Ordinanza ingiunzione o revoca n. 167 del 27/04/2023

Università degli studi di Cassino e del Lazio Meridionale: comunicazione illecita di dati giudiziari del docente

Il provvedimento riguarda un reclamo presentato da un docente universitario a contratto nei confronti dell’Università degli studi di Cassino e del Lazio Meridionale, nell’ambito di vicende connesse al rapporto di lavoro e a comunicazioni effettuate dall’Ateneo verso soggetti terzi. Il Garante ha esaminato, in particolare, tre comunicazioni scritte che contenevano riferimenti alla pendenza di un procedimento penale a carico dell’interessato, oltre a una doglianza sulla presunta comunicazione orale di tali informazioni a una studentessa.

Origine del reclamo e oggetto dell’istruttoria

Il reclamante ha lamentato:

• una presunta comunicazione orale, da parte di un docente dell’Ateneo, di dati personali relativi a reati a una studentessa;
• la comunicazione di dati personali relativi a reati a un Ispettorato territoriale del lavoro, mediante nota dell’Ateneo;
• la comunicazione di dati personali relativi a reati all’Ispettorato per la funzione pubblica presso la Presidenza del Consiglio dei ministri;
• la comunicazione di dati personali, anche relativi a reati, ai Rettori delle università italiane;
• il mancato riscontro a un’istanza di esercizio dei diritti ex artt. 15-22 GDPR.

Il profilo relativo al riscontro ai diritti dell’interessato è stato separato e trattato in un diverso procedimento.

Attività istruttoria e difese dell’Ateneo

Nel corso dell’istruttoria, l’Università ha sostenuto che le espressioni utilizzate nelle note inviate ai terzi non integrassero dati relativi a condanne penali o reati, ma descrivessero soltanto circostanze di fatto, e ha invocato la necessità di tutelare i propri diritti e la propria reputazione. In particolare, ha richiamato la base giuridica dell’art. 2-octies, comma 3, lett. e), del Codice privacy, sostenendo che le comunicazioni si collocassero in un contesto precontenzioso o comunque difensivo.

Qualificazione dei dati come dati relativi a reati

Il Garante ha chiarito che le informazioni relative alla pendenza di un procedimento penale o allo stato di indagato costituiscono, ai fini dell’art. 10 GDPR, dati personali relativi a reati. L’Autorità ha richiamato la giurisprudenza della Corte di giustizia dell’Unione europea e precedenti propri, precisando che tale qualificazione sussiste anche quando la comunicazione non indichi specificamente il reato o una condanna definitiva.

Presunta comunicazione orale alla studentessa: archiviazione

Quanto alla comunicazione orale asseritamente resa a una studentessa, il Garante ha rilevato che il dipendente interessato aveva negato di averla effettuata e che il reclamante non aveva prodotto elementi oggettivi sufficienti a dimostrare la condotta. Per questo motivo il relativo motivo di reclamo è stato archiviato.

Comunicazione all’Ispettorato territoriale del lavoro

La nota inviata all’Ispettorato territoriale del lavoro di Frosinone, in risposta a una convocazione per un tentativo di conciliazione sulla mancata corresponsione degli emolumenti, conteneva un riferimento al fatto che la Procura della Repubblica, in relazione a un procedimento penale pendente, aveva delegato la Polizia giudiziaria all’acquisizione di documentazione sugli affidamenti contrattuali del reclamante.

Il Garante ha ritenuto la comunicazione illecita perché:

• non era indicata alcuna norma di legge o di regolamento che la autorizzasse;
• non risultava una concreta ed attuale esigenza di difesa in sede giudiziaria;
• la convocazione dell’Ispettorato aveva natura meramente precontenziosa e poteva anche concludersi senza contenzioso;
• l’informazione sullo stato di indagato non era strettamente pertinente né necessaria rispetto alla finalità dichiarata;
• l’Ateneo non aveva dimostrato che tale stato fosse, in base alla normativa di settore, motivo ostativo al pagamento dei compensi.

Comunicazione all’Ispettorato per la funzione pubblica

Analoghe considerazioni sono state svolte con riguardo alla nota inviata all’Ispettorato per la funzione pubblica, a fronte di una richiesta di verifica interna sulla regolarità dell’azione amministrativa. Anche in questo caso la comunicazione riportava il riferimento al procedimento penale pendente e al possibile ritardo nei pagamenti.

Il Garante ha escluso la liceità del trattamento per le stesse ragioni già rilevate per l’Ispettorato del lavoro:

• assenza di una base normativa specifica;
• mancanza di una reale necessità difensiva;
• non pertinenza dell’informazione rispetto alla richiesta ricevuta;
• assenza di prova che lo stato di indagato fosse di per sé ostativo alla corresponsione dei compensi.

Comunicazione ai Rettori delle università italiane

La nota inviata ai Rettori delle università italiane, presentata come segnalazione di danno all’immagine dell’Ateneo, riferiva di segnalazioni negative sul conto del reclamante, di corrispondenza dai toni offensivi, di iniziative discutibili e, soprattutto, dell’esistenza di istanze di acquisizione di informazioni e documenti da parte di diverse Procure della Repubblica per ipotesi di reato per le quali l’interessato risultava indagato.

Il Garante ha ritenuto la comunicazione illecita perché:

• mancava una base giuridica prevista da legge o regolamento;
• non era configurabile una difesa in giudizio o una situazione precontenziosa idonea a giustificare la diffusione;
• la finalità reputazionale dell’Ateneo non bastava a legittimare la comunicazione di dati giudiziari;
• la nota era stata inviata indiscriminatamente a tutti gli atenei italiani, senza verifica di effettiva necessità o conoscenza pregressa dei fatti.

Violazioni accertate

Il Garante ha concluso che l’Università aveva posto in essere trattamenti illeciti, consistenti nella comunicazione a terzi di dati personali del reclamante, anche relativi a reati, in violazione di:

• art. 5, par. 1, lett. a), GDPR, per difetto di liceità, correttezza e trasparenza;
• art. 6 GDPR, per assenza di base giuridica;
• art. 10 GDPR, per trattamento di dati relativi a reati senza adeguato fondamento normativo;
• artt. 2-ter e 2-octies del Codice privacy, nel testo applicabile ratione temporis.

Sanzione e criteri di quantificazione

L’Autorità ha ritenuto applicabile la sanzione amministrativa pecuniaria di cui all’art. 83, par. 5, GDPR, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, GDPR, nonché dell’art. 166 del Codice privacy.

Nel determinare l’importo, il Garante ha considerato:

• la particolare delicatezza dei dati relativi a reati;
• il contesto lavorativo conflittuale in cui sono avvenute le comunicazioni;
• l’erronea convinzione dell’Ateneo che tali informazioni non rientrassero nell’art. 10 GDPR;
• la finalità dichiarata di tutela dei propri diritti e della reputazione;
• la tenuità del fatto;
• l’assenza di precedenti violazioni pertinenti.

La sanzione è stata fissata in euro 4.000.

Pubblicazione del provvedimento e rimedi

Il Garante ha inoltre disposto la pubblicazione del provvedimento sul proprio sito web, ai sensi dell’art. 166, comma 7, del Codice privacy, ritenendo sussistenti i relativi presupposti.

Avverso il provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.