[doc. web n. 10197090]

Provvedimento del 9 ottobre 2025

Registro dei provvedimenti
n. 584 del 9 ottobre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Angelo Fanizza, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione.

Con reclamo presentato in data XX, XX, all’epoca dei fatti docente in servizio presso il Liceo Artistico Statale “Renato Cottini”, nel lamentare una presunta violazione della normativa in materia di protezione dei dati personali, ha rappresentato, in particolare, che il predetto Liceo avrebbe trasmesso, nell’ambito della procedura “per la selezione e il reclutamento [… di specifiche] figure professionali”, il proprio curriculum vitae in forma integrale – presentato dalla reclamante stessa in fase di candidatura e recante, in particolare, i suoi dati identificativi e di contatto nonché, tra l’altro, informazioni relative ai suoi “numerosi interventi formativi in ambito parrocchiale e oratoriale che evidenziano un chiaro indirizzo cattolico che delineano conseguentemente anche [… il suo] orientamento religioso” – alle numerose famiglie destinatarie delle attività previste dal predetto avviso affinché le stesse potessero esprimere le loro preferenze alla luce di tutti i curricula ricevuti (cfr. avviso prot. n. XX del XX e n. XX del XX - ““XX””).

2. L’attività istruttoria.

In merito a quanto rappresentato nel reclamo, il Liceo, con nota del XX, ha dichiarato, in particolare, che:

“essendo i curricula tra i documenti obbligatori da trasmettere ai fini della partecipazione all’avviso, gli interessati partecipanti sono stati debitamente edotti della trasmissione dei curricula stessi agli studenti e alle famiglie, in quanto […] si è deciso di utilizzare come criterio di scelta il fatto che fossero gli studenti ad esprimere la propria preferenza a favore del singolo interessato. Di conseguenza, all’atto della partecipazione volontaria all’avviso ciascun interessato è stato debitamente edotto in merito alle modalità di trattamento dei dati da inviare per la partecipazione all’avviso, e non è pervenuta alcuna richiesta preventiva da parte dei partecipanti di opposizione rispetto alle modalità di trattamento esplicitate nell’Avviso, in particolare a riguardo del criterio menzionato relativo alle preferenze degli studenti”;

“premesso che i singoli esperti partecipanti l’avviso hanno fornito esplicito consenso al trattamento dei propri dati personali, e anche in particolare al trattamento dei dati personali inseriti all’interno dei propri curricula per le finalità connesse allo svolgimento del Bando, ai sensi dell’art. 6 lettera a) GDPR, […] si è ritenuto che il trattamento relativo alla comunicazione dei curricula alle famiglie fosse necessario per il perseguimento del legittimo interesse del titolare del trattamento, e che non vi fosse alcun pregiudizio per gli interessi o i diritti e le libertà fondamentali degli esperti interessati al trattamento, nel rispetto di quanto previsto all’art. 6 lettera f) GDPR. In aggiunta, l’Istituto promuove l’aspetto partecipativo delle famiglie e degli studenti, in linea con i princìpi degli artt. 30, 33 e 34 della Costituzione e con le leggi e i decreti che nel corso del tempo hanno dato alla scuola il carattere di “comunità che interagisce con la più vasta comunità sociale e civica”, a partire dalla Legge Delega n. 477/1973 e dall’istituzione del Patto educativo di Corresponsabilità con il DPR 24 giugno 1998, n. 249 e s.m.i.”;

“per quanto riguarda il curriculum della [… reclamante], non si ritiene assolutamente che da esso si possa evincere alcun elemento riconducibile al suo orientamento religioso, in quanto la sua spontanea e volontaria indicazione di aver effettuato, tra gli altri, interventi formativi in ambito parrocchiale e oratoriale non può certo costituire elemento riconducibile alle sue convinzioni religiose ai sensi dell’art. 9 GDPR”.

Con nota del XX, l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al predetto Liceo, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, sul presupposto che il predetto trattamento fosse stato effettuato in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e “minimizzazione dei dati” e in assenza di un idoneo presupposto normativo, in violazione degli artt. 5, par. 1, lett. a) e c), 6 e 9 del Regolamento e 2-ter del Codice.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota dell’XX, il predetto Liceo, che non ha richiesto di essere audito, ha presentato una memoria difensiva, dichiarando, in particolare, che:

“l’interessato è pienamente consapevole che i dati personali che inserisce all’interno del proprio curriculum potranno essere oggetto di pubblicazione in ossequio agli obblighi dell’Ente dettati dalla trasparenza (art. 15 d.lgs. 33/2013 – delibera ANAC n. 1310/2016, par. 5.1. e allegato 1 alla delibera)”;

“non essendo espressamente prevista da una norma di legge o di regolamento, [la finalità di trattamento] è stata indicata dall’Istituto in coerenza al compito svolto, in questo caso rappresentato dall’individuazione tra gli idonei alla selezione delle figure ritenute più consone dalle famiglie per lo svolgimento di determinate mansioni”;

“gli elementi a supporto del fatto che il comportamento della Commissione non sia assolutamente intenzionale, bensì causato dalla parziale lieve inosservanza di disposizioni interne all’istituto, oltre che dei generici principi di diligenza e prudenza, che comunque non ha comportato alcun danno o pregiudizio agli interessati, è evidenziato dal fatto che il DPO interno non abbia ricevuto alcuna richiesta di valutazione preliminare del trattamento”;

“l’informativa [resa in calce alla comunicazione dei curricula alle famiglie destinatarie del progetto] vincola i destinatari al rispetto della normativa in materia di protezione dei dati personali, in particolare per quanto riguarda il divieto di comunicazione o diffusione a terzi dei dati personali trasmessi, ed il loro utilizzo esclusivamente per le finalità connesse all’espletamento della procedura oggetto della comunicazione stessa”.

3. La disciplina in materia di protezione dei dati personali.

Si evidenzia in via generale che il titolare del trattamento può trattare i dati personali dei lavoratori, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1, del Regolamento), al ricorrere di un’idonea base giuridica, se il trattamento è necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti derivanti dalla disciplina di settore nonché quando il trattamento è “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (artt. 6, parr. 1, lett. c) ed e), 2 e 3; 9, par. 2, lett. b), e 4; 88 del Regolamento; 2-ter del Codice).

Tali trattamenti devono, comunque, trovare fondamento nel diritto dell’Unione o dello Stato membro, al fine di perseguire un obiettivo di interesse pubblico ed essere proporzionati al perseguimento dello stesso. La finalità del trattamento deve, infatti, essere necessaria per l'esecuzione di un obbligo previsto dalla normativa vigente ovvero un compito svolto nel pubblico interesse o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento (cfr. art. 6, par. 2 e 3, del Regolamento e 2-ter del Codice).

La disciplina nazionale ha introdotto disposizioni più specifiche per adeguare l’applicazione delle norme del Regolamento, determinando con maggiore precisione requisiti particolari e altre misure atte a garantire un trattamento lecito e corretto (art. 6, par. 2 del Regolamento), e, in tale ambito, ha previsto che le operazioni di trattamento che consistono nella “comunicazione” di dati personali sono ammissibili in presenza di un’idonea base giuridica (art. 2-ter del Codice).

Il datore di lavoro, quale titolare del trattamento, è tenuto in ogni caso a rispettare i principi in materia di protezione dei dati, fra i quali, in particolare, quelli di “liceità, correttezza e trasparenza”, “minimizzazione dei dati” e “protezione dei dati fin dalla progettazione” e “per impostazione predefinita” (artt. 5, par. 1, lett. a) e c), e 25 del Regolamento).

In tale quadro, in base al principio di “responsabilizzazione”, spetta a ciascun titolare individuare i presupposti e le condizioni di liceità del trattamento dei dati, nonché essere in grado di dimostrare che il trattamento venga effettuato conformemente al Regolamento e al Codice (artt. 5, par. 2 e 24 del Regolamento).

4. Esito dell’attività istruttoria.

All’esito dell’attività istruttoria, è emerso che, nell’ambito della procedura “per la selezione e il reclutamento [… di specifiche] figure professionali” richiamata in premessa e, più in generale, nel quadro di pur meritevoli iniziative volte a contrastare il rischio del fenomeno dell’abbandono scolastico, il Liceo Artistico Statale “Renato Cottini” ha trasmesso i curricula dei quattro docenti che avevano presentato la propria candidatura - ivi inclusa la reclamante - a quarantaquattro famiglie di studenti, individuati come soggetti a rischio di abbandono scolastico, affinché ciascuna di esse potesse prenderne visione ed esprimere conseguentemente la propria preferenza in ordine al docente da affiancare allo studente.

Al riguardo, si fa presente che la messa a disposizione delle predette famiglie, da parte del Liceo, dei curricula trasmessi dai docenti all’atto della candidatura alla selezione configura una “comunicazione” di dati personali (art. 2-ter, comma 4, lett. a), del Codice) che, in tale contesto, può ritenersi ammessa dalla disciplina in materia di protezione dei dati, nel quadro dell’adempimento di eventuali obblighi previsti dalla disciplina di settore applicabile nonché dalla normativa in materia di diritto del lavoro, in presenza di un’idonea base giuridica secondo quanto previsto dall’art. 2-ter, commi 1 e 3, del Codice.

Occorre, a tal proposito, evidenziare che la base giuridica del trattamento deve essere “idonea” anche alla luce dell’assetto delle fonti dell’“ordinamento costituzionale” dello Stato membro (v. considerando 41 del Regolamento e v. anche Corte Cost. sent. n. 271/2005, in base alla quale la disciplina di protezione dei dati personali rientra fra la materia di competenza esclusiva statale riferita all’“ordinamento civile”) e che la stessa deve soddisfare specifici requisiti, sia in termini di qualità della fonte, contenuti necessari e misure appropriate e specifiche per tutelare i diritti e le libertà degli interessati, sia in termini di proporzionalità dell’intervento regolatorio rispetto alle finalità che si intendono perseguire (art. 6, parr. 2 e 3, lett. b), del Regolamento).

In tal senso, nel quadro di derivazione europea della disciplina di protezione dei dati, nella prospettiva della certezza del diritto e del principio di non discriminazione, in assenza di una previsione normativa che soddisfi i predetti requisiti di un’idonea base giuridica, non sono consentiti livelli differenziati di tutela della protezione dei dati personali tra le singole amministrazioni e, in particolare, per quanto interessa ai fini del caso di specie, tra le singole istituzioni scolastiche.

Tali principi sono stati ribaditi nel tempo dal Garante, anche di recente, in numerosi provvedimenti con riguardo a fattispecie diversificate (cfr., tra i più recenti e relativi all’esercizio dell’azione amministrativa nel contesto del rapporto di lavoro, provv.ti 13 marzo 2025, n. 135, doc. web n. 10128005, e 11 aprile 2024, n. 235, doc. web n. 10019523, e provvedimenti ivi citati).

In disparte dalla eventuale qualificazione del predetto avviso di selezione pubblica come atto amministrativo generale, menzionato dall’art. 2-ter del Codice come fonte astrattamente idonea a legittimare un trattamento di dati personali, occorre evidenziare che lo stesso non può contravvenire né modificare o innovare le norme sovraordinate di riferimento, dispiegando un mero effetto integrativo dell’ordinamento attraverso specificazioni e disposizioni di dettaglio, comunque nei limiti e negli ambiti ad esso demandati da norme di legge o di regolamento (cfr. considerando 41 e art. 88 del Regolamento).

Il criterio gerarchico delle fonti del diritto sancisce, invero, la prevalenza della fonte di rango superiore rispetto a quella di livello inferiore, precludendo a quest’ultima di derogarvi o di porsi in contrasto con il contenuto della fonte sovraordinata; non si rinviene, pertanto, nell’atto amministrativo generale l’attitudine ad apportare modifiche nell’ordinamento sul piano del trattamento dei dati personali - come, appunto, la previsione della trasmissione dei curricula dei candidati alla procedura selettiva alle famiglie destinatarie delle attività previste dal relativo avviso - posto che le caratteristiche essenziali del trattamento devono essere e rimangono delineate dalle norme di rango sovraordinate.

A tal riguardo si rappresenta, infatti, che l’art. 70, comma 13, del d.lgs. 165/2001 prevede espressamente, in via generale, che “in materia di reclutamento” del personale le pubbliche amministrazioni sono tenute a rispettare le disposizioni nazionali che regolano l’accesso al pubblico impiego nonché lo svolgimento di incarichi nel contesto pubblico, regolando la materia “in coerenza con i principi ivi previsti”.

Alla luce di tali considerazioni, pertanto, l’avviso di selezione pubblicato dal predetto Liceo nel caso di specie, che pure aveva previsto un trattamento di dati personali, consistente nella “comunicazione” di dati personali di docenti a “terzi” (ossia, le famiglie degli studenti individuati come soggetti al rischio di abbandono scolastico; cfr. artt. 4, par. 1, n. 10), del Regolamento e 2-ter, comma 4, lett. b), del Codice), non può costituire un’idonea base giuridica nel sistema gerarchico delle fonti dell’ordinamento interno, anche in ragione del fatto che, come peraltro confermato dallo stesso Liceo in corso d’istruttoria (cfr. nota dell’XX), tale comunicazione non risulta contemplata dal quadro normativo nazionale applicabile (cfr., sulla riserva di legge statale sulla protezione dati, la già citata Corte Cost., sent. n. 271/2005).

Per le ragioni anzidette, il difetto di base giuridica in merito alla predetta “comunicazione” dei dati dei docenti non può essere superato neppure dall’asserito adempimento, da parte del Liceo, dei propri obblighi informativi e, cioè, richiamando la circostanza che i candidati sarebbero stati “debitamente edotti della trasmissione dei curricula stessi agli studenti e alle famiglie [… avendo il Liceo stesso scelto di] utilizzare come criterio di scelta il fatto che fossero gli studenti ad esprimere la propria preferenza a favore del singolo interessato” (cfr. nota del XX).

Peraltro, ancorché il predetto avviso fosse finalizzato al reclutamento di figure professionali “per un numero di ore proporzionato al numero di studenti che [… avessero espresso] la propria preferenza nei loro confronti” e prevedesse che “il compenso [… fosse] proporzionato al numero di edizioni svolte, sulla base degli studenti che [… avessero espresso] la propria preferenza a […] favore” del singolo candidato (cfr. avviso di selezione), lo stesso non reca chiara evidenza del fatto che il Liceo avrebbe poi effettivamente dato corso ad una trasmissione alle famiglie destinatarie del progetto dei curricula presentati dai candidati, così effettuando una comunicazione di dati personali a soggetti terzi.  

Deve infatti ritenersi che, anche nell’ottica del principio di “minimizzazione dei dati” (art. 5, par. 1, lett. c), del Regolamento), le finalità di trattamento perseguite nel caso di specie dal Liceo avrebbero potuto essere soddisfatte anche con modalità alternative e meno invasive per i diritti e le libertà dei candidati, omettendo l’invio dei curricula in versione integrale alle predette famiglie.

Non risulta rilevante nel caso di specie neppure l’eventuale consenso che, secondo il Liceo, sarebbe stato manifestato dai candidati all’atto della candidatura, posto che, alla luce della asimmetria tra le rispettive parti nella fase di instaurazione del rapporto di lavoro e la conseguente, eventuale, necessità di accertare, di volta in volta e in concreto, l’effettiva libertà della manifestazione di volontà dell’interessato, il consenso non costituisce, di regola, un valido presupposto di liceità per il trattamento dei dati personali tanto in ambito pubblico quanto, più specificamente, nel contesto del rapporto di lavoro, indipendentemente dalla natura giuridica del datore di lavoro (cons. n. 43; art. 4, punto 11), e art. 7, par. 3 e 4, del Regolamento; v., l’orientamento consolidato in sede europea, Gruppo di lavoro “Articolo 29”, Parere 2/2017 sul trattamento dei dati sul posto di lavoro, WP 249, p. 7 e 26 e Linee Guida sul consenso ai sensi del Regolamento UE 2016/679 - WP 259 - del 4 maggio 2020).

Né, ancora, può ritenersi che il trattamento in esame possa essere lecitamente effettuato richiamando il legittimo interesse del titolare del trattamento, pure invocato dal Liceo, in quanto lo stesso non può di regola trovare applicazione “al trattamento di dati effettuato dalle autorità pubbliche” (cfr. art. 6, par. 1, lett. f), del Regolamento), tra le quali si annoverano anche le istituzioni scolastiche (cfr. art. 1, comma 2, del d. lgs. 165/2001).

In tale contesto, non può inoltre essere invocata per escludere la responsabilità del Liceo neppure la circostanza che, in base al quadro normativo in materia di trasparenza, le pubbliche amministrazioni siano tenute a pubblicare online il curriculum vitae di consulenti e collaboratori (v. art. 15 del d.lgs. 33/2013 nonché delibera ANAC n. 1310/2016, par. 5.1, e all. 1), posto che, per espressa previsione normativa, tale pubblicazione riguarda le sole informazioni relative ai soggetti che siano già “titolari di incarichi di collaborazione o consulenza” e non invece i curricula dei partecipanti alla procedura di selezione e reclutamento. Ad ogni modo, come tradizionalmente ribadito dal Garante, si ricorda che il predetto obbligo normativo comporta la diffusione dei soli contenuti del curriculum pertinenti rispetto alle finalità di trasparenza perseguite dalla legge; prima di pubblicare i curricula sul sito istituzionale, le pubbliche amministrazioni devono infatti “operare un’attenta selezione dei dati in essi contenuti, se del caso predisponendo modelli omogenei e impartendo opportune istruzioni agli interessati”, e, “non [… devono invece procedere alla] pubblicazione [di] dati eccedenti” rispetto alla finalità, espressamente individuata dall’art. 1 del d. lgs. 33/2013, di “favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull'utilizzo delle risorse pubbliche” (cfr. le Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati, adottate con provv. 15 maggio 2014, n. 243, doc. web n. 3134436).

Né assume rilevanza il fatto che, in base all’avviso della procedura selettiva in questione, le preferenze espresse dalle famiglie non fossero destinate ad incidere sulle valutazioni in ordine all’idoneità dei candidati a ricoprire in generale l’incarico ma venissero considerate dal Liceo ai soli fini della successiva individuazione dell’insegnante in concreto più appropriato ad affiancare gli studenti destinatari del progetto. Ciò in quanto, in ogni caso, il trattamento in questione risulta essere stato posto in essere, in assenza di un’adeguata base giuridica, per finalità comunque riconducibili al complessivo processo di reclutamento, proprie anche della fase di attribuzione dello specifico incarico.  

Quanto, infine, alla circostanza che, come lamentato dalla reclamante, nel curriculum vi fossero riferimenti ad attività svolte presso istituzioni di varia natura o enti religiosi, occorre ribadire in via generale che, nel contesto lavorativo, il trattamento dei dati personali relativi a categorie particolari deve essere in ogni caso effettuato anche in conformità alle prescrizioni di cui al provv. 5 giugno 2019, n. 146, recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101, doc. web n. 9124510 (v. spec. all. 1) e che, in particolare, “il datore di lavoro tratta dati che rivelano le convinzioni religiose o filosofiche ovvero l’adesione ad associazioni od organizzazioni a carattere religioso o filosofico esclusivamente in caso di fruizione di permessi in occasione di festività religiose o per le modalità di erogazione dei servizi di mensa o, nei casi previsti dalla legge, per l’esercizio dell’obiezione di coscienza”. Ancorché, in genere, non possa escludersi in via assoluta che specifiche informazioni contenute nei curricula possano in linea teorica apparire evocative delle opinioni personali e degli orientamenti anche sul piano religioso degli interessati, con riguardo al caso di specie, alla luce di una valutazione complessiva del relativo contenuto, si ritiene che le informazioni esposte nel curriculum della reclamante, in assenza di ulteriori elementi di contesto, non consentissero nel caso concreto di rivelare dettagli univoci sulla convinzioni filosofiche o religiose della reclamante medesima, dovendosi dunque ritenere che gli elementi in atti non siano di per sé dirimenti né sufficienti a confermare la violazione della disciplina di protezione dei dati limitatamente a tale profilo (art. 9 del Regolamento).

Tutto ciò premesso, deve concludersi che il trattamento dei dati in questione – consistente nella comunicazione dei curricula dei quattro candidati alla procedura selettiva a quarantaquattro famiglie di studenti individuati come soggetti a rischio di abbandono scolastico, effettuata sulla base dell’avviso della procedura medesima - è stato effettuato in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e “minimizzazione dei dati” e in assenza di un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a) e c), e 6 del Regolamento e 2-ter del Codice.

5. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Liceo Artistico Statale “Renato Cottini”, per aver trattato dati personali della reclamante, oltre che degli altri interessati che avevano presentato la propria candidatura all’avviso di reclutamento in questione, in violazione degli artt. 5, par. 1, lett. a) e c), e 6 del Regolamento e 2-ter del Codice.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni sono tutte soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha comunque esaurito i suoi effetti e che, peraltro, il Liceo, con nota dell’XX ha dato atto di aver predisposto “procedure interne più restrittive a riguardo dell’autonomia decisionale delle commissioni valutative, imponendo di consultare preventivamente il DPO sempre e comunque”, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

i dati personali trattati nel caso di specie riguardano quattro interessati, tra cui la reclamante, e sono stati comunicati a quarantaquattro famiglie, ancorché nel quadro del perseguimento di una finalità particolarmente apprezzabile connessa al contrasto del fenomeno dell’abbandono scolastico (art. 83, par. 2, lett. a), del Regolamento);

la violazione è stata commessa con colpa, anche tenuto conto che, come confermato dal titolare in corso d’istruttoria, nel caso di specie il Liceo non ha preventivamente consultato il proprio responsabile della protezione dei dati (art. 83, par. 2, lett. b), del Regolamento);

per le ragioni esplicitate nella parte motiva del presente provvedimento, il trattamento non ha in concreto riguardato dati appartenenti alle categorie particolari di cui all’art. 9 del Regolamento (cfr. art. 83, par. 2, lett. g), del Regolamento),

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia basso (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel tenere presente che, in ogni caso, il titolare è un istituto scolastico, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

il Liceo ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria, avendo, peraltro, dichiarato di aver intrapreso, nella prospettiva del principio di “responsabilizzazione”, iniziative per prevenire in futuro il verificarsi di analoghe violazioni (cfr. nota dell’XX; art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dal Liceo (art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 3.000 (tremila/00) per la violazione degli artt. 5, par. 1, lett. a) e c), e 6 del Regolamento e 2-ter del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del fatto che la violazione, che è stata commessa senza aver previamente consultato il responsabile della protezione dei dati, ha comportato la comunicazione di dati a numerosi destinatari.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Liceo Artistico Statale “Renato Cottini” per violazione degli artt. 5, par. 1, lett. a) e c), e 6 del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione;

ORDINA

al Liceo Artistico Statale “Renato Cottini”, in persona del legale rappresentante pro-tempore, con sede legale in Via Castelgomberto, 20, 10136 – Torino, C.F. 80091930018, di pagare la somma di euro 3.000 (tremila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Liceo, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 3.000 (tremila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 9 ottobre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Fanizza