g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Istituto Comprensivo - IC Cosenza III “V. Negroni” - 16 settembre 2021 [9718196]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9718196]

Ordinanza ingiunzione nei confronti di Istituto Comprensivo - IC Cosenza III “V. Negroni” - 16 settembre 2021

Registro dei provvedimenti
n. 321 del 16 settembrte 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del

Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. l reclamo.

Con reclamo del XX, presentato ai sensi dell’art. 77 del Regolamento, è stata lamentata la pubblicazione, in data XX nella sezione “Avvisi” del sito istituzionale dell’Istituto Comprensivo - IC Cosenza III “V. Negroni”, (di seguito “Istituto”), di “un link, accessibile a tutti, con le graduatorie provvisorie dei docenti perdenti posto 2019/2020 contenenti dati idonei a rivelare lo stato di salute degli interessati”.

In particolare è stato rappresentato che “accanto al nominativo della docente sono stati annotati due asterischi con la specificazione: "Beneficiario della Legge 104/92 art. 2 comma 3".

Inoltre è stato accertato, nel corso dell’istruttoria, che oltre ai titoli e all’anzianità di servizio, nella graduatoria venivano indicate ulteriori informazioni riguardanti “esigenze di famiglia” riconducibili ai singoli interessati.

A seguito di richiesta di esercizio dei diritti da parte della reclamante, tra cui la richiesta di cancellazione dei dati, l’Istituto ha provveduto a rimuovere il link contenente le predette graduatorie.

2. L’attività istruttoria.

Sulla base degli elementi acquisiti l’Ufficio ha notificato, con nota del XX, prot. n.XX, all’Istituto Comprensivo - IC Cosenza III “V. Negroni”, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

Con la nota sopra menzionata, l’Ufficio ha riscontrato che l’Istituto ha pubblicato sul proprio sito web istituzionale le graduatorie dei docenti “perdenti posto 2019/2020” contenenti, oltre ai dati personali della reclamante, anche dati relativi alla salute della stessa e di altri docenti presenti in graduatoria, non necessari rispetto alla finalità della pubblicazione.

In particolare, risulta che l’Istituto, pubblicando sul sito web tali graduatorie, ha determinato la divulgazione di dati personali in assenza di un idoneo presupposto normativo per la diffusione di tali informazioni, ai sensi dell’art. 2-ter, commi 1 e 3, del Codice che invece ammette la predetta possibilità da parte di soggetti pubblici solo quando la diffusione è prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento, nonché la diffusione di dati relativi alla salute in violazione dell’art. 9, paragrafi. 1, 2 e 4, del Regolamento, e dell’art. 2-septies, comma 8, del Codice. Tale pubblicazione è avvenuta, inoltre, in violazione dei principi di “liceità, correttezza e trasparenza” nonché di “minimizzazione” del trattamento, ai sensi dell’art. 5, par. 1, lett. a) e c), del Regolamento.

L’Istituto ha fatto pervenire le proprie memorie difensive, con nota del 29 giugno 2020, rappresentando, in particolare, che:

- “l'atto della pubblicazione della graduatoria provvisoria “perdenti posto 2019/2020” sul proprio sito, […] trattasi di un mero errore materiale e di caricamento di file non idoneo per la pubblicazione da parte degli uffici di segreteria-area personale nel lavoro amministrativo quotidiano dovuto”;

- “il file errato summenzionato, e, in questione, fungeva da importante promemoria, per poi effettuare la decurtazione totale del nominativo della docente, con precedenza CCNI, in fase di graduatoria definitiva dei docenti “perdenti posto 2019/2020”;

- “di conseguenza, il file, che era solo utilizzabile per la fase preparatoria del lavoro di Ufficio Area Personale, è stato erroneamente caricato al posto del file originale riguardante la medesima graduatoria provvisoria “perdenti posto 2019/2020”. […] La pubblicazione di cui all’oggetto è stata, repentinamente, nell’immediatezza, rimossa dal sito”.

3. Normativa applicabile.

Ai sensi del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, il “Regolamento”), il trattamento di dati personali da parte di soggetti pubblici, anche quando operano nell’ambito di procedure concorsuali e selettive del personale, è lecito, in particolare, se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. c) ed e) nonché art.9 par.2 lett. b) e  art. 88 del Regolamento).

La normativa europea prevede inoltre che “Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto (…)” con la conseguenza che, al caso di specie, risulta applicabile la disposizione contenuta nell’art. 2-ter del Codice, in base al quale l’operazione di diffusione di dati personali in ambito pubblico è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento.

In tale quadro, il trattamento dei dati personali deve avvenire nel rispetto dei principi indicati nell’art. 5 del Regolamento, fra cui quelli di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, secondo i quali i dati personali devono essere – rispettivamente – “trattati in modo lecito, corretto e trasparente nei confronti dell'interessato” nonché “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (par. 1, lett. a) e c)).

In ogni caso, resta assolutamente vietata la diffusione di dati relativi alla salute (art. 9, parr. 1, 2 e 4, del Regolamento, art. 2-septies, comma 8, del Codice, ossia di “dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute” (art. 4, par. 1, n. 15; considerando n. 35 del Regolamento).

Con particolare riferimento alla pubblicazione delle graduatorie, inoltre, il Garante nel provvedimento n. 243 del 15 maggio 2014 (doc. web n.3134436) recante le "Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati" con riferimento alla pubblicità degli esiti delle prove concorsuali e delle graduatorie finali ha evidenziato che “devono essere diffusi i soli dati pertinenti e non eccedenti riferiti agli interessati. Non possono quindi formare oggetto di pubblicazione dati concernenti i recapiti degli interessati (si pensi alle utenze di telefonia fissa o mobile, l'indirizzo di residenza o di posta elettronica, il codice fiscale, l'indicatore Isee, il numero di figli disabili, i risultati di test psicoattitudinali o i titoli di studio), né quelli concernenti le condizioni di salute degli interessati (cfr. art. 22, comma 8, del Codice )iví compresi i riferimenti a condizioni di invalidità, disabilità o handicap fìsici e/o psichici" (cfr. parte seconda par. 3.b. Linee guida cit. - V. anche  provvedimento n. 23 del 14 giugno 2007, recante “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico" in www.gpdp.it, doc. web n. 1417809).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati degli interessati, avvenuto in violazione della disciplina in materia di trattamento dei dati personali, ha avuto inizio con la pubblicazione in data 30 aprile 2019 - nella piena vigenza delle disposizioni del Regolamento e del Codice, che dunque costituiscono le disposizioni applicabili al caso di specie (art. 1, comma 2, della l. 24 novembre 1981, n. 689) -  nella sezione “Avvisi” del sito istituzionale dell’Istituto di “un link, accessibile a tutti, con le graduatorie provvisorie dei docenti perdenti posto 2019/2020”, contenenti dati personali anche relativi a particolari condizioni familiari nonché idonei a rivelare lo stato di salute degli interessati, determinando la diffusione online di tali dati, e si è protratta fino al 18 giugno 2019, data  in cui la graduatoria è stata rimossa a seguito di istanza di esercizio dei diritti da parte della reclamante.

Pertanto, si confermano le valutazioni preliminari dell'Ufficio, e si rileva l'illiceità del trattamento di dati personali effettuato dall’Istituto Comprensivo - IC Cosenza III “V. Negroni”, per aver diffuso, mantenendo online le graduatorie provvisorie dei docenti perdenti posto 2019/2020 (oltre 50 individui), recanti, oltre ai dati identificativi degli interessati, l’indicazione, accanto al nominativo dei docenti interessati, di alcuni asterischi che segnalavano l’appartenenza alle categorie beneficiarie delle agevolazioni previste dalla Legge 104/92, in violazione degli artt. 6 e 9 del Regolamento e 2-ter e 2-septies, comma 8 del Codice, nonché dei principi di base del trattamento contenuti nell’art. 5, par. 1, lett. a) e c) del Regolamento. Tali principi sono stati recentemente confermati dal Garante (cfr., in particolare, Provv. n. 51 dell'11 febbraio 2021 doc. web. n. 9572226; Provv. 30 gennaio 2020, n. 21, doc. web. n. 9283014, Provv. 6 febbraio 2020 n. 27 doc. web. n. 9283029, Provv. 12 marzo 2020 n. 50 doc. web n. 9365159).

Per tali ragioni si ritiene che la pubblicazione delle graduatorie dei docenti “perdenti posto 2019/2020” contenenti dati personali, anche relativi alla salute della reclamante e di altri interessati presenti in graduatoria, sia avvenuta in violazione degli artt. 5, 6 e 9 del Regolamento e degli artt. 2-ter e 2-septies, comma 8, del Codice.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che l'Istituto ha dichiarato di aver provveduto a rimuovere la graduatoria dal proprio sito istituzionale (v. nota del 27 maggio 2020), non ricorrono i presupposti per l'adozione di misure correttive, di cui all'art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice)

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stato considerato che la rilevata condotta, tenuta in violazione della disciplina in materia di protezione dei dati personali, ha avuto a oggetto la diffusione di dati personali di un numero rilevante di interessati (oltre 50), tra cui, per alcuni soggetti, dati relativi alla salute, non necessari rispetto alle finalità sottese alla pubblicazione delle graduatorie provvisorie dei docenti perdenti posto 2019/2020, anche alla luce delle indicazioni che, sin dal 2014, il Garante, ha fornito a tutti i soggetti pubblici nelle Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati, sopra citate.

Di contro è stato considerato: che la pubblicazione è da imputarsi a un mero errore materiale; che l’Istituto si è attivato per rimuovere i dati personali dei soggetti interessati e ha quindi collaborato con l'Autorità nel corso dell'istruttoria del presente procedimento al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi. Si è tenuto, inoltre, favorevolmente atto che non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria, nella misura di euro 2.000 (duemila) per la violazione degli artt. 5, 6 e 9, del Regolamento, nonché degli artt. 2-ter, e 2-septies, comma 8 del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto del lasso temporale durante il quale i predetti dati sono stati resi reperibili in rete, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecita la condotta tenuta dall’Istituto Comprensivo - IC Cosenza III “V. Negroni”, consistente nella violazione degli artt. 5, 6, 9, del Regolamento, nonché degli artt. 2-ter e 2-septies comma 8 del Codice, nei termini di cui in motivazione.

ORDINA

All’Istituto   Comprensivo - IC Cosenza III “V. Negroni”, in persona del legale rappresentante pro-tempore, con sede legale in Via Negroni n. 5 – 87100 Cosenza (CS) C.F.98094050782, di pagare la somma di euro 2.000 (duemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata.

INGIUNGE

Al predetto Istituto, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 2.000 (duemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ravvisando altresì la ricorrenza dei presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 16 settembre 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL VICE SEGRETARIO GENERALE
Mattei