IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO l’art. 1, comma 2, della legge 24 novembre 1981, n. 689, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

RILEVATO che l’Ufficio del Garante, con atto n. 21890/124763 del 20 luglio 2018 (notificato in pari data mediante posta elettronica certificata), che qui deve intendersi integralmente riportato, ha contestato al Ministero dell’Istruzione, dell’Università e della Ricerca – Ufficio Scolastico Regionale per la Lombardia – Ufficio III – Ambito territoriale di Bergamo (di seguito “Miur Lombardia-Bergamo” oppure “Ente”), con sede legale in Bergamo, via Pradello n. 12, C.F. 80031070164, la violazione prevista dagli artt. 19, comma 3, 162, comma 2-bis e 167 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato “Codice”, nella formulazione antecedente alle modifiche introdotte dal d. lg. n. 4 settembre 2018, n. 101 in vigore dal 19 settembre 2018);

RILEVATO che dall’esame degli atti del procedimento sanzionatorio avviato con la contestazione di violazione amministrativa è emerso, in sintesi, quanto segue:

- con nota del 28 maggio 2018, il Dipartimento realtà pubbliche dell’Ufficio del Garante comunicava al Miur Lombardia-Bergamo gli esiti dell’istruttoria avviata a seguito di un reclamo concernente la diffusione di dati personali di un dipendente mediante pubblicazione, in data 14 febbraio 2018, di due note, successivamente rimosse, sul sito istituzionale dell’Ente. Le informazioni personali pubblicate sul sito erano relative all’adozione della sanzione disciplinare del licenziamento per persistente insufficiente rendimento, nei confronti del reclamante;

- nella richiamata nota il Dipartimento realtà pubbliche evidenziava che “la pubblicazione online che comporti una diffusione di dati personali […] può essere lecitamente effettuata unicamente quando tale operazione sia prevista da una norma di legge o di regolamento […]” e che “anteriormente alla rimozione dal sito istituzionale, la pubblicazione delle note in questione abbia determinato un’illecita diffusione di dati personali in quanto effettuata in assenza di idonea base normativa”;

- l’Ufficio adottava pertanto l’atto di contestazione di violazione amministrativa indicato in epigrafe;

RILEVATO che con il citato atto del 20 luglio 2018 è stata contestata al Miur Lombardia-Bergamo la violazione delle disposizioni di cui agli artt. 19, comma 3, 162, comma 2-bis e 167 del Codice;

PRESO ATTO che l’Ente non ha provveduto al pagamento in misura ridotta, come evidenziato dal rapporto redatto ai sensi dell’art. 17 della legge n. 689/1981;

LETTI gli scritti difensivi del 9 agosto 2018, nei quali si rappresenta che:

- "in via del tutto preliminare, eÌ� doveroso segnalare a codesta Spett.le Autorita' che gli autori materiali che hanno disposto la pubblicazione del documento in questione sul sito dell’Ufficio III dell’A.T. di Bergamo sono: la sig.ra […], che con propria ed autonoma e-mail […] ha richiesto la pubblicazione della nota n. 861/2018 al Servizio informatico dell’Ufficio III; il sig. […], ha proceduto materialmente alla pubblicazione della stessa. Per ogni ulteriore valutazione si precisa che la più volte citata “pubblicazione” eÌ� avvenuta per effetto di una autonoma ed isolata azione delle due persone fisiche coinvolte e non certamente quale atto derivante dall’adozione di un protocollo procedurale di questo Ufficio amministrativo”.

- “come gia' sinteticamente riferito nella narrazione dei fatti, la cancellazione del nominativo del [reclamante] sia dalla graduatoria permanente (cd. dei “24 mesi”) che dalle graduatorie di Circolo e d’Istituto del personale A.T.A. della scuola, per effetto della sanzione disciplinare del licenziamento per persistente e insufficiente rendimento, eÌ� prevista dalla normativa di settore – si vedano i sopracitati bandi – che non consente a chi ha subito un provvedimento disciplinare di natura espulsiva di poter partecipare alle procedure di reclutamento. Alla luce di quanto precede si puoÌ� confermare che la comunicazione/diffusione del dato si ritiene supportata dalla normativa di settore come previsto dall’art. 19, comma 3° del D. lgs. 196/2003. Se cosiÌ� non fosse il lavoratore medesimo potrebbe non solo chiedere di essere iscritto nelle graduatorie di altra provincia del territorio nazionale ma, addirittura, essere nuovamente individuato quale destinatario di una proposta di contratto di lavoro a tempo determinato annullando, in buona sostanza, l’azione disciplinare posta in essere dall’Amministrazione noncheÌ� il valore stesso della normativa appena richiamata. In quest’ottica si dovrebbe tenere conto del fatto che le graduatorie sono pubblicate sul sito Internet dell’Ufficio, siccheÌ� potrebbe non risultare inadeguato che i nominativi esclusi dalle stesse graduatorie siano fatti conoscere con lo stesso mezzo ai soggetti interessati (sia le altre scuole, sia gli altri lavoratori iscritti nella medesima graduatoria ed interessati allo “scorrimento”). CioÌ� potrebbe, a determinati fini, risultare conforme ai principi sanciti dall’art. 53 del D.lgs. 07/03/2005, n. 82 (Codice dell'amministrazione digitale) e potrebbe comunque facilitare il ridimensionamento della gravita' della presunta infrazione segnalata”;

PRESO ATTO che le argomentazioni addotte dal Miur Lombardia-Bergamo non sono idonee a determinare l’archiviazione del procedimento sanzionatorio avviato con la contestazione di violazione amministrativa per le seguenti ragioni:

- in primo luogo, l’indicazione dei dipendenti che avrebbero materialmente proceduto alla richiesta di pubblicazione e all’effettiva pubblicazione delle note contenenti i dati personali del reclamante appare del tutto inconferente posto che l’Ente, titolare del trattamento, non ha dimostrato che i predetti dipendenti abbiano agito contravvenendo a specifiche istruzioni impartite dal medesimo titolare e sottraendosi alla diretta autorità e vigilanza dello stesso;

- inoltre, va ribadito che nessuna norma di settore (né i bandi relativi al collocamento a tempo determinato del personale A.T.A.) consente la diffusione tramite Internet dei dati personali dei dipendenti, con particolare riferimento all’indicazione delle sanzioni disciplinari di carattere espulsivo che possono dispiegare effetti sulle graduatorie di collocamento;

- con riferimento, infine, alla necessità di provvedere alla comunicazione del provvedimento disciplinare adottato nei confronti del reclamante a tutti i soggetti che avrebbero potuto utilizzare la graduatoria nella quale lo stesso reclamante era inserito, deve evidenziarsi che l’utilizzo di missive individualizzate o circolari a tutti gli uffici interessati avrebbe permesso al Miur Lombardia-Bergamo di dare seguito efficacemente al provvedimento disciplinare di cui sopra senza realizzare una indiscriminata e illegittima diffusione dei dati personali del reclamante;

- deve pertanto confermarsi la responsabilità dell’Ente in ordine alla violazione contestata.

RILEVATO, quindi, che il Miur Lombardia-Bergamo, sulla base degli atti e delle considerazioni di cui sopra, risulta aver commesso, in qualità di titolare del trattamento, la violazione indicata nell’atto di contestazione n. 21890/124763 del 20 luglio 2018;

VISTO l’art. 162, comma 2-bis, del Codice (nella formulazione vigente all’epoca dei fatti) che punisce la violazione delle disposizioni indicate nell’art. 167, fra le quali figura anche l’art. 19, comma 3, con la sanzione amministrativa del pagamento di una somma da euro 10.000 ad euro 120.000;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a. in ordine all’aspetto della gravità, con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico, le violazioni non risultano connotate da profili di gravità;

b. ai fini della valutazione dell’opera svolta dall’agente, deve rilevarsi che i Miur Lombardia-Bergamo ha effettivamente rimosso le note oggetto del reclamo;

c. circa la personalità dell’autore della violazione, deve essere considerata la circostanza che l’Ente non risulta gravato da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

RITENUTO che ricorrano le condizioni per applicare l’art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della L. n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura del minimo edittale per la violazione di cui all’art. 162, comma 2-bis, del Codice (euro 10.000) e che, nel caso in argomento, può essere applicata la diminuente di cui all’art. 164-bis, comma 1, in ragione della lieve entità della violazione e del comportamento collaborativo del contravventore, per giungere ad un importo finale di euro 4.000 (quattromila);

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

al Ministero dell’Istruzione, dell’Università e della Ricerca – Ufficio Scolastico Regionale per la Lombardia – Ufficio III – Ambito territoriale di Bergamo, con sede legale in Bergamo, via Pradello n. 12, C.F. 80031070164, di pagare la somma di euro 4.000 (quattromila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione;

INGIUNGE

alla predetta Amministrazione di pagare la somma di euro 4.000 (quattromila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.