail aziendali dei dipendenti delle pubbliche amministrazioni alle organizzazioni sindacali che ne facciano richiesta, quale trattamento prospettato dal CCNQ del 4 dicembre 2017, così come da ultimo modificato dal CCNQ del 30 novembre 2023 (v. anche i chiarimenti resi all’ARAN, al Ministero dell’Istruzione e all’Avvocatura Generale dello Stato in merito alla legittimità delle richieste, avanzate dalle organizzazioni sindacali in applicazione di un contratto collettivo nazionale del cd. “comparto scuola”, di conoscere i compensi accessori erogati ai dipendenti degli istituti scolastici, ove è stato evidenziato che il menzionato contratto collettivo non costituisce una base giuridica idonea: cfr. nota prot. n. XX del XX, richiamata espressamente in Cons. Stato Sez. VII, Sent. 9 agosto 2022, n. 7064, a conferma dell’orientamento ivi espresso). 

Tutto ciò premesso, pur prendendosi favorevolmente atto delle iniziative intraprese dall’Istituto, in un’ottica di apprezzabile proattività e responsabilizzazione, al fine di prevenire il verificarsi di analoghe violazioni in futuro, risulta che il trattamento di dati personali in questione è stato effettuato in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di un idoneo presupposto normativo, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice.

4. CONCLUSIONI

Alla luce delle considerazioni contenute nei paragrafi che precedono, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dal titolare del trattamento, per aver diffuso online, nella sezione dell’albo sindacale del proprio sito web istituzionale, per un periodo complessivo pari a 19 giorni, taluni documenti afferenti alla procedura di elezione della rappresentanza sindacale unitaria d’Istituto e contenenti dati personali dei candidati, ivi inclusi i reclamanti, e di altri soggetti a vario titolo coinvolti nella procedura; ciò in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice.

Le violazioni accertate, nei termini di cui in motivazione, non possono in alcun modo essere considerate “minori”, tenuto conto in particolare della circostanza che il trattamento, che ha comunque dato luogo ad una diffusione online di dati personali per un periodo comunque pari a 19 giorni, ha avuto ad oggetto anche le copie dei documenti di riconoscimento presentati dai candidati ed altre informazioni comunque delicate, come – tra le altre - l’indirizzo di residenza dei candidati (v. considerando 148 del Regolamento).

5. MISURE CORRETTIVE 

Considerando che la condotta ha esaurito i suoi effetti - atteso che l’Istituto ha dato atto di essersi prontamente adoperato per rimuovere i predetti contenuti dal proprio sito web istituzionale già al tempo della ricezione di una diffida da parte dei reclamanti - non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

6. ORDINANZA-INGIUNZIONE

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. artt. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1. Valutazione della condotta e individuazione della sanzione applicabile

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Nel caso di specie, le violazioni più gravi sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento.

6.2. Quantificazione della sanzione amministrativa pecuniaria (art. 83, par. 2, del Regolamento)

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- l’evento presenta carattere isolato (cfr. art. 83, par. 2, lett. a), del Regolamento) e l’Istituto ha dichiarato che il trattamento è dipeso da un’iniziativa di un dipendente che, per errore, ha occasionato la diffusione online dei predetti dati personali, in ciò ravvisandosi la natura colposa della violazione (cfr. art. 83, par. 2, lett. b), del Regolamento); e che tuttavia:

- il trattamento ha avuto ad oggetto anche le copie dei documenti di riconoscimento presentati dai candidati, oltre ad altre informazioni comunque delicate, tra cui l’indirizzo di residenza di taluni interessati (cfr. art. 83, par. 2, lett. g), del Regolamento), 

si ritiene che, nel caso di specie, il livello di intensità della violazione commessa dal titolare del trattamento sia alto (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60). 

Ciò premesso, nel considerare che il titolare del trattamento è un istituto scolastico, di piccole dimensioni, e dispone di risorse economiche ridotte e di una limitata dotazione organica, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze: 

- l’Istituto, già a fronte della diffida dei reclamanti, ha rimosso i contenuti inizialmente pubblicati online e ha dato atto di aver adottato specifiche iniziative per prevenire il verificarsi di analoghe violazioni in futuro, riconoscendo in tale prospettiva la distinzione che sussiste tra i trattamenti effettuati nell’ambito dell’organizzazione d’Istituto ai fini della gestione della procedura e quelli che, dall’altra parte, danno luogo, invece, ad una diffusione indiscriminata di dati in favore della collettività indistinta (art. 83, par. 2, lett. c) e d), del Regolamento);

- nel corso dell’istruttoria, il titolare ha offerto piena cooperazione con l’Autorità (art. 83, par. 2, lett. f), del Regolamento); 

- non risultano precedenti violazioni pertinenti commesse dal titolare (art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000,00 (quattromila/00) per la violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice.

In conclusione, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in particolare in ragione della natura dei dati che sono stati oggetto di pubblicazione. 

PER QUESTI MOTIVI

ai sensi degli artt. 57 e 83 del Regolamento, si dichiara l’illiceità del trattamento di dati personali effettuato dall’Istituto di Istruzione Superiore Della Corte Vanvitelli, con sede legale in Via Prolungamento Marconi, 84013 Cava de' Tirreni (SA), C.F. 95146410659, per la violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice, nei termini di cui in motivazione;

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al predetto titolare, di pagare la somma di euro 4.000,00 (quattromila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

SI INGIUNGE

al predetto titolare, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 4.000,00 (quattromila/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 20 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori