g-docweb-display Portlet

Ordinanza di ingiunzione nei confronti di Ministero dell'Istruzione, dell'Università e della Ricerca - Direzione generale per l'università, lo studente e il diritto allo studio universitario - 4 ottobre 2012 [2269062]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 2269062]

Ordinanza di ingiunzione nei confronti di Ministero dell´Istruzione, dell´Università e della Ricerca - Direzione generale per l´università, lo studente e il diritto allo studio universitario - 4 ottobre 2012

Registro dei provvedimenti
n. 269 del 4 ottobre 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689, relativo al verbale di contestazione di violazione amministrativa redatto in data 29 marzo 2010 nei confronti del Ministero dell´Istruzione, dell´Università e della Ricerca-Direzione generale per l´università, lo studente e il diritto allo studio universitario (di seguito l´"Ente"), con sede in Roma, Viale Trastevere n. 76/A, in persona del legale rappresentante pro-tempore, per violazione dell´art. 19, comma 3, del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

RILEVATO che nell´ambito dell´attività istruttoria, di cui alla relazione di servizio datata 5 novembre 2009, diretta a verificare le funzionalità offerte dal motore di ricerca dell´Osservatorio "Anagrafe studenti", presente sul sito Internet del Ministero dell´istruzione, dell´università e della ricerca (http://anagrafe.miur.it), è stato riscontrato che, tramite le maschere "Anagrafe nazionale studenti", "Ricerca" e "Ricerca avanzata" presenti sul predetto sito Internet, è possibile effettuare interrogazioni in grado di restituire informazioni su persone fisiche, identificabili anche indirettamente mediante il riferimento ad altre informazioni e con l´impiego di mezzi ragionevoli, in riferimento a quanto disposto dagli artt. 3 e 4 del Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell´ambito del Sistan;

VISTA la richiesta di informazioni dell´Ufficio formulata ai sensi dell´art. 157 del Codice in data 14 dicembre 2009, prot. n. 27253/U, con cui è stato chiesto all´Ente di fornire documenti e informazioni utili alla questione, con particolare riferimento alla base normativa che legittima il predetto trattamento di dati personali;

PRESO ATTO del riscontro datato 18 gennaio 2010 con cui l´Ente ha dichiarato che il servizio di Anagrafe nazionale degli studenti universitari è stato istituito dall´art. 1-bis del d.l. n. 105/2003, convertito in legge, con modificazioni, dall´art. 1 della l. 11 luglio 2003, n. 170, e che il successivo decreto ministeriale del 30 aprile 2004 ha individuato i dati che ogni Università deve raccogliere e trasmettere all´Anagrafe; ad ogni modo, "per autotutela sono stati temporaneamente inibiti gli accessi ed attuate azioni per l´adeguamento a quanto previsto dagli artt. 3 e 4 del Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell´ambito del Sistan";

VISTO il verbale n. 7012/66484 del 29 marzo 2010, con cui è stata contestata al predetto Ente la violazione amministrativa prevista dall´art. 162, comma 2-bis del Codice, per aver effettuato, in violazione dell´art. 19, comma 3, del Codice, una diffusione di dati personali sul sito web http://anagrafe.miur.it in assenza di una base normativa idonea a legittimare tale trattamento, informandolo della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi inviati ai sensi dell´art. 18 della legge n. 689/1981, con cui l´Ente ha dichiarato che, sulla base di quanto stabilito dall´art. 1-bis del d.l. n. 105/2003 (istitutiva dell´Anagrafe degli studenti) e dall´art. 16, co. 95, lett. b) della legge n. 127/1997 (a norma del quale "i decreti di ordinamento dei corsi di studio devono determinare modalità e strumenti per l´orientamento e per favorire la mobilità degli studenti, anche attraverso l´utilizzo di mezzi informatici e telematici") è deputato non solo alla creazione della banca dati, ma anche a "consentire – seppure con le opportune cautele - l´accesso a dati e informazioni riguardanti individualmente gli studenti". Ha sostenuto che, in ogni caso, le modalità di funzionamento e di utilizzo del motore di ricerca non consentono di risalire all´identità della persona fisica cui i dati si riferiscono e che, comunque, "per arrivare ad avere informazioni utili ma non decisive ai fini dell´identificazione della persona fisica titolare dei dati, si rendono necessari un numero di passaggi tali da non potersi configurare come ragionevolmente utilizzabili" secondo l´accezione dell´art. 3 del Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell´ambito del sistema statistico nazionale;

VISTO il verbale dell´audizione delle parti tenutasi in data 21 novembre 2011 ai sensi dell´art. 18 della legge n. 689/1981, in cui, oltre a ribadire quanto già dichiarato negli scritti difensivi, l´Ente ha precisato che l´identificazione delle persone non era possibile, "perché il sistema consentiva un livello di disaggregazione codificato esclusivamente con un dato numerico e su un numero di campi limitato" e di aver provveduto alle modifiche opportune;

CONSIDERATO che le argomentazioni addotte non consentono di escludere la responsabilità della parte in relazione a quanto contestato. Va preliminarmente osservato che, contrariamente a quanto sostenuto, l´art. 1-bis del d.l. n. 105/2003, nell´ambito dell´istituzione dell´Anagrafe nazionale degli studenti universitari, si limita a fissarne gli obiettivi e a rinviare ad un apposito decreto (indicato anche dalla parte nel DM del 30 aprile 2004) la disciplina relativa all´individuazione dei dati che devono essere presenti nei sistemi informativi delle Università e che devono essere trasmessi periodicamente dalle Università all´Anagrafe nazionale. Pertanto, tale norma non rientra tra quelle di cui all´art. 19, comma 3, del Codice, tale cioè da legittimare la diffusione di dati da parte di un soggetto pubblico, provvedendo solo a stabilire la comunicazione degli stessi dati da un soggetto pubblico ad un altro. Per quanto concerne, più specificamente, le caratteristiche del motore di ricerca presente sul sito web del Ministero, l´argomentazione della parte, secondo cui pur volendo utilizzare "tutti i caratteri disponibili, non era in ogni caso possibile risalire direttamente o indirettamente all´identità di ogni singolo studente", non trova un esatto riscontro. Infatti, dall´esame della documentazione acquisita risulta la possibilità di identificare le persone, seppur in via indiretta e mediante l´uso di tempi e risorse ragionevoli, dal momento che le interrogazioni effettuate hanno fornito informazioni con un dettaglio inferiore alla soglia del tre, ovvero che alla combinazione delle modalità delle variabili era stata associata una frequenza inferiore a quella fissata dall´art. 4 del Codice di deontologia citato. Tale operazione è stata appositamente documentata con la relazione di servizio del 5 novembre 2009 richiamata nel verbale di contestazione. D´altro canto, la parte non ha contestato tale ultima circostanza e ha chiarito che l´attuale sistema non consente più di effettuare ricerche che producono risultati al di sotto della predetta soglia del tre (pari a due o una unità);

RILEVATO, pertanto, che il Ministero dell´istruzione, della ricerca e dell´Università ha effettuato una diffusione di dati personali tramite il sito Internet, in assenza di una base normativa idonea a legittimare tale trattamento, in violazione dell´art. 19, comma 3, del Codice;

VISTO l´art. 162, comma 2-bis, del Codice, nella formulazione antecedente alla modifica introdotta con la legge 20 novembre 2009, n. 166, che punisce la violazione delle disposizioni di cui all´art. 167, tra le quali quella di cui all´art. 19 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da ventimila a centoventimila euro;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO che, nel caso in cui l´infrazione non abbia caratterizzazioni specifiche che possano portare a valutazioni di maggiore o minor rigore, nella determinazione della sanzione può ritenersi corretta l´individuazione di un importo pari al terzo del massimo o, se più favorevole, al doppio del minimo, in linea con quanto previsto dall´art. 16 della L. n. 689/1981, ferma restando la valutazione degli ulteriori elementi previsti dall´art. 11 della medesima legge [cfr. Cass. civ., sez. I, 4 novembre 1998, n. 11054];

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, la violazione non risulta connotata da elementi specifici se posta in relazione agli elementi dell´entità del danno o del pericolo, delle modalità della condotta e dell´intensità dell´elemento psicologico, in quanto non risulta provato che sia stato arrecato pregiudizio a uno o più interessati;

b) ai fini della valutazione dell´opera svolta dall´agente, si rileva che l´Ente ha provveduto a modificare la funzionalità del motore di ricerca, in conformità alle indicazioni contenute nel Codice deontologico in materia di trattamento di dati personali per scopi statistici;

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che l´Ente non risulti avere precedenti specifici in termini di violazione alle disposizioni del Codice;

d) in merito alle condizioni economiche dell´agente, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, non si ravvisano elementi specifici, trattandosi di ente pubblico;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria nella misura di euro 20.000,00 (ventimila) per la violazione di cui all´art. 162, comma 2-bis;

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

al Ministero dell´Istruzione, dell´Università e della Ricerca - Direzione generale per l´università, lo studente e il diritto allo studio universitario, con sede in Roma, Viale Trastevere n. 76/A, in persona del legale appresentante pro-tempore, di pagare la somma complessiva di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 162, comma 2-bis, del medesimo Codice, come indicato in motivazione i cui i cui versamenti saranno effettuati a partire dal giorno 15 del mese successivo a quello in cui avverrà la notifica della presente ordinanza;

INGIUNGE

al medesimo ente pubblico di pagare la somma di euro 20.000,00 (ventimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 4 ottobre 2012

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia