Ordinanza ingiunzione o revoca n. 35 del 24/01/2024

Istituto Comprensivo Statale "F.S. Cabrini" - pubblicazione online di determine con dati sulle assenze del personale

Il Garante è intervenuto su reclamo di una docente contro la diffusione sul sito istituzionale di circa 37 determinazioni dirigenziali relative alla sostituzione del personale assente. Gli atti contenevano dati personali riferiti ai giorni di assenza della reclamante e di altri dipendenti, pubblicati nell’ambito dell’albo online per l’anno scolastico 2021/2022.

Fatti e origine del procedimento

La vicenda nasce dalla pubblicazione sul sito dell’istituto di atti amministrativi connessi alla gestione delle supplenze brevi e alla continuità dell’azione didattica. Il Garante ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la diffusione di dati personali in assenza di idoneo presupposto di liceità e in violazione dei principi di cui agli artt. 5, par. 1, lett. a), e 6, par. 1, lett. c) ed e), GDPR, nonché dell’art. 2-ter del Codice.

Difese dell’istituto e attività istruttoria

L’istituto ha sostenuto che la pubblicazione fosse obbligatoria per pubblicità legale ai sensi dell’art. 32, comma 1, l. 69/2009 e che gli atti contenessero solo nome, cognome e date di assenza, senza indicazione delle causali o di categorie particolari di dati. Ha rappresentato che l’errore era dovuto a un difetto di comunicazione interna tra dirigenza e segreteria, aggravato dalla complessità organizzativa del periodo pandemico, e che gli atti erano stati rimossi dopo il reclamo. Ha inoltre riferito di aver adottato o programmato misure correttive: aggiornamento del format delle determine, ulteriori istruzioni al personale e formazione in materia privacy.

Quadro normativo richiamato

Il Garante ha richiamato la disciplina del Regolamento UE 2016/679 e del Codice privacy, evidenziando che:

• i trattamenti da parte di soggetti pubblici sono leciti se necessari per l’adempimento di obblighi di legge o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri;
• la diffusione di dati personali, inclusa la pubblicazione sul web, è consentita ai soggetti pubblici solo se prevista da norma di legge o, nei casi previsti dalla legge, da regolamento;
• restano sempre fermi i principi di liceità, correttezza, trasparenza e minimizzazione;
• il titolare deve inoltre adottare misure tecniche e organizzative adeguate e dimostrare la conformità al principio di accountability.

Valutazione del Garante sulla diffusione online

L’Autorità ha ritenuto che la pubblicazione online delle determine dirigenziali con indicazioni sulle assenze del personale costituisse una diffusione illecita, poiché non esisteva una specifica base normativa che imponesse la pubblicazione di tali dati. Il richiamo all’art. 32, comma 1, l. 69/2009 è stato giudicato insufficiente, in quanto la disciplina sulla pubblicità legale non comporta automaticamente la pubblicazione integrale di dati personali contenuti negli atti.

Il Garante ha ribadito che anche l’albo pretorio online è soggetto ai limiti del GDPR e che, nel caso di specie, i dati personali non avrebbero dovuto essere riportati, potendo eventualmente essere omessi o anonimizzati. La pubblicazione è stata quindi qualificata come violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice.

Elementi considerati nella quantificazione della sanzione

Nella determinazione dell’importo, il Garante ha applicato i criteri dell’art. 83, par. 2, GDPR, rilevando in particolare:

• la natura e gravità della violazione, avvenuta nel contesto lavorativo, caratterizzato da una condizione di vulnerabilità degli interessati;
• la durata della pubblicazione, protrattasi per un arco temporale non breve fino alla rimozione dei documenti;
• l’assenza di precedenti violazioni pertinenti;
• la collaborazione prestata dall’istituto, che ha rimosso gli atti e adottato nuove misure organizzative;
• il contesto scolastico e le difficoltà organizzative aggravate dall’emergenza Covid-19.

Pur riconoscendo che la violazione era avvenuta per errore e senza indicazione delle causali di assenza, l’Autorità ha ritenuto il livello di gravità medio e ha determinato la sanzione in euro 2.000.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento ai sensi dell’art. 57, par. 1, lett. f), GDPR;
• ordinato all’istituto il pagamento della sanzione amministrativa pecuniaria di euro 2.000;
• ricordato la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni ai sensi dell’art. 166, comma 8, del Codice;
• ingiunto il pagamento entro 30 giorni dalla notificazione in mancanza di definizione della controversia;
• disposto la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice.

Implicazioni operative

Il provvedimento conferma che le pubbliche amministrazioni e le istituzioni scolastiche devono distinguere tra obblighi di pubblicità legale e diffusione di dati personali, evitando di pubblicare online informazioni non strettamente necessarie. In particolare, nella predisposizione di determine, avvisi e atti destinati all’albo online, è necessario verificare la base giuridica specifica e applicare, se del caso, tecniche di omissis o anonimizzazione, accompagnate da procedure interne e formazione del personale.