IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. XXX, presidente, della dott.ssa XXX, vicepresidente, della dott.ssa XXX e della prof.ssa XXX, componenti, e del dott. XXX, segretario generale;

VISTA la segnalazione del 6 ottobre 2014 - indirizzata alla scrivente Autorità - con la quale è stato lamentato un trattamento illecito di dati personali da parte di un comune , in relazione alla comunicazione all’Istituto scolastico “Leo School S.n.c.” di Orte di elenchi anagrafici contenenti dati personali di soggetti nati nelle annualità 1994-95-96;

CONSIDERATO che l’Ufficio del Garante ha avviato un’attività istruttoria finalizzata a verificare la liceità dei trattamenti dei dati personali posti in essere dai soggetti coinvolti nella vicenda oggetto della segnalazione;

VISTO il verbale di operazioni compiute dal Nucleo Speciale Privacy della Guardia di Finanza del 27 maggio 2015 presso la sede operativa dell’Istituto scolastico “Leo School S.n.c.” ubicata in Terni, nel corso delle quali è emerso che, oltre al comune oggetto di segnalazione anche quello di San Gemini, con sede in San Gemini (TR), Piazza San Francesco n. 9, C.F. 00091090555 (d’ora in avanti denominato “il Comune”), ha trasmesso a mezzo fax, in data 3 luglio 2014, su richiesta dell’Istituto scolastico sopra citato, elenchi anagrafici di residenti nati nelle annualità 1994-95-96 a quest’ultimo;

VISTA la nota del Dipartimento Libertà Pubbliche e Sanità del Garante prot. n. 24004/98312 del 26 agosto 2015 di richiesta di elementi informativi al Comune di San Gemini;

VISTA la nota di risposta del Comune prot. n. 5179 del 23 settembre 2015, indirizzata al Garante;

VISTA la nota prot. n. 31744 del 13 novembre 2015 con cui il Garante, preso atto del sopra citato riscontro fornito dal Comune e inquadrata la fattispecie relativa alla vicenda occorsa nell’ambito normativo di riferimento, ha richiesto a quest’ultimo ulteriori informazioni relative alle misure assunte o da assumere in conformità al quadro normativo richiamato;

VISTO il riscontro fornito con nota prot. n. 35454 del 16 dicembre 2015 al Garante con cui il Comune ha comunicato che, prendendo atto dei suddetti chiarimenti ricevuti, ha diramato a tutti gli Uffici una Circolare con la quale ha invitato il personale ad attenersi scrupolosamente alla normativa sia a protezione dei dati personali sia anagrafica, considerando che quest’ultima consente la comunicazione di elenchi di dati anagrafici solo in forma anonima e aggregata;

VISTA la nota prot. n. 4468 del 17 febbraio 2016 con cui il Dipartimento Libertà Pubbliche e Sanità ha comunicato al Comune l’esito dell’istruttoria effettuata consistente nell’accertamento di una comunicazione di dati personali da parte del Comune a un soggetto privato in assenza di idonea base normativa e, quindi, in violazione dell’art. 19, comma 3, del d.lgs. 30 giugno 2003, n. 196 recante il “Codice in materia di protezione dei dati personali” (d’ora in avanti “Codice”), evidenziando che avrebbe comunque trasmesso gli atti relativi alla vicenda in questione al Dipartimento Attività Ispettive e Sanzioni per la valutazione dell’avvio di un procedimento sanzionatorio nei confronti del Comune;

VISTA la nota del Dipartimento Libertà Pubbliche e Sanità prot. n. 4476 del 17 febbraio 2016 di trasmissione degli atti al Dipartimento Attività Ispettive e Sanzioni;

VISTO il verbale n. 10614/106653 del 13 aprile 2016 con cui il Garante ha contestato al Comune di San Gemini, con sede in San Gemini (TR), Piazza San Francesco n. 9, C.F. 00091090555, in persona del rappresentante legale pro-tempore, la violazione della disposizione di cui all’art. 19, comma 3, sanzionata dall’art. 162, comma 2-bis, del Codice, per aver effettuato un trattamento illecito di dati personali e, specificamente, la comunicazione di dati personali di cittadini, residenti nel Comune, nati nelle annualità 1994-95-96 alla società “Leo School S.n.c.” in assenza dei presupposti richiesti dall’art. 19, comma 3, del Codice; in tale sede ha, altresì, ritenuto di applicare l’aggravante di cui all’art. 164-bis, comma 3, del Codice, in ragione dell’elevato numero degli interessati;

RILEVATO che dal rapporto amministrativo prot. n. 34741/106653 del 16 novembre 2016, predisposto dall’Ufficio del Garante ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689 e riferito al verbale di contestazione n. 10614/106653 del 13 aprile 2016, il Comune non ha effettuato il pagamento in misura ridotta di cui all’art. 16 della legge 689/1981;

LETTA la memoria difensiva del 11 maggio 2016, formulata ai sensi dell’art. 18 della legge n. 689/1981, con cui il Comune, in riferimento al sopra citato verbale n. 10614/106653 del 13 aprile 2016, ha inteso confutare la contestata violazione.

La parte ha, anzitutto, evidenziato la sproporzione della sanzione irrogata in rapporto al “principio di proporzionalità” per cui “(…) l'amministrazione che adotta il provvedimento finale nei confronti del contravventore (…)” adotta un giudizio basato sui criteri di “ (…) idoneità, necessarietà e adeguatezza nella misura prescelta (…)”.

Il Comune ha poi invocato l'errore scusabile con riferimento alla qualificazione soggettiva dell’Istituto scolastico prospettandolo quale soggetto pubblico e sostenendo che in tale errore è stato indotto dalle recenti innovazioni del quadro normativo riferito al sistema di istruzione e di formazione professionale (legge finanziaria n. 296 del 27 dicembre 2006, art. 1, comma 662, modificato dall’art. 64, comma 4bis, del decreto legge n.12 del 25 giugno 2008 convertito con modificazioni nella legge 6 agosto 2008; piani di lavoro interistituzionale e Accordi tra Stato e Regioni conclusi “ (…) con l'Accordo tra il MIUR, il MLPS, le Regioni, le Province Autonome di Trento e Bolzano approvato in conferenza Stato-Regioni il 27 luglio 2011 riguardante gli atti necessari per il passaggio al nuovo ordinamento dei percorsi di istruzione e formazione professionale di cui al Decreto Legislativo n. 226/2005 (…)”, nonché la legge n. 7 del 15 aprile 2009 “Sistema formativo integrato regionale” con cui la Regione Umbria ha previsto azioni, strumenti e sinergie volte a favorire la formazione e la costituzione dell'anagrafe regionale degli studenti (art. 24-ter) e la legge regionale n. 30 del 23 dicembre 2013 che ha definito il quadro di soggetti del sistema regionale operanti in maniera complementare e integrata al fine di assicurare la realizzazione e il successo formativo di ogni studente), per cui “la citata scuola in quanto inserita nell'elenco dei soggetti accreditati per le attività formative della Regione Umbria fa parte del sistema regionale dell'istruzione e formazione professionale a cui è riconosciuta, ai sensi del D.M. n. 166 del 2001 la possibilità di proporre e realizzare gli interventi di formazione professionale finanziati con risorse pubbliche di cui all'articolo 141 del decreto legislativo 31 marzo 1998, n. 112”.

La parte, sempre con riferimento all’invocata buona fede, ha fatto, altresì, presente “ (…) la complessità e la difficoltà interpretativa delle norme in materia di protezione dei dati personali (…) spesso fonte di dubbi per il personale chiamato ad assumere decisioni (…)”, e di “ (…) aver svolto i necessari accertamenti in ordine alla finalità della richiesta, alla posizione giuridica e all'attività del richiedente (…)” e “ha ritenuto di accogliere la richiesta ai sensi dell'art. 34, c. 1 del D.P.R. n. 223 del 1989 in quanto proveniente da un soggetto concessionario di un pubblico servizio che svolge attività all'interno del sistema formativo integrato della Regione Umbria e per il perseguimento di un interesse collettivo”.

Inoltre il Comune, al fine di avvalorare la legittimità della contestata comunicazione di dati personali all’Istituto “Leo School S.n.c.” ha richiamato:

- la sentenza della Cassazione Civile n. 25118/2008, che ha definito “ (…) l'attività di formazione professionale un pubblico servizio, “il cui affidamento a un soggetto privato da vita un rapporto di tipo concessorio indipendentemente dalla veste formale e dalla terminologia in concreto utilizzate” (…)”;

- la sentenza n. 5086 del 14 ottobre 2014 con cui il Consiglio di Stato - Sez. V, “si è pronunciato in ordine alla qualificazione giuridica dell'attività di formazione professionale individuando la medesima alla stregua di un pubblico servizio”;

- la normativa di settore e in particolare l’art. 33 del regolamento anagrafico, D.P.R. 223/89, per cui sono rilasciabili “a chiunque ne faccia richiesta, i certificati concernenti la residenza e lo stato di famiglia”, l'art. 34 di tale decreto per cui, la parte ha sostenuto che “gli elenchi anagrafici possono essere rilasciati per uso di pubblica utilità alle amministrazioni pubbliche, ai privati che operano in regime di concessione con l'ente pubblico in quanto svolgono un'attività che rientra nella sfera d'azione dell'ente concedente, ai privati gestori di pubblici servizi per lo svolgimento dell’attività connessa all'esercizio dei poteri pubblici trasferiti”, nonché il successivo art. 35 per cui, secondo il Comune, la scuola avrebbe potuto, comunque, legittimamente acquisire i certificati anagrafici degli interessati;

- l'art. 51, comma 5, del d.P.R. n. 223 del 1997 per cui “le liste elettorali possono essere rilasciate in copia per le finalità di applicazione della disciplina in materia di elettorato attivo e passivo, di studio, di ricerca statistica, scientifica o storica, o a carattere socio-assistenziale o per il perseguimento di un interesse collettivo o diffuso”;

- la disposizione normativa contenuta l’art. 96 del Codice;

Infine, il Comune ha posto in evidenza la propria condotta collaborativa avendo diramato apposita “ (…) circolare a tutti gli uffici nella quale vengono chiariti i termini e i limiti in cui l'ordinamento vigente consente di rilasciare elenchi degli iscritti all'anagrafe e le relative finalità, al di fuori delle quali, non è possibile comunicare o diffondere a privati i dati personali provenienti dagli archivi anagrafici”, nonché di aver prestato sempre attenzione “ (…) al trattamento dei dati personali contenuti nei propri atti e procedimenti assicurando con gli opportuni accorgimenti la non diffusione di dati (…)”.

Il Comune, sulla base delle motivazioni suesposte, ha chiesto, in via principale, l'archiviazione del procedimento e in via subordinata “ (…) la disapplicazione dell'aggravante di cui all'art. 164-bis co. 3 con l'applicazione del minimo edittale previsto dalla norma invocata e ulteriormente ridotta nella misura dei 2/5, come contemplato per i casi di minore gravità”. Inoltre, il Comune ha richiesto di essere sentito personalmente;

LETTO il verbale di audizione del 9 gennaio 2017, svoltasi ai sensi dell’art. 18 della legge n. 689/1981, con cui il Comune, nel richiamare integralmente la memoria difensiva, al fine di rafforzare la dimostrazione della legittimità del proprio operato, ha depositato una memoria aggiuntiva ribadendo quanto già richiesto con la precedente;

LETTA la sopra citata memoria difensiva presentata in sede di audizione presso il Garante nella quale il Comune, al fine di dimostrare l’errore scusabile, ha inteso rafforzare il concetto per cui dall’accreditamento della “Leo School” presso la Regione Umbria, ai sensi dell’art. 3 della L.R. n. 30 del 23.12.201, ha ritenuto discenda la qualificazione pubblicistica di tale scuola sia per il fatto che “ (…) non poteva non essere considerata a tutti gli effetti un soggetto facente parte del sistema di istruzione secondaria superiore obbligatoria (…)” sia perché la medesima “ (…) doveva essere considerata a tutti gli effetti un ente erogante un pubblico servizio (…) che opera come longa manus dell'Amministrazione (…)”. E, alla luce di quanto dispone l’art. 19, comma 2, del Codice, per cui “(…) la comunicazione di dati diversi da quelli sensibili e giudiziari da parte di un soggetto pubblico ad altri soggetti pubblici è ammessa quando è prevista da una norma di legge o di regolamento. In mancanza di tale norma la comunicazione è ammessa quando è comunque necessaria per lo svolgimento di funzioni istituzionali ... " il Comune “ha ritenuto di accogliere la richiesta della Leo School, ai sensi dell' art. 34, comma 1, del D.P.R. n. 223/ 1989, trasmettendo a quest'ultima l' elenco nominativo dei residenti nati negli anni 1994, 1995 e 1996”.

Nel richiamare poi, la normativa già menzionata nella precedente memoria (artt. 33 e 35 del d.P.R. n. 223/1989; art. 24-ter della già citata Legge Regionale umbra n. 7/2009; art. 96, comma 1, del Codice; art. 51, comma 5, del d.P.R. n. 223/1967; art. 24, lett. c), del Codice) ha anche sottolineato che la “Leo School avrebbe comunque potuto acquisire in altra maniera i dati forniti dal Comune di San Gemini, sia richiedendo i certificati anagrafici dei nati negli anni interessati, ovvero tramite l'anagrafe regionale degli studenti della Regione Umbria alla quale possono accedere i soggetti che, in ragione delle proprie competenze, siano coinvolti nel tema della scuola”.

l Comune, inoltre, per l’ipotesi in cui il Garante ritenga di applicare la sanzione, al fine della riduzione della stessa, previa disapplicazione dell'aggravante, ha avuto cura di evidenziare che “il comportamento dell’Amministrazione, peraltro, non è risultato lesivo né dannoso per gli interessi dei soggetti il cui nominativo è stato inserito nell'elenco fornito alla Leo School”. E, con riferimento a tale ultimo aspetto, ha richiamato - sotto il profilo della valutazione della gravità dell’evento determinato dalla condotta dell’agente - anche i principi generali che regolano l’esercizio dei compiti del Garante, indicati nell’art. 3 del Regolamento n. 1/2007, nonché l'usuale attenzione al rispetto della normativa privacy nello svolgimento delle proprie attività e la condotta collaborativa prestata immediatamente dopo l’elevata contestazione.

RITENUTO che le argomentazioni addotte dal Comune nei citati scritti difensivi non consentono di escludere la responsabilità per la violazione contestata.

Infatti, quanto alla supposta qualificazione dell’Istituto “Leo School s.n.c” come soggetto pubblico, principalmente sulla base dell’accreditamento, ai sensi dell’art. 3 della L.R. n. 30 del 23.12.2013, presso la Regione Umbria, nonché in considerazione di tutto quanto disposto sia dal quadro normativo riferito al sistema di istruzione e di formazione professionale sia dalle richiamate sentenze della Cassazione Civile (n. 25118/2008) e del Consiglio di Stato – Sez. V (n. 5086 del 14 ottobre 2014), per cui il Comune ha, in buona fede, ritenuto di accogliere legittimamente la richiesta del sopra citato Istituto scolastico ai sensi dell’art. 34, comma 1, del d.P.R. n. 223/1989 (in relazione al disposto dell’art. 19, comma 2, del Codice), si rappresenta quanto segue.

Anzitutto, in relazione al richiamato orientamento contenuto nelle sopra citate sentenze per cui gli Istituti scolastici privati sono da ritenersi incaricati di un pubblico servizio, si fa presente che tale profilo deve ritenersi inconferente rispetto alla vicenda in questione, in quanto le argomentazioni riferite alla qualificazione giuridica soggettiva sono, nel caso oggetto di tali sentenze, rivolte a risolvere problemi di giurisdizione e non all’applicabilità o meno, ai privati esercenti un pubblico servizio, della disciplina in materia di protezione dei dati personali riferita ai soggetti pubblici. L’Istituto scolastico “Leo School S.n.c.” non può ritenersi soggetto rientrante nell’ambito applicativo dell’art. 19, comma 2, del Codice in quanto lo stesso, benché configurato come soggetto incaricato di pubblico servizio, è una società di persone (artt. 2291- 2312 c.c.). Parimenti, non può invocarsi l’art. 34, comma 1, del d.P.R. n. 223/1989 quale base normativa legittimante l’avvenuta comunicazione degli elenchi anagrafici in quanto la richiamata norma regolamentare, anche a seguito di modifiche intervenute nel 2015, dispone che alle amministrazioni pubbliche le quali ne facciano motivata richiesta, per esclusivo uso di pubblica utilità, l'ufficiale di anagrafe rilascia, anche periodicamente, elenchi degli iscritti, residenti nel comune. L'ufficiale di anagrafe, invece, rilascia dati anagrafici, relativi agli iscritti residenti nel comune, resi anonimi ed aggregati, agli interessati che ne facciano richiesta per fini statistici e di ricerca.

Quindi, in base al disposto della norma, l’ufficiale dell’anagrafe comunica elenchi degli iscritti all’anagrafe unicamente alle “pubbliche amministrazioni” che ne facciano richiesta.

Per quanto sopra, non può, pertanto, ritenersi sussistente la buona fede per errore scusabile del Comune. Anche il riferimento alla prospettata complessità della normativa in materia di comunicazione di dati, in tal caso anagrafici, non può costituire un elemento dirimente rispetto alla sussistenza o meno dell’errore scusabile, considerato il consolidato orientamento della giurisprudenza in materia per cui l’elemento positivo determinante l’errore scusabile - estraneo all’agente e determinante in lui la convinzione della liceità del suo agire - deve risultare non ovviabile dall’interessato con l’uso dell’ordinaria diligenza. Il Comune, in relazione al ruolo istituzionale che svolge, avrebbe dovuto diligentemente conoscere le norme applicabili in materia e la relativa, esatta, interpretazione.

In merito alle altre disposizioni richiamate (artt. 33 e 35 del d.P.R. n. 223/1989; art. 24-ter della Legge Regionale umbra n. 7/2009; art. 96, comma 1, del Codice; art. 51, comma 5, del d.P.R. n. 223/1967; art. 24, lett. c), del Codice) in base alle quali il Comune ha sostenuto che la “Leo School avrebbe comunque potuto acquisire in altra maniera i dati forniti dal Comune di San Gemini (…), si fa presente l’inapplicabilità delle stesse al caso in questione; infatti, dall’analisi delle norme richiamate si evince la diversità di oggetto e/o di finalità dal momento che la vicenda del presente procedimento si riferisce alla richiesta di “elenchi” di dati anagrafici per attività promozionale nell’ambito formativo e non alla richiesta di singoli certificati anagrafici, circostanza, questa, peraltro, che non risulta essersi realizzata.

VISTO l’art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell’art. 167 e, specificamente, dell’art. 19 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila a centoventimila euro;

RILEVATO, pertanto, che il Comune di San Gemini, in qualità di titolare del trattamento dei dati personali comunicati alla Società “Leo School S.n.c.” in assenza del presupposto normativo legittimante, richiesto dall’art. 19, comma 3, del Codice, ha effettuato un trattamento illecito di dati personali;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità del contravventore;

CONSIDERATO che nel verbale di contestazione è stata prevista l’applicazione dell’aggravante di cui all’art. 164-bis, comma 3, del Codice per la prospettata ricorrenza dell’elemento riguardante l’elevato numero degli interessati dalla violazione;

CONSIDERATO, tuttavia, che la violazione oggetto di contestazione non rientra tra i casi di maggiore gravità di cui al citato art. 164-bis, comma 3, del Codice, poiché la finalità connessa all’avvenuta comunicazione, dal parte del Comune di San Gemini, di dati personali di cittadini nati nelle annualità 1994-95-96 alla società “Leo School S.n.c.” appare essere stata realizzata nell’ambito di un progetto formativo sostenuto dalla Regione Umbria;

RITENUTO, pertanto, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, applicando l’art. 162, comma 2-bis, del Codice per la violazione di una delle disposizioni indicate nell’art.167 del Codice medesimo e, specificamente, dell’art. 19, comma 3 del medesimo Codice per l’importo minimo edittale pari a euro 10.000,00;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa XXX;

ORDINA

al Comune di San Gemini, con sede in San Gemini (TR), Piazza San Francesco n. 9, C.F. 00091090555, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria ai sensi dell’art. 162, comma 2-bis, del Codice per la violazione di una delle disposizioni indicate nell’art.167 del Codice medesimo e, specificamente, dell’art. 19, comma 3 del medesimo Codice;

INGIUNGE

al medesimo Comune di pagare la somma di euro 10.000,00 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.