[doc. web n. 9572226]

Ordinanza ingiunzione nei confronti di Liceo Pepe Calamo - 11 febbraio 2021

Registro dei provvedimenti
n. 51 dell'11 febbraio 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, Segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “RGPD”);

VISTO il d. lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Il reclamo

Questa Autorità ha ricevuto un reclamo in ordine alla diffusione sul sito web istituzionale del Liceo Scientifico Pepe Calamo di Ostuni di graduatorie relative a personale docente di III fascia, contenenti dati personali del reclamante.

2. L’attività istruttoria.

Dalla istruttoria preliminare effettuata dall’Ufficio in data 22 ottobre 2019, è emerso che la predetta graduatoria, relativa al personale docente di III fascia, risultava visibile e liberamente scaricabile dal sito web istituzionale del predetto Istituto,  all’url: https://...

Nell’ambito dell’accertamento effettuato, l’Ufficio ha inoltre riscontrato che in tali graduatorie, previste dall´art. 5, comma 9, Decreto del Ministro della Pubblica Istruzione 13 giugno 2007, n. 131 (Regolamento per il conferimento delle supplenze al personale docente ed educativo ai sensi dell’articolo 4 della legge 3 maggio 1999, n. 124) e dall’art. 32, l. 18 giugno 2009, n. 69, oltre ai dati personali indicati dal reclamante, erano contenute ulteriori informazioni di carattere personale relative a circa 2000 docenti, non necessarie rispetto alle finalità sottese alla pubblicazione, tra le quali i recapiti telefonici, l’indirizzo di residenza, gli indirizzi e-mail, i codici di preferenza nonché i dati relativi alla salute di taluni interessati.

L’Ufficio ha infatti rilevato che, nei campi denominati “Prefer. 1” “Prefer. 2” “Prefer. 3” “Prefer. 4” risultavano indicate alcune sigle alfabetiche tra cui la lettera “S”.  Tale lettera, secondo quanto riportato nell’Allegato 6 (codici preferenze) del Decreto del Ministero dell’Istruzione Università e Ricerca del 1° aprile 2014, n. 235 (Aggiornamento delle graduatorie ad esaurimento del personale docente ed educativo, valevoli per il triennio scolastico 2014/15, 2015/16 e 2016/17), nonché nei modelli di domanda relativi alla inclusione nelle graduatorie di circolo e d’istituto per il medesimo triennio scolastico, allegate al D.M. 22 maggio 2014, n. 353 (vedi anche art. 5, comma 4 del D.P.R. 9 maggio 1994 n. 487), individua la categoria degli “invalidi e mutilati civili”. Gli interessati per i quali è stata individuata la presenza della sigla “S” erano circa 25.

Al riguardo, il liceo Pepe Calamo, ha fornito riscontro alla richiesta di informazioni di questo Dipartimento del 29 ottobre 2019 (prot. n. 37090/19) con nota prot. 3717/A.13.a del 23 novembre 2019.

In particolare, il Dirigente scolastico del Liceo, con dichiarazione della cui veridicità risponde penalmente ai sensi dell’art. 168 del Codice, ha rappresentato che:

- “l'Amministrazione ha erroneamente ed involontariamente diffuso sulla rete internet il file relativo alle graduatorie provvisorie di Istituto del personale docente di III fascia, contenente anche informazioni personali del docente reclamante. Si è accertato che al posto del file da pubblicare, appositamente decurtato da tutti i dati personali non necessari allo scopo, è stato purtroppo inserito il file originale”;

- sono state “messe in atto tutte le misure di sicurezza necessarie al fine di impedire la diffusione e divulgazione ulteriore dei dati suindicati. Gli stessi; infatti, sono stati rimossi tempestivamente dal sito istituzionale della Scuola. A seguito poi di comunicazione del Dpo in carica all'epoca in data 21/10/2019 della presenza nel web di dati ancora accessibili, l'Amministrazione ha altresì chiesto una rimozione profonda dal server dei file che erano già stati immediatamente rimossi dall'albo del sito, da parte dei programmatori del Gruppo Spaggiari — Parma, con contestuale richiesta a google della rimozione del link “.

3.  Normativa applicabile.

Ai sensi del Regolamento europeo, divenuto applicabile dal 25 maggio 2018, il trattamento di dati personali effettuato da soggetti pubblici, anche quando operano nell’ambito di procedure concorsuali e selettive del personale, è lecito, solo se tale trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e)).

La normativa europea prevede inoltre che “Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto (…)” con la conseguenza che, al caso di specie, risulta applicabile la disposizione contenuta nell’art. 2-ter del Codice, in base al quale l’operazione di diffusione di dati personali (come la pubblicazione in Internet), in ambito pubblico è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento.

In tale quadro, il trattamento dei dati personali deve avvenire nel rispetto dei principi indicati nell’art. 5 del Regolamento, fra cui quelli di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, secondo i quali i dati personali devono essere – rispettivamente – “trattati in modo lecito, corretto e trasparente nei confronti dell'interessato” nonché “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (par. 1, lett. a) e c)).

In ogni caso, resta assolutamente vietata la diffusione di dati relativi alla salute (art. 9, parr. 1, 2 e 4, del Regolamento, art. 2-septies, comma 8, del Codice, ossia di “dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute” (art. 4, par. 1, n. 15; considerando n. 35 del Regolamento).

Con particolare riferimento alla pubblicazione delle graduatorie, inoltre, il Garante nel provvedimento n. 134 del 15 maggio 2014, recante le “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati» (in www.gpdp.it, doc. web n. 3134436, in corso di aggiornamento) ha chiarito che “devono essere diffusi i soli dati pertinenti e non eccedenti riferiti agli interessati” e che “Non possono quindi formare oggetto di pubblicazione dati concernenti i recapiti degli interessati (si pensi alle utenze di telefonia fissa o mobile, l´indirizzo di residenza o di posta elettronica, il codice fiscale, l´indicatore Isee, il numero di figli disabili, i risultati di test psicoattitudinali o i titoli di studio)”. In maniera analoga il Garante si era espresso nel provvedimento n. 23 del 14 giugno 2007, recante “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico"(in www.gpdp.it, doc. web n. 1417809) evidenziando che: “Non risulta lecito riportare negli atti delle graduatorie da pubblicare altre tipologie di informazioni non pertinenti quali, ad esempio, recapiti di telefonia fissa o mobile o il codice fiscale.”

4. Valutazioni preliminari dell’Ufficio sul trattamento di dati personali effettuato.

Dall’accertamento compiuto sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, l’Ufficio ha accertato che l’Istituto scolastico, pubblicando sul sito web istituzionale le suddette graduatorie (comprensive, tra l’altro, di codice fiscale, indirizzo di residenza, numero di telefono fisso e mobile, indirizzo e-mail, codici di preferenza, dati relativi alla salute degli interessati), ha determinato una divulgazione di dati personali relativi ai soggetti riportati nelle predette graduatorie, in assenza di un idoneo presupposto normativo, ai sensi dell’art. 2-ter, commi 1 e 3 del Codice, in riferimento all’art. 6 par. 1, lett. c) ed e), del Regolamento, che invece ammette la predetta possibilità, da parte di soggetti pubblici, solo quando la diffusione è prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento, nonché la diffusione di dati relativi alla salute di taluni interessati in violazione dell’art. 9, parr. 1, 2 e 4, del Regolamento, nonché dell’art. 2-septies, comma 8, del Codice.

La diffusione dei dati personali sopra descritti è avvenuta, inoltre, in maniera non conforme al rispetto dei principi di “liceità” e “minimizzazione” del trattamento, in violazione dell’art. 5, par. 1, lett. a) e c), del Regolamento europeo.

Si è così proceduto alla notifica delle violazioni effettuate, prevista dall’art. 166, comma 5, del Codice, all’Istituto scolastico, comunicando l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articolo 58, paragrafo 2, del Regolamento e invitando il predetto Liceo a inviare al Garante scritti difensivi o documenti ed, eventualmente, a chiedere di essere sentito dall’Autorità, entro il termine di 30 giorni (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

5. Esito dell’istruttoria relativa al reclamo presentato.

Con nota prot. n. 0001797/2020 del 02 luglio 2020 il Liceo ha inviato al Garante i propri scritti difensivi in relazione alle violazioni notificate.

Nello specifico, è stato evidenziato, fra l’altro, che:

- “l’Amministrazione ha erroneamente ed involontariamente diffuso sulla rete internet il file relativo alle graduatorie provvisorie d’Istituto del personale docente di III fascia, contenente anche informazioni personali del docente reclamante. Si è accertato che al posto del file da pubblicare, appositamente decurtato da tutti i dati personali non necessari allo scopo, è stato purtroppo inserito il file originale”.

- “non appena” avuta “conoscenza della violazione tramite pec dell’interessato in data 16/09/2019 nella quale si fa riferimento ad una non rintracciabile telefonata del 30/08/2019, in cui lo stesso avrebbe lamentato la presenza su Internet della problematica in oggetto”, sono state messe “in atto tutte le misure di sicurezza necessarie al fine di impedire la diffusione e divulgazione ulteriore dei dati suindicati”.

- “con riferimento al carattere della violazione, è stata accertata l’involontarietà dello stesso posto che l’errore non è stato di tipo procedurale ma un mero scambio di file, probabilmente non sufficientemente distinti in fase di nominazione”.

- “L’Amministrazione ha altresì chiesto una rimozione profonda dal server dei file che erano già stati immediatamente rimossi dall'albo del sito, da parte dei programmatori del Gruppo Spaggiari — Parma, con contestuale richiesta a google della rimozione del link. Ad oggi i dati personali, anche relativi alla salute del personale docente inserito nelle predette graduatorie, non risultano più presenti sul sito web istituzionale e/o rinvenibili attraverso i comuni motori di ricerca.”

Tali elementi, seppure meritevoli di considerazione, non consentono tuttavia di superare i rilievi notificati dall’Ufficio con la nota prot. n. 20021/20 del 3 giugno 2020 e non risultano sufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro nessuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

In tale quadro, si confermano le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal liceo scientifico Pepe Calamo per aver diffuso, tramite la pubblicazione integrale delle graduatorie all’url: https://..., dati personali non necessari (codice fiscale, indirizzo, numero di telefono fisso e mobile, indirizzo e-mail, codici di preferenza) rispetto alle finalità perseguite con la pubblicazione della graduatoria, riguardanti il reclamante e altri 2000 docenti inseriti nelle predette graduatorie (cfr., con riguardo alla pubblicazione di dati non pertinenti contenuti in graduatorie scolastiche, i provvedimenti del 6 giugno 2013, nn. 274, 275 e 276, doc. web n. 2535862, 2536184, 2536409)
Risulta accertato inoltre che, nelle stesse graduatorie, fossero contenuti dati relativi alla salute di circa 25 docenti.

L’indicazione della lettera “S” accanto ai nominativi degli interessati, infatti, fornisce informazioni relative allo stato di salute degli stessi, ancorché attraverso la consultazione dell’allegato 6 al decreto del MIUR del 1° aprile 2014, n. 235, in violazione del generale divieto di diffusione dei dati sulla salute (art. 2-septies del Codice; art. 9 del Regolamento; cfr., in particolare, il consolidato orientamento del Garante, ancorché con riguardo al quadro normativo previgente, Provv. 4 febbraio 2016, n. 35, doc. web n. 4727305 e 4912481; Provv. 1° giugno 2016, n. 244, doc. web n. 5260571, e i provvedimenti ivi citati, nonché, da ultimo Provv. 30 gennaio 2020, n. 21, doc. web. n. 9283014, Provv. 6 febbraio 2020 n. 27 doc. web. n. 9283029, Provv. 12 marzo 2020 n. 50 doc. web n. 9365159).

Tale pubblicazione è avvenuta in violazione della normativa a tutela dei dati personali e, specificamente:

a) in violazione dei principi di “liceità, correttezza e trasparenza” e di “minimizzazione dei dati”, di cui all’art. 5, par. 1, lett. a) e c) del Regolamento;

b) in assenza di un presupposto normativo per la pubblicazione di taluni dati personali quali codice fiscale, indirizzo, numero di telefono fisso e mobile, indirizzo e-mail, codici di preferenza, dati relativi alla salute di taluni interessati di cui all’art. 2-ter, commi 1 e 3, del Codice, in riferimento all’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del Regolamento;

c) in violazione del divieto di diffusione di dati relativi alla salute (art. 9, parr. 1, 2, 4, del Regolamento e art. 2-septies, comma 8, del Codice).

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che il titolare del trattamento ha provveduto a rimuovere il documento dal sito della scuola, circostanza verificata dall’Ufficio, non ricorrono i presupposti per l’adozione di provvedimenti, di tipo prescrittivo o inibitorio, di cui all’art. 58, par. 2, del Regolamento.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria (artt. 58, par. 2, lett. i; 83 RGPD).

Il Liceo Pepe Calamo risulta aver dunque violato gli artt. 5, par. 1, lett. a) e c) e 9, parr. 1, 2, 4, del Regolamento; artt. 2-ter commi 1 e 3, in riferimento all’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del Regolamento e 2-septies, comma 8, del Codice.

Al riguardo, l’art. 83, par. 3, del Regolamento, prevede che “Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento o un responsabile del trattamento viola, con dolo o colpa, varie disposizioni del presente regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave”.

Nel caso di specie, la violazione delle disposizioni citate è soggetta alla stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, che si applica pertanto al caso di specie.

Occorre altresì tenere conto che, seppure i documenti oggetto del reclamo siano stati pubblicati prima della data di piena applicazione del Regolamento, per la determinazione della norma applicabile, sotto il profilo temporale, deve essere richiamato in particolare il principio di legalità di cui all’art. 1, comma 2, della l. n. 689/1981 che sancisce come “Le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e nei tempi in esse considerati”. Ciò determina l’obbligo di prendere in considerazione le disposizioni vigenti al momento della commessa violazione, che nel caso in esame – data la natura permanente dell’illecito contestato – deve essere individuato all’atto di cessazione della condotta illecita, verificatasi successivamente alla data del 25 maggio 2018 in cui il Regolamento è divenuto applicabile. Dagli atti dell’istruttoria è, infatti, emerso che l’illecita diffusione online si è protratta almeno fino alla verifica effettuata dall’Ufficio in data 22 ottobre 2019.

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere correttivo di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso”. In tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In tal senso va considerato che la rilevata condotta, tenuta in violazione della disciplina in materia di protezione dei dati personali, ha avuto a oggetto la diffusione di dati personali non necessari rispetto alle finalità sottese alla pubblicazione delle graduatorie (codice fiscale, indirizzo, numero di telefono fisso e mobile, indirizzo e-mail, codici di preferenza), riferiti a un elevato numero di soggetti, (più di 2000) nonché dei dati relativi alla salute di circa 25 soggetti, individuati nella graduatoria tramite l’annotazione, accanto ai nominativi interessati, della lettera “S” quale titolo di preferenza relativo alla categoria degli “invalidi e mutilati civili", ai sensi del Decreto MIUR 1° aprile 2014, n. 235, allegato 6, relativo ai “codici preferenze”. Tale diffusione di dati personali si è protratta per un notevole lasso di tempo (alcuni anni).

È necessario, tuttavia, tenere in considerazione il carattere colposo della violazione in quanto la pubblicazione è da imputarsi ad un mero errore determinato da uno scambio di files in quanto “al posto del file da pubblicare, appositamente decurtato da tutti i dati personali (…), è stato purtroppo inserito il file originale” e che il soggetto destinatario del provvedimento è un Istituto scolastico pubblico. L’Istituto inoltre si è attivato per rimuovere i dati personali dei soggetti interessati appena ricevuta la richiesta di informazioni da parte del Dipartimento e ha quindi collaborato con l’Autorità nel corso dell’istruttoria del presente procedimento al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi. È stata anche avviata una serie di azioni volte a implementare le misure tecniche e organizzative. Non risultano, inoltre, eventuali precedenti violazioni del Regolamento pertinenti, commesse dal richiamato Liceo.

In ragione dei suddetti elementi, valutati nel loro complesso, tenendo anche conto della fase di prima applicazione delle disposizioni sanzionatorie ai sensi dell’art. 22, comma 13, del d. lgs. 10/08/2018, n. 101, si ritiene di dover determinare ai sensi dell’art. 83, par. 2, del Regolamento l’ammontare della sanzione pecuniaria, prevista dall’art. 83, par. 5, lett. a) del Regolamento, nella misura di euro 5.000,00 (cinquemila) per la violazione degli artt. 5, par. 1, lett. a) e c); 9, parr. 1, 2, 4, del Regolamento, artt. 2-ter commi 1 e 3, in riferimento all’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b) del Regolamento e 2-septies, comma 8, del Codice, quale sanzione amministrativa pecuniaria ritenuta effettiva, proporzionata e dissuasiva sensi dell’art. 83, par. 1, del medesimo Regolamento.

In relazione alle specifiche circostanze del presente caso, si ritiene che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si ritiene, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

rilevata l’illiceità del trattamento effettuato dal Liceo Pepe Calamo nei termini indicati in motivazione ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché 166 del Codice

ORDINA

Al Liceo Pepe Calamo, in persona del legale rappresentante pro-tempore, con sede legale in via T. Nobile - 72017 Ostuni (Br) – C.F. 90053660743 di pagare la somma di euro 5.000,00 (cinquemila) a titolo di sanzione amministrativa pecuniaria per le violazioni di cui in motivazione;

INGIUNGE

al medesimo Liceo di pagare la somma di euro 5.000,00 (cinquemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981.

Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1/9/2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice).

DISPONE

- la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019;

- l’annotazione nel registro interno dell’Autorità ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 11 febbraio 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei