Ordinanza ingiunzione o revoca n. 479 del 03/07/2026

Università di Pisa: malfunzionamento della piattaforma esami e comunicazione indebita di dati degli studenti

Il Garante per la protezione dei dati personali ha sanzionato l’Università di Pisa per un malfunzionamento della piattaforma di iscrizione agli esami esami.unipi.it, che ha consentito, per un intervallo temporale limitato, la visualizzazione di dati personali di studenti non pertinenti e la cancellazione di iscrizioni altrui. Il procedimento è stato avviato a seguito di una segnalazione e si è concluso con ordinanza ingiunzione e applicazione di una sanzione pecuniaria.

Fatti e origine del procedimento

Dall’istruttoria è emerso che, durante l’uso del portale per la gestione degli appelli d’esame, un errore nel servizio di esposizione delle API ha determinato l’erronea associazione delle operazioni effettuate dagli utenti autenticati. Ciò ha permesso agli studenti connessi di vedere i dati di altri studenti e, in alcuni casi, di intervenire sulle relative iscrizioni. L’evento ha coinvolto complessivamente 137 studenti e 221 iscrizioni, di cui 156 annullate e successivamente ripristinate dall’Ateneo.

L’Università ha riferito che il disservizio è durato meno di un’ora quanto all’accessibilità indebita dei dati e meno di tre ore quanto alla sospensione del servizio necessaria per il ripristino. Ha inoltre sostenuto che il sistema era concepito per consentire agli iscritti di conoscere i dati degli altri partecipanti allo stesso appello, in coerenza con la pubblicità degli esami universitari.

Normativa richiamata

Il Garante ha richiamato in particolare:

• l’art. 5, par. 1, lett. a) GDPR (liceità, correttezza e trasparenza);
• l’art. 6, parr. 1, lett. c) ed e), 2 e 3 GDPR e l’art. 2-ter del Codice privacy (base giuridica per i trattamenti nel settore pubblico, incluse comunicazioni di dati personali);
• gli artt. 25 e 32 GDPR (privacy by design/by default e misure di sicurezza adeguate);
• le norme procedurali dell’art. 166 del Codice e dell’art. 58, par. 2, lett. i) GDPR.

Valutazioni del Garante sull’illiceità del trattamento

L’Autorità ha ritenuto che la pubblicità degli esami universitari non potesse giustificare il trattamento verificatosi nel caso concreto, perché non si trattava della normale visualizzazione dei dati degli iscritti a uno stesso appello, bensì della accessibilità indiscriminata a dati di studenti estranei allo specifico appello dell’utente, resa possibile da un malfunzionamento tecnico non previsto né disciplinato da norme idonee.

Il Garante ha quindi concluso che l’Università aveva effettuato una comunicazione di dati personali in assenza di idoneo presupposto di liceità, in violazione dei principi di liceità, correttezza e trasparenza e delle norme sulla base giuridica nel settore pubblico.

Inadeguatezza delle misure tecniche e organizzative

Dalle risultanze istruttorie è emersa anche l’inadeguatezza delle misure tecniche e organizzative adottate. In particolare, il sistema non prevedeva controlli idonei a verificare la correttezza e la coerenza dei dati usati per l’identificazione univoca degli utenti, né meccanismi adeguati di validazione e gestione delle anomalie derivanti dall’interazione con servizi esterni.

La stessa Università ha riconosciuto che il problema è dipeso dal fatto che, a seguito di un aggiornamento delle API, il campo matricola veniva restituito come stringa vuota anziché come valore nullo, circostanza non intercettata dai controlli presenti nel sistema. Secondo il Garante, ciò ha inciso anche sull’integrità, disponibilità e correttezza dei dati trattati, consentendo modifiche non autorizzate alle iscrizioni.

Esito del procedimento e sanzione

Le memorie difensive dell’Università non sono state ritenute idonee a superare i rilievi dell’Ufficio. Il Garante ha quindi confermato l’illiceità del trattamento e ha ritenuto applicabile la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR.

Ai fini della quantificazione, l’Autorità ha considerato:

• la natura, gravità e durata della violazione, con coinvolgimento di numerosi interessati;
• il carattere colposo della condotta;
• l’assenza di categorie particolari di dati;
• le circostanze attenuanti, tra cui le misure adottate per irrobustire i sistemi, l’assenza di precedenti pertinenti e la cooperazione con l’Autorità.

Tenuto conto dell’art. 83, par. 3, GDPR, l’importo è stato determinato in 15.000 euro, ritenuto effettivo, proporzionato e dissuasivo.

Misure accessorie e termini

Il Garante ha disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet dell’Autorità, ai sensi dell’art. 166, comma 7, del Codice;
• l’annotazione del provvedimento nel registro interno dell’Autorità.

È stato inoltre richiamato che l’Università può definire la controversia mediante pagamento, entro 30 giorni, di un importo pari alla metà della sanzione comminata, ai sensi dell’art. 166, comma 8, del Codice. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.