Ordinanza ingiunzione o revoca n. 386 del 10/07/2025

Università degli Studi di Cassino e del Lazio Meridionale: violazioni nella gestione della posta elettronica di un docente e nella pubblicazione online di dati personali

Il provvedimento riguarda tre reclami connessi presentati da un docente a contratto cessato dal servizio nei confronti dell’Università degli Studi di Cassino e del Lazio Meridionale. Il Garante ha esaminato, da un lato, la gestione dell’account di posta elettronica assegnato al docente dopo la cessazione del rapporto e, dall’altro, le modalità di riscontro alle istanze di esercizio dei diritti e la pubblicazione sul sito istituzionale di atti contenenti dati personali.

Contesto e svolgimento del procedimento

Il procedimento nasce da tre reclami trattati congiuntamente ai sensi del Regolamento del Garante n. 1/2019. L’interessato lamentava, in sintesi:

• la protratta conservazione dei messaggi di posta elettronica contenuti nella sua casella istituzionale;
• il ritardo e l’incompletezza dei riscontri alle istanze ex artt. 15-22 GDPR;
• la pubblicazione online di documenti relativi alla procedura di conferimento dell’incarico di docenza.

Nel corso dell’istruttoria, l’Ateneo ha fornito più memorie e ha partecipato ad audizione. Il Garante ha verificato la documentazione, le date di revoca delle credenziali, di disattivazione dell’account, di rimozione dei documenti dal sito e i tempi di riscontro alle istanze.

Conservazione dei messaggi nella casella di posta elettronica

Per la prima vicenda, il Garante ha rilevato che, dopo la cessazione del rapporto di docenza, l’Università ha revocato le credenziali di accesso all’account del docente, ma ha mantenuto attiva la casella per un periodo ulteriore, conservando i messaggi in entrata e in uscita per circa due anni.

L’Ateneo ha sostenuto di non aver mai consultato i messaggi e ha richiamato esigenze organizzative, l’emergenza COVID e un presunto errore materiale. Ha anche riferito di aver predisposto solo in un momento successivo un sistema automatico di risposta e di aver poi disattivato la casella.

Il Garante ha però osservato che:

• nel periodo successivo alla revoca delle credenziali e prima dell’attivazione delle misure di avviso ai terzi mittenti non risultavano misure idonee a informare della cessazione dell’attività del docente;
• la conservazione prolungata dei messaggi non era stata giustificata da specifiche ragioni organizzative o di conservazione;
• non poteva invocarsi, in quel contesto, la generica finalità di archiviazione della documentazione amministrativa, perché i messaggi di posta elettronica costituiscono corrispondenza tutelata;
• le Linee guida del Garante su posta elettronica e internet impongono, dopo la cessazione del rapporto, la disattivazione dell’account con contestuale sistema automatico di avviso e indirizzi alternativi.

Ne è derivata la violazione dei principi di liceità, correttezza, trasparenza e limitazione della conservazione, oltre che dell’art. 6 GDPR.

Riscontro alle istanze di esercizio dei diritti

Il reclamante aveva presentato più istanze di accesso, cancellazione e opposizione al trattamento, anche con riferimento a dati personali comuni, sensibili e giudiziari.

Il Garante ha distinto le varie istanze ma ha concluso che l’Università, pur avendo in alcuni casi fornito riscontro, lo ha fatto:

• oltre il termine massimo di un mese previsto dall’art. 12, par. 3, GDPR;
• senza informare tempestivamente l’interessato dei motivi del ritardo e della possibilità di reclamo e ricorso, come richiesto dall’art. 12, par. 4;
• in modo non pienamente aderente alle richieste, soprattutto quanto alla cancellazione e all’opposizione.

Il semplice fatto che una richiesta fosse finita nella cartella spam non è stato ritenuto sufficiente ad escludere la responsabilità del titolare, essendo onere dell’ente controllare anche tale cartella. Il Garante ha inoltre escluso che potesse bastare il richiamo generico alla tutela in giudizio o ad astratte esigenze di difesa, in assenza di un contenzioso concreto o comunque imminente.

Diffusione online di atti relativi al conferimento dell’incarico di docenza

Un ulteriore profilo ha riguardato la pubblicazione sul sito istituzionale di una nota di trasmissione e del parere di un Consiglio di Dipartimento relativi all’attribuzione di un incarico di insegnamento.

L’Ateneo ha sostenuto che la pubblicazione fosse legittimata dalla disciplina sulla trasparenza, in particolare dagli artt. 19 e 15 del d.lgs. 33/2013, nonché dal proprio regolamento interno. Il Garante ha respinto tale tesi, evidenziando che:

• la pubblicità prevista dalla normativa di settore riguarda gli atti espressamente indicati, come bandi, criteri, graduatorie finali e alcuni dati essenziali degli incarichi;
• non è consentita la diffusione generalizzata di atti endoprocedimentali che contengano dati personali dei candidati, salvo una specifica base normativa;
• il regolamento di Ateneo richiamato non era sufficiente a fondare la diffusione dei documenti in questione.

Pertanto, la pubblicazione è stata ritenuta illecita per difetto di base giuridica e per violazione dei principi di liceità, correttezza e trasparenza.

Valutazioni sul ritardo e sulla responsabilità del titolare

Il Garante ha sottolineato il principio di responsabilizzazione: spetta al titolare del trattamento valutare le istanze dell’interessato e rispondere entro i termini di legge, anche con il supporto del DPO, senza attendere un parere dell’Autorità. Nel caso concreto, la richiesta di parere presentata dall’Università è stata considerata comunque intempestiva rispetto al termine ordinario di risposta.

Il provvedimento valorizza anche il fatto che il titolare non abbia adeguatamente verificato la persistenza online dei documenti neppure nella versione del sito in dismissione, e che le rimozioni siano avvenute solo successivamente e in modo non immediato.

Sanzione, criteri di quantificazione e misure accessorie

Le condotte sono state trattate come due gruppi distinti ai fini sanzionatori:

• la conservazione illecita della casella di posta elettronica;
• l’insieme delle violazioni relative ai diritti dell’interessato e alla diffusione online dei documenti.

Per entrambe, il Garante ha applicato l’art. 83, par. 3, GDPR, e ha ritenuto che la violazione più grave ricadesse nell’art. 83, par. 5. Considerati i criteri di cui all’art. 83, par. 2, GDPR, ha valutato:

• gravità complessivamente bassa;
• assenza di precedenti pertinenti;
• buona cooperazione del titolare;
• natura colposa delle condotte;
• limitato impatto reputazionale dei documenti pubblicati, in quanto pareri positivi e privi di dati particolari o giudiziari;
• mancato accesso ai messaggi della casella e assenza di trattamento di categorie particolari di dati nella prima vicenda.

Ne sono derivate due sanzioni da 4.000 euro ciascuna, per un totale di 8.000 euro.

Dispositivo

Il Garante:

• ha dichiarato l’illiceità del trattamento effettuato dall’Università per violazione degli artt. 5, par. 1, lett. a) ed e), 6, 12, parr. 3 e 4, 17 e 21 GDPR, nonché dell’art. 2-ter del Codice;
• ha ordinato all’Ateneo il pagamento di 8.000 euro;
• ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• ha disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• ha disposto l’annotazione delle violazioni nel registro interno.

È stato infine ricordato che avverso il provvedimento è esperibile ricorso all’autorità giudiziaria ordinaria nei termini di legge.