Prescrizioni del Garante n. 704 del 27/11/2025

Università di Torino: trattamento illecito in un questionario di ricerca su Poggio dei Pini

Il Garante per la protezione dei dati personali ha accertato l’illiceità del trattamento svolto dall’Università di Torino nell’ambito di un progetto di ricerca scientifica riguardante i residenti della Cooperativa Poggio dei Pini. Il procedimento è stato avviato a seguito di un reclamo/segnalazione relativo alla diffusione di un questionario online, veicolato tramite newsletter della Cooperativa e compilabile mediante Google Form creato su account personale della borsista.

Origine del procedimento e ricostruzione dei fatti

Il reclamo lamentava che il questionario, presentato come finalizzato a scopi accademici, raccogliesse numerose informazioni personali, tra cui dati anagrafici, fascia reddituale, partecipazione ad elezioni e donazione del sangue. Nel corso dell’istruttoria, la Cooperativa ha sostenuto di aver inoltrato soltanto una comunicazione ai soci che avevano prestato consenso a ricevere messaggi via email e SMS sulle attività della Cooperativa e del territorio. L’Università di Cagliari e l’Università di Sassari hanno escluso un proprio coinvolgimento nel trattamento oggetto del procedimento. L’Università di Torino ha invece chiarito che il progetto rientrava nelle attività scientifiche di un docente dell’Ateneo, era finanziato con fondi di ricerca locale e si avvaleva di una borsista.

Qualificazione dei ruoli

Secondo il Garante, il progetto era imputabile all’Università di Torino, che ne determinava finalità e mezzi, e quindi assumeva la posizione di titolare del trattamento ai sensi dell’art. 24 GDPR. Il professore e la borsista sono stati qualificati come persone autorizzate al trattamento ai sensi degli artt. 29 GDPR e 2-quaterdecies del Codice privacy. Non è stata ritenuta decisiva la tesi dell’Ateneo secondo cui la ricerca sarebbe dovuta riguardare solo dati anonimi, poiché non sono state documentate misure tecniche idonee a garantire tale anonimizzazione.

Violazioni accertate

Il Garante ha ravvisato una pluralità di violazioni:

• trattamento non conforme ai principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a) GDPR;
• assenza di un valido presupposto giuridico ai sensi dell’art. 6 GDPR;
• mancato rispetto della disciplina sui dati particolari, con riferimento all’art. 9 GDPR, in relazione anche a dati idonei a rivelare opinioni politiche e altri aspetti sensibili;
• omessa informativa preventiva ex artt. 12 e 13 GDPR;
• mancata osservanza dell’art. 7 delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica;
• violazione dei principi di accountability e privacy by design/by default, con richiamo agli artt. 5, par. 2, 24, 25 e 32 GDPR;
• violazione dell’art. 29 GDPR e dell’art. 2-quaterdecies del Codice privacy, per assenza di specifiche designazioni, istruzioni e adeguata vigilanza sulle persone autorizzate.

Valutazione del Garante sulla base giuridica e sull’informativa

L’Autorità ha evidenziato che i trattamenti per ricerca scientifica devono poggiare su un’idonea base giuridica, che nel caso di dati particolari richiede anche una specifica deroga al divieto di trattamento. Nel caso concreto, nessuna base giuridica era stata previamente individuata e resa nota agli interessati. Poiché il questionario raccoglieva dati direttamente presso gli interessati, l’informativa ex art. 13 GDPR era obbligatoria e non è stata fornita prima della raccolta.

Accountability, sicurezza e organizzazione interna

Il Garante ha ritenuto non sufficienti, sul piano sostanziale, le misure organizzative richiamate dall’Ateneo, quali regolamento privacy interno, organigramma privacy e formazione del personale, perché non documentate in modo adeguato e non efficacemente applicate. L’Università avrebbe dovuto vigilare sull’operato dei propri collaboratori e adottare misure tecniche e organizzative idonee a evitare l’uso di strumenti personali, come un account privato Google, per la raccolta e conservazione dei dati. È stata quindi ritenuta integrata anche una violazione dell’obbligo di responsabilizzazione e di protezione dei dati fin dalla progettazione.

Misure successive e chiusura del progetto

L’Università ha rappresentato che, dopo la segnalazione, il Responsabile della protezione dei dati e il docente avevano disposto la disattivazione del link al questionario, la cancellazione dei dati raccolti e la comunicazione agli interessati dell’interruzione del progetto. Il Garante ha preso atto che i dati erano stati conservati solo per un periodo limitato, non erano stati diffusi e la condotta aveva cessato di produrre effetti. Per tale ragione ha escluso l’adozione di misure correttive ulteriori ai sensi dell’art. 58, par. 2, GDPR.

Esito finale, ammonimento e pubblicazione

Pur dichiarando l’illiceità del trattamento, il Garante ha considerato il caso una "violazione minore" alla luce del numero limitato di interessati, della cancellazione tempestiva dei dati, della collaborazione dell’Ateneo e dell’assenza di ulteriori reclami. Ha quindi ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b) GDPR nei confronti dell’Università di Torino, disponendo inoltre la pubblicazione del provvedimento sul sito dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice privacy.

Norme richiamate nel provvedimento

Tra le principali disposizioni richiamate figurano gli artt. 5, 6, 9, 12, 13, 24, 25, 29, 32, 35, 57, 58 e 78 GDPR, nonché gli artt. 2-quater, 2-quaterdecies, 104 e ss., 154-bis e 168 del Codice privacy e l’art. 7 delle Regole deontologiche per trattamenti a fini statistici e di ricerca scientifica. Il provvedimento richiama anche le Linee guida del Comitato europeo per la protezione dei dati sul consenso e sul data protection by design/by default, oltre al considerando 148 GDPR.