[doc. web n. 9776444]

Ordinanza ingiunzione nei confronti di Educationest s.r.l. - 28 aprile 2022

Registro dei provvedimenti
n. 152 del 28 aprile 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo del 15 febbraio 2021 presentato ai sensi dell’art. 77 del Regolamento dalla Sig.ra XX nei confronti di Educationest s.r.l.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. Il reclamo nei confronti della società e l’attività istruttoria.

Con reclamo del 15 febbraio 2021, presentato ai sensi dell’art. 77 del Regolamento, regolarizzato il 14 giugno 2021, la Sig.ra XX ha lamentato che Educationest s.r.l. (di seguito, la società) avrebbe effettuato trattamenti di dati in violazione della disciplina in materia di protezione dei dati personali, in relazione alla comunicazione a terzi dell’informazione relativa al suo stato di gravidanza, eseguita mediante l’invio di una e-mail, in data 22 gennaio 2021, alle famiglie dei bambini iscritti al Nido nei confronti dei quali la reclamante svolgeva funzioni di educatrice. In particolare la reclamante ha lamentato che tale comunicazione alle famiglie, di cui ha appreso casualmente il contenuto non essendo stata previamente consultata né informata in proposito, ha violato il suo diritto alla riservatezza relativo ad uno stato personale accertato peraltro da pochi giorni, tanto che gli stessi familiari dell’interessata non ne erano ancora stati messi a conoscenza.

L’Ufficio ha avviato un procedimento con nota del 21 settembre 2021, con la quale ha chiesto alla Società di fornire informazioni e chiarimenti sui fatti oggetto di reclamo.

Con nota del 19 ottobre 2021, nel fornire riscontro alle richieste dell’Ufficio, la Società ha dichiarato che:

a. nel contesto di una scuola, quale quella gestita dalla società, che consiste in una “piccola realtà educativa che accoglie i bambini a partire dai nove mesi di età e che si struttura come un ambiente famigliare dove la compartecipazione delle famiglie e della scuola (nella figura degli educatori) è un valore fondante del progetto educativo”, una volta appreso dalla reclamante, via e-mail, che “l’assenza prolungata non era per accertamenti dovuti ad una malattia, ma al lieto evento di uno stato gravidanza […] e visto il periodo pandemico e il grave rischio biologico legato al suo ruolo lavorativo, risultò chiaro alla scuola che la [reclamante] si sarebbe assentata per un lungo periodo senza poter salutare i bambini”;

b. pertanto “per rispondere alle incessanti pressioni dei genitori riguardo alle motivazioni della […] (chiaramente già notata) assenza [della reclamante], la scuola nell’intento di proteggere la reputazione dell’educatrice, che aveva dovuto lasciare bruscamente e senza saluti la classe, ha agito in totale buona fede comunicando ai genitori della classe interessata che l’educatrice era entrata in maternità e che – essendo il nostro un lavoro a rischio – aveva dovuto lasciare immediatamente la classe”;

c. contestualmente la società ha “comunicato ai genitori chi avrebbe sostituito [la reclamante]”;

d. con tale comunicazione ai genitori “si è pure voluto difendere l’educatrice stessa da malizie, dicerie e sospetti che in breve tempo avevano iniziato a circolare”;

e. la società ha agito “in assoluta buona fede in un periodo complicato dal diffondersi della pandemia”;

f. “La base giuridica del trattamento è data dalla combinazione dell’Art. 6, par. 1, lett. c) e dell’Art. 9, par. 2, lett. b) del Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016”.

La Società ha anche allegato copia delle e-mail scambiate con la reclamante nonché “copia del registro delle violazioni, adottato ai sensi dell’Art. 33, par. 5, del Regolamento (UE) 2016/679, debitamente compilato in data 25/05/2021”.

Il 9 febbraio 2022 l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione delle presunte violazioni del Regolamento riscontrate, con riferimento agli artt. 5, par. 1, lett. a) e c) e 6, par. 1, lett. b) e c), del Regolamento.

Il 4 marzo 2022 la società ha inviato i propri scritti difensivi con i quali ha dichiarato che:

a. “i destinatari della comunicazione (le famiglie interessate) appartengono ad un gruppo ristretto di soggetti affidabili aventi un interesse puramente privato e relativo alla consapevolezza dell’integrità e della rispettabilità delle persone aventi responsabilità sui propri figli” (v. nota 4.3.2022, p. 1);

b. “La durata della contestata violazione ha avuto uno svolgimento istantaneo e non continuativo, condensatosi nell’invio di un solo messaggio di posta elettronica. ll numero di interessati coinvolti nella violazione è pari ad uno, ovvero, naturalmente, la sola educatrice in gravidanza” (v. nota cit., p. 1);

c. “la violazione contestata appare priva di alcuna intenzionalità poiché dettata solamente dalla volontà, in buona fede, di rassicurare le famiglie interessate sulle ragioni della prolungata assenza dell’educatrice (non dovuta a contagio COVID, disgrazie, o abbandono dell’Istituto), alla luce del delicato contesto pandemico da COVID-19, e di proteggere quest’ultima da giudizi ingiusti di poca professionalità e poco attaccamento alla realtà scolastica. La legittima esigenza di dare conto alle famiglie delle ragioni e della durata dell’assenza della reclamante non si ritiene potesse essere soddisfatta mediante la comunicazione di informazioni riferite alla insegnante diverse da quelle, specifiche, che afferivano al suo stato di gravidanza” (v. nota cit., p. 1-2);

d. con riferimento alle misure adottate dalla società per attenuare gli effetti della violazione “una prima, essenziale, misura di attenuazione degli effetti è consistita nella gestione del procedimento istruttorio conseguente, al fine di evitare l’effetto “amplificatore” delle informazioni private oggetto della contestata violazione. La dirigente della Scuola ha poi voluto personalmente contattare telefonicamente l’educatrice per spiegarle le ragioni di quella comunicazione e le finalità ad essa sottese” (v. nota cit., p. 2);

e. con riguardo agli adempimenti previsti dalla disciplina in materia di protezione dei dati personali “la […] Scuola si è attrezzata al rispetto della normativa […] già da tempo convinta dell’importanza del rispetto primario e costante dei diritti fondamentali.” (v. nota cit., p. 2);

f. in relazione al grado di cooperazione con l’Autorità la società ritiene “di aver fatto quanto possibile per attenuare gli effetti negativi della comunicazione oggetto del presente procedimento, spiegando all’educatrice, così come all’Autorità, le ragioni della […] condotta in buona fede” (v. nota cit., p. 3);

g. come ulteriore fattore attenuante la società ha rappresentato che in un istituto scolastico è “complesso e delicato l’equilibrio e il rapporto di fiducia che si instaura tra personale amministrativo, educatrici, famiglie e bambini. È fondamentale per garantirlo la massima trasparenza e onestà e un costante flusso di informazioni e comunicazioni. Lo stato di salute dei bambini di cui ci occupiamo è ritenuto della massima importanza per le loro famiglie soprattutto nel periodo pandemico alla luce del fatto che gli stessi passano gran parte della loro giornata in una comunità dove le occasioni di contrarre il Covid 19 erano e sono maggiori. Come si comprenderà il periodo in questione (inizio 2021) è stato molto delicato e teso per le comunità scolastiche e la precarietà delle comunicazioni in quel frangente di diffondersi della pandemia può aver influenzato il nostro modo di agire cercando di contemperare le esigenze dell’insegnante con quelle della comunità dei nostri bambini e delle loro famiglie ansiose di essere mese a conoscenza di ogni caso di contagio, soprattutto se sorto tra i docenti” (v. nota cit., p. 4).

La Società ha anche allegato la documentazione relativa agli adempimenti effettuati in esecuzione di quanto stabilito dalla disciplina in materia di protezione dei dati personali (copia del Registro delle attività di trattamento, del modello di informativa e raccolta del consenso degli utenti dei servizi offerti, della Procedura per la gestione dei reclami e delle altre richieste degli interessati, della Procedura per la notifica e la comunicazione della violazione di dati personali – Data breach, di un modello di Atto di nomina ad autorizzato al trattamento di dati personali e del Disciplinare relativo all’utilizzo degli strumenti informatici aziendali e privati per fini lavorativi).

2. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi.

2.1. Fatti accertati e osservazioni sulla normativa in materia di protezione dei dati personali rilevante nel caso di specie.

Premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”, all’esito dell’attività istruttoria è emerso che la Società, con e-mail del 22 gennaio 2021, ha comunicato alle famiglie dei bambini, già affidati alla reclamante in qualità di educatrice, che quest’ultima era “entrata in maternità e, come prevedono le norme sul diritto del lavoro, ha dovuto staccarsi immediatamente dal suo ruolo di insegnante in quanto ritenuto una posizione ad alto rischio. […] La comunicazione del suo ingresso in maternità anticipata ci è pervenuta in questi giorni”.

Ciò ha comportato il trattamento, mediante comunicazione a terzi estranei al rapporto di lavoro, di dati personali della reclamante riferiti al suo stato di gravidanza e della necessità, per la stessa, di assentarsi dal lavoro, in considerazione della qualificazione del ruolo di insegnante come “posizione ad alto rischio”.

In base alla disciplina posta in materia di protezione dei dati personali nell’ambito del rapporto di lavoro privato i dati personali “comuni” riferiti ai dipendenti possono essere trattati dal titolare del trattamento, ordinariamente, solo in quanto ciò sia necessario per dare corretta esecuzione al rapporto di lavoro oppure per attuare previsioni contenute in leggi, regolamenti, contratti e accordi collettivi (v. artt. 6, par. 1, lett. b) e c) del Regolamento). In ogni caso, il trattamento deve rispettare i principi generali di liceità, correttezza e minimizzazione (v. art. 5, par. 1, lett. a) e c) del Regolamento).

2.3. Violazioni accertate.

Il trattamento dei dati personali della reclamante effettuato dalla Società non risulta conforme alle disposizioni richiamate per i motivi di seguito indicati.

Mediante l’invio della menzionata comunicazione via e-mail alle famiglie dei bambini iscritti al Nido, nei confronti dei quali la reclamante svolgeva la funzione di educatrice, la Società ha comunicato a terzi un’informazione, relativa a un particolare stato della reclamante stessa (stato di gravidanza), per di più a sua insaputa, con conseguente violazione del suo diritto alla riservatezza. In particolare è stato violato il diritto dell’interessata di determinare le proprie scelte riguardanti le modalità e i tempi con i quali rendere noto uno stato - avente natura eminentemente privata – a soggetti terzi, estranei al rapporto di lavoro, nell’ambito del quale l’informazione era stata doverosamente resa, peraltro in una fase ancora del tutto iniziale della gravidanza, soggetta pertanto alla possibile incidenza di eventi negativi o comunque rischiosi per la sua fisiologica evoluzione e conclusione.

Il trattamento accertato non è rientra tra quelli necessari per l’esecuzione del rapporto di lavoro in essere tra la Società e la reclamante, al momento dei fatti oggetto di reclamo, né per l’esecuzione di un obbligo legale posto in capo al titolare, dunque non sono risultate sussistenti le condizioni di liceità previste dall’ordinamento vigente nei termini su indicati. Inoltre, nel caso concreto, la legittima esigenza di informare le famiglie circa le ragioni e la presumibile durata dell’assenza della educatrice avrebbe potuto essere soddisfatta, anche nel contesto pandemico, mediante la comunicazione di informazioni riferite alla reclamante diverse da quelle, specifiche, afferenti alla vita privata della stessa, pur fornendo rassicurazioni circa l’inesistenza di pericolo di contagio per i bambini che avevano avuto contatti con l’educatrice.

Si rileva inoltre che la stessa Società, pur sottolineando di aver operato in buona fede anche alla luce del particolare contesto in cui è avvenuto il trattamento (emergenza sanitaria e conseguenti timori di contagio anche nel particolare contesto dei servizi per l’infanzia), ha ritenuto di inserire nel proprio documento denominato “registro delle violazioni” l’evento costituito dalla comunicazione oggetto di reclamo (v. allegato al riscontro del 19.10.2021).

La Società, dunque, con l’invio della comunicazione e-mail del 22 gennaio 2021, nei termini su evidenziati, ha agito in violazione dei principi di liceità e minimizzazione dei dati (v. art. 5, par. 1, lett. a) e c), del Regolamento) in quanto ha fornito informazioni a soggetti terzi non necessarie rispetto alle finalità perseguite e in assenza di un idoneo criterio di legittimazione tra quelli previsti dall’ordinamento (v. art. 6, par. 1, lett. b) e c), del Regolamento).

3. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimento correttivo ex art. 58, par. 2, Regolamento.

Per i suesposti motivi l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato dalla Società risulta infatti illecito, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a) e c) e 6, par. 1, lett. b) e c), del Regolamento.

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2 del Regolamento, si dispone una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. i) Regolamento).

4. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

All’esito del procedimento risulta che Educationest s.r.l. ha violato gli artt. 5, par. 1, lett. a) e) e 6, par. 1, lett. b) e c) del Regolamento. Per la violazione delle predette disposizioni è prevista l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a) del Regolamento, mediante adozione di un’ordinanza ingiunzione (art. 18, l. 24.11.1981, n.689).

Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5.

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini della applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze:

a) in relazione alla natura, gravità e durata della violazione, è stata considerata rilevante la natura della violazione che ha riguardato il diritto dell’interessata di determinare le proprie scelte riguardo la conoscenza da parte di soggetti terzi di uno stato di natura privata quale lo stato di gravidanza;

b) con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare, è stata presa in considerazione la condotta della società e il grado di responsabilità della stessa che non si è conformata alla disciplina in materia di protezione dei dati;

c) a favore della società si è tenuto conto che non risultano precedenti violazioni pertinenti delle norme in materia di protezione i dati personali;

d) come ulteriore fattore attenuante è stato considerato il particolare contesto in cui è avvenuta la violazione, condizionato dall’emergenza sanitaria e i conseguenti timori di contagio da parte degli utenti della struttura.

Si ritiene inoltre che assumano rilevanza nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), in primo luogo le condizioni economiche del contravventore, determinate in base ai ricavi conseguiti dalla società con riferimento al bilancio ordinario d’esercizio per l’anno 2020. Da ultimo si tiene conto dell’entità delle sanzioni irrogate in casi analoghi. Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Educationest s.r.l. la sanzione amministrativa del pagamento di una somma pari ad euro 1.000 (mille).

In tale quadro si ritiene, altresì, in considerazione della tipologia delle violazioni accertate che hanno riguardato i principi generali del trattamento dei dati e le condizioni di liceità del trattamento, che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito Internet del Garante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del reg. del Garante n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

rileva l’illiceità del trattamento effettuato da Educationest s.r.l., in persona del legale rappresentante, con sede legale in Via Sgarzeria 1, Modena (MO), P.I. 03806400366, ai sensi dell’art. 143 del Codice, per la violazione degli artt. 5, par. 1, lett. a) e) e 6, par. 1, lett. b) e c) del Regolamento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento a Educationest s.r.l., di pagare la somma di euro 1.000 (mille) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi alla medesima Società di pagare la predetta somma di euro 1.000 (mille), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato - di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1.9.2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice);

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/20129, e ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 28 aprile 2022

IL VICEPRESIDENTE
Cerrina Feroni

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei