GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

Relatore la dott.ssa Giovanna Bianchi Clerici;

PREMESSO

1. Introduzione

Questa Autorità ha ricevuto un reclamo da parte del sig. XX in ordine alla pubblicazione, sul sito web del Liceo scientifico Nobel di Torre del Greco, di una graduatoria di Istituto, relativa al personale docente di III fascia, contenente dati personali quali l’indirizzo di residenza e il numero di telefono dei docenti.

2. L’attività istruttoria

Dalla verifica preliminare effettuata dall’Ufficio in data 23 novembre 2018, è risultato che sul sito web istituzionale del predetto Istituto, all’url: https://..., risultavano visibili e liberamente scaricabili le predette graduatorie, nonché ulteriori graduatorie relative ai docenti di I e II fascia. Nelle predette graduatorie risultavano presenti i dati personali relativi a più di 2000 interessati.

Nell’ambito dell’accertamento effettuato, l’Ufficio ha riscontrato che, in tali graduatorie, oltre ai dati personali indicati dal reclamante, erano contenute ulteriori informazioni di carattere personale relative ai docenti non necessarie rispetto alla finalità perseguite con la pubblicazione, tra le quali codice fiscale e indirizzi e-mail e che, nei campi denominati “Pref. 1” “Pref. 2” “Pref. 3” “Pref. 4” risultavano riportate alcune sigle alfabetiche tra cui la lettera “S”. Tale lettera, secondo quanto riportato nell’Allegato 6 (codici preferenze) del Decreto del Ministero dell’Istruzione Università e Ricerca del 1° aprile 2014, n. 235 (Aggiornamento delle graduatorie ad esaurimento del personale docente ed educativo, valevoli per il triennio scolastico 2014/15, 2015/16 e 2016/17), individua la categoria degli “invalidi e mutilati civili”. Gli interessati per i quali è stata rilevata la presenza della sigla “S” erano circa 20.

Al riguardo, il Liceo scientifico Nobel ha fornito riscontro alla richiesta di informazioni di questa Autorità (nota prot. n. XX del XX) con la nota prot. n. XX del XX

Nello specifico, il Dirigente scolastico, avv. XX, in risposta alla richiesta di informazioni formulata dall’Ufficio, ha rappresentato, fra l’altro, che:

a) “in relazione a quanto segnalato a seguito del reclamo avverso la diffusione sul sito Istituzionale della graduatoria d’Istituto XX riportante dati coperti da privacy, (…) tale documento è stato immediatamente rimosso dal sito della scuola”;

b) “la scrivente sta procedendo, dopo la nomina del Responsabile della protezione dati, ad attuare tutte le misure previste dalle normative vigenti anche in linea con le altre istituzioni Scolastiche del Territorio in ordine al rispetto del principio di minimizzazione dei dati oggetto di diffusione rispetto alle finalità perseguite con la pubblicazione.”

L’Ufficio, sulla base dalle verifiche compiute e degli elementi acquisiti, anche attraverso la documentazione inviata dall’Istituto scolastico e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, ha accertato che il Liceo Nobel, con la pubblicazione integrale sul sito web istituzionale, delle graduatorie di Istituto relative ai docenti, all’url: https://..., recanti in chiaro anche informazioni non necessarie rispetto alle finalità perseguite con la pubblicazione, nonché dati relativi alla salute di taluni docenti, ha effettuato un trattamento non conforme alla disciplina rilevante in materia di protezione dei dati personali.

Si è così proceduto alla notifica delle violazioni effettuate, prevista dall’art. 166, comma 5, del Codice, all’Istituto scolastico, comunicando l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articolo 58, paragrafo 2, del Regolamento e invitando il predetto Liceo a inviare al Garante scritti difensivi o documenti ed, eventualmente, a chiedere di essere sentito dall’Autorità, entro il termine di 30 giorni (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

In particolare l’Ufficio ha ritenuto che la pubblicazione delle predette graduatorie sia avvenuta in violazione della normativa a tutela dei dati personali, determinando un trattamento di dati personali:

a) non conforme ai principi di “liceità, correttezza e trasparenza” e di “minimizzazione dei dati”, in violazione dell’art. 5, par. 1, lett. a) e c), del Regolamento;

b) in assenza di un presupposto normativo per la pubblicazione di taluni dati personali quali codice fiscale, indirizzo, numero di telefono fisso e mobile, indirizzo e-mail, codici di preferenza, dati relativi alla salute degli interessati, in violazione dell’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del Regolamento e 2-ter, commi 1 e 3, del Codice;

c) in violazione del divieto di diffusione di dati relativi alla salute di cui all’art. 2-septies, comma 8, del Codice, e art. 9, parr. 1, 2, 4, del Regolamento.

Con nota del XX (prot. n. XX) il Liceo ha fatto pervenire le proprie memorie difensive, e ha dichiarato, in particolare che:

a) “il periodo in cui si sono accertate le violazioni è coinciso con un cambio grafico e di gestione del sito. Attraverso indagini interne è emerso, durante la fase di ammodernamento/adeguamento strutturale del sito nel passaggio dal .gov al .edu, che alcuni documenti presenti sul vecchio sito purtroppo non sono stati cancellati, come preventivato, per problemi tecnici legati a tali operazioni di migrazione dei sistemi informativi. Questi aggiornamenti realizzati, prevedono ora un controllo a monte, prima della pubblicazione attraverso un certificato di convalida esteso; pertanto in futuro, problemi di questo genere non si presenteranno più. a violazione.”

b) “la scrivente chiede di tenere conto, in riferimento alla lettera “S” presente nella suddetta graduatoria, che il significato della stessa non è immediatamente riconducibile ad informazioni attinenti ai dati relativi alla “salute” se non attraverso la lettura del decreto del MIUR del 1aprile 2014 n. 235”.

3. Esito dell’istruttoria relativa al reclamo presentato. Normativa applicabile

In via preliminare si rappresenta che, seppure la violazione dei dati personali oggetto dell’istruttoria da parte di questa Autorità sia iniziata prima della data di piena applicazione del Regolamento, al fine della determinazione del quadro normativo applicabile sotto il profilo temporale deve essere richiamato il principio di legalità di cui all’art. 1, comma 2, della legge n. 689 del 24 novembre 1981 che, nel prevedere come “Le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e nei tempi in esse considerati”, stabilisce la ricorrenza del principio del tempus regit actum. L’applicazione di tale principio determina, quindi, l’obbligo di prendere in considerazione le disposizioni vigenti al momento della commessa violazione. Nel caso in esame considerando la natura permanente della condotta contestata, al fine della corretta individuazione del quadro sanzionatorio, rileva il momento della cessazione della condotta illecita, che dagli atti dell’istruttoria, come detto, risulta essersi protratta almeno fino alla verifica effettuata dall’Ufficio in data 23 novembre 2018, ossia in epoca successiva al 25 maggio 2018 in cui il Regolamento è divenuto applicabile. In tale quadro, resta impregiudicata la valutazione in ordine alla liceità dei trattamenti di dati personali posti in essere.

Ai sensi della disciplina in materia, “dato personale” è “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)» (art. 4, par. 1, n. 1, del Regolamento). Inoltre, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (ibidem).

Il trattamento di dati personali effettuato in ambito pubblico è lecito solo se tale trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e)).

La normativa europea prevede inoltre che “Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto (…)” con la conseguenza che, al caso di specie, risulta applicabile la disposizione contenuta nell’art. 2-ter del Codice, in base al quale l’operazione di diffusione di dati personali (come la pubblicazione in Internet), in ambito pubblico è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento.

In tale quadro, il trattamento dei dati personali deve avvenire nel rispetto dei principi indicati nell’art. 5 del Regolamento, fra cui quelli di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, secondo i quali i dati personali devono essere – rispettivamente – “trattati in modo lecito, corretto e trasparente nei confronti dell'interessato” nonché “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (par. 1, lett. a) e c).

In ogni caso, resta assolutamente vietata la diffusione di dati relativi alla salute (art. 9, parr. 1, 2 e 4, del Regolamento, art. 2-septies, comma 8, del Codice,), ossia di «dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute» (art. 4, par. 1, n. 15; considerando n. 35, del Regolamento).

Il Garante, inoltre, nel provvedimento n. 243 del 15 maggio 2014 (doc. web n. 3134436) recante le “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” con riferimento alla pubblicità degli esiti delle prove concorsuali e delle graduatorie finali ha peraltro evidenziato che “devono essere diffusi i soli dati pertinenti e non eccedenti riferiti agli interessati. Non possono quindi formare oggetto di pubblicazione dati concernenti i recapiti degli interessati (si pensi alle utenze di telefonia fissa o mobile, l´indirizzo di residenza o di posta elettronica, il codice fiscale, l´indicatore Isee, il numero di figli disabili, i risultati di test psicoattitudinali o i titoli di studio), né quelli concernenti le condizioni di salute degli interessati (cfr. art. 22, comma 8, del Codice), ivi compresi i riferimenti a condizioni di invalidità, disabilità o handicap fisici e/o psichici” (cfr. parte seconda par. 3.b.).

4. Conclusioni

Alla luce delle considerazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria Ë� della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice e considerato che, con riferimento al caso di specie, le memorie difensive prodotte dall’Istituto non hanno prodotto elementi tali da determinare l’archiviazione del procedimento, si confermano le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Liceo scientifico Nobel, per aver diffuso, tramite la pubblicazione integrale sul sito web istituzionale delle graduatorie di Istituto relative ai docenti all’url: https://..., dati personali non necessari rispetto alle finalità perseguite con la pubblicazione della graduatoria (codice fiscale, indirizzo, numero di telefono fisso e mobile, indirizzo email, codici di preferenza) riguardanti il reclamante e oltre duemila docenti inseriti nelle predette graduatorie (cfr. con riguardo alla pubblicazione di dati non pertinenti contenuti in graduatorie scolastiche, Provv. 6 giugno 2013, n. 275, doc. web n. 2536184, 2536409 e 2535862).

Risulta accertato inoltre che, nelle stesse graduatorie, fossero contenuti dati relativi alla salute di circa 20 docenti. Contrariamente a quanto sostenuto dall’Istituto, infatti, l’indicazione della lettera “S” accanto ai nominativi degli interessati, fornisce informazioni relative allo stato di salute degli stessi, ancorché attraverso la consultazione dell’allegato 6 al decreto del MIUR del 1° aprile 2014, n. 235, in violazione del generale divieto di diffusione dei dati sulla salute (art. 2-septies del Codice; art. 9 del Regolamento; cfr., in particolare, il consolidato orientamento del Garante, ancorché con riguardo al quadro normativo previgente, Provv. ti 4 febbraio 2016, n. 35, doc. web n. 4727305 e 4912481; Provv. 1° giugno 2016, n. 244, doc. web n. 5260571, e i provvedimenti ivi citati).

La predetta diffusione di dati si è protratta almeno fino alla verifica effettuata dall’Ufficio, in data 23 novembre 2018, ossia successivamente alla data del 25 maggio 2018 in cui è divenuto applicabile il Regolamento.

Tale pubblicazione è avvenuta in violazione della normativa a tutela dei dati personali e, specificamente:

a) in violazione dei principi di “liceità, correttezza e trasparenza” e di “minimizzazione dei dati”, di cui all’art. 5, par. 1,” (par. 1, lett. a) e c) del Regolamento;

b) in assenza di un presupposto normativo per la pubblicazione di taluni dati personali quali codice fiscale, indirizzo, numero di telefono fisso e mobile, indirizzo e-mail, codici di preferenza, in violazione dell’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del Regolamento e 2-ter, commi 1 e 3, del Codice;

c) in violazione del divieto di diffusione di dati relativi alla salute (art. 9, parr. 1, 2, 4, del Regolamento e art. 2-septies, comma 8, del Codice).

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che l’Istituto ha dichiarato di aver provveduto a rimuovere il documento dal sito della scuola (v. nota del 14 dicembre 2018), circostanza verificata dall’Ufficio, non ricorrono i presupposti per l’adozione di misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria (artt. 58, par. 2, lett. i, e 83 Regolamento).

Il Liceo scientifico Nobel risulta aver violato gli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b); 9, parr. 1, 2, 4, del Regolamento; artt. 2-ter commi 1 e 3 e 2-septies, comma 8, del Codice. Pertanto, si ritiene applicabile l'art. 83, par. 3, del Regolamento, in base al quale, se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento viola, con dolo o colpa, varie disposizioni del Regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave (di cui all’art. 83, par. 5, del Regolamento) assorbendo così le altre violazioni meno gravi. Pertanto, le suindicate violazioni avendo ad oggetto, tra gli altri, il divieto di diffusione di dati sulla salute di cui all’art. 2-septies, comma 8, del Codice, sono da ricondursi, ai sensi dell’art. 83, par. 3 dello stesso Regolamento e dell’art. 166, comma 2, del Codice, nell’alveo della sanzione prevista per la predetta violazione con conseguenziale applicazione della sanzione prevista all’art. 83, par. 5, del Regolamento.

Il Garante, ai sensi ai sensi degli artt. 58, par. 2, lett. i), e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere correttivo di «infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso» e, in tale quadro, «il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice» (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va altresì determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stato considerato che: la rilevata condotta, tenuta in violazione della disciplina in materia di protezione dei dati personali, ha avuto a oggetto la diffusione: dei dati personali non necessari rispetto alle finalità sottese alla pubblicazione delle graduatorie (codice fiscale, indirizzo, numero di telefono fisso e mobile, indirizzo e-mail, codici di preferenza), riferiti a un elevato numero di soggetti, (più di 2000); dei dati relativi alla salute di circa 20 soggetti, individuati nella graduatoria tramite l’annotazione, accanto ai nominativi interessati, della lettera “S” quale titolo di preferenza indicatore della categoria degli “invalidi e mutilati civili", ai sensi del Decreto MIUR 1° aprile 2014, n. 235, allegato 6, relativo ai “codici preferenze”. Tale diffusione di dati personali si è protratta per un notevole lasso di tempo (alcuni anni).

Le violazioni derivano dalla pubblicazione di graduatorie relative al personale docente sul sito istituzionale della scuola; in relazione a forme di diffusione analoghe a quelle in esame, in passato, il Garante aveva adottato le richiamate “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” con le quali aveva dato una serie di indicazioni ai soggetti pubblici per ottemperare alle disposizioni in materia di protezione dati nel momento in cui provvedono a diffondere dati personali sul web.

Di contro è stato considerato che: i rappresentati problemi tecnici evidenziano il carattere colposo della violazione; l’Istituto si è attivato per rimuovere i dati personali dei soggetti interessati appena ricevuta la richiesta di informazioni e ha quindi collaborato con l’Autorità nel corso dell’istruttoria del presente procedimento al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi; l’Istituto ha avviato una serie di azioni volte a implementare le misure tecniche e organizzative. Non risultano, inoltre, eventuali precedenti violazioni del Regolamento pertinenti commesse dal Liceo Nobel.
In ragione dei suddetti elementi, valutati nel loro complesso, tenendo anche conto della fase di prima applicazione delle disposizioni sanzionatorie ai sensi dell’art. 22, comma 13, del d. lgs. 10/08/2018, n. 101, si ritiene di dover determinare ai sensi dell’art. 83, par. 2, del Regolamento l’ammontare della sanzione pecuniaria, prevista dall’art. 83, par. 5, lett. a) del Regolamento, nella misura di euro 4.000,00 (quattromila) per la violazione degli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b) del Regolamento; 9, parr. 1, 2, 4, del Regolamento, artt. 2-ter commi 1 e 3 e 2-septies, comma 8, del Codice, quale sanzione amministrativa pecuniaria ritenuta effettiva, proporzionata e dissuasiva sensi dell’art. 83, par. 1, del medesimo Regolamento.

In relazione alle specifiche circostanze del presente caso, si ritiene altresì – anche in considerazione dell’elevato numero degli interessati, coinvolti; della tipologia di dati oggetto di illecita diffusione; del lasso temporale intercorso dal momento della pubblicazione fino alla rimozione della graduatoria dal sito web del summenzionato Liceo - che debba applicarsi la sanzione accessoria della pubblicazione del presente provvedimento sul sito web del Garante, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara l’illiceità del trattamento di dati personali effettuato dal Liceo Nobel di Torre del Greco, per la violazione degli artt. 5, par. 1, lett. a) e c); 6, par. 1, c) ed e), par. 2 e par. 3, lett. b); art. 9, parr. 1, 2, 4, del Regolamento; artt. 2-ter commi 1 e 3 e 2-septies, comma 8, del Codice, nei termini di cui in motivazione;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Liceo Scientifico Statale Nobel di Torre del Greco, con sede legale in Via Alcide De Gasperi, 80/Bis, 80059, Torre Del Greco (Na) – C.F. 80060960632, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, mediante il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

al medesimo Istituto, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 4.000,00 (quattromila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.