Ordinanza ingiunzione o revoca n. 168 del 27/04/2023

Diffusione online di dati dei docenti assegnatari di supplenza e indicazione della precedenza ex legge 104/1992

Il provvedimento riguarda il Ministero dell'istruzione e del merito - Ufficio Scolastico Regionale per la Puglia, Ufficio VI - Ambito Territoriale per la provincia di Lecce, in relazione alla pubblicazione online di un decreto di assegnazione delle sedi di supplenza e dei relativi allegati contenenti dati personali di numerosi docenti, tra cui anche l'indicazione della precedenza ex legge 104/1992. Il procedimento trae origine da un reclamo di un interessato e dall'istruttoria svolta dal Garante.

Fatti e contenuto del reclamo

Il reclamante ha lamentato che nella sezione albo online del sito istituzionale dell'Ufficio Scolastico era stato pubblicato il decreto di proposta di incarico e assegnazione delle sedi per i docenti inseriti nelle Graduatorie Provinciali di Supplenza (GPS) della scuola secondaria di I e II grado. Al decreto erano allegate due tabelle con numerosi dati personali riferiti al reclamante e ad altri interessati, circa 300 in totale.

Tra le informazioni rese pubbliche figuravano:

• fascia;
• riserva;
• nome e cognome;
• data di nascita;
• sede di assegnazione;
• indicazione della precedenza, con richiamo alla legge 5 febbraio 1992, n. 104.

L'Ufficio aveva poi verificato la circostanza anche nei propri accertamenti interni.

Attività istruttoria e difese del titolare

L'Ufficio Scolastico ha sostenuto che i candidati avevano prestato consenso al trattamento dei dati nella fase di presentazione delle domande e delle convocazioni, e che la procedura era stata interamente digitalizzata a causa dell'emergenza epidemiologica da Covid-19. Ha richiamato inoltre:

• il decreto-legge 8 aprile 2020, n. 22, art. 2, comma 4-ter;
• l'ordinanza ministeriale che disciplina le procedure GPS e di conferimento delle supplenze;
• il decreto dipartimentale con l'informativa ex art. 13 GDPR;
• l'art. 12 dell'ordinanza ministeriale, che prevede la pubblicizzazione del quadro delle disponibilità, del calendario delle convocazioni e delle sedi delle convocazioni;
• la circolare ministeriale sulle supplenze;
• l'art. 32 della legge n. 69/2009 sulla pubblicazione online come forma di pubblicità legale.

Nel corso del procedimento, l'amministrazione ha anche dichiarato di aver modificato la pubblicazione, sostituendo il riferimento esplicito alla legge 104/1992 con la sola dicitura "precedenza".

Quadro normativo applicato

Il Garante ha richiamato i principi del GDPR e del Codice privacy rilevanti per i soggetti pubblici, in particolare:

• art. 5 GDPR, principi applicabili al trattamento;
• art. 6, par. 1, lett. c) ed e), e par. 3, GDPR, necessità di una base giuridica normativa per i trattamenti dei soggetti pubblici;
• art. 9, par. 2, lett. b) e g), GDPR, sui presupposti per il trattamento delle categorie particolari di dati;
• art. 4, par. 1, n. 15, GDPR, definizione di dati relativi alla salute;
• art. 2-ter del Codice, che consente la diffusione solo nei casi previsti dalla legge;
• art. 2-septies, comma 8, del Codice, che vieta la diffusione dei dati sulla salute.

L'Autorità ha richiamato anche le proprie Linee guida del 15 maggio 2014 sulla pubblicità e trasparenza sul web, osservando che l'obbligo di pubblicazione non comporta automaticamente la diffusione di qualsiasi dato personale contenuto in un atto amministrativo.

Illiceità della pubblicazione online

Secondo il Garante, le norme invocate dall'Ufficio non autorizzavano la pubblicazione online dei dati personali dei docenti assegnatari di sede. In particolare, l'art. 2 del d.l. n. 22/2020 e l'art. 12 dell'ordinanza ministeriale disciplinavano aspetti generali delle procedure e la pubblicità del quadro delle disponibilità, del calendario e delle sedi delle convocazioni, ma non la diffusione dei dati personali dei candidati destinatari dell'assegnazione della sede.

Il Garante ha rilevato che i dati pubblicati non erano limitati a quanto strettamente necessario e che la diffusione online, anche se non indicizzata dai motori di ricerca generalisti, resta una forma di diffusione illecita in assenza di un'espressa base normativa.

Indicazione della legge 104/1992 e dati sulla salute

Quanto alla dicitura relativa alla precedenza, l'Autorità ha ribadito che il richiamo alla legge 104/1992 consente di desumere informazioni sullo stato di salute o su condizioni di disabilità, poiché tale legge disciplina benefici e tutele per persone con disabilità o per i loro familiari. Ne consegue che l'indicazione della precedenza, anche se formulata in modo sintetico, può rivelare dati relativi alla salute.

Il Garante ha quindi escluso che fosse legittimo mantenere online, anche solo in forma generica, la menzione della precedenza, poiché nel contesto specifico essa era comunque riconducibile alla fruizione dei benefici della legge 104/1992.

Inidoneità delle giustificazioni addotte dall'amministrazione

L'Autorità ha ritenuto non decisive le argomentazioni relative:

• all'emergenza Covid-19 e alla necessità di operare con procedure online;
• all'esigenza di evitare un numero eccessivo di istanze di accesso agli atti;
• alla prassi seguita in altre piattaforme ministeriali.

Secondo il Garante, l'efficienza amministrativa e la gestione delle richieste di accesso non possono legittimare la diffusione online di dati personali, specie quando si tratta di dati sulla salute, che restano sottratti alla diffusione. Eventuali richieste di accesso ai documenti devono essere valutate caso per caso alla luce degli artt. 24 della legge n. 241/1990 e 60 del Codice privacy.

Esito del procedimento e misure correttive

Il Garante ha concluso che la pubblicazione online del decreto e degli allegati, comprensiva dei dati dei docenti assegnatari e dell'indicazione della precedenza, è avvenuta in violazione degli artt. 5, 6 e 9 GDPR, nonché degli artt. 2-ter e 2-septies, comma 8, del Codice.

Ha quindi:

• dichiarato l'illiceità del trattamento;
• disposto la limitazione del trattamento in corso ai sensi dell'art. 58, par. 2, lett. f), GDPR;
• vietato ogni ulteriore diffusione online dei dati personali riferiti ai docenti assegnatari di sede;
• ordinato al Ministero di comunicare entro 30 giorni le iniziative adottate per conformarsi al provvedimento.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato una sanzione pecuniaria di euro 15.000 nei confronti del Ministero dell'istruzione e del merito - Ufficio Scolastico Regionale per la Puglia, Ufficio VI - Ambito Territoriale di Lecce.

Nella quantificazione ha considerato, ai sensi dell'art. 83, par. 2, GDPR:

• la delicatezza dei dati diffusi, inclusi dati relativi alla salute;
• l'ampiezza della platea coinvolta, circa 300 interessati;
• il contrasto con precedenti indicazioni del Garante e con le linee guida in materia di pubblicazione online;
• la collaborazione del titolare nel corso dell'istruttoria;
• l'assenza di precedenti specifici sul medesimo oggetto;
• il contesto emergenziale e organizzativo in cui la violazione si è verificata.

La sanzione è stata ritenuta effettiva, proporzionata e dissuasiva ai sensi dell'art. 83, par. 1, GDPR.

Ulteriori disposizioni

Il provvedimento dispone inoltre:

• la pubblicazione sul sito web del Garante ai sensi dell'art. 166, comma 7, del Codice;
• l'annotazione nel registro interno delle violazioni e delle misure adottate;
• la possibilità di proporre ricorso all'autorità giudiziaria ordinaria nei termini di legge.