IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni;

VISTO l’art. 1, comma 2, della legge sopra citata, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

VISTA la segnalazione anonima del 11 novembre 2017 riguardante la pubblicazione sul sito web istituzionale dell'Istituto d'Istruzione superiore “Andrea Mantegna” sito in Brescia, Via Fura 96, (di seguito l’”Istituto”) di alcune graduatorie concernenti il personale docente, contenenti, tra gli altri dati personali, come il codice fiscale, anche dati idonei a rivelare lo stato di salute degli interessati;

VISTA la nota di richiesta di informazioni a firma del Dipartimento Libertà Pubbliche e Sanità prot. n. 0005754 del 19 febbraio 2018, indirizzata all'Istituto;

VISTA la nota di risposta inviata al Garante in data 13 marzo 2018, con cui l'Istituto ha riferito che al momento della ricezione della sopra citata nota del Garante del 19 febbraio 2018 “ (…) le suddette graduatorie non erano già più consultabili sul sito web dell'Istituto (…)”; infatti, “ (…) le graduatorie provvisorie di 2^ e 3^ fascia del personale docente aa.ss. 2017/2020 sono state effettivamente pubblicate sul sito dell'Istituto in data 21 agosto 2017, ma in data 2 febbraio 2018, a seguito della comunicazione del UST di remissione delle graduatorie dovute ad alcune rettifiche, le stesse sono state sostituite dalle definitive corrette, attualmente disponibili per la consultazione online (…)”. Inoltre, il fatto che il file pubblicato contenesse “ (…) l'indicazione, tra le preferenze, della lettera S categoria mutilati e invalidi civili (…) è frutto di un mero errore materiale dell’addetto amministrativo che ha fornito il file al docente che lo ha pubblicato sul sito web dell'Istituto (…)”;

VISTA la nota del Dipartimento Libertà Pubbliche e Sanità prot. n.15841/122219 del 24 maggio 2018 con la quale il Garante, accertata la sussistenza di un trattamento illecito di dati personali effettuato dall’Istituto con la diffusione, attraverso la pubblicazione sul sito web istituzionale, di dati idonei a rivelare lo stato di salute del personale docente, a conclusione del procedimento istruttorio ha comunicato all’Istituto che, pur avendo riscontrato una condotta non conforme alla disciplina sulla protezione dei dati personali, non ha, tuttavia, ravvisato gli estremi per promuovere l'adozione di un provvedimento prescrittivo o inibitorio del Collegio, ai sensi dell'art. 11, comma 1, lettera d e 13, comma 4, del regolamento interno n. 1/2007 del 14 dicembre 2007 (doc. web n. 1477480 rintracciabile in www.garanteprivacy.it); ciò, in considerazione del fatto che tale condotta aveva esaurito i suoi effetti non risultando più accessibili sul sito web dell'Istituto le graduatorie contenenti i dati idonei a rivelare lo stato di salute dei docenti e fermo restando che l'Ufficio, sulla base degli atti dell'istruttoria, in relazione alla suddetta riscontrata condotta non conforme alla disciplina applicabile al momento della segnalazione, si riservava, comunque, “(…) di verificare i presupposti per contestare la relativa violazione amministrativa con un eventuale autonomo procedimento sanzionatorio";

VISTA la nota prot. n. 16123/122219 del 28 maggio 2018 con cui il Dipartimento Libertà Pubbliche e Sanità ha trasmesso gli atti al Dipartimento Attività Ispettive affinché valutasse i presupposti per l'applicazione della sanzione amministrativa di cui all'articolo 162, comma 2-bis, del D.lgs. 196/2003 recante il “Codice in materia di protezione dei dati personali” (d’ora in avanti “Codice”) in relazione alla avvenuta diffusione di dati idonei a rivelare lo stato di salute del personale docente dell’Istituto;

VISTO l'atto di contestazione prot. n. 21318/122219 del 16 luglio 2018 con cui il Garante ha contestato all’Istituto Scolastico Superiore “Andrea Mantegna”, con sede legale in Brescia, la violazione della disposizione di cui all'articolo 22, comma 8, del Codice sanzionata dall'articolo 162, comma 2-bis del medesimo Codice, per aver diffuso dati idonei a rivelare lo stato di salute del personale docente dell’Istituto a mezzo del sito web istituzionale e ponendo in essere, in tal modo, un trattamento illecito di dati personali;

RILEVATO che dal rapporto amministrativo prot. n. 30823/122219 del 18 ottobre 2018, predisposto dall’Ufficio del Garante ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689, non risulta essere stato effettuato il pagamento in misura ridotta di cui all’art. 16 della legge 689/81;

VISTA la memoria difensiva, presentata ai sensi dell'articolo 16 della legge 24 novembre 1981 n. 689, con cui l’Istituto ha posto in luce che la pubblicazione sul sito istituzionale del file relativo alle graduatorie provvisorie di 2^ e di 3^ fascia del personale docente per gli anni scolastici 2017/2020, contenente il codice fiscale degli insegnanti e le indicazioni tra le preferenze della lettera S, “(…) è senza dubbio l'esito di un mero errore materiale e il frutto di un’isolata concatenazione di sfortunate coincidenze (…)” determinate dall’assenza, per ferie, del personale amministrativo addetto a questo tipo di pubblicazioni. L’Istituto ha anche evidenziato come tale vicenda sia scaturita da una segnalazione restata anonima e, quindi, non tanto finalizzata a lamentare un trattamento illecito di dati personali, ma a danneggiare l'immagine dell'Istituto. In ultimo, la parte ha tenuto anche ad evidenziare come si sia adoperata tempestivamente, ancor prima dei rilievi sollevati dal Garante, per rimuovere l'inadempienza, ponendo in essere tutte le azioni utili a impedire il ripetersi della “ (…) sfortunata circostanza (…)”.

VISTO il verbale di audizione delle parti avvenuta in data 30 ottobre 2018 con cui l’Istituto di Istruzione, nel richiamare integralmente le memorie difensive già presentate, ha anche sottolineato come “ (…) il collegamento riscontrato attivo dal Garante fosse in realtà inaccessibile da soggetti terzi che non fossero informati esattamente del link da individuare (…)” sul sito, nonché evidenziata la celerità adoperata nel sanare la criticità in questione ancor prima degli accertamenti effettuati e dei rilievi mossi dal Garante;

RITENUTO che le argomentazioni addotte dall’Istituto non sono idonee ad accogliere le richieste formulate nella memoria difensiva.

Infatti, con riferimento all’ “(…) errore materiale (e la) concatenazione di sfortunate coincidenze (…)” implicanti la buona fede dell’Istituto, si fa presente che secondo consolidata giurisprudenza è necessario che tale buona fede o, nei termini di cui all’art. 3 della legge 689/1981, l’errore, affinché sia scusabile, si fondi su un elemento positivo, estraneo all’agente e idoneo a determinare in lui la convinzione della liceità del suo comportamento. Tale elemento positivo deve risultare non ovviabile dall’interessato con l’uso dell’ordinaria diligenza. L’Istituto, in qualità di titolare del trattamento, era tenuto, diligentemente, a conoscere e a provvedere agli adempimenti richiesti dalla normativa applicabile nella materia di cui si tratta, anche in ragione del fatto che, in relazione allo svolgimento delle ordinarie funzioni istituzionali era tenuta a informarsi sulle norme applicabili e sulla relativa interpretazione.

RILEVATO che, sulla base delle considerazioni sopra richiamate, l’Istituto, in persona del rappresentante legale pro-tempore, in qualità di titolare del trattamento ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, risulta aver commesso la violazione della disposizione di cui all’art. 22, comma 8, del Codice sanzionata dall’art. 162, comma 2-bis, del Codice medesimo, per aver effettuato un trattamento illecito di dati personali mediante la diffusione di dati idonei a rivelare lo stato di salute del personale docente sul sito web istituzionale, come sopra specificato;

VISTO l’art. 162, comma 2-bis del Codice, che punisce le violazioni indicate nell’art. 167, tra cui la violazione relativa all’art. 22, comma 8, del medesimo Codice con la sanzione amministrativa del pagamento di una somma da euro 10.000,00 (diecimila) a euro 120.000,00 (centoventimila);

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tener conto, ai sensi dell’art. 11 della legge 24 novembre 1981, n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RILEVATO che l’Istituto, nella memoria difensiva del 13 agosto 2018, ha dichiarato di essersi “adoperato tempestivamente” ancor prima dei rilievi sollevati dal Garante per rimuovere l’inadempienza;

RILEVATO inoltre, quanto alla gravità della condotta, che all’illiceità del trattamento si perviene solo attraverso un’operazione di abbinamento tra la lettera “S” indicata in graduatoria e il Decreto del Ministero dell’Istruzione Università e Ricerca del 1° aprile 2014, n. 235 che riconduce tale lettera alla categoria “invalidi civili”;

CONSIDERATO, quanto alla personalità del contravventore ed alle sue condizioni economiche, che si tratta di un istituto pubblico scolastico che svolge importanti attività istituzionali in condizioni economiche di modestissima entità;

RITENUTO che, per tali motivi, il caso di specie può essere ricondotto, nonostante la particolare natura dei dati trattati, all’ipotesi di minore gravità di cui all’articolo 164-bis, comma 1, del Codice e che pertanto l’ammontare della sanzione pecuniaria prevista dall’art. 162, comma 2-bis del Codice deve essere quantificato nella misura minima di euro 4.000,00 (quattromila) per la violazione dell’art. 22, comma 8, del medesimo Codice;

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

all’Istituto Scolastico Superiore “Andrea Mantegna”, con sede legale in Brescia, di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per la violazione della disposizione di cui all'articolo 22, comma 8, del Codice sanzionata dall'articolo 162, comma 2-bis del medesimo Codice, per aver diffuso dati idonei a rivelare lo stato di salute del personale docente dell’Istituto a mezzo del sito web istituzionale e ponendo in essere, in tal modo, un trattamento illecito di dati personali;

INGIUNGE

al medesimo Istituto di pagare la somma di euro 4.000,00 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.