[doc. web n. 9908484]

Provvedimento del 17 maggio 2023

Registro dei provvedimenti
n. 195 del 17 maggio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal vice segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia

PREMESSO

1. Introduzione.

Con reclamo presentato in data XX, ai sensi dell’art. 77 del Regolamento, il Sig. XX ha lamentato l’“illecita pubblicazione [dei propri] dati personali […] in sede di sito web” dell’Università degli Studi Link Campus University (di seguito, l’“Università” o l’“Ateneo”), contenuti in “verbali di procedura di valutazione comparativa a posto di ricercatore universitario laddove è riportato il [proprio] nome [e] cognome […] a fronte della rinuncia alla procedura per mancata partecipazione alla prova di discussione”, ritenendo il reclamante che detti verbali “non hanno alcuna ragione di permanere pubblicati per la dirimente ragione che la procedura è ormai del tutto definitiva senza contenzioso alcuno”.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità (nota prot. n. XX del XX), l’Ateneo, con nota prot. n. XX del XX, ha dichiarato, in particolare, che:

“il trattamento dei dati personali richiesti al reclamante in sede di adesione al "Bando per il conferimento di […] contratto di diritto privato di lavoro subordinato per ricercatore a tempo determinato ai sensi dell'art. 24 della Legge 30 dicembre 2019, n. 240" è stato finalizzato solo alla gestione della procedura selettiva di cui al suddetto Bando indetto con D.R. n. 419 del 04.09.2019, quindi alla pubblicazione degli atti della procedura unitamente al Bando su Gazzetta Ufficiale, nonché ai fini dell'eventuale conferimento del contratto”;

con “[l’]art. 7 (Trattamento dei dati personali) del predetto Bando […] il candidato è stato informato, in maniera chiara e specifica, che "Ai sensi dell'art. 18 del [Codice] e degli artt. 13 e 14 del [Regolamento], i dati personali forniti dai candidati saranno raccolti e trattati con mezzi informatici e cartacei, presso LCU (Link Campus University), per le finalità di gestione della presente procedura di valutazione comparativa, di pubblicità degli atti relativi e dell'eventuale conferimento del contratto””;

“la base giuridica del trattamento […] è quindi da individuare nell'art. 6 lett. e) del Regolamento […], essendo il trattamento richiesto e necessario ai fini dell'esercizio di pubblici poteri di cui è investito il titolare del trattamento, nel caso di specie [l’Ateneo] […]”;

“a ciò si aggiunga che il "Regolamento di Ateneo per il conferimento di contratti di diritto privato di lavoro subordinato per ricercatori a tempo determinato ai sensi dell'art. 24 della Legge 30 dicembre 2010, n. 240", prevede proprio all'art. 10.7 (Termini del procedimento) che "La relazione riassuntiva finale, con allegati giudizi e punteggi, è pubblicata sul sito web di Ateneo". Ciò in ossequio all'art. 24 della Legge 30 dicembre 2010, n. 240, che al comma 2 definisce espressamente che "I destinatari sono scelti mediante procedure pubbliche di selezione disciplinate dalle Università...";

“[…] i verbali nn. 2 e 3 della procedura selettiva in cui sono stati riportati solo i dati identificativi del reclamante (Nome e Cognome) hanno ad oggetto proprio i giudizi e le valutazioni da parte della Commissione esaminatrice. Risulta quindi corretta e lecita la loro pubblicazione sul sito web dell'Ateneo, […] in quanto atti pubblici della procedura selettiva”;

“con D.R. n. 659 dell’11 novembre 2020, pubblicato sul sito di Ateneo in data 11 novembre 2020, sono stati approvati gli atti della procedura selettiva [in questione], con pubblicazione sul sito web di tutti gli atti della procedura, tra cui appunto dei verbali de quibus, tutt'ora visibili sul sito web dell'Ateneo […]”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Ateneo, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1, lett. a), 6 par. 1, lett. c) ed e), e parr. 2 e 3, lett. b), del Regolamento, nonché 2-ter, commi 1 e 3, del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo). Inoltre, considerato che nel corso dell’istruttoria è emerso che l’Ateneo, pur avendo designato un Responsabile della protezione dei dati (“RPD”), non aveva provveduto a comunicare all’Autorità i dati di contatto dello stesso, è stato notificato l’avvio del procedimento anche per la presunta violazione dell’art. 37, par. 7, del Regolamento. Con la medesima nota, l’Ateneo è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), l’Ateneo ha presentato una memoria difensiva, dichiarando, in particolare, che:

“l'Ateneo, pur contestando l’imputata violazione della normativa di settore, ha provveduto alla rimozione dal sito istituzionale dei verbali nn. 2 e 3 della procedura selettiva […]”;

“l'Ateneo precisa che la pubblicazione di tali verbali è avvenuta […] in assoluta buona fede, ma soprattutto sulla scorta di quanto, per prassi consolidata, [altre] primarie Università […] attuano nell'ambito delle proprie procedure concorsuali e selettive di chiamata di docenti di ruolo”;

“l'Ateneo ha provveduto alla registrazione telematica del nuovo R.P.D.”.
In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX (verbale prot. n. XX del XX), l’Ateneo ha dichiarato, in particolare, che:

“l’Ateneo, nella sua autonomia (art. 33 Cost.), ha il potere di dotarsi di regolamenti interni, nei limiti previsti dalla legge, anche al fine di disciplinare i propri procedimenti amministrativi, assicurando la trasparenza della propria azione. Pertanto, in assenza di un divieto espresso previsto dalla legge, l’Ateneo poteva disciplinare con propri atti interni le modalità di pubblicità degli atti adottati nell’ambito delle procedure concorsuali. Tale regime di pubblicità evita, inoltre, la proposizione di istanze di accesso agli atti da parte dei candidati, che gravano notevolmente sull’amministrazione […]”;

“la l. 240/2010 prevede la pubblicità di tutti gli atti connessi alle procedure concorsuali relative al reclutamento dei docenti, inclusi quelli relativi alle prove intermedie; l’art. 16, inoltre, in materia di abilitazione scientifica nazionale, prevede che ci sia pubblicità degli atti e dei giudizi espressi dalle commissioni. L’Ateneo ritiene che le medesime esigenze di trasparenza sussistano anche nell’ambito delle procedure relative al reclutamento dei ricercatori, anche al fine di consentire agli altri candidati una trasparenza sulla regolarità della procedura”;

“il reclamante non si è presentato alla prova, avendo contestato che la stessa si fosse svolta in presenza invece che in remoto, tenuto conto del contesto pandemico. L’Ateneo si è, pertanto, limitato a dar conto di tale circostanza nei documenti pubblicati online per finalità di trasparenza, non sussistendo in atti una rinuncia da parte del candidato alla prova concorsuale”;

“l’Ateneo, che ha agito in totale buona fede, ha comunque tempestivamente modificato il proprio regolamento, disponendo la pubblicazione dei soli risultati finali delle procedure concorsuali”.

3. Esito dell’attività istruttoria.

3.1 La diffusione online dei dati personali del reclamante

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, anche quando operino nello svolgimento di procedure concorsuali, selettive o comunque valutative, prodromiche all’instaurazione del rapporto di lavoro, possono trattare i dati personali degli interessati (art. 4, n. 1, del Regolamento) se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” (si pensi a specifici obblighi previsti dalla normativa nazionale “per finalità di assunzione”, artt. 6, par. 1, lett. c), 9, parr. 2, lett. b) e 4; 88 del Regolamento) oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e) del Regolamento). Il titolare del trattamento è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati (art. 5, par. 1 del Regolamento).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di diffusione di dati personali (come la pubblicazione su Internet), da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (cfr. art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

Nel caso di specie, risulta accertato che l’Ateneo ha pubblicato sul proprio sito web istituzionale, dal mese di novembre 2020 (v. decreto dell’Ateneo di approvazione degli atti della Commissione esaminatrice di cui all’all. 5 alla nota dell’Ateneo prot. n. XX del XX) al mese di giugno 2022, i verbali nn. XX del XX e XX del XX, redatti nell’ambito di una procedura selettiva per un posto di ricercatore a tempo determinato, avviata ai sensi dell’art. 24 della l. 30 dicembre 2010, n. 240, e contenenti dati personali del reclamante e di altri otto partecipanti a detta procedura, ivi comprese le valutazioni e i giudizi espressi dalla Commissione esaminatrice in relazione agli stessi.

Ciò premesso, si osserva che, con riguardo alla pubblicità degli esiti delle prove concorsuali, le norme di settore stabiliscono, in via generale, la pubblicità dei provvedimenti e delle graduatorie finali, nonché degli altri atti riguardanti i concorsi, le prove selettive e le progressioni di carriera, e altri procedimenti che si concludono con la formazione di graduatorie. Altre specifiche forme di conoscibilità di tali atti, previste dall’ordinamento, trovano la propria disciplina in disposizioni stratificatesi nel tempo al fine di consentire agli interessati, partecipanti alle procedure concorsuali o selettive, l’attivazione delle forme di tutela dei propri diritti e di controllo della legittimità dell’azione amministrativa.

Tali norme dispongono che siano pubblicate le sole graduatorie definitive dei vincitori di concorso e non anche i verbali della procedura selettiva contenenti i dati personali dei candidati (cfr. art. 7, d.P.R. 10 gennaio 1957, n. 3; nonché art. 15, d.P.R. 9 maggio 1994, n. 487, in particolare, commi 5, 6 e 6-bis, “Regolamento recante norme sull’accesso agli impieghi nelle pubbliche amministrazioni e le modalità di svolgimento dei concorsi, dei concorsi unici e delle altre forme di assunzione nei pubblici impieghi” e più in generale, sulla pubblicità delle procedure di reclutamento del personale delle pubbliche amministrazioni, art. 35, comma 3, d. lgs. 30 marzo 2001, n. 165).

Anche i generali obblighi di trasparenza, gravanti in capo ai soggetti pubblici o che svolgono compiti di interesse pubblico, prevedono la pubblicazione delle sole “graduatorie finali, aggiornate con l'eventuale scorrimento degli idonei non vincitori” (art. 19, comma 1, del d.lgs. 14 marzo 2013, n. 33).

Pertanto, le disposizioni in materia di trasparenza dell’azione amministrativa, invocate in via generica dall’Ateneo, non consentono la pubblicazione di atti e documenti diversi dalle graduatorie finali, come, nel caso di specie, i verbali della procedura indetta dall’Ateneo, con i giudizi e le valutazioni della Commissione aggiudicatrice (v. le indicazioni fornite al riguardo dal Garante con le “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” del 15 maggio 2014, doc. web n. 3134436, spec. II, par. 3.b; v. anche le “Linee guida in materia di trattamento di dati personali, di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del 14 giugno 2007, n. 161, doc. web n.1417809, spec. par. 6.1).

Non possono poi essere accolte le ulteriori argomentazioni, prospettate dall’Ateneo, che farebbero derivare la legittimità della pubblicazione dei verbali in questione da una disposizione (art. 10.7) del "Regolamento di Ateneo per il conferimento di contratti di diritto privato di lavoro subordinato per ricercatori a tempo determinato", che prevede che "la relazione riassuntiva finale, con allegati giudizi e punteggi, è pubblicata sul sito web di Ateneo", in ossequio “all'art. 24 della Legge 30 dicembre 2010, n. 240, che al comma 2 definisce espressamente che "I destinatari sono scelti mediante procedure pubbliche di selezione disciplinate dalle Università..."”.

A tal riguardo occorre preliminarmente precisare che non si può far derivare la liceità della pubblicazione dei verbali in questione da quanto stabilito dal predetto regolamento d’Ateneo non ricorrendo i presupposti previsti dall’art. 2-ter, commi 1 e 3 del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente  al momento della pubblicazione (cfr. provv. del Garante n. 20 del 30 gennaio 2020 doc. web n. 9302897 e provv. 29 aprile 2021, n. 170, doc. web n. 9681778).

Occorre comunque rilevare che l'art. 24 della l. 30 dicembre 2010, n. 240, richiamato dall’Ateneo, nulla prevede riguardo alla pubblicazione degli atti intermedi delle procedure selettive indette dalle Università e non ha delegato gli Atenei a disciplinare tale profilo, limitandosi a stabilire che i ricercatori “sono scelti  mediante procedure pubbliche di selezione disciplinate dalle università con regolamento ai sensi della legge 9 maggio 1989, n. 168, nel rispetto [di taluni] criteri”, e che, per gli aspetti che qui rilevano, si debba garantire la sola “pubblicità dei bandi sulla Gazzetta Ufficiale, sul sito dell'ateneo e su quelli del Ministero e dell'Unione europea” (lett. a)). Nel caso di specie, dovevano, pertanto, essere applicate le disposizioni che già regolano tempi e forme di pubblicità degli esiti delle procedure concorsuali e selettive a livello nazionale.

Si osserva, in ogni caso, che, ai sensi dell’art. 6, comma 2, della l. 9 maggio 1989, n. 168, “nel rispetto dei principi di autonomia stabiliti dall'articolo 33 della Costituzione e specificati dalla legge, le università sono disciplinate, oltre che dai rispettivi statuti e regolamenti, esclusivamente da norme legislative che vi operino espresso riferimento”. Conseguentemente, atteso che, allo stato, non risulta alcuna disposizione normativa di settore applicabile al contesto universitario, che, in deroga alla disciplina generale sulle procedure concorsuali e sulla trasparenza e pubblicità degli atti, indichi criteri diversi cui gli Atenei devono attenersi ai fini della pubblicazione degli atti intermedi delle prove concorsuali, il regolamento d’Ateneo, non avrebbe, in ogni caso, potuto disciplinare la materia in maniera differente da quanto previsto dalle predette norme generali.

Alla luce delle considerazioni che precedono, si deve concludere che, in assenza di un’adeguata base giuridica (art. 6, par.1, lett. c) ed e) nonché par. 2 e 3, nonché cons. 41 del Regolamento), la diffusione, da parte dell’Ateneo, dei dati personali del reclamante e degli altri partecipanti alla procedura selettiva, menzionati nei predetti verbali, risulta essere stata effettuata in maniera non conforme al principio di liceità, correttezza e trasparenza e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 par. 1, lett. c) ed e), e parr. 2 e 3, lett. b), del Regolamento, nonché 2-ter, commi 1 e 3, del Codice (sia nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente all’atto della pubblicazione, sia nel testo attualmente vigente).

Risulta, inoltre, inconferente il richiamo, effettuato dall’Ateneo, a quanto disposto dall’art. 16 della l. 240/2010, atteso che la disposizione in questione disciplina le modalità di espletamento delle diverse procedure finalizzate al conseguimento dell'abilitazione scientifica nazionale.

Quanto alla circostanza che il reclamante fosse stato informato che i propri dati personali sarebbero stati trattati “per le finalità […] di pubblicità degli atti relativi [alla procedura selettiva], si osserva che tale circostanza non rileva ai fini della valutazione in merito alla liceità del trattamento.
3.2 La mancata comunicazione all’Autorità dei dati di contatto del Responsabile della protezione dei dati

Ai sensi dell’art. 37, par. 7, del Regolamento, “il titolare del trattamento […] pubblica i dati di contatto del responsabile della protezione dei dati e li comunica all'autorità di controllo”.

Ciò anche allorquando il titolare del trattamento procede alla designazione di un Responsabile della protezione dei dati (RPD) su base volontaria (cfr. par. 2.1 delle “Linee guida sui responsabili della protezione dei dati”, adottate dal Gruppo di Lavoro art. 29 il 5 aprile 2017, WP 243 rev. 01 e  successivamente fatte proprie dal Comitato europeo per la protezione dei dati con “Endorsement 1/2018” del 25 maggio 2018, ove si chiarisce che “se si procede alla nomina di un RPD su base volontaria, troveranno applicazione tutti i requisiti di cui agli articoli 37-39 per quanto concerne la nomina stessa, lo status e i compiti del RPD esattamente come nel caso di una nomina obbligatoria”).
Nel caso di specie, nel corso dell’istruttoria relativa al reclamo, è stato accertato, e non risulta controverso, che l’Ateneo, pur avendo designato un Responsabile per la protezione dei dati, non ha provveduto a comunicare all’Autorità i dati di contatto dello stesso, in violazione dell’art. 37, par. 7, del Regolamento. 

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dall’Ateneo nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Ateneo, per aver diffuso i dati personali del reclamante e di altri otto partecipanti alla procedura selettiva, menzionati nei citati verbali, in maniera non conforme al principio di liceità, correttezza e trasparenza e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 par. 1, lett. c) ed e), e parr. 2 e 3, lett. b), del Regolamento, nonché 2-ter, del Codice.

Ciò premesso, tenuto conto:

che la violazione ha riguardato un numero limitato di interessati, pari a nove;

che il trattamento non ha riguardo particolari categorie di dati (cfr. art. 9 del Regolamento) e non ha comportato la conoscenza di altre specifiche circostanze riferite alle condizioni familiari o personali degli interessati;

che l’Ateneo ha agito in buona fede, nella convinzione che la pubblicazione dei verbali in questione fosse necessaria al fine di garantire la pubblicità e la trasparenza della procedura selettiva, ritenendo idoneo a legittimare il predetto trattamento quanto disposto da un proprio regolamento interno;

che l’Ateneo ha collaborato in maniera proattiva nel corso dell’istruttoria, avendo, peraltro, proceduto spontaneamente alla rimozione dei verbali in questione dal proprio sito web non appena ha ricevuto la notificazione della violazione amministrativa, nonché avendo comunicato all’Autorità i dati di contatto del Responsabile della protezione dei dati;

che l’Ateneo ha provveduto a modificare il proprio regolamento interno, disponendo la pubblicazione dei soli risultati finali delle procedure concorsuali;

non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento, relative a fattispecie analoghe a quelle oggetto di reclamo;

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire il titolare del trattamento per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 del Regolamento).

In tale quadro, considerato, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dalla Link Campus University, in persona del legale rappresentante pro-tempore, con sede legale in Via del Casale di San Pio V, 44 - 00165 Roma (RM), C.F. 11933781004, per violazione degli artt. 5, par. 1, lett. a), 6 par. 1, lett. c) ed e), e parr. 2 e 3, lett. b), del Regolamento, nonché 2-ter, del Codice, nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce la Link Campus University, quale titolare del trattamento in questione, per aver violato gli artt. 5, par. 1, lett. a), 6 par. 1, lett. c) ed e), e parr. 2 e 3, lett. b), del Regolamento, nonché 2-ter, del Codice, come sopra descritto;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 17 maggio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL VICE SEGRETARIO GENERALE
Filippi