Ordinanza ingiunzione o revoca n. 731 del 04/12/2025

Istituto Comprensivo Centro di Casalecchio di Reno: diffusione online illecita di una graduatoria con dati personali eccedenti di docenti

Il Garante per la protezione dei dati personali ha concluso un procedimento avviato a seguito del reclamo di un docente nei confronti dell’Istituto Comprensivo Centro di Casalecchio di Reno (BO), relativo alla pubblicazione online di una graduatoria contenente dati personali eccedenti e non pertinenti. Il provvedimento è un’ordinanza ingiunzione con contestuale dichiarazione di illiceità del trattamento e irrogazione di sanzione amministrativa pecuniaria.

Origine del procedimento e reclamo dell’interessato

Il procedimento è stato avviato ai sensi dell’art. 77 GDPR in seguito al reclamo del docente, che aveva esercitato i diritti di cui agli artt. 15-22 GDPR senza ricevere un riscontro ritenuto idoneo. In particolare, egli chiedeva la cancellazione di propri dati personali, tra cui indirizzi privati e numeri di telefono, pubblicati sul web all’interno di una "Graduatoria XX" riconducibile all’Istituto.

L’Istituto aveva riferito di essersi attivato, anche tramite il Responsabile della protezione dei dati, per ottenere la cancellazione dei dati dal web; tuttavia, gli stessi risultavano ancora reperibili online.

Attività istruttoria e fatti accertati

L’Ufficio ha verificato che la graduatoria era effettivamente raggiungibile tramite il collegamento indicato dal reclamante e che riportava i nominativi di oltre 1.000 docenti, incluso il reclamante, con indicazione di:

• indirizzo di residenza;
• email personale;
• recapito telefonico;
• codice fiscale.

È emerso che la graduatoria era stata inizialmente pubblicata sul sito istituzionale dell’Istituto e successivamente rimossa a seguito della richiesta di cancellazione. La stessa risultava però ancora disponibile su un diverso sito web, completamente estraneo all’Istituto, senza che l’istruttoria consentisse di individuare il gestore del sito terzo.

L’Istituto ha dichiarato che la pubblicazione dei dati personali era stata dovuta a un errore involontario dell’assistente amministrativo incaricato, precisando che il trattamento aveva riguardato complessivamente 1.333 soggetti e che il reclamante aveva segnalato per la prima volta la divulgazione dei dati in una certa data. Ha inoltre rappresentato di essersi adoperato immediatamente per rimuovere i dati dal proprio sito e chiederne la cancellazione dagli altri siti dove risultavano visibili.

Qualificazione giuridica del trattamento e norme richiamate

Il Garante ha richiamato il quadro normativo applicabile ai trattamenti effettuati da soggetti pubblici, evidenziando che essi possono trattare dati personali quando ciò sia necessario:

• per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;
• per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri.

Sono stati richiamati in particolare:

• art. 6, par. 1, lett. c) ed e) GDPR;
• art. 2-ter del Codice privacy;
• art. 5, par. 1, lett. a) e c) GDPR, sui principi di liceità, correttezza, trasparenza e minimizzazione.

Il Garante ha inoltre richiamato le Linee guida del 15 maggio 2014 n. 243 sulla pubblicità e trasparenza sul web dei dati contenuti in atti e documenti amministrativi, secondo cui nelle graduatorie possono essere diffusi solo dati pertinenti e non eccedenti, escludendo recapiti, indirizzi di residenza, email personali, codici fiscali e, in generale, dati sulla salute. È stato richiamato anche il provvedimento n. 23 del 14 giugno 2007 in materia di trattamento dei dati dei lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico.

Valutazioni del Garante sull’illiceità della diffusione online

L’Autorità ha osservato che la diffusione online costituisce un trattamento particolarmente invasivo, poiché consente a chiunque, anche tramite motori di ricerca, di reperire in modo indiscriminato informazioni personali che possono rimanere in rete per tempi indefiniti.

Nel caso di specie, benché la pubblicazione fosse avvenuta per mero errore dell’assistente amministrativo incaricato, il Garante ha ritenuto che la pubblicazione sul sito istituzionale della graduatoria contenente i dati di circa 1.333 docenti avesse determinato una diffusione di dati personali in assenza di un idoneo presupposto di liceità. Ne è derivata la violazione degli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. c) ed e) GDPR e dell’art. 2-ter del Codice privacy.

L’Autorità ha comunque preso favorevolmente atto del fatto che l’Istituto si fosse attivato per rimuovere i dati dal proprio sito e per richiederne la cancellazione anche presso i siti terzi in cui erano ancora visibili.

Esito del procedimento e assenza di ulteriori misure correttive

Il Garante ha ritenuto che le difese dell’Istituto non fossero sufficienti a giustificare l’archiviazione e ha confermato i rilievi formulati in sede di avvio del procedimento. Ha inoltre osservato che non ricorrevano i presupposti per ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, poiché la condotta imputabile alla sfera di responsabilità dell’Istituto aveva esaurito i propri effetti e la graduatoria risultava ormai disponibile su un sito estraneo al titolare.

Determinazione della sanzione ex art. 83 GDPR

Poiché la violazione derivava da un’unica condotta e le disposizioni violate erano tutte soggette alla sanzione di cui all’art. 83, par. 5, GDPR, il Garante ha richiamato l’art. 83, par. 3, GDPR sul cumulo delle violazioni. L’importo massimo teorico è stato ricondotto fino a 20 milioni di euro.

Nella quantificazione concreta della sanzione sono stati considerati i criteri dell’art. 83, par. 2, GDPR, in particolare:

• durata del trattamento, protrattosi per circa due anni;
• numero di interessati coinvolti, pari a 1.333;
• natura colposa della violazione, dovuta a un errore dell’assistente amministrativo;
• assenza di dati sulla salute o di altre condizioni soggettive particolarmente delicate.

Sono state valorizzate anche circostanze attenuanti:

• l’attivazione dell’Istituto per attenuare il danno, con rimozione dei dati dal proprio sito e richiesta di cancellazione dai siti terzi;
• la piena cooperazione con l’Autorità;
• l’assenza di precedenti violazioni pertinenti in materia.

Alla luce di tali elementi, la sanzione è stata determinata in euro 2.000.

Dispositivo

Il Garante ha:

• dichiarato, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento effettuato dall’Istituto;
• ordinato all’Istituto Comprensivo Centro di Casalecchio di Reno di pagare euro 2.000 a titolo di sanzione amministrativa pecuniaria;
• ricordato la facoltà di definizione agevolata della controversia mediante pagamento, entro 30 giorni, di un importo pari alla metà della sanzione comminata, ai sensi dell’art. 166, comma 8, Codice;
• ingiunto il pagamento dell’intero importo entro 30 giorni dalla notificazione, in mancanza di definizione agevolata;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante, nonché la pubblicazione del provvedimento e l’annotazione nel registro interno dell’Autorità.

Impugnazioni

È stato infine indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero, ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.