IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTA la segnalazione del 6 ottobre 2014 - indirizzata alla scrivente Autorità - con la quale è stato lamentato un trattamento illecito di dati personali (RI) in relazione alla comunicazione all’Istituto scolastico “Leo School S.n.c.” di Orte, da parte di un comune, di elenchi anagrafici contenenti dati personali di soggetti nati nelle annualità 1994-95-96;

CONSIDERATO che l’Ufficio del Garante ha avviato un’attività istruttoria finalizzata a verificare la liceità dei trattamenti dei dati personali posti in essere dai soggetti coinvolti nella vicenda oggetto della segnalazione;

VISTO il verbale di operazioni compiute dal Nucleo Speciale Privacy della Guardia di Finanza del 27 maggio 2015 presso la sede operativa, ubicata in Terni, dell’Istituto scolastico “Leo School S.n.c.” nel corso delle quali è emerso che, oltre al comune oggetto di segnalazione, anche altri Comuni, fra i quali quello di Deruta, con sede in Deruta (PG), Piazza dei Consoli n. 15, C.F. 00222390544 (d’ora in avanti denominato “il Comune”), hanno fornito, su richiesta dell’Istituto scolastico sopra citato, elenchi anagrafici di residenti nati nelle annualità 1994-95-96 a quest’ultimo;

VISTA la nota del Dipartimento Libertà Pubbliche e Sanità del Garante prot. n. 24004/98312 del 26 agosto 2015 di richiesta di elementi informativi al Comune di Deruta;

VISTA la nota di risposta del Comune prot. n. 11356 del 18 settembre 2015, nonché la nota, integrativa di quest’ultima, del 21 settembre 2015, indirizzate al Garante;

VISTA la nota prot. n. 31741 del 13 novembre 2015 con cui il Garante, preso atto del sopra citato riscontro fornito dal Comune e inquadrata la fattispecie relativa alla vicenda occorsa nell’ambito normativo di riferimento, ha richiesto a quest’ultimo ulteriori informazioni relative alle misure assunte o da assumere in conformità al quadro normativo richiamato;

VISTO il riscontro fornito dal Comune al Garante in data 3 dicembre 2015 nel quale si rappresenta che si è formalmente invitato l’Ufficio Servizi anagrafici e demografici del Comune ad attenersi scrupolosamente al contenuto della sopra citata nota del Garante prot. n. 31741 del 13 novembre 2015 e che tale disposizione interna è stata, altresì, trasmessa all’intera struttura comunale;

VISTA la nota prot. n. 4469 del 17 febbraio 2016 con cui il Dipartimento Libertà Pubbliche e Sanità ha comunicato al Comune l’esito dell’istruttoria effettuata consistente nell’accertamento di una comunicazione di dati personali da parte del Comune a un soggetto privato in assenza di idonea base normativa e, quindi, in violazione dell’art. 19, comma 3, del d.lgs. 30 giugno 2003, n. 196 recante il “Codice in materia di protezione dei dati personali” (d’ora in avanti “Codice”), evidenziando che avrebbe comunque trasmesso gli atti relativi alla vicenda in questione al Dipartimento Attività Ispettive e Sanzioni per l’avvio di un procedimento sanzionatorio nei confronti del Comune;

VISTA la nota del Dipartimento Libertà Pubbliche e Sanità prot. n. 4476 del 17 febbraio 2016 di trasmissione degli atti al Dipartimento Attività Ispettive e Sanzioni;

VISTO il verbale n. 10617/106654 del 13 aprile 2016 con cui il Garante ha contestato al Comune di Deruta, con sede in Deruta (PG), Piazza dei Consoli n. 15, C.F. 00222390544, in persona del rappresentante legale pro-tempore, la violazione della disposizione di cui all’art. 19, comma 3, sanzionata dall’art. 162, comma 2-bis, del Codice, per aver effettuato un trattamento illecito di dati personali e, specificamente, la comunicazione di dati personali di cittadini residenti nel Comune nati nelle annualità 1994-95-96 alla società “Leo School S.n.c.” in assenza dei presupposti richiesti dall’art. 19, comma 3, del Codice; in tale sede ha, altresì, previsto di applicare l’aggravante di cui all’art. 164-bis, comma 3, del Codice, in ragione dell’elevato numero degli interessati;

RILEVATO che dal rapporto amministrativo prot. n. 34740/106654 del 16 novembre 2016, predisposto dall’Ufficio del Garante ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689 e riferito al verbale di contestazione n. 10617/106654 del 13 aprile 2016, il Comune non ha effettuato il pagamento in misura ridotta di cui all’art. 16 della legge 689/1981;

LETTA la memoria difensiva del 11 maggio 2016, formulata ai sensi dell’art. 18 della legge n. 689/1981, con cui il legale, incaricato dal Comune, ha inteso confutare la contestata violazione argomentando sia sulle finalità dell’Istituto scolastico Leo School sia sulla natura di tale Istituto al fine di dimostrare la legittimità della condotta tenuta dal Comune.

Anzitutto, si è avuta premura di evidenziare di aver provveduto, appena giunta al Comune la richiesta di dati anagrafici da parte dell’Istituto scolastico, “ai necessari accertamenti in merito alla natura della Leo School, chiedendo delucidazioni sia alla scuola stessa che alla provincia di Terni”. Da tali accertamenti era risultato non solo “ (…) che la Leo School fosse un soggetto attuatore di un progetto della provincia di Terni, bensì venivano coinvolte a vario titolo anche l'Unione Europea (Fondo Sociale Europeo), la Repubblica Italiana, la Regione Umbria e l'Umbria PORFSE (…) Nell'ambito di tale verifiche, la provincia di Terni dichiarava che la Leo School fosse soggetto accreditato presso la Regione Umbria e fosse anche attuatrice di un progetto della Provincia di Terni”.

Pertanto, la parte sostiene che, “(…) il Comune nel trasmettere i dati compiva infatti un'attività legittima oltreché apprezzabile nel perseguimento dell'interesse pubblico all’occupazione lavorativa dei propri cittadini”. Inoltre, il “(…) Comune non ha fornito alcun dato che secondo la normativa possa ritenersi sensibile, ma ha semplicemente perseguito un fine pubblicistico volto allo sviluppo dell'occupazione giovanile nell'ambito di un opportunità di formazione inserita in un progetto finanziato promosso è vigilato da enti locali, regionali, nazionali e sovranazionali” e “ (…) quanto alla natura della Leo School s.n.c., (…) si evidenzia come a nulla rilevi il fatto che sia un soggetto privato. Infatti, quel che deve avere rilievo è la sua funzione sociale, o meglio ancora l'esercizio di un pubblico servizio (…)”. A sostegno di ciò, il legale richiama la sentenza del Consiglio di Stato n. 5086/2014 in cui, nel confermare un principio sancito dalle Suprema Corte, si afferma che “ (…) l’attività di formazione costituisce un pubblico servizio, il cui affidamento ad un soggetto privato dà vita a un rapporto di tipo concessorio indipendentemente dalla veste formale e dalla terminologia in concreto utilizzate”. La parte, in tal modo, prospettata la natura di soggetto pubblico dell’Istituto “Leo Scool s.n.c.”, ha poi invocato il disposto dell’art. 19 del Codice per cui “il trattamento da parte di un soggetto pubblico riguardante dati diversi da quelli sensibili e giudiziari è consentito, fermo restando quanto previsto dall'articolo 18, comma 2, anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente”, nonché quanto previsto dal d.P.R. 223/1989 che, a detta della parte,“(…) consente ai privati che operano in regime di concessione con l'ente pubblico, in quanto svolgono un'attività che rientra nella sfera d'azione dell'ente concedente, di rivolgere una motivata richiesta di rilascio di elenchi per uso di pubblica utilità (…)”. Inoltre, al fine di dimostrare l’applicabilità alla società “Leo School s.n.c.” della normativa che il Codice riserva ai soggetti pubblici, il legale del Comune ha sostenuto che “alla medesima conclusione è giunta anche la giurisprudenza; infatti la Cassazione nella sentenza 25504/2006 ha chiarito che le disposizioni relative al trattamento dei dati personali trovano applicazione anche nei confronti dei soggetti privati che svolgono servizi pubblici”. In tal senso, la parte, in ultimo, ha inteso far valere anche l’applicabilità all’Istituto scolastico delle disposizioni della legge 241/1990, relative all’accesso agli atti, considerando l’Istituto Leo School, “attesa l’attività di pubblico interesse svolta con l’accredito della Regione Umbria” alla stregua di una pubblica amministrazione e, quindi, “ (…) il diritto (…) di ottenere le indicazioni anagrafiche richieste e quindi il legittimo operato del Comune di Deruta”.

In chiusura della memoria difensiva, a fronte di tutto quanto sopra, il legale del Comune chiede l’annullamento della contestazione e l’archiviazione del relativo procedimento sanzionatorio.

LETTO il verbale di audizione del 16 gennaio 2017, svoltasi ai sensi dell’art. 18 della legge n. 689/1981, con cui il Comune, nel richiamare integralmente la memoria difensiva, al fine di rafforzare la dimostrazione della legittimità del proprio operato, ha aggiunto che “(…) i dati anagrafici sono liberamente accessibili da tutti in riferimento a nome, cognome e data di nascita a cui in questo caso è stato aggiunto l’indirizzo della residenza, dato non sensibile. Come noto, una volta ricevuto cognome, nome e data di nascita, il diritto di avere un certificato di residenza spetta a chiunque (…)”. Inoltre in tale sede il Comune, lamentando l’abnormità della sanzione applicabile per la violazione contestata, ha richiesto nuovamente l’archiviazione del procedimento e, in subordine, “(…) l’applicazione del minimo della sanzione edittale ulteriormente ridotta ai sensi dell’art. 164-bis, comma 1, del Codice”.

RITENUTO che le argomentazioni addotte dal Comune nello scritto difensivo, nonché nel corso dell’audizione, sopra citati, non consentono di escludere la responsabilità del Comune.

Infatti, riconosciuta la finalità di interesse pubblico dell’attività di formazione - mirante all’occupazione lavorativa di giovani del territorio - che pone in essere l’Istituto “Leo School”, tuttavia, in merito alle argomentazioni del Comune volte a dimostrare la natura di “soggetto pubblico” di tale Istituto al fine dell’applicazione allo stesso della normativa che il Codice riserva ai soggetti pubblici, si rappresenta quanto segue.

Anzitutto, in relazione al richiamato orientamento contenuto nelle sopra citata sentenza per cui gli Istituti scolastici privati sono da ritenersi incaricati di un pubblico servizio, si fa presente che tale profilo deve ritenersi inconferente rispetto alla vicenda in questione, in quanto le argomentazioni riferite alla qualificazione giuridica soggettiva sono, nel caso oggetto di tale sentenza, rivolte a risolvere problemi di giurisdizione e non all’applicabilità o meno, ai privati esercenti un pubblico servizio, della disciplina in materia di protezione dei dati personali riferita ai soggetti pubblici. Risulta, inoltre, inconferente anche il contenuto della sentenza della Cassazione civile – sez. III – 30 novembre 2006 n. 25504, in quanto la Suprema Corte ritiene applicabile la sopra citata disciplina contenuta nel Codice, riguardante i soggetti pubblici, agli esercenti la professione di Notaio, attività del tutto peculiare, che “non può considerarsi semplicemente una libera e privata professione finalizzata al perseguimento di interessi di natura personale, ma costituisce anche esercizio di una funzione pubblica connotata dalla terzietà e dall’imparzialità rispetto agli interessi dei soggetti che si rivolgono al Notaio, perché lo stesso renda un atto del suo ufficio, dall’assoluta indipendenza e da una tendenziale esclusività delle funzioni svolte (…)”. Per di più, con riferimento specifico all’applicabilità delle norme in materia di protezione dei dati personali richiamate e, in particolare, dell’art. 19, comma 1, del Codice menzionato dalla Società nella memoria difensiva, per cui “il trattamento da parte di un soggetto pubblico riguardante dati diversi da quelli sensibili e giudiziari, è consentito anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente”, si evidenzia che, nel caso oggetto della richiamata sentenza, la Corte di Cassazione individua una idonea base normativa per effettuare un comunicazione nell’art. 25 dei Principi di deontologia dei Notai che, nel caso in questione, non sussiste. Infatti, sebbene il legale di parte abbia invocato il disposto contenuto nel d.P.R. 223/1989, tale norma, per esattezza l’art. 34, che , a detta della parte,“(…) consente ai privati che operano in regime di concessione con l'ente pubblico, in quanto svolgono un'attività che rientra nella sfera d'azione dell'ente concedente, di rivolgere una motivata richiesta di rilascio di elenchi per uso di pubblica utilità (…)”, in realtà dispone che “Alle amministrazioni pubbliche che ne facciano motivata richiesta, per esclusivo uso di pubblica utilita', l'ufficiale di anagrafe rilascia, anche periodicamente, elenchi degli iscritti, residenti nel comune, in conformita' alle misure di sicurezza, ecc. (…)”. Pertanto, alla luce di tale disposizione, l’ufficiale dell’anagrafe comunica elenchi degli iscritti all’anagrafe solamente nei confronti di “pubbliche amministrazioni” che ne facciano richiesta per motivi di pubblica utilità, tra le quali non è da ricomprendere l’Istituto scolastico “Leo School S.n.c.” in quanto lo stesso, pur configurandosi come soggetto incaricato di pubblico servizio, è una società di persone (artt. 2291- 2312 c.c.).

Quanto al richiamo alla legge n. 241/1990 in riferimento all’istituto dell’accesso agli atti da parte della società Leo School, anche tale riferimento risulta inconferente, in quanto l’istituto dell’accesso agli atti è uno strumento di trasparenza offerto dall’ordinamento al solo fine di consentire al richiedente di fare valere “un interesse diretto, concreto e attuale, corrispondente ad una situazione giuridicamente tutelata e collegata al documento al quale è chiesto l'accesso” (art. 22, comma 1, lett. b, della citata legge), quindi un interesse qualificato che non sembra emergere nel caso di specie.

Infine, con riferimento a quanto sostenuto nel corso dell’audizione, per cui “(…) i dati anagrafici sono liberamente accessibili da tutti in riferimento a nome, cognome e data di nascita a cui in questo caso è stato aggiunto l’indirizzo della residenza, dato non sensibile (…)”, si fa presente che, trattandosi nel caso di specie di rilascio di “elenchi” di dati anagrafici riferiti a giovani residenti nel Comune, nati negli anni 1994-1995-1996, la normativa in materia e, nello specifico il già richiamato art. 34 della legge 223/1989, ammette il rilascio di elenchi da parte dell’Ufficiale di anagrafe unicamente alle pubbliche amministrazioni che ne facciano motivata richiesta, per esclusivo uso di pubblica utilità, come sopra indicato. Infatti, tale norma regolamentare, anche a seguito di modifiche intervenute nel 2015, dispone che alle amministrazioni pubbliche che ne facciano motivata richiesta, per esclusivo uso di pubblica utilità, l'ufficiale di anagrafe rilascia, anche periodicamente, elenchi degli iscritti, residenti nel comune.

L'ufficiale di anagrafe rilascia, invece, dati anagrafici, relativi agli iscritti residenti nel comune, resi anonimi ed aggregati, agli interessati che ne facciano richiesta per fini statistici e di ricerca.

VISTO l’art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell’art. 167 e, specificamente, dell’art. 19 medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila a centoventimila euro;

RILEVATO, pertanto, che il Comune di Deruta, in qualità di titolare del trattamento dei dati personali comunicati alla Società “Leo School S.n.c.” in assenza del presupposto normativo legittimante, richiesto dall’art. 19, comma 3, del Codice, ha effettuato un trattamento illecito di dati personali;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che nel verbale di contestazione è stata prevista l’applicazione dell’aggravante di cui all’art. 164-bis, comma 3, del Codice per la prospettata ricorrenza dell’elemento riguardante l’elevato numero degli interessati dalla violazione;

CONSIDERATO, tuttavia, che la violazione oggetto di contestazione non rientra tra i casi di maggiore gravità di cui al citato art. 164-bis, comma 3, del Codice poiché la finalità connessa all’avvenuta comunicazione, dal parte del Comune di Deruta, di dati personali di cittadini nati nelle annualità 1994-95-96 alla società “Leo School S.n.c.” appare essere stata realizzata nell’ambito di un progetto formativo sostenuto dalla Regione Umbria;

RITENUTO, pertanto, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, applicando l’art. 162, comma 2-bis, del Codice per la violazione di una delle disposizioni indicate nell’art.167 del Codice medesimo e, specificamente, dell’art. 19, comma 3 del medesimo Codice per l’importo minimo pari a euro 10.000,00;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

al Comune di Deruta, in persona del legale rappresentante pro-tempore, con sede in Deruta (PG), Piazza dei Consoli n. 15, C.F. 00222390544, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria ai sensi dell’art. 162, comma 2-bis, del Codice per la violazione di una delle disposizioni indicate nell’art.167 del Codice medesimo e, specificamente, dell’art. 19, comma 3 del medesimo Codice;

INGIUNGE

al medesimo Comune di pagare la somma di euro 10.000,00 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.