IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTA la legge n. 689/1981 e successive modificazioni e integrazioni e, in particolare, l’art. 1, comma 2, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

VISTO il reclamo pervenuto a questa Autorità in data 26 ottobre 2017 con il quale si lamentava un trattamento illecito di dati personali da parte dell’Istituto Statale di Istruzione Superiore “Guglielmo Marconi” (d’ora innanzi “Istituto”) con sede legale in Viareggio, Via Trieste n. 25, per aver pubblicato, sul sito web istituzionale, graduatorie relative al personale docente contenenti dati idonei a rivelare lo stato di salute degli interessati;

VISTA la nota di richiesta di informazioni a firma del Dipartimento Libertà Pubbliche e Sanità prot. n. 0040200 del 21 dicembre 2017, indirizzata all'Istituto e in relazione alla quale nota quest’ultimo non ha fornito riscontro entro il previsto termine del 22 gennaio 2018;

VISTA l’ulteriore nota prot. n. 13736/121508, datata 10 maggio 2018, con la quale il Garante ha richiesto all’Istituto informazioni ai sensi dell’art. 157 del D.lg. 196/2003 recante il “Codice in materia di protezione dei dati personali” (d’ora in avanti “Codice”);

VISTA la nota di risposta al Garante prot. 4425/C7-d del 15 maggio 2018 con la quale l'Istituto ha riferito che “(…) la graduatoria docenti di 2^ fascia d’Istituto decreto n. 1977 pubblicata in data 25/09/2017 sul sito del nostro Istituto per mero errore materiale conteneva informazioni relative anche allo stato di salute degli interessati. A seguito della segnalazione del docente interessato, tali informazioni sono state immediatamente eliminate dal sito (nella stessa giornata della segnalazione);

VISTA la nota del Dipartimento Libertà Pubbliche e Sanità prot. n.15872/121508 del 24 maggio 2018 con la quale il Garante, accertato sulla base delle dichiarazioni e della documentazione forniti, un trattamento illecito di dati personali da parte dell’Istituto per aver diffuso, attraverso la pubblicazione sul sito web istituzionale di graduatorie riguardanti il personale docente, dati idonei a rivelare lo stato di salute di tale personale in violazione dell’art. 22, comma 8, del Codice (ciò, a mezzo dell’annotazione accanto ai nominativi interessati, della lettera “S” quale titolo di preferenza indicatore della categoria degli “invalidi e mutilati civili" ai sensi del Decreto MIUR 1 aprile 2014, allegato 6 relativo ai “codici preferenze”), a conclusione del procedimento istruttorio, ha comunicato all’Istituto di non aver ravvisato - pur a fronte della condotta illecita posta in essere - gli estremi per promuovere l'adozione di un provvedimento prescrittivo o inibitorio del Collegio, ai sensi dell'art. 11, comma 1, lettera d e 13, comma 4, del regolamento interno n. 1/2007 del 14 dicembre 2007 (doc. web n. 1477480 rintracciabile in www.garanteprivacy.it); ciò, in considerazione del fatto che tale condotta aveva esaurito i suoi effetti, non risultando più consultabili sul sito web dell'Istituto le graduatorie contenenti i dati idonei a rivelare lo stato di salute dei docenti. L’Ufficio, inoltre, ha comunicato che, sulla base degli atti dell'istruttoria, in relazione alla suddetta riscontrata condotta non conforme alla disciplina applicabile al momento della segnalazione, si riservava, comunque di “(…) verificare i presupposti per contestare la relativa violazione amministrativa prevista dall’art. 162, comma 2 bis, del Codice, in relazione all’art. 22, comma 8”) con un eventuale autonomo procedimento sanzionatorio";

VISTA la nota prot. n. 16080/121508 del 25 maggio 2018 con cui il Dipartimento Libertà Pubbliche e Sanità ha trasmesso gli atti al Dipartimento Attività Ispettive affinché valutasse i presupposti per l'applicazione della sanzione amministrativa di cui all'articolo 162, comma 2-bis, in relazione alla avvenuta diffusione di dati idonei a rivelare lo stato di salute del personale docente dell’Istituto espressamente vietata dall’art. 22, comma 8, del Codice;

VISTO l'atto prot. n. 21314/121508 del 16 luglio 2018 con cui il Garante ha contestato all’Istituto Statale di Istruzione Superiore “Guglielmo Marconi”, con sede legale in Viareggio, la violazione della disposizione di cui all'articolo 22, comma 8, del Codice sanzionata dall'articolo 162, comma 2-bis del medesimo Codice, per aver trattato illecitamente i dati idonei a rivelare lo stato di salute del personale docente dell’Istituto mediante l’accertata affissione sul sito web istituzionale di graduatorie recanti l’annotazione, accanto ai nominativi interessati, della lettera “S” quale titolo di preferenza indicatore della categoria degli “invalidi e mutilati civili" ai sensi del Decreto MIUR 1 aprile 2014, allegato 6, relativo ai “codici preferenze”;

RILEVATO che dal rapporto amministrativo prot. n. 30816/121508 del 18 ottobre 2018, predisposto dall’Ufficio del Garante ai sensi dell’art. 17 della legge 24 novembre 1981 n. 689, non risulta essere stato effettuato il pagamento in misura ridotta di cui all’art. 16 della legge 689/81;

VISTA la memoria difensiva, presentata, con nota prot. n. 6416C7 del 10 agosto 2018, ai sensi dell'articolo 16 della legge 24 novembre 1981 n. 689, con la quale l’Istituto ha posto in luce di aver agito in completa buona fede in quanto ha mal interpretato gli indirizzi impartiti dal Garante con Deliberazione n. 17 del 19 aprile 2007 recante le “Linee guida in materia di trattamento di dati personali per finalità di pubblicazione e diffusione di atti e documenti di enti locali” pubblicata in G.U n. 120 il 25 maggio 2007 (doc web n. 1407101 rintracciabile in www.gpdp.it ), in particolare, i punti 10.2 “Procedure concorsuali e graduatorie” e 10.2.1 “Concorsi pubblici” contenuti in tale documento. A tale proposito la parte ha, infatti, evidenziato che “ (…) in buona sostanza, come già comunicato dall’Istituto, si è trattato di un mero errore materiale, nel senso che l’agente ha preso un abbaglio nell’applicazione concreta del dato ermeneutico fornito dall’Autorità di riferimento, senza la benché minima intenzione di ledere i diritti dell’interessato.”.
In chiusura, l’Istituto, formulata la richiesta di audizione presso il Garante, in relazione alla sanzione di cui all’articolo 162, comma 2-bis, ha chiesto, in via principale, l’archiviazione dell'atto di contestazione prot. n. 21314/121508 del 16 luglio 2018 e, in via subordinata, l’applicazione dell’importo minimo edittale della medesima sanzione;

VISTO il verbale di audizione delle parti avvenuta in data 20 novembre 2018 con cui l’Istituto di Istruzione, nel richiamare integralmente le memorie difensive già presentate, ha sottolineato che “ (…) la pubblicazione è avvenuta per un tempo estremamente ridotto in quanto, a seguito del reclamo dell’interessato, si è immediatamente provveduto alla modifica del testo e alla sua nuova pubblicazione”;

RITENUTO che le argomentazioni addotte dall’Istituto non permettono di escluderne la responsabilità.

Infatti, con riferimento alla invocata buona fede dell’Istituto determinata dall’aver mal interpretato gli indirizzi impartiti dal Garante con la citata Deliberazione n. 17 del 19 aprile 2007 recante le “Linee guida in materia di trattamento di dati personali per finalità di pubblicazione e diffusione di atti e documenti di enti locali” e, in particolare, i punti 10.2 “Procedure concorsuali e graduatorie” e 10.2.1 “Concorsi pubblici” contenuti in tale documento, si fa presente che, secondo consolidata giurisprudenza (Cass. Civ. sez. I del 21 febbraio 1995 n. 1873; Cass. Civ. sez II del 13 marzo 2006, n. 5426) è necessario che tale buona fede o, nei termini di cui all’art. 3 della legge 689/1981, l’errore, affinché siano scusabili, si fondino su un elemento positivo, estraneo all’agente e idoneo a determinare in lui la convinzione della liceità del suo comportamento. Tale elemento positivo deve risultare non ovviabile dall’interessato con l’uso dell’ordinaria diligenza. L’Istituto, in qualità di titolare del trattamento, era tenuto, diligentemente, a conoscere e a provvedere agli adempimenti richiesti dalla normativa applicabile nella materia di cui si tratta, anche in ragione del fatto che, in relazione allo svolgimento delle ordinarie funzioni istituzionali era tenuto a informarsi sulle norme applicabili e, con riferimento a tale vicenda, soprattutto sulla relativa interpretazione. L’Istituto avrebbe, infatti, dovuto principalmente conoscere e osservare il divieto di diffusione di dati sensibili posto dalla legge attraverso la disposizione normativa contenuta nel citato art.22, comma 8, del Codice, al di la degli indirizzi impartiti dal Garante nel 2007 con il documento recante le Linee guida sopra citate;

RILEVATO che, sulla base delle considerazioni sopra richiamate, l’Istituto, in persona del rappresentante legale pro-tempore, in qualità di titolare del trattamento ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, risulta aver commesso la violazione della disposizione di cui all’art. 22, comma 8, del Codice sanzionata dall’art. 162, comma 2-bis, del Codice medesimo, per aver effettuato un trattamento illecito di dati personali mediante la diffusione di dati idonei a rivelare lo stato di salute del personale docente sul sito web istituzionale, come sopra specificato;

VISTO l’art. 162, comma 2-bis del Codice, che punisce le violazioni indicate nell’art. 167, tra cui la violazione relativa all’art. 22, comma 8, del medesimo Codice con la sanzione amministrativa del pagamento di una somma da euro 10.000,00 (diecimila) a euro 120.000,00 (centoventimila);

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RILEVATO, con riferimento all’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, quanto dichiarato in atti dal titolare, secondo cui “A seguito della segnalazione del docente interessato, tali informazioni sono state immediatamente eliminate dal sito (nella stessa giornata della segnalazione)”;

RILEVATO, quanto alla gravità della condotta, che dall’istruttoria è emerso che all’illiceità del trattamento si perviene solo attraverso un’operazione di abbinamento tra la lettera “S” indicata in graduatoria e il Decreto del Ministero dell’Istruzione Università e Ricerca del 1 aprile 2014, n.235 che riconduce tale lettera alla categoria “invalidi civili”;

RILEVATO, quanto alla personalità del contravventore ed alle sue condizione economiche, che si tratta di un istituto pubblico scolastico che svolge importanti attività istituzionali in condizioni economiche di modestissime entità;

RITENUTO, quindi, in ragione dei suddetti elementi valutati nel loro complesso, di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria prevista dall’art. 162, comma 2-bis del Codice, nella misura minima di euro 4.000,00 (quattromila) per la violazione dell’art. 22, comma 8, del medesimo Codice, applicata in combinato disposto con l’art. 164-bis, comma 1, del medesimo Codice;

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

all’Istituto Statale di Istruzione Superiore “Guglielmo Marconi” con sede legale in Viareggio, Via Trieste n. 25, di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per la violazione della disposizione di cui all'articolo 22, comma 8, del Codice sanzionata dall'articolo 162, comma 2-bis del medesimo Codice, indicata in motivazione;

INGIUNGE

al medesimo Istituto di pagare la somma di euro 4.000,00 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.