IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTA la segnalazione del 6 ottobre 2014 - indirizzata alla scrivente Autorità - con la quale è stato lamentato un trattamento illecito di dati personali da parte del Comune di Magliano Sabina (RI), con sede legale in Magliano Sabina, piazza Garibaldi n. 4, C.F. 00108350570, (d’ora in avanti “il Comune”) in relazione alla comunicazione all’Istituto scolastico “Leo School S.n.c.” di Orte di elenchi anagrafici contenenti dati personali di soggetti nati nelle annualità 1994-95-96;

CONSIDERATO che l’Ufficio del Garante ha avviato un’attività istruttoria finalizzata a verificare la liceità dei trattamenti dei dati personali posti in essere dai soggetti coinvolti nella vicenda oggetto della segnalazione;

VISTA la nota del Dipartimento Libertà Pubbliche e Sanità del Garante prot. n. 1721 del 21 gennaio 2015 di richiesta di elementi informativi al Comune di Magliano Sabina;

VISTA la nota di risposta prot. n. 2321 del 24 febbraio 2015 inviata dal Comune al Garante;

VISTA la nota del Garante prot. n. 6511 del 4 marzo 2015 indirizzata alla segnalante e, per conoscenza, al Comune di Magliano Sabina, concernente la comunicazione dell’esito dell’istruttoria preliminare per cui il Dipartimento Libertà Pubbliche e Sanità del Garante, pur rilevando una comunicazione di dati personali da parte del Comune alla società “Leo School S.n.c.” in assenza del presupposto normativo richiesto dall’art. 19, comma 3, del d.lgs. 30 giugno 2003, n. 196 recante il “Codice in materia di protezione dei dati personali” (d’ora in avanti “Codice”), ha ritenuto - sulla base del disposto degli artt. 11, comma 1, lett. d) e 13, comma 4, del Regolamento n.1/2007 concernente le procedure interne all’Autorità aventi rilevanza esterna - di non intraprendere iniziative per l’adozione di specifici provvedimenti in quanto la condotta tenuta dal Comune risultava aver esaurito i suoi effetti. L’Ufficio ha valutato, altresì, di trasmettere gli atti relativi alla vicenda in questione al Dipartimento Attività Ispettive e Sanzioni per l’eventuale avvio di un procedimento sanzionatorio nei confronti del Comune in relazione alla sussistenza di violazioni amministrative per il trattamento effettuato, nonché per ogni valutazione in ordine al trattamento dei dati personali effettuato dalla società “Leo School s.n.c.” di Orte;

VISTO il verbale n. 12331/95931 del 27 aprile 2015 con cui il Garante ha contestato al Comune di Magliano Sabina (RI), con sede legale in Magliano Sabina, piazza Garibaldi n. 4, C.F. 00108350570, in persona del rappresentante legale pro-tempore, la violazione della disposizione di cui all’art. 19, comma 3, sanzionata dall’art. 162, comma 2-bis, del Codice, per aver effettuato un trattamento illecito di dati personali e, specificamente, la comunicazione di dati personali di cittadini maglianesi nati nelle annualità 1994-95-96 alla società “Leo School S.n.c.” in assenza dei presupposti richiesti dall’art. 19, comma 3, del Codice, nonché ha previsto di applicare l’aggravante di cui all’art. 164-bis, comma 3, del Codice, in ragione dell’elevato numero degli interessati;

RILEVATO che dal rapporto amministrativo prot. n. 27812/95931 del 8 ottobre 2015, predisposto dall’Ufficio del Garante ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689 e riferito al Verbale di contestazione del Garante n. 12331/95931 del 27 aprile 2015, il Comune non ha effettuato il pagamento in misura ridotta di cui all’art. 16 della legge 689/81;

LETTO il verbale di audizione del 18 gennaio 2016, svoltasi ai sensi dell’art. 18 della legge n. 689/1981, con cui il Comune, nel richiedere l’archiviazione del procedimento sanzionatorio e l’annullamento della sanzione di cui al verbale 12331/95931 del 27 aprile 2015, ha prodotto uno scritto difensivo in relazione alla violazione contestata. In tale memoria si ribadisce quanto già rappresentato nella citata nota prot. n. 2321 del 24 febbraio 2015 inviata dal Comune al Garante, per cui la “ (…) comunicazione dei dati alla Leo School, aventi ad oggetto i dati personali di giovani maglianesi (nati negli anni 1994-1996),(è avvenuta) ritenendo il destinatario “altro soggetto pubblico” in virtù dell’accreditamento presso la Regione Umbria, desumibile peraltro dal logo regionale sulla carta intestata dello stesso destinatario”. Ciò “ai sensi e per gli effetti dell’art. 34, co. 1 del D.P.R. n. 223/94, e dell’art. 19 co.2 del D.Lgs. n. 196/2003”. Inoltre, il Comune, richiamando il paragrafo “Il Garante e le pubbliche amministrazioni” della Relazione annuale del Garante del 2 luglio 2008 [doc.web. 1637571 rintracciabile sul sito istituzionale www.garanteprivacy.it ] ha inteso evidenziare che il Garante “ (…) in un proprio precedente orientamento pubblicato sul sito istituzionale aveva riconosciuto “ai soggetti pubblici ivi compresi gli istituti scolastici, su richiesta degli interessati, di fornire, anche a privati e per via telematica, dati relativi agli esiti scolastici degli studenti e altri dati personali non sensibili o giudiziari, pertinenti…..al fine di agevolare l’orientamento, la formazione, l’inserimento professionale” (…)”;

RITENUTO che le argomentazioni addotte dal Comune nello scritto difensivo suddetto non consentono di escludere la responsabilità del Comune.

Infatti, in ordine alla prospettata natura giuridica della società “Leo school S.n.c.” quale “soggetto pubblico” “in virtù dell’accreditamento presso la Regione Umbria, desumibile peraltro dal logo regionale sulla carta intestata dello stesso destinatario” (e) “ai sensi e per gli effetti dell’art. 34, co. 1 del D.P.R. n. 223/1989 e dell’art. 19 co.2 del D.Lgs. n. 196/2003”, come già rappresentato dal Garante al Comune nel corso dei rapporti intercorrenti tra gli stessi soggetti nella vicenda in questione, si ribadisce che non rileva, ai fini della qualificazione pubblicistica dell’istituto scolastico, l’eventuale accreditamento presso la Regione dal momento che l’istituto scolastico “Leo School” è una società di persone (artt. 2291- 2312 c.c.). Inoltre, la normativa anagrafica sopra indicata - richiamata dal Comune in quanto l’art. 19, comma 3, del Codice richiede, quale presupposto legittimante la comunicazione di dati personali da parte di un soggetto pubblico a privati, la sussistenza di una norma di legge o di regolamento - consente la comunicazione di elenchi degli iscritti all’anagrafe solamente nei confronti di “pubbliche amministrazioni” che ne facciano richiesta per motivi di pubblica utilità, tra le quali non è da ricomprendere l’Istituto scolastico “Leo School S.n.c.”.

Quanto all’argomentazione fondata sul richiamato documento “Relazione 2008” del Garante (doc. web n. 1637571 rintracciabile nel sito istituzionale www.garanteprivacy.it ), si fa presente che tale provvedimento risulta inconferente sia in quanto riferito a comunicazione di dati di altro tipo rispetto a quella attinente alla vicenda in questione, in quanto relativa alla trasmissione - da parte di istituti scolastici a soggetti privati - di “esiti scolastici” di studenti, sia perché il Garante ha premesso, al richiamo sopra citato, che tali comunicazioni sono possibili laddove siano contemplate da “specifiche disposizioni legislative”, che, in tal caso non sussistono, atteso che la sopra richiamata normativa anagrafica attiene a comunicazioni di dati personali ad amministrazioni pubbliche e non a soggetti privati, benché accreditati.

VISTO l’art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell’art. 167 e, specificamente, dell’art. 19 medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila a centoventimila euro;

RILEVATO, pertanto, che il Comune di Magliano Sabina, in qualità di titolare del trattamento dei dati personali comunicati alla Società “Leo School S.n.c.” in assenza del presupposto normativo legittimante, richiesto dall’art. 19, comma 3, del Codice, ha effettuato un trattamento illecito di dati personali;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che nel verbale di contestazione è stata prevista l’applicazione dell’aggravante di cui all’art. 164-bis, comma 3, del Codice per la prospettata ricorrenza dell’elemento riguardante l’elevato numero degli interessati dalla violazione;

CONSIDERATO, tuttavia, che la violazione oggetto di contestazione non rientra tra i casi di maggiore gravità di cui al citato art. 164-bis, comma 3, del Codice poiché la finalità connessa all’avvenuta comunicazione, dal parte del Comune di Magliano Sabina, di dati personali di cittadini maglianesi nati nelle annualità 1994-95-96 alla società “Leo School S.n.c.” è riconducibile all’espletamento di un progetto formativo sostenuto dalla Regione Umbria;

RITENUTO, pertanto, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, applicando l’art. 162, comma 2-bis, del Codice per la violazione di una delle disposizioni indicate nell’art.167 del Codice medesimo e, specificamente, dell’art. 19, comma 3 del medesimo Codice per l’importo minimo pari a euro 10.000,00;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

al Comune di Magliano Sabina (RI), in persona del legale rappresentante pro-tempore, con sede legale in Magliano Sabina (RI), piazza Garibaldi n. 4 – C.F. 00108350570 di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

al medesimo Comune di pagare la somma di euro 10.000,00 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.