IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che, a seguito di un quesito pervenuto in data 12 febbraio 2013 con cui un Istituto scolastico chiedeva al Garante di esprimersi in ordine alla legittimità della richiesta, avanzata dalla Ippocrate s.r.l. (che gestisce il servizio di Assistenza Educativa Cultura per conto del Comune di Civitavecchia) di trasmettere tutta la documentazione relativa agli alunni che fruiscono del servizio di assistenza educativa, tra cui "P.E.I, certificazione medica, diagnosi funzionale, certificato l. 104/1992", in quanto "necessaria al corretto svolgimento del servizio", l´Ufficio inviava una richiesta di informazioni al Comune di Civitavecchia (nota prot. n. 4751/85016 del 18 febbraio 2015), diretta a ottenere chiarimenti in ordine alla designazione a responsabile del trattamento della Ippocrate s.r.l. e alle modalità con cui veniva resa agli interessati l´informativa sul trattamento dei dati personali svolto per l´erogazione del servizio di assistenza scolastica agli alunni diversamente abili;

CONSIDERATO che alla predetta richiesta di informazioni non veniva fornito alcun riscontro, veniva formulata una nuova richiesta da parte del Segretario generale ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito denominato "Codice", prot. n. 11327/85016 del 17 aprile 2015), con cui si invitava nuovamente il Comune a fornire le informazioni già richieste, con l´indicazione del termine per adempiere e delle conseguenze previste dall´art. 164 del Codice in caso di inottemperanza;

CONSIDERATO che la citata richiesta di informazioni è stata regolarmente notificata in data 17 aprile 2015, tramite posta elettronica certificata la cui ricevuta di consegna è agli atti del fascicolo, e che non ha ricevuto riscontro nel termine indicato;

VISTO il verbale n. 21041/85016 del 20 luglio 2015 con cui è stata contestata al Comune di Civitavecchia, in qualità di titolare del trattamento, con sede in Civitavecchia, Piazzale Pietro Guglielmotti n. 7, C.F. 02700960582, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 164 del Codice, in relazione all´art. 157, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

RILEVATO che, a fronte del supplemento istruttorio svolto dall´Ufficio con le note n. 21045 del 20 luglio 2015 e n. 27135 del 1° ottobre 2015, è emerso che il Comune di Civitavecchia si avvale del contributo della Holding Civitavecchia Service s.r.l. nella gestione del servizio di assistenza educativa per i minori diversamente abili e che quest´ultima, a sua volta, ha affidato la gestione operativa del servizio alla Ippocrate s.r.l.; è risultato che il Comune ha effettuato le designazioni a responsabile del trattamento, ai sensi dell´art. 29 del Codice, nei confronti di Holding Civitavecchia Service s.r.l. e di Ippocrate s.r.l. rispettivamente in data 31 luglio 2015 e 5 novembre 2015;

CONSIDERATO che la mancata designazione a responsabili del trattamento delle Holding Civitavecchia Service s.r.l. e Ippocrate s.r.l., alle quali è stato affidato il compito di gestire il servizio di assistenza educativa culturale per gli alunni diversamente abili, ha comportato una trasmissione illecita di dati personali verso tali società da parte del Comune;

VISTO il verbale n. 2923/85016 del 3 febbraio 2016 con cui è stata contestata al Comune di Civitavecchia, in qualità di titolare del trattamento, nella persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice, in relazione all´art. 20, per aver effettuato una trasmissione illecita di dati idonei a rivelare lo stato di salute degli alunni diversamente abili nei confronti delle Holding Civitavecchia Service s.r.l. e Ippocrate s.r.l., informandolo della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

RILEVATO che dai rapporti predisposti dall´Ufficio del Garante ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689 non risultano effettuati tali pagamenti;

VISTO lo scritto difensivo del 9 settembre 2015, inviato ai sensi dell´art. 18 della legge 24 novembre 1981, n. 689, con il quale la parte, con riferimento al verbale di contestazione n. 21041 inerente alla violazione dell´art. 157 del Codice, ha rilevato come non abbia dato riscontro alla richiesta di informazioni del Garante "per causa a sé non imputabile, legata all´evento contingente del trasloco dell´Ufficio che inevitabilmente ha cagionato temporanei problemi di tipo organizzativo". Con riferimento, invece, alla violazione dell´art. 20 del Codice, di cui al verbale di contestazione n. 2923 del 3 febbraio 2016, la parte ha inteso precisare, con lo scritto datato 24 febbraio 2016, che la comunicazione dei dati personali a soggetti esterni non può ritenersi illecita perché effettuata in conformità a quanto stabilito dall´art. 19, comma 3, del Codice. In ogni caso, non sarebbe ravvisabile, ai fini dell´applicazione della sanzione amministrativa, l´elemento soggettivo del dolo o della colpa in capo al Comune;

VISTO il verbale di audizione del 12 settembre 2016, svoltosi ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha ribadito quanto già dichiarato nelle memorie difensive;

RITENUTO che le argomentazioni addotte non risultano idonee in relazione a quanto contestato. In primo luogo, si osserva che la richiesta di informazioni ex art. 157, il cui mancato riscontro ha determinato l´avvio del procedimento sanzionatorio, è stata notificata mediante posta elettronica certificata in data 17 aprile 2015 e assegnava un periodo di tempo abbastanza ampio per consentire al Comune, pur in presenza di difficoltà organizzative (di cui, tra l´altro, non vi è alcun riscontro oggettivo), di fornire i chiarimenti richiesti. Pertanto, con riferimento alla violazione de quo, non è possibile applicare l´esimente della buona fede, prevista dall´art. 3 della legge n. 689/1981, non ricorrendo la condizione che permette di affermare che la parte ha fatto tutto il possibile per osservare la legge e che nessun rimprovero può essergli mosso, così che l´errore sia stato incolpevole ovvero non suscettibile di essere evitato con l´ordinaria diligenza (Cass. Civ. Sez. lav. 12 luglio 2010 n. 16320). Per quanto attiene, invece, alla violazione dell´art. 20 del Codice, si rileva che la parte ha erroneamente ritenuto che la comunicazione dei dati relativi agli alunni affetti da disabilità, effettuata nei confronti delle società che svolgono, secondo differenti modalità, il servizio di AEC, rientrasse nella previsione normativa di cui all´art. 19, comma 3, del Codice e che fosse lecita perché prevista da una norma di legge (legge n. 104/1992). In realtà, il trattamento posto in essere dal Comune riguarda non dati "comuni" (la cui disciplina è individuata nell´art. 19 del Codice), bensì "dati sensibili" in quanto dati idonei a rivelare lo stato di salute degli alunni; in ogni caso, si evidenzia che la legge n. 104/1992 non prevede l´attivazione di un flusso di dati riguardanti i soggetti disabili dai comuni verso soggetti privati che erogano per conto di questi ultimi servizi di sostegno, pertanto la comunicazione in questione sarebbe comunque avvenuta in mancanza di alcun fondamento normativo, come invece stabilito dal comma 3 dell´art. 19 del Codice per i dati diversi da quelli sensibili. Ad ogni modo, la disciplina a cui fare riferimento per un corretto trattamento dei dati in questione è quella indicata dagli artt. 20 e ss. del Codice. Con riferimento a quanto rilevato nel corso dell´istruttoria, il Comune di Civitavecchia, in qualità di titolare del trattamento, ha trattato i dati relativi allo stato di salute degli alunni portatori di handicap e li ha messi a disposizione delle Holding Civitavecchia Service s.r.l. e Ippocrate s.r.l. per l´espletamento dei servizi connessi all´educazione e all´istruzione degli alunni portatori di handicap. Tuttavia, tale operazione di trattamento, non essendo prevista da alcuna norma di legge o di regolamento ai sensi dell´art. 20 del Codice, sarebbe stata lecitamente effettuata solo in presenza delle designazioni delle società esterne come responsabili del trattamento. Risulta accertato che, nel caso di specie, le designazioni, ai sensi dell´art. 29 del Codice, sono state effettuate in data 31 luglio 2015 e 5 novembre 2015, quindi in momenti successivi alle operazioni di trattamento. Quanto alla richiesta del Comune di escludere la sussistenza del dolo o della colpa di cui all´art. 3 della legge n. 689/1981, si osserva come non sia stata addotta alcuna argomentazione utile a sostenere tale tesi difensiva;

RILEVATO, pertanto, che il Comune di Civitavecchia ha omesso di fornire riscontro alle richieste del Garante formulate ai sensi dell´art. 157 del Codice e che, inoltre, ha effettuato una comunicazione di dati idonei a rivelare lo stato di salute in assenza di idonei presupposti normativi, in violazione di quanto disposto dall´art. 20 del Codice;

VISTO l´art. 164 del Codice, che punisce chiunque omette di fornire le informazioni o di esibire i documenti richiesti dal Garante ai sensi dell´art. 157 dello stesso Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro fino a sessantamila euro;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 167, tra cui l´art. 20, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, l´ammontare della sanzione pecuniaria nella misura di euro 20.000,00 (ventimila) per la violazione di cui all´art. 164 del Codice e nella misura di euro 10.000,00 (diecimila) per la violazione di cui all´art. 20, per un ammontare complessivo pari a euro 30.000,00 (trentamila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Antonello Soro;

ORDINA

al Comune di Civitavecchia, con sede in Civitavecchia, Piazzale Pietro Guglielmotti n. 7, C.F. 02700960582, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 30.000,00 (trentamila) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 164 e 162, comma 2-bis, del Codice;

INGIUNGE

al medesimo di pagare la somma di euro 30.000,00 (trentamila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.