Prescrizioni del Garante n. 343 del 14/05/2026

Università degli Studi di Genova - comunicazione illecita di dati giudiziari in un procedimento CADA

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un interessato relativo alla produzione, da parte dell’Università degli Studi di Genova, di una memoria difensiva nel procedimento davanti alla Commissione per l'accesso ai documenti amministrativi (CADA), contenente dati personali del reclamante relativi a condanne penali e reati. L’Autorità ha ritenuto che, nel caso concreto, la comunicazione non fosse giustificata da un’adeguata base giuridica e non fosse necessaria per la difesa dell’Ateneo.

Origine della vicenda e oggetto del reclamo

L’interessato aveva presentato all’Ateneo un’istanza di accesso a documentazione amministrativa relativa a una prova orale di concorso per ricercatore universitario a tempo determinato. A fronte del diniego, aveva proposto ricorso alla CADA. In quel contesto lamentava che l’Università avesse depositato una memoria difensiva contenente dati personali a lui riferiti, concernenti precedenti penali e reati, che egli riteneva del tutto inconferenti rispetto all’oggetto del ricorso.

Attività istruttoria e difese del titolare

A seguito della richiesta di informazioni dell’Autorità ex art. 157 del Codice, l’Ateneo ha spiegato che la comunicazione dei dati era stata effettuata per rappresentare il contesto e per avvalorare le proprie difese nel procedimento di accesso. Ha sostenuto che l’intento era quello di mettere in luce la non attendibilità dell’interessato e di tutelare l’immagine dell’Università e del personale. Ha inoltre invocato l’art. 2-octies, comma 2, lett. e) e f), del Codice, affermando che la CADA svolge funzioni giustiziali sostanzialmente alternative al TAR e precisando di non aver trasmesso il certificato del casellario giudiziale, ma solo dichiarazioni sostitutive rese in sede di concorso.

Norme richiamate dal Garante

L’Autorità ha ricordato che i soggetti pubblici possono trattare dati personali quando il trattamento è necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. c) ed e), GDPR. Ha richiamato anche l’art. 6, par. 2, GDPR, evidenziando che le comunicazioni di dati personali a soggetti terzi da parte di soggetti pubblici sono ammesse solo alle condizioni dell’art. 2-ter del Codice. Con specifico riguardo ai dati relativi a condanne penali e reati, ha ribadito che il trattamento è consentito solo sotto il controllo dell’autorità pubblica o se autorizzato dal diritto dell’Unione o degli Stati membri con garanzie appropriate, ai sensi dell’art. 10 GDPR e dell’art. 2-octies del Codice.

Valutazione sulla necessità del trattamento e sulla finalità difensiva

Il Garante ha osservato che, in generale, nei procedimenti di competenza della CADA non spetta all’Autorità sindacare la rilevanza degli atti e dei documenti che l’amministrazione ritenga di depositare per difendere le proprie determinazioni. In linea di principio, infatti, il trattamento può essere legittimo quando necessario per accertare o difendere un diritto in sede giudiziale, amministrativa o stragiudiziale, anche per dati particolari o giudiziari, in coerenza con il considerando 51 e con l’art. 10 GDPR.

Nel caso concreto, tuttavia, l’Ateneo aveva dichiarato espressamente che la comunicazione dei dati sui precedenti penali era volta a "mettere in risalto la non attendibilità della persona in questione". Per il Garante, tale finalità non era strettamente funzionale alla trattazione della controversia sulla domanda di accesso documentale e risultava estranea all’ambito di cognizione della CADA. Le informazioni relative a pregresse vicende penali, non avendo diretta attinenza rispetto ai fatti oggetto del ricorso e non incidendo sulla legittimazione ad agire del ricorrente, sono state ritenute eccedenti rispetto all’esigenza di difesa dell’Ateneo.

Illiceità del trattamento e violazioni accertate

L’Autorità ha concluso che la comunicazione dei dati del reclamante è avvenuta in violazione del principio di liceità, correttezza e trasparenza e in assenza di base giuridica. Sono stati quindi ritenuti violati:

• art. 5, par. 1, lett. a), GDPR;
• art. 6, par. 1, lett. c) ed e), e parr. 2 e 3, GDPR;
• art. 10 GDPR;
• artt. 2-ter e 2-octies del Codice.

Esito del procedimento e misura adottata

Pur rilevando che le dichiarazioni difensive dell’Ateneo non consentivano l’archiviazione del procedimento, il Garante ha considerato che la condotta aveva già esaurito i propri effetti e che non ricorrevano i presupposti per ulteriori misure correttive. Ha pertanto ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, dichiarando contestualmente l’illiceità del trattamento ai sensi dell’art. 57, par. 1, lett. f), GDPR.

Criteri di valutazione della gravità

Nel motivare la scelta dell’ammonimento, il Garante ha valorizzato diversi elementi attenuanti ai sensi dell’art. 83, par. 2, GDPR:

• carattere episodico della violazione;
• coinvolgimento dei dati di un solo interessato;
• natura colposa della condotta;
• comunicazione a un solo destinatario pubblico, tenuto a obblighi di confidenzialità;
• assenza di precedenti violazioni pertinenti;
• buona collaborazione del titolare nel corso dell’istruttoria e impegno a migliorare le procedure interne.

Ha inoltre qualificato la violazione come "minore" ai sensi del considerando 148 del GDPR e delle linee guida WP 253 sulle sanzioni amministrative pecuniarie.

Dispositivo finale

Il provvedimento dispone:

• la dichiarazione di illiceità del trattamento effettuato dall’Università degli Studi di Genova;
• l’ammonimento dell’Ateneo per le violazioni accertate;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione della violazione e delle misure adottate nel registro interno del Garante.

Non è stata irrogata una sanzione pecuniaria. Il provvedimento indica, infine, la possibilità di ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011.