[doc. web n. 7421636]

Provvedimento del 13 settembre 2017

Registro dei provvedimenti
n. 376 del 13 settembre 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano, della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il ricorso presentato al Garante in via d´urgenza in data 8 giugno 2017 da XX, rappresentata e difesa dagli avvocati Giuseppe Serafini e Maria Notaristefano, nei confronti dell´Inps – Istituto Nazionale di Previdenza Sociale con il quale la ricorrente, in proprio ed in qualità di esercente la potestà genitoriale sulla figlia minore, si è opposta all´ulteriore trattamento dei propri dati personali e di quelli riguardanti la minore, con particolare riferimento a quelli sensibili, chiedendo la liquidazione in proprio favore delle spese sostenute per il procedimento; 

CONSIDERATO che la ricorrente ha, in particolare, rappresentato:

che la resistente, in data 24 maggio 2017, ha provveduto ad inoltrare alla medesima, presso l´indirizzo pec dell´istituto scolastico di cui la stessa è dirigente, una nota contenente l´invito rivolto alla figlia minore, portatrice di handicap, di presentarsi a visita medica presso gli ambulatori dell´Inps ai fini dell´accertamento della permanenza dei requisiti necessari per il riconoscimento dello stato di invalidità civile;

che il predetto indirizzo pec è accessibile anche a parte del personale amministrativo assegnato all´istituto, ragione per la quale il contenuto della nota, che peraltro non riportava alcuna menzione esterna atta a farne presumere il carattere riservato o personale, è stato appreso da un impiegato addetto al protocollo;

che, a seguito di verifiche effettuate, è emerso che quale indirizzo di posta elettronica "del proprio profilo personale INPS (dove riceve le comunicazioni relative all´invalidità civile della propria figlia) era erroneamente indicato quello istituzionale dell´istituto scolastico di cui è dirigente (relativo al profilo "Azienda")";

di aver subito un grave pregiudizio a seguito dell´avvenuta diffusione all´interno del luogo di lavoro di informazioni riservate dovuta ad un trattamento posto in essere dall´ente resistente attraverso un sistema informatico che non appare conformato ai principi dettati dal Codice in materia di protezione dei dati personali (d. lgs. 30 giugno 2003, n. 196, di seguito "Codice") e che rende tuttora possibile il ripetersi di episodi analoghi, giustificando pertanto la presentazione in via d´urgenza del ricorso, pur avendo, in ogni caso, lo stesso inviato all´Inps, in data 7 giugno 2017, apposito interpello preventivo;

VISTI gli ulteriori atti d´ufficio e, in particolare, a) la nota del 28 giugno 2017 con la quale questa Autorità, ai sensi dell´art. 149, comma 1, del Codice, ha invitato il titolare del trattamento a fornire riscontro alle richieste dell´interessata, b) il verbale dell´audizione svoltasi presso la sede dell´Autorità in data 12 luglio 2017, nonché c) la nota del 28 luglio 2017 con la quale è stata disposta, ai sensi dell´art. 149, comma 7, del Codice, la proroga del termine per la decisione sul ricorso;

VISTA la nota del 28 giugno 2017 con la quale la ricorrente ha rappresentato, ad ulteriore sostegno delle ragioni di pregiudizio dedotte con il ricorso e dunque dell´urgenza di provvedere in ordine alle istanze con esso avanzate, di non aver ricevuto da parte dell´istituto resistente alcun riscontro all´interpello preventivo nel frattempo trasmesso;

VISTA la nota del 10 luglio 2017 con la quale l´Inps, nel rilevare la correttezza dei trattamenti posti in essere tramite il portale informatico attraverso il quale vengono forniti servizi on-line all´utenza, ha precisato che:

con "specifico riferimento alla procedura INVCIV, (…) le comunicazioni relative ai minori sono inviate al genitore, così come al tutore, all´amministratore di sostegno e al rappresentante legale nei casi di persone sotto tutela" tramite raccomandata o tramite posta elettronica certificata qualora il cittadino abbia comunicato, tra i punti di contatto, il relativo indirizzo, fornendo un esplicito consenso al suo utilizzo;

il portale informatico tuttavia "non prevede, e non ha mai previsto, contatti utente differenziati per il profilo cittadino ed azienda", pertanto "sia che si operi con il profilo cittadino che con il profilo azienda, i contatti che si inseriscono o si modificano sono sempre e solo quelli personali", come chiaramente indicato nella procedura;

nel caso in esame la stessa interessata, accedendo al sistema con il proprio pin personale, ha indicato, nella maschera dei contatti del relativo profilo, la casella di posta elettronica certificata dell´istituto scolastico del quale è dirigente, manifestando un espresso consenso all´utilizzo di tale canale comunicativo ai fini dell´invio di certificazioni e documenti personali;

VISTA la nota dell´11 luglio 2017 con la quale la ricorrente, nel ribadire le proprie richieste, ha eccepito la non correttezza della configurazione del sistema informatico utilizzato dall´Inps per fornire servizi on-line all´utenza, tenuto conto del fatto che:

tale sistema consente "l´accesso di un utente/interessato con un unico codice pin "per gestire due profili tra loro assolutamente eterogenei ("azienda" e "cittadino")" in relazione ai quali non è peraltro consentito differenziare le informazioni personali di contatto in ragione della qualità con la quale il medesimo ne utilizza le funzionalità;

l´ente resistente non ha fornito un´informativa idonea a renderla edotta delle modalità di funzionamento del sistema e che pertanto la medesima non è stata posta in condizione di esprimere un consenso specifico, e dunque valido, sull´utilizzo dei propri dati personali "non potendo immaginare che modificando i dati personali relativamente ad uno dei due profili" fossero automaticamente modificati anche quelli dell´altro;

VISTO il verbale dell´audizione svoltasi presso la sede dell´Autorità in data 12 luglio 2017 in occasione della quale il titolare del trattamento ha precisato che l´inoltro della comunicazione indicata nell´atto di ricorso, effettuata utilizzando l´indirizzo di posta elettronica certificata riconducibile all´istituto scolastico del quale l´interessata è dirigente, ha fatto seguito ad un esplicito consenso che la medesima, probabilmente non ponendo attenzione alle specifiche indicazioni al riguardo contenute nella maschera dei contatti, ha manifestato, mentre la ricorrente ha eccepito che in realtà tale inserimento non sia stato consapevolmente eseguito, ma sia stato "frutto di un errore indotto dalla operatività delle maschere del sistema utilizzato dall´Inps"; 

VISTE le note del 17 e del 26 luglio 2017 con le quali la ricorrente, nel comunicare di  aver provveduto a rimuovere dalla maschera "modifica contatti" del sito internet della resistente l´indirizzo pec del proprio istituto scolastico e nel confermare le ragioni dell´opposizione, ha comunque ribadito le proprie doglianze – producendo peraltro apposito cd-rom atto a comprovare le circostanze contestate – in ordine ai criteri di funzionamento del portale dell´istituto resistente che, così come strutturato, sarebbe idoneo ad indurre in errore l´utente, tenuto peraltro conto della mancanza di un´idonea informativa in merito alle modalità con le quali i dati inseriti vengono utilizzati;

CONSIDERATO, in via preliminare, che, nel caso in esame, il ricorso è da ritenersi ammissibile tenuto conto del fatto che il presupposto di urgenza di cui all´art. 146, comma 1, del Codice – che consente di prescindere dal previo interpello o comunque dal decorso del termine di quindici giorni previsto dallo stesso articolo - poteva dirsi sussistente al momento della presentazione dell´atto introduttivo del procedimento in virtù del breve lasso di tempo decorso dall´evento contestato, nonché della tipologia dei dati coinvolti nelle operazioni di trattamento con riguardo alle quali l´interessata manifestava l´opposizione;

RILEVATO, sulla base di quanto emerso nel corso dell´istruttoria, che:

il portale informatico dell´Inps prevede, al fine di accedere ai servizi on-line corrispondenti alle prestazioni richieste, l´utilizzo di un pin personale univocamente assegnato all´utente - che all´interno del suo profilo può operare in qualità di cittadino o di azienda - al quale risulta collegata un´unica maschera diretta a consentire l´inserimento o la modifica dei contatti personali prescelti ai fini della trasmissione di eventuali comunicazioni da parte dell´Istituto;

l´inserimento dei predetti contatti corrisponde ad una libera scelta dell´utente che, laddove individui indirizzi di posta elettronica o di posta elettronica certificata o altro analogo canale comunicativo di tipo telematico, è chiamato ad esprimere un esplicito consenso mediante selezione di apposita casella;

nel caso in esame, benché la ricorrente abbia evidenziato l´esistenza di alcune criticità presenti nel sistema informatico dell´Inps che non le avrebbero consentito di esprimere un valido consenso al trattamento, la resistente risulta aver utilizzato l´indirizzo di posta elettronica certificata associato all´interessata ai fini dell´invio di certificazioni e comunicazioni personali, ovvero quello facente capo all´istituto scolastico del quale la stessa è dirigente, che, nel corso del procedimento, ha comunque provveduto a modificare accedendo all´apposita maschera dei contatti disponibile all´interno del suo profilo utente, non rendendo necessario, con riguardo a tale specifico profilo, un intervento immediato di questa Autorità;

RITENUTO, allo stato degli atti, che non sussistono i presupposti per l´adozione di un provvedimento ai sensi dell´art. 150, comma 2, del Codice e di dover dichiarare, pertanto, non luogo a provvedere sul ricorso;

RILEVATO che, alla luce delle risultanze emerse nel corso dell´istruttoria, questa Autorità si riserva di avviare un autonomo procedimento, al fine di effettuare ulteriori accertamenti in ordine alla liceità del trattamento dei dati personali riguardanti gli utenti che utilizzano il portale informatico dell´Inps;

RITENUTO che sussistano giusti motivi per compensare fra le parti le spese del procedimento in ragione della specificità della vicenda e dell´infondatezza del ricorso

VISTI gli artt. 145 e ss. del Codice;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

TUTTO CIÒ PREMESSO IL GARANTE:

a) dichiara non luogo a provvedere sul ricorso;

b) dichiara compensate fra le parti le spese del procedimento.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150 avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 13 settembre 2017

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia