Ordinanza ingiunzione o revoca n. 3 del 11/01/2023

Ufficio Scolastico Regionale per la Lombardia - Ambito Territoriale di Brescia: pubblicazione illecita di un provvedimento di mobilità con dati sulla salute

Il Garante è intervenuto nei confronti dell’Ufficio Scolastico Regionale per la Lombardia, Ufficio IV - Ambito Territoriale di Brescia, a seguito del reclamo di un docente relativo alla pubblicazione sul sito istituzionale di un decreto di rettifica/convalida del movimento nella procedura di mobilità del personale scolastico. Il documento diffuso online conteneva dati personali del reclamante e un riferimento alla precedenza riconosciuta per l’assistenza a un familiare ai sensi della legge n. 104/1992, ritenuto idoneo a rivelare dati relativi alla salute.

Il reclamo e l’istruttoria

Il reclamante ha contestato la pubblicazione del provvedimento sul sito istituzionale dell’Ufficio Scolastico, evidenziando la presenza di informazioni personali e del motivo di precedenza collegato all’assistenza ex legge 104. Nel corso dell’istruttoria l’amministrazione ha spiegato che la pubblicazione era avvenuta per dare attuazione a un provvedimento del giudice del lavoro, per assicurare trasparenza nelle operazioni di mobilità e per rendere conoscibili gli esiti ai terzi interessati.

L’Ufficio ha inoltre sostenuto di aver agito in buona fede, in un contesto di forte carico di lavoro e di emergenza pandemica, e di aver successivamente oscurato l’informazione relativa alla precedenza su richiesta dell’interessato. Tuttavia, il provvedimento è rimasto consultabile online, almeno nell’archivio storico, e non è stato rimosso tempestivamente in modo completo.

Quadro normativo richiamato

Il Garante ha richiamato i principi del GDPR e del Codice privacy applicabili ai soggetti pubblici, sottolineando che il trattamento deve essere necessario per l’adempimento di un obbligo legale o per l’esecuzione di un compito di interesse pubblico, ma deve comunque trovare fondamento in una norma che soddisfi i requisiti dell’art. 2-ter del Codice. È stato inoltre richiamato il principio di liceità, correttezza, trasparenza e minimizzazione di cui all’art. 5, par. 1, lett. a) e c), GDPR.

Con specifico riferimento ai dati relativi alla salute, il Garante ha ricordato che essi non possono essere diffusi e che la legge 104, per come usualmente opera in tema di precedenze e benefici, consente di ricavare informazioni sullo stato di salute della persona interessata o del familiare assistito. Sono state richiamate anche le Linee guida del 15 maggio 2014 in materia di pubblicità e trasparenza sul web delle pubbliche amministrazioni.

Valutazione della diffusione illecita

L’Autorità ha ritenuto che l’Ufficio Scolastico non avesse indicato una base giuridica idonea a legittimare la diffusione online del provvedimento. Né il contratto collettivo richiamato né l’ordinanza ministeriale sono stati considerati sufficienti a giustificare la pubblicazione di un atto contenente informazioni riferite alla vicenda personale, familiare e lavorativa del docente, oltre al dato sulla precedenza collegato all’assistenza ex legge 104.

Il Garante ha escluso che la finalità di trasparenza potesse giustificare la pubblicazione integrale del documento, osservando che tale finalità avrebbe potuto essere perseguita con modalità meno invasive. Ha inoltre respinto l’argomento secondo cui l’interessato non sarebbe stato identificabile, chiarendo che il riferimento alla situazione di assistenza rende comunque il soggetto identificabile anche indirettamente.

Esito: illiceità, sanzione e misure correttive

Il trattamento è stato dichiarato illecito per violazione degli artt. 5, 6 e 9 GDPR e degli artt. 2-ter e 2-septies, comma 8, del Codice privacy. In ragione dell’illiceità accertata, il Garante ha disposto la limitazione del trattamento ai sensi dell’art. 58, par. 2, lett. f), GDPR, vietando ogni ulteriore diffusione online dei dati personali del reclamante contenuti nel provvedimento.

È stata inoltre irrogata una sanzione amministrativa pecuniaria di 6.000 euro, determinata tenendo conto della delicatezza dei dati diffusi, della persistenza della loro disponibilità online, del fatto che il trattamento ha riguardato un solo interessato, dell’assenza di precedenti specifici e del contesto emergenziale in cui si è verificata la violazione. Il Garante ha disposto anche la pubblicazione del provvedimento sul proprio sito ai sensi dell’art. 166, comma 7, del Codice.

Adempimenti imposti all’amministrazione

L’Ufficio Scolastico deve corrispondere la sanzione entro 30 giorni dalla notificazione, fermo restando il pagamento in misura ridotta previsto dall’art. 166, comma 8, del Codice. Deve inoltre comunicare all’Autorità, entro 30 giorni, le iniziative intraprese per conformarsi al provvedimento e cessare ogni ulteriore diffusione online dei dati personali del reclamante. Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria nei termini di legge.