[doc. web n. 9737156]

Provvedimento del 16 dicembre 2021

Registro dei provvedimenti
n. 437 del 16 dicembre 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stazione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

Relatore l’avv. Guido Scorza;

PREMESSO

1. Il reclamo.

Con reclamo del XX il sig. XX ha lamentato di aver presentato, in data XX, all’Istituto Comprensivo Statale “Via Renato Fucini”, una istanza di accesso ai dati personali propri e relativi a XX, ai sensi dell’art 15 del Regolamento e di non avere ottenuto alcun riscontro dall’Istituto.

2. L’attività istruttoria.

Con nota del XX (prot. n. XX, l’Autorità ha invitato l’Istituto scolastico ad aderire, entro il termine di 20 giorni dal ricevimento della nota, alla richiesta del reclamante di esercizio del diritto di accesso ai dati personali, procedendo a informare lo stesso e l’Autorità circa le determinazioni adottate.

Con nota del XX, l’Istituto scolastico ha dato seguito all’invito del Dipartimento a fornire riscontro all’istanza di accesso ai dati personali formulata dal sig. XX ai sensi della normativa sulla protezione dei dati personali e ha inviato all’Ufficio il riscontro fornito al reclamante, specificando, in particolare:

- “mi scuso per non aver risposto nei tempi previsti alla (…) richiesta del XX; evidentemente, a causa dell’intenso lavoro di quei giorni in questo anno scolastico così difficile, la (…) richiesta è per errore rimasta inevasa”;

- è possibile ottenere “Le credenziali per l’accesso al Registro Elettronico (…) autonomamente attraverso la procedura indicata nell’apposito avviso pubblicato sul sito della scuola in data XX; ad ogni buon (saranno inviate), con altra comunicazione via email, tali credenziali”;

- “Le pagelle della classe 4^ primaria sono consultabili nel Registro Elettronico, una volta effettuato l’accesso; ad ogni buon conto (saranno inviate), con altra comunicazione via email, via email le pagelle richieste;

- “È in corso trattamento di dati personali relativi al (reclamante), in quanto genitore, e a quella (…) XX, in quanto XX regolarmente iscrittX a questa istituzione scolastica”;

- “Relativamente a tali dati, ad aggiornamento di quanto (…) già comunicato e trasmesso, via email da questa istituzione scolastica in data XX e in data XX a seguito della (…) richiesta del XX, (nonché) in data XX a seguito della (…) richiesta del XX, si comunica che è presente agli atti” ulteriore documentazione di cui è già stata predisposta copia;

- “Le informazioni previste alle lettere da a) a h) dell’art. 15, paragrafo 1 del Regolamento sono contenute nell’Informativa per il trattamento dei dati personali pubblicata sul sito della scuola e già inviata via email”;

L’Ufficio, sulla base dalle verifiche compiute e degli elementi acquisiti, anche attraverso la documentazione inviata dall’Istituto scolastico, e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, ha accertato che l’Istituto ha fornito riscontro alla richiesta di accesso ai dati personali del reclamante, solo a seguito dell’invito formulato dal Dipartimento nell’ambito del procedimento relativo al reclamo presentato dal sig. XX ai sensi dell’art. 77 del Regolamento, ciò in violazione dell’art. 12, parr. 3 e 4 del Regolamento.

Si è proceduto pertanto alla notifica delle violazioni, prevista dall’art. 166, comma 5, del Codice, all’Università, comunicando l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articolo 58, paragrafo 2, del Regolamento, invitando l’Istituto a produrre scritti difensivi o documenti e, eventualmente, a chiedere di essere sentita dall’Autorità, entro il termine di 30 giorni (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

L’Istituto scolastico ha fatto pervenire le proprie memorie difensive, con nota del XX rappresentando, in particolare che:

- “In data XX, il sig. XX inviava a questa istituzione scolastica una email di posta ordinaria (…), con la quale chiedeva di accedere ai dati personali suoi propri e XX. Nell’intestazione della missiva, si legge che l’invio è stato effettuato, dal sig. XX, a due diversi indirizzi email di posta ordinaria: XX e XX. (…) dei due indirizzi email, il primo (…) risulta errato, (…) Il secondo (…) è quello corretto di posta ordinaria dell’istituzione scolastica, e l’email del sig. XX risulta pervenuta, ma, con ogni probabilità, nel primo mese dell’anno scolastico, in considerazione della grande mole di lavoro connessa agli adempimenti legati all’organizzazione delle attività per fronteggiare la situazione straordinaria di emergenza sanitaria, deve essere involontariamente sfuggita.”;

- “il sig. XX aveva già in altre occasioni formulato analoghe richieste di accesso ai dati personali suoi e XX (…), e questa istituzione scolastica ha sempre fornito risposta nei tempi previsti, non essendo assolutamente nelle nostre intenzioni non rispondere positivamente a richieste di accesso che reputiamo assolutamente legittime”;

- “i documenti e i dati richiesti dal sig. XX, in gran parte risultano già accessibili allo stesso, come agli altri genitori della comunità scolastica, attraverso canali che questa istituzione scolastica, a livello organizzativo, mette a disposizione dell’utenza, con adeguata comunicazione alla stessa”;

- “lo stesso non ha effettuato alcuna comunicazione a questa istituzione scolastica circa eventuali difficoltà ad ottenere le credenziali secondo il percorso indicato, come fanno ordinariamente altri genitori, che questa istituzione scolastica interviene prontamente a supportare”;

3. Esito dell’attività istruttoria.

L’art. 12 del Regolamento prevede che il titolare del trattamento debba fornire all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 del Regolamento senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa (par. 3). Se non ottempera alla richiesta dell’interessato, il titolare del trattamento deve informare l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale (par. 4).

Nel caso oggetto di reclamo, l’Istituto scolastico ha fornito riscontro alla richiesta di esercizio del diritto di accesso ai dati personali, presentata dal reclamante in data XX, soltanto in data XX e, dunque, ben oltre il termine di un mese previsto dall’art. 12 del Regolamento, senza, peraltro, aver informato il reclamante dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale entro il medesimo termine.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria, della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano pertanto le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Istituto scolastico per non avere tempestivamente fornito riscontro alla richiesta di esercizio del diritto di accesso ai dati personali presentata dal reclamante e per non aver tempestivamente informato lo stesso dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale, in violazione dell’art. 12, parr. 3 e 4, del Regolamento.

Ciò premesso, tenuto conto che si tratta dell’unico caso noto all’Autorità nel quale si è determinato da parte dell’Istituto scolastico in questione un mancato riscontro a una richiesta di esercizio del diritto di accesso ai dati personali e che tale mancato riscontro è stato determinato anche dal notevole aumento di lavoro e dalle difficoltà organizzative e operative che l’istituto scolastico ha dovuto affrontare nel contesto emergenziale, le circostanze del caso concreto inducono a qualificare il caso come “violazione minore”, ai sensi dell’art. 83, par. 2, e del considerando 148 del Regolamento.

Si ritiene, pertanto, che, relativamente al caso in esame sia sufficiente ammonire il titolare del trattamento ai sensi degli artt. 58, par. 2, lett. b), e 83, par. 2, del Regolamento, per aver violato l’art. 12, parr. 3 e 4 del Regolamento, e che non vi siano i presupposti per l’adozione di ulteriori provvedimenti correttivi da parte dell’Autorità ai sensi dell’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019, concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

a) ai sensi dell’art. 57, par. 1, lett. a) e f), del Regolamento, dichiara illecita la condotta tenuta dall’Istituto Comprensivo "Via Renato Fucini 265”, descritta nei termini di cui in motivazione, consistente nella violazione dell’art. 12, parr. 3 e 4 del Regolamento;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce l’Istituto Comprensivo “Via Renato Fucini 265”, quale titolare del trattamento in questione, per aver violato l’art. 12, parr. 3 e 4 del Regolamento, non avendo fornito riscontro alla richiesta del reclamante se non a seguito dell’invito ad aderire alle richieste di quest’ultimo formulato dal Garante e per non aver informato lo stesso dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale entro il medesimo termine;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019, concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’Autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 16 dicembre 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL VICE SEGRETARIO GENERALE
Filippi