Ordinanza ingiunzione o revoca n. 367 del 10/11/2022

Conservatorio di Musica S. Cecilia di Roma: trattamento illecito di dati di un’assemblea studentesca e designazione irregolare del RPD

Il provvedimento riguarda il Conservatorio di Musica S. Cecilia di Roma e trae origine dal reclamo di uno studente in merito all’uso, in sede disciplinare, della registrazione di un’assemblea studentesca svolta su Zoom. Il Garante ha esaminato anche la nomina del Direttore del Conservatorio quale Responsabile della protezione dei dati (RPD), ritenendola incompatibile con il ruolo ricoperto.

Origine del procedimento e posizione delle parti

Lo studente ha lamentato che il Conservatorio avesse acquisito e utilizzato una registrazione audio/video dell’assemblea, nonostante gli organizzatori non avessero previsto alcuna registrazione. Il Conservatorio ha sostenuto che l’assemblea fosse stata organizzata da un’associazione esterna, che il link fosse stato diffuso sui social e che quindi la riunione dovesse considerarsi di fatto pubblica. Ha inoltre affermato di aver rinvenuto casualmente nei propri locali una chiavetta USB contenente la registrazione e di aver affidato la trascrizione a un perito.

Trattamenti esaminati

L’istruttoria ha riguardato tre profili principali:

• l’acquisizione e il successivo utilizzo dei dati personali contenuti nel dispositivo USB;
• la trascrizione del contenuto della registrazione da parte di un professionista esterno;
• la designazione del Direttore del Conservatorio come RPD.

Quadro normativo richiamato

Il Garante ha richiamato, tra le altre, le seguenti disposizioni:

• art. 5, par. 1, lett. a) e b), GDPR, sui principi di liceità, correttezza, trasparenza e limitazione della finalità;
• art. 6 GDPR e art. 2-ter del Codice privacy, in tema di base giuridica nel settore pubblico;
• art. 28 GDPR, sul rapporto con il responsabile del trattamento;
• art. 29 GDPR, sui soggetti autorizzati che agiscono sotto l’autorità del titolare o del responsabile;
• art. 38, par. 6, GDPR, sul divieto di conflitti di interessi per il RPD;
• art. 2-decies del Codice privacy, in tema di inutilizzabilità dei dati trattati in violazione della disciplina rilevante.

Illiceità dell’acquisizione e dell’uso dei dati contenuti nella chiavetta USB

Il Garante ha ritenuto che il Conservatorio avesse acquisito i dati personali contenuti nella chiavetta USB senza un valido presupposto di liceità. Il ritrovamento casuale del dispositivo, privo di elementi utili a identificarne il proprietario, non poteva legittimare il trattamento dei dati memorizzati. Né è stato ritenuto decisivo il fatto che il link dell’assemblea fosse stato diffuso online, poiché al momento del ritrovamento non era noto il contenuto effettivo del dispositivo.

Secondo l’Autorità, il Conservatorio avrebbe dovuto limitarsi a consegnare il supporto alle autorità competenti, anziché acquisire, conservare e utilizzare i dati ai fini del procedimento disciplinare. La successiva utilizzazione dei dati non ha sanato il difetto originario di base giuridica.

Trascrizione da parte del perito e mancata regolamentazione ex art. 28 GDPR

Il Conservatorio aveva incaricato un perito fonico/trascrittore di effettuare la trascrizione del file registrato. Il Garante ha osservato che il professionista era un soggetto esterno alla struttura del titolare e non poteva essere considerato un soggetto autorizzato ai sensi dell’art. 29 GDPR. Per questo motivo, il rapporto avrebbe dovuto essere regolato con un contratto o altro atto giuridico ai sensi dell’art. 28 GDPR.

In assenza di tale regolamentazione, la messa a disposizione dei dati al perito è stata qualificata come comunicazione a terzi e, dunque, come trattamento illecito, non potendo essere giustificata nemmeno dalla base giuridica contrattuale invocata dal Conservatorio.

RPD del Conservatorio e conflitto di interessi

Il Direttore del Conservatorio aveva ricoperto anche l’incarico di RPD dal 13 giugno 2018 al 28 gennaio 2022. Il Garante ha ritenuto tale scelta incompatibile con l’art. 38, par. 6, GDPR, perché il Direttore era figura apicale con poteri rilevanti anche in materia disciplinare e, quindi, titolare di interessi e funzioni potenzialmente confliggenti con l’indipendenza richiesta al RPD.

L’Autorità ha richiamato le proprie FAQ e il Documento di indirizzo sul RPD in ambito pubblico, sottolineando che il RPD non può svolgere incarichi che incidano sulla definizione di finalità e mezzi del trattamento. La successiva revoca dell’incarico e la nomina di un nuovo RPD non hanno escluso la violazione già consumata.

Valutazione finale e sanzione

Il Garante ha concluso che le difese del Conservatorio non erano idonee a superare i rilievi contestati e ha accertato la violazione degli artt. 5, 6 e 38 GDPR e dell’art. 2-ter del Codice privacy. Ha escluso l’adozione di misure correttive ulteriori, rilevando che la condotta aveva ormai esaurito i propri effetti.

Ai fini della quantificazione della sanzione, sono stati considerati:

• la particolare delicatezza dei dati trattati, relativi a studenti e alle opinioni espresse in un’assemblea;
• il clima conflittuale che caratterizzava i rapporti interni;
• la collaborazione prestata dal titolare nel corso dell’istruttoria;
• l’avvio di iniziative di riorganizzazione e di miglioramento della sicurezza;
• l’assenza di precedenti violazioni pertinenti.

La sanzione amministrativa pecuniaria è stata determinata in euro 6.000,00. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno. Il Conservatorio è stato informato della facoltà di definire la controversia con il pagamento, entro 30 giorni, della metà della sanzione comminata, nonché della possibilità di proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge.