[doc. web n. 9686899]

Ordinanza ingiunzione nei confronti di Ministero dell’Istruzione, Ufficio Scolastico Regionale per la Campania Ufficio VI - Ambito Territoriale Di Napoli - 29 aprile 2021

Registro dei provvedimenti
n. 172 del 29 aprile 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “RGPD”);

VISTO il d. lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

Relatore l’avv. Guido Scorza;

PREMESSO

1. Introduzione.

L’Autorità ha ricevuto un reclamo in ordine alla diffusione, sul sito web istituzionale dell’Ufficio Scolastico Regionale per la Campania - Ufficio VI - Ambito Territoriale di Napoli, di una nota (XX del XX) avente ad oggetto “XX” contenente informazioni personali anche relative alle esperienze professionali della reclamante.

2. L’attività istruttoria.

Dall’istruttoria preliminare effettuata dal Dipartimento in data XX è emerso che il  documento oggetto del reclamo risultava visibile e liberamente scaricabile all’url:  http://www.csa.napoli.bdp.it/..., accessibile dalla pagina http://www.csa.napoli.bdp.it/... del sito web dell’Ufficio scolastico.

Al riguardo, l’Ufficio Scolastico Regionale per la Campania- Ufficio VI - Ambito Territoriale di Napoli, ha fornito riscontro alla richiesta di informazioni dell’Autorità (nota prot. n. XX del XX) con la nota del XX (prot. n. XX).

Nello specifico, la dott.ssa XX, Dirigente del richiamato Ufficio, con dichiarazione della cui veridicità risponde penalmente ai sensi dell’art. 168 del Codice, ha rappresentato che:

- l’Ufficio “è tenuto a pubblicare per la Legge sulla trasparenza numerosi provvedimenti riguardanti graduatorie in cui sono inseriti un notevole numero di docenti, tra cui la prof. XX per la XX (XX). Considerato che la prof. XX ritiene che non sia stata rispettata la privacy, lo Scrivente ha immediatamente fatto rimuovere dal sito web il citato provvedimento.”

3. Normativa applicabile.

Ai sensi del Regolamento europeo, divenuto applicabile dal 25 maggio 2018, “dato personale” è “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)” (art. 4, par. 1, n. 1, del Regolamento). Inoltre, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (ibidem).

Il trattamento di dati personali effettuato da soggetti pubblici, anche quando operano nell’ambito di procedure concorsuali e selettive del personale, è lecito, solo se tale trattamento è necessario «per adempiere un obbligo legale al quale è soggetto il titolare del trattamento» oppure «per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento» (art. 6, par. 1, lett. c) ed e)).

La normativa europea prevede inoltre che “Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto (…)” con la conseguenza che, al caso di specie, risulta applicabile la disposizione contenuta nell’art. 2-ter del Codice, in base al quale l’operazione di diffusione di dati personali (come la pubblicazione in Internet), in ambito pubblico è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento.

In tale quadro, il trattamento dei dati personali deve avvenire nel rispetto dei principi indicati nell’art. 5 del Regolamento, fra cui quelli di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, secondo i quali i dati personali devono essere – rispettivamente – “trattati in modo lecito, corretto e trasparente nei confronti dell'interessato” nonché “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (par. 1, lett. a) e c)).

4. Valutazioni preliminari dell’Ufficio sul trattamento di dati personali effettuato.

Dall’accertamento compiuto sulla base degli elementi acquisiti anche attraverso la documentazione inviata dall’amministrazione scolastica e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, l’Ufficio ha ritenuto che l’Ambito Territoriale di Napoli pubblicando sul sito web istituzionale, all’url: http://www.csa.napoli.bdp.it/..., accessibile dalla pagina: http://www.csa.napoli.bdp.it/... del sito web, il richiamato documento contenente informazioni personali riguardanti la reclamante - in assenza di un idoneo presupposto normativo per la pubblicazione di tali informazioni ai sensi dell’art. 6 del Regolamento e dell’art. 2-ter del Codice che invece ammettono la predetta possibilità da parte di soggetti pubblici solo quando la diffusione è prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento - ha determinato un’indebita diffusione di dati personali.

Pertanto, si è proceduto alla notifica delle violazioni effettuate, prevista dall’art. 166, comma 5, del Codice  comunicando l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articolo 58, paragrafo 2, del Regolamento e invitando l’amministrazione scolastica a inviare al Garante scritti difensivi o documenti ed, eventualmente, a chiedere di essere sentita dall’Autorità, entro il termine di 30 giorni (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

In particolare l’Ufficio ha ritenuto che la pubblicazione del predetto documento sia avvenuta in violazione della normativa a tutela dei dati personali, determinando un trattamento di dati personali:

a) non conforme ai principi di “liceità, correttezza e trasparenza” e di “responsabilizzazione”, in violazione dell’art. 5, parr. 1, lett. a) e 2, del Regolamento;

b) in assenza di un presupposto di liceità per la pubblicazione di informazioni personali riferite alla reclamante, in violazione dell’art. 6 del Regolamento e dell’art.  2-ter, commi 1 e 3, del Codice.

5.  Esito dell’istruttoria relativa al reclamo presentato.

Con nota del XX (prot. n. XX) il Ministero dell’Istruzione, dell’Università e della Ricerca, Dipartimento per il sistema educativo di istruzione e di formazione ha fatto pervenire le considerazioni formulate dall’Ufficio VI dell’Ambito territoriale di Napoli. In particolare il dirigente del predetto Ufficio VI, ha specificato che:

- “In data XX con nota prot. XX (…), quest’ufficio disponeva la pubblicazione, sul sito web, dell’esito della richiesta di riesame (della reclamante), presentata in seguito all’esclusione dalle graduatorie di terza fascia d’istituto della XX. Si è ritenuto che la pubblicazione del documento sopra richiamato, così come previsto dall’art. 2 ter del codice in materia di protezione dei dati personali (D.lgs 196/03), fosse necessaria per lo svolgimento di compiti di interesse pubblico e di funzioni istituzionali, e dalla necessità di far conoscere la legittimità e la correttezza dell’azione amministrativa nella maniera più ampia e capillare possibile, per le ragioni che meglio si specificheranno di seguito”.

- “I presupposti legislativi e regolamentari alla luce dei quali si riteneva consentita la diffusione dei dati in esame sono rinvenibili nella normativa che disciplina le procedure concorsuali e, più in generale, le procedure finalizzate all’instaurazione di rapporti contrattuali come la formazione delle graduatorie per il conferimento delle supplenze: il DPR 487/94 art.15 co.5, il D.lgs 165/01 art. 35, co. 3, lett. a e b nonché le “Linee guida in materia di trattamento dei dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico del 14 giugno 2007”.

- “La reclamante “aveva presentato richiesta di inserimento nella seconda fascia di istituto per la XX, alla quale – com’è noto – si accede con la specifica abilitazione all’insegnamento. La scuola capofila, (…), cui l’istanza era stata presentata, l’aveva inserita con decreto solo cartaceo, senza controllare la veridicità delle dichiarazioni rese in autocertificazione”.

- “La dott.ssa era quindi stata contrattualizzata sulla base di tale inserimento dall’XX, in qualità di docente di secondo grado XX. All’atto dell’assunzione la D.S. del XX aveva chiesto alla scuola capofila il dovuto controllo dei titoli; la dott.ssa, risultata priva dell’abilitazione prescritta, era stata licenziata”

- “Avverso il licenziamento la dott.ssa XX aveva proposto appello al Giudice del Lavoro, XX, risultando soccombente come da decreto di rigetto n. XX del XX”.

- La reclamante “aveva quindi chiesto l’inserimento nella terza fascia di istituto per la (propria) classe di concorso a cui si accede con qualsiasi laurea purché congiunta a titoli professionali valutati da apposita commissione istituita presso gli USR (DPR 19/2016 e ss.mm.ii.). La Commissione aveva ritenuto tali titoli professionali non idonei all’inserimento e pertanto la dott.ssa, esclusa dalle graduatorie di terza fascia, aveva impugnato tale esclusione presentando richiesta di riesame”.

- “Allo stesso tempo alle istituzioni scolastiche di Napoli e provincia pervenivano dalla dott.ssa richieste di accesso agli atti, diffide al proprio inserimento nella terza fascia degli istituti, nonché ricorsi su presunte violazioni di legge. I Dirigenti scolastici interessati, quindi, richiedevano pressantemente a questo ufficio supporto in merito”.

- “Questo ufficio alla luce delle numerose richieste, considerato l’opportuno contemperamento degli interessi coinvolti, procedeva alla pubblicazione dell’esito della richiesta di riesame (della reclamante). Ciò al fine di dare la massima diffusione al provvedimento adottato, in considerazione che l’inserimento nella terza fascia di istituto è procedura demandata alle istituzioni scolastiche anche su messa a disposizione in tutto il territorio nazionale e non gestita in maniera centralizzata. Occorreva quindi evitare un illegittimo inserimento in graduatoria (…) che avrebbe determinato lesione dei diritti dei terzi interessati”.

- “La diffusione sul sito web dell’ufficio è stata dunque necessitata da precise norme di legge ed in relazione ad esigenze di tutela degli interessati coinvolti (Istituzioni scolastiche, aspiranti aventi titolo) difficilmente raggiungibili singolarmente. Trattandosi quindi di un numero di destinatari consistente, indeterminato e indeterminabile a priori, quest’ufficio è stato necessitato a pubblicare la comunicazione su sito web. È di tutta evidenza che tale pubblicazione rispondeva alla finalità di dirimere ogni controversia sulla valutazione dei titoli ed era altresì dettata dalla necessità di uniformità della gestione della procedura sul territorio provinciale a tutela del buon andamento dell’amministrazione e della qualità del servizio erogato agli studenti”.

- “Per le stesse ragioni il provvedimento è stato pubblicato comprensivo delle motivazioni (…).

- “Riguardo poi al tempo di permanenza sul sito, si precisa che esso è stato limitato all’ambito temporale strettamente necessario al raggiungimento dello scopo (la verifica da parte delle scuole, all’inizio dell’anno scolastico successivo, degli aspiranti aventi titolo al legittimo inserimento in graduatoria) e che alla data del 19.10.19 – come da nota prot. XX di risposta dell’ufficio VI al Garante - il provvedimento in discorso era già stato cancellato dal sito (il già citato allegato 3”).

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento negli scritti difensivi ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si evidenzia infatti che affinché uno specifico trattamento di dati personali possa essere lecitamente effettuato da parte di un soggetto pubblico, tale trattamento deve essere necessario per l’adempimento di un obbligo legale da parte del titolare del trattamento o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri e deve trovare il proprio fondamento in una disposizione che abbia le caratteristiche di cui all’art. 2-ter del Codice.

La normativa richiamata dall’Ufficio scolastico regionale dispone la pubblicazione delle “graduatorie dei vincitori dei concorsi (…) nel Bollettino ufficiale della Presidenza del Consiglio dei Ministri o dell'amministrazione interessata (art. 15, comma 5, del decreto del Presidente della Repubblica, 9 maggio 1994, n. 487) e che le procedure di reclutamento nelle pubbliche amministrazioni si svolgano nel rispetto dei principi di “adeguata pubblicità della selezione e modalità di svolgimento” e mediante l’“adozione di meccanismi oggettivi e trasparenti, idonei a verificare il possesso dei requisiti attitudinali e professionali richiesti in relazione alla posizione da ricoprire” (art. 35, comma 3, del D.Lgs. 30/03/2001, n. 165) e non può pertanto costituire una base giuridica idonea a legittimare la pubblicazione, da parte dell’ufficio scolastico, dell’esito dell’istanza di riesame avanzata dalla reclamante avverso le graduatorie di terza fascia d’istituto.

Analogamente, risultano contestabili le ulteriori motivazioni addotte dall’Ufficio scolastico in base alle quali la pubblicazione della richiamata documentazione sarebbe stata “necessaria per lo svolgimento di compiti di interesse pubblico e di funzioni istituzionali” e dettata da “esigenze di tutela degli interessati coinvolti (Istituzioni scolastiche, aspiranti aventi titolo) difficilmente raggiungibili singolarmente” e “rispondeva alla finalità di dirimere ogni controversia sulla valutazione dei titoli ed era altresì dettata dalla necessità di uniformità della gestione della procedura sul territorio provinciale a tutela del buon andamento dell’amministrazione e della qualità del servizio erogato agli studenti”, ben potendo tale eventuale obiettivo, essere perseguito, conformemente alle disposizioni vigenti, con modalità meno invasive per il diritto alla riservatezza dell’interessata.

Si rappresenta pertanto che la pubblicazione in esame non può ritenersi autorizzata in quanto non risulta necessaria “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento”  o “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e), del Regolamento) e si rileva l’illiceità del trattamento di dati personali effettuato dal predetto ufficio per aver diffuso, tramite la pubblicazione sul sito web istituzionale, del richiamato documento, informazioni personali riguardanti l’interessata, in assenza di un idoneo presupposto normativo per la pubblicazione di tali informazioni, determinando in tal modo un’indebita diffusione di dati personali.

Tale pubblicazione è avvenuta in violazione della normativa a tutela dei dati personali e, specificamente:

a) in violazione dei principi di “liceità, correttezza e trasparenza” e di “responsabilizzazione”, in violazione dell’art. 5, parr. 1, lett. a) e 2 del Regolamento “;

b) in assenza di un presupposto di liceità per la pubblicazione di informazioni personali riferite alla reclamante, in violazione dell’art. 6 del Regolamento e dell’art.  2-ter, commi 1 e 3, del Codice;

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che il richiamato ufficio ha dichiarato di aver provveduto a rimuovere il documento dal sito web, non ricorrono i presupposti per l’adozione di misure correttive, di cui all’art. 58, par. 2, del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo e art. 166, comma 2, del Codice.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stato considerato che la rilevata condotta, tenuta in violazione della disciplina in materia di protezione dei dati personali, ha avuto a oggetto la diffusione dei dati personali relativi alla attività lavorativa prestata dall’interessata che sono stati diffusi in assenza di un idoneo presupposto per la pubblicazione. Si è tenuto, altresì, conto del lasso di tempo in cui i dati personali del reclamante sono stati oggetto di diffusione (circa 4 mesi)

Di contro, si è tenuto in considerazione che l’episodio è stato determinato da un comportamento colposo dovuto alla errata convinzione che la pubblicazione dei richiamati dati personali fosse dettata “da precise norme di legge” e da “esigenze di tutela degli interessati coinvolti difficilmente raggiungibili singolarmente” e  “rispondeva alla finalità di dirimere ogni controversia sulla valutazione dei titoli ed era altresì dettata dalla necessità di uniformità della gestione della procedura sul territorio provinciale a tutela del buon andamento dell’amministrazione e della qualità del servizio erogato agli studenti”.

L’amministrazione scolastica inoltre si è attivata per rimuovere i dati oggetto del reclamo non appena ha avuto contezza della violazione e ha collaborato con l’Autorità nel corso dell’istruttoria del presente procedimento al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi. Non risultano, inoltre, eventuali precedenti violazioni pertinenti commesse dal richiamato ufficio.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di dover determinare l’ammontare della sanzione pecuniaria, nella misura di euro 4.000,00 (quattromila) per la violazione degli gli artt. 5, par. 1, lett. a) e par. 2 e 6, par. 1, lett. c) ed e) e 2 e 3, lett. b) del Regolamento, nonché 2-ter, commi 1 e 3 del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, paragrafo 1, del Regolamento, effettiva, proporzionata e dissuasiva.

In relazione alle specifiche circostanze del presente caso, si ritiene che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

rilevata l’illiceità del trattamento effettuato dal Ministero dell’Istruzione, Ufficio Scolastico Regionale per la Campania Ufficio VI - Ambito Territoriale Di Napoli nei termini indicati in motivazione ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché 166 del Codice;

ORDINA

Al Ministero dell’Istruzione, Ufficio Scolastico Regionale per la Campania Ufficio VI - Ambito Territoriale Di Napoli, con sede legale in via Ponte della Maddalena, 55 - 80142 Napoli – C.F. 80033300635,  in persona del legale rappresentante pro-tempore, di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, mediante il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

al medesimo Ufficio, di pagare la somma di euro 4.000,00 (quattromila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981. ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1/9/2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice).

DISPONE

- la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019;

- l’annotazione nel registro interno dell’Autorità ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi dell’art. 78 del RGPD, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 29 aprile 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei