g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Ufficio Scolastico Regionale per la Lombardia, Ufficio IV - Ambito Territoriale di Brescia - 11 gennaio 2023 [9857610]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9857610]

Ordinanza ingiunzione nei confronti di Ufficio Scolastico Regionale per la Lombardia, Ufficio IV - Ambito Territoriale di Brescia - 11 gennaio 2023

Registro dei provvedimenti
n. 3 dell' 11 gennaio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo.

Con reclamo presentato dal sig. XX è stata lamentata la pubblicazione, sul sito istituzionale dell’Ufficio Scolastico Regionale per la Lombardia, Ufficio IV – Ambito Territoriale di Brescia (di seguito “Ufficio Scolastico”), di un provvedimento “avente a oggetto il trasferimento” del reclamante, contenente informazioni personali riferite allo stesso, nonché l’indicazione del motivo di “precedenza” attribuito all’interessato nelle operazioni di mobilità territoriale, individuato nell’assistenza al XX” ai sensi della l. 5 febbraio 1992, n. 104.

2. L’attività istruttoria.

Con nota del XX, (prot. n. XX) rispondendo alla richiesta di informazioni formulata da questa Autorità, l’Ufficio Scolastico ha rappresentato, in particolare, che:

- “nell’ambito della procedura di mobilità relativa all’a.s. XX [il reclamante…] presentava domanda di trasferimento chiedendo di avvalersi della precedenza per l’assistenza al XX di cui all’art. 13, comma 1, punto IV del […] CCNI”;

- “non essendogli stata riconosciuta dall’ufficio tale precedenza [l’interessato] proponeva ricorso ex art. 700 c.p.c. innanzi al Giudice del Lavoro di Brescia il quale […], ordinava all’amministrazione “di convalidare la domanda presentata […] in relazione alla mobilità del personale docente per l’a.s. XX” riconoscendogli “il diritto di partecipare alle medesime operazioni con la precedenza per l’assistenza al XX, sul Comune di Brescia ex art. 33, c.5 e c. 7, l. 104/1992 nonché ex art. 13, c. 1, punto IV CCNI Mobilità XX”;

- “successivamente [... l’Ufficio Scolastico], al fine di ottemperare a quanto disposto dal Giudice del Lavoro di Brescia […], con decreto n. XX del XX riconosceva [al reclamante] la precedenza sul Comune di Brescia per l’assistenza al XX”;

- “in data XX tale decreto veniva pubblicato sul sito web istituzionale dell’Ust di Brescia essendovi la necessità di garantire la massima trasparenza nelle operazioni di mobilità e dare evidenza ai terzi che il trasferimento del docente […] veniva disposto in ottemperanza al provvedimento assunto dall’Autorità giudiziaria”;

- “con missiva del XX [l’interessato] lamentava la pubblicazione di dati sensibili nel decreto citato e richiedeva a questo ufficio la rimozione/occultamento dei medesimi dati entro la scadenza del XX. Questo ufficio, pur ritenendo corretto il proprio operato, al fine di evitare nuovi contenziosi con il medesimo docente, in data XX provvedeva all’oscuramento dell’informazione relativa alla precedenza sul Comune di Brescia per assistenza al XX […] e ne dava comunicazione [all’interessato]”;

- “in data XX [l’interessato] promuoveva tentativo di conciliazione innanzi alla segreteria di conciliazione dell’Ust di Brescia, per ottenere il risarcimento dei danni a suo dire patiti per la pubblicazione sul sito internet di dati riservati nel periodo dal XX al XX. Conformemente alle indicazioni pervenute dall’Usr Lombardia Ufficio I […] questo ufficio respingeva la richiesta risarcitoria […], non essendo ravvisabile alcun danno per l’avvenuta pubblicazione del decreto sul sito istituzionale;

- “la pubblicazione degli esiti della procedura di mobilità è avvenuta in adempimento di quanto previsto dal CCNI sulla mobilità XX e più specificamente, dall’ordinanza ministeriale XX”;

- “al fine di garantire la trasparenza nelle operazioni di mobilità e soddisfare le esigenze conoscitive dell’utenza e, in particolare, degli aspiranti alla mobilità, in data XX […l’] ufficio provvedeva a pubblicare anche i provvedimenti di rettifica dei movimenti relativi all’a.s. XX e tra essi anche il decreto riguardante [il reclamante], nel quale, pur essendo menzionata la precedenza per assistenza al XX riconosciuta dall’Autorità giudiziaria, non venivano indicate in alcuna parte del testo le generalità della persona XX, né il tipo di XX per salvaguardarne la privacy”.

Sulla base degli elementi acquisiti l’Ufficio ha notificato all’Ufficio Scolastico, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, in quanto la pubblicazione sul proprio sito Istituzionale del provvedimento n. XX del XX, contenente dati personali, anche relativi alla salute, avrebbe dato luogo a una “diffusione” di dati personali in violazione degli artt. 5, 6 e 9 del Regolamento e 2-ter e 2-septies, comma 8, del Codice. Pertanto ha invitato il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

L’Ufficio Scolastico ha fatto pervenire le proprie memorie difensive con nota del XX (prot. n. XX) rappresentando, in particolare, che:

- “la pubblicazione del decreto di rettifica del movimento [dell’interessato] è avvenuto in adempimento di quanto previsto dal CCNI sulla mobilità XX, nonché dell’ordinanza ministeriale XX che ha disciplinato le operazioni di mobilità del personale della scuola per l’a.s. XX”;

- “la diffusione del dato relativo alla precedenza per assistenza al XX, a causa del suo omesso oscuramento nel decreto n. XX del XX, è al più ascrivibile a colpa lieve e non è ravvisabile alcun profilo di dolo. La pubblicazione del decreto […] è stata effettuata dall’ufficio al solo fine di garantire la trasparenza nelle operazioni di mobilità e soddisfare le esigenze conoscitive dell’utenza e, in particolare, degli aspiranti alla mobilità”;

- “questo ufficio non ha indicato le generalità della persona XX, la quale, quindi, non è identificata né direttamente né indirettamente. L’indicazione del nome e del cognome del docente […] non è, comunque, sufficiente alla individuazione della XX in un contesto ampio come quello di una grande città come Brescia”;

- “per risalire alle generalità della persona XX sarebbero necessarie operazioni di ricerca anagrafiche comportanti un dispendio di attività, di energia e di spesa del tutto sproporzionate rispetto all’effettivo interesse all’identificazione della persona in questione da parte di terzi, i quali dovrebbero comunque rivolgersi all’ Ufficio dell’Anagrafe per ottenere tale dato”;

- “in proposito precisiamo che il contenuto dell’articolo in questione non è stato indicizzato dai motori di ricerca e che il decreto con la denominazione del docente […] risultava zippato unitamente ad altri decreti e il file zippato complessivo non riportava alcun riferimento al cognome del docente […], il che rendeva ancora più rara l’ipotesi di reperibilità dello stesso sul sito Web dell’Ufficio scolastico”;

- “nel corso del periodo da aprile a ottobre XX, si è trovato in una situazione di oggettiva difficoltà ad operare a causa dell’intenso carico di lavoro relativo alle operazioni di mobilità del personale della scuola e alle numerose altre incombenze lavorative da cui è stato interessato, le quali sono state eseguite dal personale in un contesto difficile e senza precedenti, quale è la grave situazione epidemiologica […];

- “quest’ultima ha costretto l’ufficio ad alternare lavoro da remoto e in presenza […] ed ha reso più difficile il confronto tra il personale dell’ufficio, originando criticità nell’esecuzione di alcuni adempimenti, tra i quali vanno annoverati anche quelli relative alle pubblicazioni online, tutto ciò unito all’urgenza a provvedere in ottemperanza al provvedimento giurisdizionale che vedeva beneficiario” il reclamante;

- “in data XX il decreto n. XX è stato pubblicato sul sito istituzionale e in data XX l’ufficio, su richiesta del [reclamante], ha provveduto all’oscuramento dell’informazione relativa alla precedenza sul Comune di Brescia per assistenza al XX disponibile nella sezione “XX” del sito web”;

- “il medesimo decreto è rimasto visualizzabile nel solo archivio storico della sezione XX anche successivamente a tale data, non potendo questo ufficio procedere alla rimozione dello stesso autonomamente. In data XX, a seguito della notificazione della contestazione da parte del Garante Privacy, il decreto in questione è stato rimosso da tale sezione. Non è pertanto più visualizzabile il dato relativo alla precedenza per assistenza al XX né nella sezione XX dell’albo, ove il decreto è stato rimosso definitivamente, né in altra parte/sezione del sito web di questo ufficio”.

L’Ufficio Scolastico, inoltre, nel corso dell’audizione, effettuata ai sensi dell’art. 166, comma 6, del Codice, ha rappresentato che (cfr. verbale prot. n. XX del XX):

- “l’Ufficio Scolastico ha dovuto dare esecuzione alle decisioni dell’autorità giudiziaria menzionate nella memoria difensiva e, pubblicando la determinazione in questione, ha avuto cura di non menzionare le generalità del familiare del lavoratore affetto da patologia”;

- “l’Ufficio Scolastico ha agito in totale buona fede, nella convinzione di adempiere ad obblighi di legge e di dare efficacia alle determinazioni adottate, motivando adeguatamente le stesse, senza recare alcun danno al lavoratore, che ha fatto molta pressione sull’Amministrazione affinché venissero celermente riconosciuti i propri diritti nel contesto lavorativo”;

- “l’Ufficio Scolastico ha, peraltro, agito in un contesto caratterizzato da un elevato carico di lavoro, in un periodo in cui si è proceduto alla pubblicazione di numerosi provvedimenti, peraltro nell’ambito dell’emergenza pandemica, in cui il personale ha operato da remoto, con inevitabili difficoltà di coordinamento tra funzionari e dirigenti”;

- “l’istante ha subito avuto contezza della pubblicazione, richiedendo l’esecuzione del provvedimento, senza eccepire nulla in merito al contenuto dell’atto pubblicato. Solo a distanza di circa un mese e mezzo il reclamante ha chiesto la cessazione della pubblicazione, e l’Ufficio Scolastico si è attivato prontamente per accogliere tale richiesta”;

- “la pubblicazione si rendeva necessaria anche a fini di trasparenza nei confronti degli altri lavoratori interessati dalle procedure di mobilità”;

- “l’Ufficio Scolastico, con il supporto della Responsabile della protezione dei dati, ha comunque intenzione di adottare tutte le opportune misure per assicurare un migliore bilanciamento tra le esigenze di trasparenza e la garanzia del diritto alla protezione dei dati dei lavoratori”.

3. Normativa applicabile.

3.1 Il quadro normativo.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, anche qualora operino nello svolgimento dei propri compiti di datori di lavoro, possono trattare i dati personali dei lavoratori, se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalle norme nazionali di settore (artt. 6, par. 1, lett. c), 9, parr. 2, lett. b), e 4, e 88 del Regolamento) oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. e), del Regolamento).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che le operazioni di trattamento che consistono nella “diffusione” di dati personali sono ammesse solo quando previste dall’art. 2-ter, commi 1 e 3 del Codice.

Con riguardo alle categorie particolari di dati personali, il trattamento è, di regola, consentito, oltre che per assolvere specifici obblighi “in materia di diritto del lavoro […] nella misura in cui sia autorizzato dal diritto […] in presenza di garanzie appropriate” (art. 9, par. 2, lett. b), del Regolamento), anche ove “necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. g), del Regolamento).

In particolare, i dati relativi alla salute, ossia quelli “attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute” (art. 4, par. 1, n. 15, del Regolamento; cfr. anche cons. 35 dello stesso), in ragione della loro particolare delicatezza, “non possono essere diffusi” (art. 2-septies, comma 8, e art. 166, comma 2, del Codice e art. 9, parr. 1, 2, 4, del Regolamento).

Il titolare del trattamento è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

3.2 La diffusione dei dati personali.

Come risulta dagli atti e dalle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria, nonché dall’accertamento compiuto sulla base degli elementi acquisiti a seguito dell’attività istruttoria e dalle successive valutazioni di questo Dipartimento, l’Ufficio Scolastico Regionale per la Lombardia, Ambito territoriale di Brescia, ha pubblicato, sul sito web istituzionale, il provvedimento n. XX del XX, avente ad oggetto la convalida della domanda presentata dal reclamante in relazione alla mobilità del personale docente per l’anno XX e il conseguente trasferimento dello stesso ad altra sede lavorativa a seguito del riconoscimento della precedenza. Tale provvedimento contiene, in particolare, informazioni riguardanti la presentazione del ricorso innanzi alla sezione lavoro del Tribunale di Brescia da parte del reclamante e il relativo esito, l’indicazione delle istanze presentate dallo stesso all’Ufficio Scolastico nonché l’indicazione del motivo di “precedenza” attribuito all’interessato nelle operazioni di mobilità territoriale, individuato nell’ “assistenza al XX”, ai sensi della l. 5 febbraio 1992, n. 104.

In via preliminare si evidenzia che, affinché uno specifico trattamento di dati personali possa essere lecitamente effettuato da parte di un soggetto pubblico, tale trattamento deve essere necessario per l’adempimento di un obbligo legale da parte del titolare del trattamento o per l’esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri e deve trovare il proprio fondamento in una disposizione che abbia le caratteristiche di cui all’art. 2-ter del Codice.

In tale ambito l’amministrazione pubblica è tenuta a verificare, anche per i dati comuni, l’esistenza di una norma di legge o di regolamento che legittimi la pubblicazione dei dati personali degli interessati.
Al riguardo si rappresenta che l’Ufficio Scolastico non ha indicato alcuna specifica base giuridica idonea a legittimare la diffusione dei dati personali del reclamante, non potendo le disposizioni richiamate (cfr. Contratto Collettivo Nazionale Integrativo XX e Ordinanza del Ministro dell’istruzione del XX, n. XX)  costituire un legittimo presupposto per la pubblicazione, del provvedimento in esame, contenente informazioni riferite a vicende connesse alla attività lavorativa del reclamante.

Analogamente risultano inidonee le ulteriori motivazioni addotte dall’Ufficio Scolastico in base alle quali la pubblicazione del provvedimento in esame sarebbe “stata effettuata […] al solo fine di garantire la trasparenza nelle operazioni di mobilità e soddisfare le esigenze conoscitive dell’utenza e, in particolare, degli aspiranti alla mobilità”, ben potendo tale eventuale obiettivo essere perseguito, conformemente alle disposizioni vigenti, con modalità meno invasive per il diritto alla riservatezza dell’interessato.

Al riguardo, il Garante ha ribadito in numerose decisioni che, anche in presenza di una norma di legge che preveda l’obbligo di pubblicare determinati atti e documenti (ad esempio, quelle da effettuarsi sull’Albo Pretorio online), si applicano tutti i limiti previsti dai principi della protezione dei dati con riguardo alla liceità e alla minimizzazione dei dati (cfr. art. 5, par. 1, lett. c), del Regolamento; parte II, par. 3.a. delle Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati” del 15 maggio 2014, doc. web n. 3134436, vedi anche provv. del 25 febbraio 2021, n. 68, doc web 9567429).

Con riguardo alla pubblicazione, nel richiamato provvedimento, dell’indicazione del motivo di “precedenza” attribuito all’interessato nelle operazioni di mobilità territoriale, individuato nell’”assistenza al XX” ai sensi della l. 5 febbraio 1992, n. 104, si evidenzia quanto segue.

Preliminarmente, nel ricordare che, ai sensi dell’art. 4 par.1, n. 15 del Regolamento sono considerati dati relativi alla salute “i dati personali attinenti alla salute fisica e mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni sul suo stato di salute”, si precisa che, come recentemente chiarito dal Garante, anche il riferimento alla legge 104, che notoriamente disciplina benefici e garanzie per l’assistenza, l’integrazione sociale e lavorativa di persone XX o di loro familiari, consente di ricavare informazioni sullo stato di salute di una persona (v. al riguardo, provv. del 1° settembre 2022, n. 290 doc. web 9811361, provv. del 28 aprile 2022, n. 150, doc. web n. 9777200 e provv. del 28 maggio 2020, n. 92, doc. web n. 9434609).

Si rappresenta inoltre che il Garante ha, da tempo, chiarito che “è vietata la pubblicazione di qualsiasi informazione da cui si possa desumere, anche indirettamente, lo stato di malattia o l’esistenza di patologie dei soggetti interessati, compreso qualsiasi riferimento alle condizioni di invalidità, XX o handicap fisici e/o psichici” (cfr. “Linee guida” sopra richiamate).

Con particolare riferimento al caso di specie risultano, inoltre, contestabili le motivazioni addotte dall’Ufficio Scolastico secondo il quale “l’indicazione del nome e del cognome del docente […] non è, comunque, sufficiente alla individuazione della XX”, non essendo indicate nel provvedimento “le generalità della persona XX”, ciò in quanto la definizione di dato personale contenuta nel Regolamento, considera, invece, “identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento […] a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, par. 1, n. 1, del Regolamento). In tale caso il riferimento al “XX” rende comunque identificabile, seppur indirettamente, il soggetto a cui si riferiscono i dati relativi alla salute.

Dalla documentazione in atti risulta che l’Ufficio Scolastico ha pubblicato, dal XX, sul sito web istituzionale, il provvedimento sopra richiamato, contenente anche l’indicazione del motivo di “precedenza” attribuito all’interessato nelle operazioni di mobilità territoriale, determinando la diffusione di dati personali anche relativi alla salute. A seguito di richiesta dell’interessato, in data XX, l’Ufficio Scolastico ha provveduto “all’oscuramento dell’informazione relativa alla precedenza sul Comune di Brescia per assistenza al XX” senza, tuttavia, rimuovere il predetto provvedimento che risulta tuttora consultabile e liberamente scaricabile sul sito istituzionale dell’Ufficio Scolastico.

Pertanto, alla luce delle considerazioni che precedono e della documentazione in atti, si ritiene che la pubblicazione sul sito web istituzionale dell’Ufficio Scolastico del provvedimento n. XX del XX, contenente informazioni riguardanti vicende personali, familiari e lavorative riferite al reclamante, nonché dati personali relativi alla salute limitatamente al periodo XX, è avvenuta in violazione degli artt. 5, 6 e 9 del Regolamento e art. 2-ter nonché art.2-septies, comma 8, del Codice.

4. Ulteriori accertamenti da parte dell’Ufficio.

In occasione delle verifiche effettuate dall’Ufficio in relazione alle circostanze da valutare ai sensi dell’art. 83, par. 2, del Regolamento, ai fini della quantificazione della sanzione applicabile allo specifico caso, è stato possibile verificare che sul sito web istituzionale dell’Ufficio Scolastico, all’indirizzo https://..., risulta tuttora visibile (documentazione acquisita in atti) e liberamente scaricabile, il provvedimento n. XX del XX. Tale provvedimento, nonostante sia stato oscurato nelle parti contenenti i dati relativi alla salute, risulta ancora liberamente consultabile al predetto indirizzo e reca, visibili in chiaro, i dati personali del reclamante. 

5. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Pertanto, si confermano le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Ufficio Scolastico, in relazione all’avvenuta pubblicazione sul sito web istituzionale dell’Ufficio Scolastico del provvedimento n. XX del XX, contenente informazioni riguardanti vicende personali, familiari e lavorative riferite al reclamante, nonché dati personali relativi alla salute, in violazione degli artt. 5, 6 e 9 del Regolamento e artt. 2-ter e 2-septies, comma 8, del Codice.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo e dell’art. 166, comma 2, del Codice.

6. Misure correttive (art. 58, par. 2, lett. f del Regolamento).

Come accertato nel corso dell’istruttoria, risulta che l’Ufficio Scolastico, benchè abbia oscurato dal XX i dati sulla salute che erano contenuti nel provvedimento n. XX del XX, ha continuato a rendere disponibile sul proprio sito web istituzionale il medesimo documento, contenente i dati personali del reclamante, in mancanza di idoneo presupposto giuridico.

L’art. 58, par. 2, lett. f), del Regolamento prevede che il Garante ha i poteri correttivi di “imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento”.

In tale quadro si ritiene necessario, in ragione dell’illiceità del trattamento effettuato disporre, ai sensi dell’art. 58, par. 2, lett. f), la limitazione del trattamento in corso vietando all’Ufficio Scolastico ogni ulteriore diffusione dei dati personali del reclamante.

Ai sensi dell’art. 157 del Codice, l’Ufficio Scolastico dovrà, inoltre, provvedere a comunicare a questa Autorità le iniziative intraprese al fine di dare attuazione a quanto sopra ordinato ai sensi del citato art. 58, par. 2, lett. f) entro trenta giorni dalla notifica del presente provvedimento.

7. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stata considerata la particolare delicatezza dei dati personali illecitamente oggetto di diffusione in quanto relativi alla salute (questi ultimi oggetto di diffusione dal XX), nonché la attuale e perdurante diffusione dei dati personali del reclamante riguardanti vicende personali, familiari e lavorative riferite, effettuata in contrasto con le indicazioni che, da tempo, il Garante, ha fornito ai datori di lavoro pubblici e privati con le citate Linee guida e con numerose decisioni su singoli casi sopra richiamati.

Di contro, è stato considerato che l’Ufficio Scolastico ha provveduto a oscurare i dati relativi alla salute contenuti nel provvedimento in esame, in data XX, a seguito della richiesta dell’interessato e che il provvedimento in esame non è stato indicizzato sui motori di ricerca generalisti. Il trattamento dei dati ha riguardato un solo interessato. Si è inoltre tenuto in considerazione che la violazione è avvenuta durante una fase particolarmente delicata (luglio-settembre XX) in cui gli Uffici Scolastici sono stati impegnati ad affrontare le particolari esigenze derivanti dallo stato di emergenza. Non risultano, inoltre, precedenti violazioni del Regolamento pertinenti commesse nello specifico, dall’Ufficio Scolastico Regionale per la Lombardia Ufficio IV - Ambito Territoriale di Brescia.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria, nella misura di euro 6.000 (seimila) per la violazione degli artt. 5, 6, 9 del Regolamento e degli artt. 2-ter e 2-septies, comma 8, del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.
Tenuto conto della natura dei dati oggetto di trattamento, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), dichiara l'illiceità del trattamento di dati personali effettuato dall’Ufficio Scolastico Regionale per la Lombardia Ufficio IV - Ambito Territoriale di Brescia nei termini descritti in motivazione, consistente nella violazione degli artt. 5, 6, 9 del Regolamento e degli artt. 2-ter e 2-septies, comma 8, del Codice;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, all’Ufficio Scolastico Regionale per la Lombardia, Ufficio IV - Ambito Territoriale di Brescia, in persona del legale rappresentante pro-tempore, con sede legale in via S. Antonio n.14, 25133 Brescia, Codice fiscale 80049150172, di pagare la somma di euro 6.000 (seimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Ministero dell’Istruzione e del Merito, Ufficio Scolastico Regionale per la Lombardia, Ufficio IV - Ambito Territoriale di Brescia:

– fermo restando quanto disposto dall’art. 166, comma 8 del Codice di pagare la somma di euro 6.000 (seimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

– ai sensi dell’art. 58, par. 2, lett. f), la limitazione dei trattamenti in corso, vietando all’Ufficio Scolastico ogni ulteriore diffusione online dei dati personali del reclamante contenuti nel provvedimento n. XX del XX;

– ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, di comunicare a questa Autorità, fornendo un riscontro adeguatamente documentato, entro trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese per assicurare la conformità del trattamento dei dati al Regolamento;

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice (v. art. 16 del Regolamento del Garante n. 1/2019);

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento (v. art. 17 del Regolamento n. 1/2019).

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 11 gennaio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei