[doc. web n. 9896845]

Provvedimento del 27 aprile 2023

Registro dei provvedimenti
n. 168 del 27 aprile 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo.

Con reclamo presentato al Garante il sig. XX ha lamentato la pubblicazione nella sezione albo online del sito web dell’Ufficio Scolastico Regionale per la Puglia Ufficio VI – Ambito Territoriale per la provincia di Lecce (di seguito “Ufficio Scolastico”) del decreto prot. n. XX del XX, che disponeva la proposta di incarico e l’assegnazione della sede in favore dei docenti inclusi nelle Graduatorie Provinciali di Supplenza (di seguito, “GPS”) della scuola secondaria di I e II grado. Al predetto decreto risultano allegate due tabelle che riportano numerosi dati personali riferiti al reclamante e ad altri interessati (circa 300). Tra le informazioni pubblicate (in particolare, quelle relative alla “fascia”, “riserva”, “nome”, “cognome”, “data di nascita”, “sede di assegnazione”) figura altresì l’indicazione (o meno) della condizione di precedenza, ai sensi della legge 5 febbraio 1992, n. 104.

Tale circostanza è stata verificata anche dall’Ufficio (v. relazioni di servizio in atti).

2. L’attività istruttoria.

Con nota del XX, prot. n.XX l’Ufficio Scolastico ha inviato a questa Autorità le proprie osservazioni, rappresentando che:

- “i candidati delle GPS hanno espressamente prestato il loro consenso al trattamento dei dati personali, dichiarati all’atto della presentazione delle domande di inserimento nonché nella successiva fase delle convocazioni per il conferimento delle supplenze che, stante lo stato di emergenza sanitaria da Covid-19, si è svolta con una procedura online che prevedeva la compilazione e l’inoltro della scheda recante le preferenze degli aspiranti”;

- “l’Ufficio si è limitato ad indicare con un “SI” l’eventuale precedenza ex l. 104/92 di cui hanno beneficiato taluni candidati e non ha invero diffuso alcun dato personale sensibile direttamente riconducibile allo stato di salute degli aspiranti/interessati […e che] nella tabella allegata al provvedimento in discorso, infatti, non è stata specificata la patologia di cui sono affetti i docenti che hanno usufruito della precedenza né è stata indicata quale tipologia di precedenza ex L. 104/92 sia stata riconosciuta”.

Sulla base degli elementi acquisiti l’Ufficio ha notificato al Ministero dell’Istruzione (ora Ministero dell’Istruzione e del Merito) - Ufficio Scolastico Regionale per la Puglia Ufficio VI – Ambito Territoriale per la provincia di Lecce, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, in quanto la pubblicazione sul sito web dell’Ufficio Scolastico del decreto prot. n. XX del XX e dei relativi allegati, contenenti dati personali del reclamante e altri interessati, anche relativi alla salute, ha dato luogo a una “diffusione” di dati personali in violazione degli artt. 5 par. 1, lett. a), 6 par. 1, lett. c) ed e) e 9 par. 2, lett. b) e g) e 4 del Regolamento nonché 2-ter e 2-septies, comma 8, del Codice. Pertanto ha invitato il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

L’Ufficio Scolastico ha fatto pervenire le proprie memorie difensive, rappresentando, in particolare, che:

- “si rende noto che [...l’] Ufficio in data XX ha provveduto a modificare, sul sito istituzionale, il decreto oggetto del reclamo presentato [dal reclamante] ed i provvedimenti citati, modificando i riferimenti alle precedenze fruite dagli aspiranti con esclusione di qualsiasi riferimento alla L. 104/92”;

- “il decreto-legge 8 aprile 2020, n. 22, […]ha previsto all’articolo 2, comma 4-ter, che  in considerazione dell’emergenza epidemiologica da COVID-19, le procedure di istituzione delle graduatorie di cui all’articolo 4, commi 6-bis e 6-ter, della legge 3 maggio 1999, n. 124, come modificato dal comma 4 del presente articolo, e le procedure di conferimento delle relative supplenze per il personale docente ed educativo, ad esclusione di ogni aspetto relativo alla costituzione e alla composizione dei posti da conferire a supplenza, sono disciplinate, in prima applicazione e per gli anni scolastici […] , anche in deroga all’articolo 4, comma 5, della predetta legge, con ordinanza del Ministro dell’istruzione”;

- “in ossequio al citato disposto legislativo, l’Ordinanza Ministeriale n. XX del XX ha disciplinato le procedure di istituzione delle graduatorie provinciali e di istituto di cui all’articolo 4, commi 6-bis e 6-ter, della legge 3 maggio 1999, n. 124 e di conferimento delle relative supplenze per il personale docente ed educativo”;

- “così il Decreto Dipartimentale n. XX del XX, all’art. 3, rubricato “Informativa sul trattamento dei dati personali” ha reso noto che, ai sensi dell’articolo 13 del Regolamento sulla protezione dei dati (Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016), i dati raccolti con la domanda di partecipazione alla procedura sarebbero stati trattati, anche attraverso il ricorso a sistemi automatizzati, esclusivamente per le finalità connesse all’espletamento della procedura medesima e per le successive attività inerenti all’eventuale successivo conferimento del contratto a tempo determinato, nonché ai sensi dell’articolo 8, comma 8 e dell’articolo 16 comma 1 dell’OM XX”;

-“ai candidati è stato, inoltre, comunicato che i dati personali sarebbero stati raccolti e trattati presso il Ministero dell’Istruzione per l’eventuale successiva instaurazione del rapporto di lavoro a tempo determinato da parte degli Uffici Scolastici territoriali”;

- “per quel che concerne, in particolare, gli aspetti in rilievo nella presente vicenda, si precisa che l’art. 12 dell’O.M. XX in precedenza citata ha statuito che, al fine di garantire il regolare e ordinato inizio delle lezioni, le operazioni di conferimento delle supplenze annuali o delle supplenze temporanee sino al termine delle attività didattiche sono disposte annualmente assicurando preventivamente la pubblicizzazione nell’albo e nel sito web di ciascun ambito territoriale provinciale del quadro complessivo delle disponibilità e delle relative sedi cui si riferiscono e del calendario delle convocazioni. È stato altresì previsto che nel corso delle attività di attribuzione delle supplenze, i predetti dati siano costantemente aggiornati per dare conto delle operazioni effettuate e siano resi pubblici, al termine delle quotidiane operazioni di conferimento, con le modalità di cui al comma 1”;

- “la Circolare Ministeriale prot. n. XX del XX, recante istruzioni e indicazioni operative in materia di supplenze al personale docente, educativo ed A.T.A. per l’anno scolastico 2020/2021 ha, infine, richiamato l’attenzione degli Uffici periferici sulla necessità di pubblicare le informazioni riguardanti le operazioni di conferimento delle supplenze (disponibilità dei posti ed ogni loro successiva variazione, calendari e sedi delle convocazioni ecc.) sul sito istituzionale di ciascun Ufficio territoriale”;

- “più in generale, si segnala poi che, com’è noto, l’art. 32 della L. 69/2009 ha previsto che “a far data dal 1° gennaio 2010, gli obblighi di pubblicazione di atti e provvedimenti amministrativi aventi effetto di pubblicità legale si intendono assolti con la pubblicazione nei propri siti informatici da parte delle amministrazioni e degli enti pubblici obbligati”;

- “la presenza della dicitura “precedenze L. 104/02” nel decreto pubblicato da questo Ufficio non appariva di per sé idonea a rivelare – e quindi diffondere – un dato personale sensibile direttamente riferibile all’interessato. La genericità della voce non consentiva, infatti, di collegare il docente ad una specifica agevolazione o beneficio contemplato e riconosciuto dalla legge 104/92 e, quindi, di risalire in modo immediato ad uno stato di disabilità dello stesso docente”;

- “un’effettiva divulgazione di dati relativi allo stato di salute del candidato si sarebbe realizzata solo se vi fosse stata la specificazione del preciso articolo di legge che disciplina la precedenza concretamente fruita. Dalla sola indicazione di un “si” nella colonna relativa alla voce “precedenze L.104/92 (si noti il plurale) non era, invece, possibile risalire ad una specifica informazione a carattere riservato univocamente e necessariamente relativa al candidato in quanto la priorità ex L. 104/92, l’unica contemplata in fase di assegnazione delle sedi, può riguardare sia l’art. 21 relativo al diritto di scelta prioritaria della sede per il portatore di handicap con invalidità personale superiore a due terzi sia l’art. 33, commi 5 e 7 sul diritto di scelta del lavoratore che assiste un parente o affine portatore di handicap”;

- “l’emergenza epidemiologica da Covid-19 […], ha inevitabilmente modificato le concrete modalità di svolgimento delle operazioni di conferimento delle supplenze sia dal punto di vista dell’organizzazione del lavoro all’interno dell’Ufficio sia sotto l’aspetto delle convocazioni dei docenti. In questo senso, non può tacersi di come l’espletamento delle attività di per sé complesse ed articolate che coinvolgono le unità operative che si occupano del reclutamento del personale docente e degli organici delle istituzioni scolastiche in prossimità dell’inizio dell’anno scolastico sia stato […] notevolmente più gravoso”;

- “il necessario coordinamento del personale addetto a tali operazioni si è svolto, giocoforza, nella modalità del lavoro agile e dello smartworking e anche la partecipazione del personale docente, chiamato a scegliere la propria sede di servizio per un anno scolastico, ha imposto l’utilizzo degli strumenti informatici. Il conferimento delle supplenze si è, quindi, svolto per la prima volta esclusivamente per mezzo di procedure online in luogo delle tradizionali convocazioni in presenza, con procedure il più possibile uniformi a livello regionale e nazionale”;

- “a questo proposito deve altresì rilevarsi l’ingente numero di partecipanti alla procedura (25.000 istanze di candidati solo per la provincia di Lecce) e la connessa necessità, per l’Amministrazione, di contemperare le già menzionate istanze di conoscibilità delle attività con il principio di efficienza dell’azione amministrativa. Se gli atti della procedura non fossero stati sufficientemente chiari, con ogni probabilità l’Ufficio sarebbe stato sommerso da un elevatissimo numero di richieste di accesso agli atti da parte degli aspiranti docenti e di certo non avrebbe potuto garantire un pronto riscontro a tutte le istanze senza sacrificare la velocità delle procedure stesse, con evidente pericolo per il regolare avvio delle attività didattiche. A questo riguardo occorre però precisare che i dati personali dei candidati non sono agevolmente reperibili su internet e che il provvedimento non è stato indicizzato nei motori di ricerca”.

L’Ufficio Scolastico, inoltre, nel corso dell’audizione, effettuata ai sensi dell’art. 166, comma 6, del Codice, ha rappresentato che (cfr. verbale, in atti):

- “l’Ufficio Scolastico, nel settembre 2020, ha operato nel difficile contesto dell’emergenza pandemica, in una fase in cui tutte le procedure sono state modificate in tempi rapidi e in via d’urgenza per digitalizzare i processi, consentire al personale di lavorare in modalità remota e garantire il tempestivo ed efficiente avvio delle attività didattiche”;

- “il sistema delle precedenze in ambito scolastico prevede un’unica ipotesi di precedenza, ovvero la sussistenza dei requisiti di cui alla l. 104/92 (v. artt. 21 e 33). Pertanto, anche se l’Ufficio Scolastico avesse inserito la sola menzione “precedenza” nel bollettino relativo alle supplenze, si sarebbe comunque indirettamente rivelata la motivazione sottesa alla precedenza”;

- “tali riferimenti nel bollettino pubblicato online erano necessari anche al fine di consentire agli altri docenti di poter presentare richieste di accesso agli atti a tutela dei propri diritti”;

- “se l’Ufficio non indicasse nemmeno la menzione “precedenza” all’interno del bollettino per la proposta di assunzione a tempo determinato (supplenze) riceverebbe un numero elevatissimo di richieste di accesso agli atti, paralizzando di fatto l’azione dell’amministrazione. Ciò anche considerato che nel 2020 vi erano ben 25.000 candidati a svolgere attività di supplenza”;

- “quando l’assegnazione delle supplenze avveniva in presenza, durante la procedura si rendeva nota ai presenti la sussistenza di eventuali precedenze al fine di poter consentire la scelta della sede desiderata con priorità, scavalcando le posizioni in graduatoria”;

- “adesso la pubblicazione dei bollettini in questione avviene su piattaforma ministeriale ed anche su tale piattaforma compare un asterisco con la menzione “precedenza” in corrispondenza dei nominativi dei relativi docenti. Si tratta, pertanto, di una prassi seguita a livello nazionale”.

A integrazione di quanto dichiarato in audizione l’Ufficio Scolastico, con nota del XX, prot. n. XX, ha rappresentato che:

- “preme evidenziare le circostanze che hanno, di certo, contribuito al realizzarsi degli accadimenti in discussione riconducibili alle operazioni, svoltesi a partire dal mese di settembre 2020, per l’assegnazione delle proposte di assunzione a tempo determinato dei candidati iscritti nelle Graduatorie provinciali per le supplenze (GPS) di cui all’OM XX”;

- “si fa riferimento, in particolare, allo stato di emergenza sanitaria dovuta alla pandemia da Covid-19, che ha imposto a questo Ufficio, come a tutti gli uffici periferici dell’Amministrazione scolastica nazionale, l’obbligatorietà di svolgere le operazioni “a distanza”, avvalendosi di strumenti e supporti digitali, a differenza delle operazioni di convocazione in presenza, che sono avvenute fino all’avvio dell’a.s. 2019/20”;

- “con riferimento, dunque, alle contestazioni mosse all’operato dell’Amministrazione da parte dell’aspirante, occorre innanzitutto rimarcare che la presenza della dicitura “precedenze L. 104/02” nel decreto pubblicato da questo Ufficio non appariva di per sé idonea a rivelare – e quindi diffondere - un dato personale sensibile direttamente riferibile all’interessato. La genericità della voce, infatti, non consentiva di collegare il docente ad una specifica agevolazione o beneficio contemplato e riconosciuto dalla legge 104/92 e, quindi, di risalire in modo immediato ad uno stato di disabilità dello stesso candidato”;

- “in pratica, al fine di poter rendere conoscibile agli altri candidati, soprattutto se collocati in una posizione migliore della graduatoria, la motivazione della circostanza per la quale un candidato in posizione deteriore possa aver ricevuto una sede “desiderata” deve essere indicata la “precedenza” che in queste operazioni è data, si ribadisce unicamente dalla “L. 104/92”;

- “è il caso di osservare che, anche dopo la strutturazione di una piattaforma ministeriale utile alle analoghe operazioni per il corrente anno scolastico 2022/23, nelle intestazioni dei cosiddetti “bollettini” pubblicati compare la dicitura “104”; in questo caso, comunque, lo scrivente Ufficio sostituisce la stessa con il termine “precedenza” che, ad ogni modo, fa sempre ed esclusivamente riferimento alla L. 104/92”.

3.1 Il quadro normativo.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, anche qualora, come nel caso di specie, operino nell’ambito delle procedure per il reclutamento del personale, possono trattare i dati personali degli interessati, se il trattamento è necessario, in generale, per adempiere a specifici obblighi o compiti previsti dalle norme nazionali di settore (artt. 6, par. 1, lett. c), 9, parr. 2, lett. b), e 4, e 88 del Regolamento) oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. e), del Regolamento).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che le operazioni di trattamento che consistono nella “diffusione” di dati personali sono ammesse solo quando previste ai sensi dell’art. 2-ter del Codice.

Con riguardo alle categorie particolari di dati personali, il trattamento è, di regola, consentito, oltre che per assolvere a specifici obblighi “in materia di diritto del lavoro […] nella misura in cui sia autorizzato dal diritto […] in presenza di garanzie appropriate” (art. 9, par. 2, lett. b), del Regolamento), anche ove “necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. g), del Regolamento).

In ogni caso, i dati relativi alla salute, ossia quelli “attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute” (art. 4, par. 1, n. 15, del Regolamento; cfr. anche cons. 35 dello stesso), in ragione della loro particolare delicatezza, “non possono essere diffusi” (art. 2-septies, comma 8, e art. 166, comma 2, del Codice).

Il titolare del trattamento è in ogni caso tenuto a rispettare i principi in materia di protezione dei dati (art. 5 del Regolamento).

3.2. La diffusione online dei dati personali dei docenti assegnatari delle sedi di insegnamento e delle condizioni di precedenza.

Come risulta dagli atti e dalle dichiarazioni rese nonché dall’accertamento compiuto sulla base degli elementi acquisiti nel corso dell’istruttoria, il Ministero dell’Istruzione (ora Ministero dell’istruzione e del Merito) - Ufficio Scolastico Regionale per la Puglia, ha pubblicato, sul sito web istituzionale, il decreto prot. n. XX del XX avente ad oggetto la procedura di conferimento delle supplenze al personale docente della scuola secondaria di I° e II° grado iscritto nelle graduatorie provinciali di insegnamento (GPS) per l'anno scolastico 2020/21, “con assegnazione della sede ai candidati riportati negli allegati elenchi”.

In particolare tali elenchi, anche essi pubblicati online contengono numerosi dati personali del reclamante e di altri interessati (circa 300), destinatari della proposta di incarico e della assegnazione della specifica sede di servizio nell’ambito della procedura di conferimento delle supplenze al personale docente, con l’indicazione altresì del ricorrere o meno della condizione di “precedenza” ai sensi della l. 5 febbraio 1992, n. 104 (mediante indicazione della voce “SI” in corrispondenza di specifica colonna e del nominativo dell’interessato).

In via preliminare si evidenzia che, affinché uno specifico trattamento di dati personali possa essere lecitamente effettuato da parte di un soggetto pubblico, esso deve essere necessario per l’adempimento di un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui sia investito il titolare del trattamento e deve trovare il proprio fondamento in una specifica disposizione normativa che abbia le caratteristiche prescritte dalla disciplina di protezione dei dati personali (art. 6, par. 3 del Regolamento e art. 2-ter del Codice).

Al riguardo si rappresenta, in via preliminare, che l’Ufficio Scolastico non ha indicato alcuna specifica base giuridica idonea a legittimare la diffusione dei dati personali del reclamante e degli altri interessati, non potendo al riguardo essere invocato né il consenso degli interessati (cons. 43 del Regolamento e come evidenziato dal Garante in numerosi precedenti nonché nella nota del XX, prot. n. XX), né le disposizioni richiamate negli scritti difensivi.

Tali disposizioni non prevedono infatti la pubblicazione online dei dati personali dei destinatari della proposta di incarico e della assegnazione della specifica sede di servizio nell’ambito della procedura di conferimento delle supplenze al personale docente.

In particolare, l’art. 2 del d.l. 8 aprile 2020, n. 22, adottato nel contesto dell’emergenza epidemiologica da Covid-19, non reca alcuna specifica disposizione che autorizzi l’Ufficio scolastico territorialmente competente a pubblicare dati personali dei docenti -già iscritti nelle graduatorie provinciali di supplenza (“GPS”)- che siano destinatari di un decreto di assegnazione della specifica sede di servizio, limitandosi, invece, a stabilire (con riguardo agli anni scolastici dal 2020/2021 al 2023/2024) che taluni aspetti relativi al “conferimento delle supplenze annuali e temporanee” siano regolati con Ordinanza Ministeriale (e non con decreto, in deroga alle previgenti disposizioni di settore, v. art. 4, comma 5, della legge 3 maggio 1999, n. 124).

In tale quadro l’Ordinanza Ministeriale n. XX del XX ha disciplinato in generale le procedure di istituzione delle graduatorie provinciali e di istituto e le modalità di presentazione della domanda, i criteri per la valutazione dei titoli che gli uffici competenti devono tenere in considerazione ai fini della attribuzione del punteggio ai fini della predisposizione della graduatoria e il relativo regime di pubblicità (artt. 7, 8 e 9).

Il citato quadro normativo ha previsto, altresì, la “pubblicizzazione nell’albo e nel sito web di ciascun ambito territoriale provinciale: a) del quadro complessivo delle disponibilità e delle relative sedi cui si riferiscono; b) del calendario delle convocazioni” (art.12) ma non anche la pubblicazione online dei dati personali dei docenti -già inseriti nelle predette graduatorie “GPS” – che, solo una volta espletate le procedure di convocazione e di individuazione delle sedi disponibili, siano poi destinati ad uno specifico istituto scolastico, quale sede di servizio (con decreto di assegnazione della sede).

È stato altresì previsto che nel corso delle attività di attribuzione delle supplenze, siano costantemente aggiornate le informazioni relative alla “disponibilità dei posti ed ogni loro successiva variazione”, nonché i “calendari” e le “sedi delle convocazioni” per dare conto delle operazioni effettuate, al termine delle quotidiane operazioni di conferimento (cfr. art. 12 dell’Ordinanza cit.; nonché Circolare Ministeriale prot. n. XX del XX), senza che ciò implichi tuttavia la necessità di diffondere online dati personali.

In ogni caso deve essere rilevato che il Garante, in numerose decisioni, ha ribadito che anche in presenza di una norma di legge che preveda l’obbligo di pubblicare determinati atti e documenti che contengano dati personali (ad esempio, quelle da effettuarsi per finalità di pubblicità legale), trovano applicazione tutti i limiti previsti dai principi della protezione dei dati (cfr. parte II, par. 3.a. delle Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” del 15 maggio 2014, doc. web n. 3134436), non potendosi ipotizzare alcun automatismo rispetto alla diffusione online dei dati personali, come confermato anche dal sistema di protezione dei dati personali, alla luce del quale è previsto che il titolare del trattamento deve assicurare che siano trattati solo i dati personali necessari per ogni specifica finalità del trattamento e deve essere “in grado di dimostrare” – alla luce del principio di “responsabilizzazione” – il rispetto dei principi di protezione dei dati nel quadro delle norme di settore applicabili (artt. 5, par. 2; 24 e 25, par. 2, Regolamento).

Quanto poi alla pubblicazione online anche dell’informazione relativa al motivo di precedenza attribuito ai docenti, occorre ricordare che, contrariamente a quanto rappresentato dall’Ufficio scolastico nel corso dell’istruttoria, stante la definizione di dati relativi alla salute (“i dati personali attinenti alla salute fisica e mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni sul suo stato di salute” art. 4, par.1, n. 15 del Regolamento), e come da tempo chiarito dal Garante, il riferimento alla l. 5 febbraio 1992, n. 104 - che notoriamente disciplina benefici e garanzie per l’assistenza, l’integrazione sociale e lavorativa di persone disabili o di loro familiari-  consente di ricavare informazioni sullo stato di salute di una persona (v. al riguardo, con specifico riferimento al contesto lavorativo, anche scolastico, provv.  n. 3 dell'11 gennaio 2023, doc. web 9857610, provv. del 1° settembre 2022, n. 290 doc. web 9811361, provv. del 28 aprile 2022, n. 150, doc. web n. 9777200 e provv. del 28 maggio 2020, n. 92, doc. web n. 9434609; più in generale cfr. “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” del 15 maggio 2014” doc. web n. 3134436).

Né appare possibile ritenere sufficiente, al fine di escludere la responsabilità del titolare nel caso di specie, la circostanza per cui nel corso dell’emergenza epidemiologia gli Uffici scolatici erano chiamati ad operare in presenza di nuove modalità organizzative del lavoro (svolto per lo più in modalità agile e che “anche la partecipazione del personale docente, chiamato a scegliere la propria sede di servizio per un anno scolastico, ha imposto l’utilizzo degli strumenti informatici” e “il conferimento delle supplenze si è, quindi, svolto per la prima volta esclusivamente per mezzo di procedure online in luogo delle tradizionali convocazioni in presenza”. Al riguardo si rileva che, sebbene le attività in questione siano state effettuate mediante procedure informatizzate, ciò, tuttavia, non rendeva necessario che all’esito delle stesse fossero diffusi online i dati personali, anche relativi alla salute, dei docenti assegnatari di sede.

Anche l’esigenza deflattiva rispetto alle eventuali istanze di accesso agli atti amministrativi che avrebbero potuto essere presentate all’Ufficio scolastico con riguardo alle operazioni di assegnazione delle sedi, non può essere utilmente invocata per legittimare la diffusione online dei predetti dati personali, anche relativi alla salute degli interessati. Sebbene tali informazioni e quelle specifiche relative all’eventuale fruizione (per sé o per i propri familiari) dei benefici della legge n. 104/1992, siano trattate dall’amministrazione per l’assunzione delle determinazioni in sede di attribuzione della sede, non risultano sussistenti, allo stato, presupposti giuridici atti a legittimarne la diffusione online, stante anche il richiamato inderogabile divieto a diffondere dati sulla salute (art. 2-septies, comma 8 del Codice). Diversamente, a fronte di specifiche istanze di accesso ai documenti amministrativi (che contengano anche dati relativi alla salute), spetta all’amministrazione valutare, caso per caso, la sussistenza di un interesse diretto, concreto ed attuale in capo al singolo richiedente nonché la possibilità di consentire l’accesso “nei limiti in cui sia strettamente indispensabile nei limiti previsti dall’art. 60 del decreto legislativo 30 giugno 2003, n. 196” (art. 24, comma 7 l. 241/1990), ossia valutando se la “situazione giuridicamente rilevante che si intende tutelare” con la richiesta di accesso sia di “rango almeno pari ai diritti dell’interessato ovvero consiste in un diritto della personalità o in un altro diritto o libertà fondamentale” (art. 60 del Codice). In ogni caso, il legittimo riscontro fornito al richiedente in relazione ad una istanza di accesso ai documenti amministrativi, non configura comunque una diffusione di dati personali.

L’Ufficio scolastico ha dichiarato di aver provveduto, nel corso dell’istruttoria, a rimuovere dai predetti documenti oggetto di pubblicazione il riferimento alla legge n. 104/1992, mantenendo tuttavia il richiamo alla presenza di una condizione di precedenza in corrispondenza di uno specifico nominativo (cfr. il decreto del XX, prot. n. XX che ha provveduto alla “ripubblicazione provvedimenti delle operazioni di assegnazione degli incarichi a tempo determinato” inserendo negli elenchi allegati esclusivamente la dicitura “precedenza” al posto di “precedenza l. 104/92”).

Al riguardo, nel ribadire più radicalmente che non risulta sussistente alcuna idonea base giuridica che legittimi la pubblicazione online dei dati personali dei docenti assegnatari di specifiche sedi, si osserva altresì che tale accorgimento non può, comunque, ritenersi conforme alla normativa in materia di protezione dei dati anche in ragione del fatto che, come evidenziato dallo stesso Ufficio scolastico, la condizione di precedenza sussiste esclusivamente in caso di fruizione dei benefici ex l. 104/1992.

Alla luce delle considerazioni che precedono e della documentazione in atti, si ritiene che la pubblicazione sul sito web istituzionale dell’Ufficio Scolastico dei dati personali relativi ai docenti assegnatari della sede, nonché l’indicazione del motivo di precedenza attribuito ad alcuni di essi, (tra cui il reclamante) risultano effettuate in violazione degli artt. 5 par. 1, lett. a), 6 par. 1, lett. c) ed e) e 9 par. 2, lett. b) e g) e 4 del Regolamento nonché 2-ter e 2-septies, comma 8, del Codice.

5. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Pertanto, si confermano le valutazioni preliminari dell’Ufficio, e si rileva l’illiceità del trattamento di dati personali effettuato dal Ministero dell’Istruzione e del merito- Ufficio Scolastico Regionale per la Puglia, in violazione degli artt. 5, 6, 9 del Regolamento e degli artt. 2-ter e 2-septies, comma 8, del Codice.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo e dell’art. 166, comma 2, del Codice.

6. Misure correttive (art. 58, par. 2, lett. f) del Regolamento).

Come accertato nel corso dell’istruttoria, risulta che i dati personali degli interessati (in particolare informazioni riferite alla “fascia”, “riserva”, “nome”, “cognome”, “data di nascita”, “sede di assegnazione”) nonché l’indicazione della condizione di precedenza, continuano ad essere disponibili sul sito web istituzionale dell’Ufficio scolastico.

L’art. 58, par. 2, lett. f), del Regolamento prevede che il Garante ha i poteri correttivi di “imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento”.

In tale quadro si ritiene necessario, in ragione dell’illiceità del trattamento effettuato disporre, ai sensi dell’art. 58, par. 2, lett. f), la limitazione del trattamento in corso vietando al titolare del trattamento ogni ulteriore diffusione dei predetti dati personali del reclamante e degli altri interessati.

Ai sensi dell’art. 157 del Codice, il Ministero dell’Istruzione e del Merito-Ufficio Scolastico Regionale per la Puglia dovrà, inoltre, provvedere a comunicare a questa Autorità le iniziative intraprese al fine di dare attuazione a quanto sopra ordinato ai sensi del citato art. 58, par. 2, lett. f) entro trenta giorni dalla notifica del presente provvedimento.

7.Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stata considerata la particolare delicatezza dei dati personali illecitamente diffusi, ancorché non indicizzati nei motori di ricerca generalisti; che i dati oggetto di diffusione sono relativi anche alla salute e riferiti ad ampio numero di interessati (circa 300) in contrasto con le indicazioni che, da tempo, il Garante, ha fornito ai datori di lavoro pubblici e privati con le Linee guida e con numerose decisioni su singoli casi sopra richiamati.

Di contro è stato considerato che il titolare del trattamento ha collaborato nel corso dell’istruttoria e che le precedenti violazioni commesse non costituiscono precedenti specifici “relativamente allo stesso oggetto” (art. 83, par. 2, lett. i) del Regolamento) rispetto alla condotta in esame, la quale si riferisce a trattamenti per finalità eterogenee. Si è inoltre tenuto in considerazione che la violazione è avvenuta a seguito dell’introduzione di una nuova procedura per il conferimento dell’assegnazioni delle sedi di insegnamento che, a causa dell’emergenza epidemiologica, non poteva svolgersi in presenza come negli anni precedenti, nonché delle difficoltà che gli Uffici Scolastici hanno dovuto affrontare in una fase particolarmente delicata (luglio-settembre 2020) dovuta alle particolari esigenze derivanti dallo stato di emergenza.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria, nella misura di euro 15.000 (quindicimila) per la violazione degli artt. 5, 6, 9 del Regolamento e degli artt. 2-ter e 2-septies, comma 8, del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto della natura dei dati oggetto di trattamento, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

rileva, ai sensi dell’art. 57, par. 1, lett. f), dichiara l'illiceità del trattamento di dati personali effettuato dal Ministero dell’istruzione e del merito - Ufficio Scolastico Regionale per la Puglia Ufficio VI - Ambito Territoriale di Lecce, nei termini descritti in motivazione, consistente nella violazione degli artt. 5, 6, 9 del Regolamento e degli artt. 2-ter e 2-septies, comma 8, del Codice;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Ministero dell’istruzione e del merito - Ufficio Scolastico Regionale per la Puglia, Ufficio VI - Ambito Territoriale di Lecce, in persona del legale rappresentante pro-tempore, con sede legale in viale Trastevere, 76 A -Roma, C.F. 80185250588 di pagare la somma di euro 15.000 (quindicimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Ministero dell’Istruzione e del Merito - Ufficio Scolastico Regionale per la Puglia, Ufficio VI - Ambito Territoriale di Lecce:

– fermo restando quanto disposto dall’art. 166, comma 8 del Codice di pagare la somma di euro 15.000 (quindicimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

– ai sensi dell’art. 58, par. 2, lett. f), la limitazione dei trattamenti in corso, vietando al Ministero dell’Istruzione del Merito-Ufficio Scolastico Regionale per la Puglia ogni ulteriore diffusione online dei dati personali riferiti a docenti assegnatari della sede di servizio;

– ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, di comunicare a questa Autorità, fornendo un riscontro adeguatamente documentato, entro 30 giorni dalla notifica del presente provvedimento, le iniziative intraprese per assicurare la conformità del trattamento al Regolamento;

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice (v. art. 16 del Regolamento del Garante n. 1/2019);

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento (v. art. 17 del Regolamento n. 1/2019).

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 27 aprile 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei