Prescrizioni del Garante n. 302 del 23/05/2024

Università di Bari: indicizzazione in motori di ricerca dei dati di una dipendente

Il Garante ha esaminato il reclamo presentato da una dipendente dell’Università degli Studi di Bari "Aldo Moro" relativo alla reperibilità, tramite motori di ricerca esterni, del proprio nominativo associato al ruolo svolto nell’Ateneo, pubblicato nella rubrica online istituzionale. Il procedimento riguarda dunque la diffusione online di dati personali di un soggetto pubblico impiego, nella prospettiva della trasparenza e della comunicazione istituzionale.

Origine del reclamo e richiesta dell’interessata

La reclamante ha chiesto la deindicizzazione dei propri dati personali dal web, rappresentando che l’indicizzazione non era necessaria né funzionale, poiché non ricopriva cariche di rilievo e non aveva utenza esterna rilevante. Ha inoltre evidenziato che per i contatti con l’utenza erano già disponibili una mail di ufficio e una rubrica interna sul sito dell’Università.

Quadro normativo richiamato

L’Autorità richiama la disciplina del GDPR applicabile ai soggetti pubblici, in particolare:

• art. 6, par. 1, lett. c) ed e), e art. 6, par. 2 e 3 GDPR;
• art. 2-ter, comma 1, Codice privacy;
• art. 5, par. 1, lett. b) e c), GDPR, sui principi di limitazione della finalità e minimizzazione dei dati.

Sono inoltre richiamate le Linee guida in materia di trasparenza del 2014, che raccomandano di evitare, ove possibile, la reperibilità dei dati personali tramite motori di ricerca esterni quando la pubblicazione avvenga per finalità diverse dalla trasparenza amministrativa.

Valutazioni sull’invocazione della normativa sulla trasparenza

L’Ateneo aveva sostenuto che la pubblicazione e l’indicizzazione dei dati fosse dovuta in base agli artt. 13 e 7-bis del d.lgs. 33/2013. Il Garante ha escluso che tali disposizioni potessero giustificare il caso concreto, rilevando che l’art. 13 si riferisce ai dati relativi ai dirigenti responsabili degli uffici e ai recapiti istituzionali dedicati al cittadino, non ai nomi dei singoli dipendenti né al ruolo da essi ricoperto.

L’Autorità ha quindi chiarito che la disciplina sulla trasparenza non impone l’indicizzazione generalizzata dei dati della reclamante, soprattutto quando la loro pubblicazione avvenga non nella sezione "Amministrazione trasparente", ma nella rubrica online dell’Ateneo per finalità di comunicazione istituzionale.

Illiceità del trattamento e mancanza di necessità/proporzionalità

Secondo il Garante, la diffusione dei dati della reclamante sui motori di ricerca generalisti non era stata dimostrata come necessaria e proporzionata rispetto alla finalità dichiarata dal titolare del trattamento. Per la finalità di favorire la comunicazione istituzionale, infatti, era sufficiente la rintracciabilità dei recapiti nella rubrica online, senza esposizione ai motori di ricerca esterni.

L’Autorità ha dunque qualificato il trattamento come non conforme ai principi di limitazione della finalità e minimizzazione dei dati, in violazione dell’art. 5, par. 1, lett. b) e c), GDPR, richiamando anche gli obblighi di accountability del titolare ex artt. 5, par. 2, e 24 GDPR.

Condotta dell’Ateneo durante l’istruttoria

L’Università, ricevuta la richiesta dell’Ufficio, ha aderito spontaneamente alle richieste della reclamante e ha dichiarato di avere:

• implementato metatag e file robots.txt per bloccare l’indicizzazione del portale;
• chiesto ai principali motori di ricerca, in particolare Google e Microsoft Bing, la rimozione dei contenuti già indicizzati e delle copie cache;
• verificato che, dopo il decorso del tempo necessario alla propagazione delle modifiche, i dati non risultavano più globalmente indicizzati nemmeno presso altri motori di ricerca campionati.

Il Garante ha valorizzato la collaborazione del titolare e l’attivazione tempestiva per eliminare gli effetti della violazione.

Valutazione finale e scelta dell’ammonimento

Pur accertando l’illiceità del trattamento, il Garante ha ritenuto di non applicare una sanzione pecuniaria. Ha considerato la fattispecie come "violazione minore" ai sensi del considerando 148 e dell’art. 83, par. 2, GDPR, tenendo conto di alcune circostanze attenuanti:

• natura colposa della condotta;
• assenza di dati appartenenti a categorie particolari o relativi a condanne penali o reati;
• collaborazione dell’Ateneo;
• rimozione dell’indicizzazione;
• assenza di precedenti analoghi.

In luogo della multa, il Garante ha disposto l’ammonimento dell’Università degli Studi di Bari "Aldo Moro" ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Misure disposte e rimedi

Il provvedimento dispone inoltre:

• la pubblicazione sul sito web del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019;
• l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Il Garante ha infine precisato che, considerate le circostanze del caso e l’avvenuta cessazione degli effetti della condotta, non vi erano i presupposti per ulteriori misure correttive ex art. 58, par. 2, GDPR.