Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Ministero dell'Istruzione, dell'Università e della Ricerca - Direzionegenerale per l'università, lo studente e il diritto allo studio universitario

PROVVEDIMENTO DEL 4 OTTOBRE 2012

Registro dei provvedimenti
n. 269 del 4 ottobre 2012

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

ESAMINATOil rapporto dell'Ufficio del Garante predisposto ai sensi dell'art. 17 dellalegge 24 novembre 1981 n. 689, relativo al verbale di contestazione diviolazione amministrativa redatto in data 29 marzo 2010 nei confronti delMinistero dell'Istruzione, dell'Università e della Ricerca-Direzione generaleper l'università, lo studente e il diritto allo studio universitario (diseguito l'"Ente"), con sede in Roma, Viale Trastevere n. 76/A, inpersona del legale rappresentante pro-tempore, per violazione dell'art. 19,comma 3, del Codice in materia di protezione dei dati personali (di seguitodenominato Codice);

RILEVATOche nell'ambito dell'attività istruttoria, di cui alla relazione di serviziodatata 5 novembre 2009, diretta a verificare le funzionalità offerte dal motoredi ricerca dell'Osservatorio "Anagrafe studenti", presente sul sitoInternet del Ministero dell'istruzione, dell'università e della ricerca(http://anagrafe.miur.it), à stato riscontrato che, tramite le maschere"Anagrafe nazionale studenti", "Ricerca" e "Ricercaavanzata" presenti sul predetto sito Internet, à possibile effettuareinterrogazioni in grado di restituire informazioni su persone fisiche,identificabili anche indirettamente mediante il riferimento ad altreinformazioni e con l'impiego di mezzi ragionevoli, in riferimento a quantodisposto dagli artt. 3 e 4 del Codice di deontologia e di buona condotta per itrattamenti di dati personali a scopi statistici e di ricerca scientificaeffettuati nell'ambito del Sistan;

VISTAla richiesta di informazioni dell'Ufficio formulata ai sensi dell'art. 157 delCodice in data 14 dicembre 2009, prot. n. 27253/U, con cui à stato chiestoall'Ente di fornire documenti e informazioni utili alla questione, conparticolare riferimento alla base normativa che legittima il predettotrattamento di dati personali;

PRESOATTO del riscontro datato 18 gennaio 2010 con cui l'Ente ha dichiarato che ilservizio di Anagrafe nazionale degli studenti universitari à stato istituitodall'art. 1-bis del d.l. n. 105/2003, convertito in legge, con modificazioni,dall'art. 1 della l. 11 luglio 2003, n. 170, e che il successivo decretoministeriale del 30 aprile 2004 ha individuato i dati che ogni Università deveraccogliere e trasmettere all'Anagrafe; ad ogni modo, "per autotutela sonostati temporaneamente inibiti gli accessi ed attuate azioni per l'adeguamento aquanto previsto dagli artt. 3 e 4 del Codice di deontologia e di buona condottaper i trattamenti di dati personali a scopi statistici e di ricerca scientificaeffettuati nell'ambito del Sistan";

VISTOil verbale n. 7012/66484 del 29 marzo 2010, con cui à stata contestata alpredetto Ente la violazione amministrativa prevista dall'art. 162, comma 2-bisdel Codice, per aver effettuato, in violazione dell'art. 19, comma 3, delCodice, una diffusione di dati personali sul sito web http://anagrafe.miur.itin assenza di una base normativa idonea a legittimare tale trattamento,informandolo della facoltà di effettuare il pagamento in misura ridotta aisensi dell'art. 16 della legge n. 689/1981;

RILEVATOdal predetto rapporto che non risulta effettuato il pagamento in misuraridotta;

VISTIgli scritti difensivi inviati ai sensi dell'art. 18 della legge n. 689/1981,con cui l'Ente ha dichiarato che, sulla base di quanto stabilito dall'art.1-bis del d.l. n. 105/2003 (istitutiva dell'Anagrafe degli studenti) edall'art. 16, co. 95, lett. b) della legge n. 127/1997 (a norma del quale"i decreti di ordinamento dei corsi di studio devono determinare modalitàe strumenti per l'orientamento e per favorire la mobilità degli studenti, ancheattraverso l'utilizzo di mezzi informatici e telematici") à deputato nonsolo alla creazione della banca dati, ma anche a "consentire –seppure con le opportune cautele - l'accesso a dati e informazioni riguardantiindividualmente gli studenti". Ha sostenuto che, in ogni caso, le modalitàdi funzionamento e di utilizzo del motore di ricerca non consentono di risalireall'identità della persona fisica cui i dati si riferiscono e che, comunque,"per arrivare ad avere informazioni utili ma non decisive ai finidell'identificazione della persona fisica titolare dei dati, si rendononecessari un numero di passaggi tali da non potersi configurare comeragionevolmente utilizzabili" secondo l'accezione dell'art. 3 del Codicedi deontologia e di buona condotta per i trattamenti di dati personali a scopistatistici e di ricerca scientifica effettuati nell'ambito del sistemastatistico nazionale;

VISTOil verbale dell'audizione delle parti tenutasi in data 21 novembre 2011 aisensi dell'art. 18 della legge n. 689/1981, in cui, oltre a ribadire quanto giàdichiarato negli scritti difensivi, l'Ente ha precisato che l'identificazionedelle persone non era possibile, "perché il sistema consentiva un livellodi disaggregazione codificato esclusivamente con un dato numerico e su unnumero di campi limitato" e di aver provveduto alle modifiche opportune;

CONSIDERATOche le argomentazioni addotte non consentono di escludere la responsabilitàdella parte in relazione a quanto contestato. Va preliminarmente osservato che,contrariamente a quanto sostenuto, l'art. 1-bis del d.l. n. 105/2003,nell'ambito dell'istituzione dell'Anagrafe nazionale degli studentiuniversitari, si limita a fissarne gli obiettivi e a rinviare ad un appositodecreto (indicato anche dalla parte nel DM del 30 aprile 2004) la disciplinarelativa all'individuazione dei dati che devono essere presenti nei sistemiinformativi delle Università e che devono essere trasmessi periodicamente dalleUniversità all'Anagrafe nazionale. Pertanto, tale norma non rientra tra quelledi cui all'art. 19, comma 3, del Codice, tale cioà da legittimare la diffusionedi dati da parte di un soggetto pubblico, provvedendo solo a stabilire lacomunicazione degli stessi dati da un soggetto pubblico ad un altro. Per quantoconcerne, più specificamente, le caratteristiche del motore di ricerca presentesul sito web del Ministero, l'argomentazione della parte, secondo cui purvolendo utilizzare "tutti i caratteri disponibili, non era in ogni casopossibile risalire direttamente o indirettamente all'identità di ogni singolostudente", non trova un esatto riscontro. Infatti, dall'esame delladocumentazione acquisita risulta la possibilità di identificare le persone,seppur in via indiretta e mediante l'uso di tempi e risorse ragionevoli, dalmomento che le interrogazioni effettuate hanno fornito informazioni con undettaglio inferiore alla soglia del tre, ovvero che alla combinazione dellemodalità delle variabili era stata associata una frequenza inferiore a quellafissata dall'art. 4 del Codice di deontologia citato. Tale operazione à stataappositamente documentata con la relazione di servizio del 5 novembre 2009richiamata nel verbale di contestazione. D'altro canto, la parte non hacontestato tale ultima circostanza e ha chiarito che l'attuale sistema nonconsente più di effettuare ricerche che producono risultati al di sotto dellapredetta soglia del tre (pari a due o una unità);

RILEVATO,pertanto, che il Ministero dell'istruzione, della ricerca e dell'Università haeffettuato una diffusione di dati personali tramite il sito Internet, inassenza di una base normativa idonea a legittimare tale trattamento, inviolazione dell'art. 19, comma 3, del Codice;

VISTOl'art. 162, comma 2-bis, del Codice, nella formulazione antecedente allamodifica introdotta con la legge 20 novembre 2009, n. 166, che punisce laviolazione delle disposizioni di cui all'art. 167, tra le quali quella di cuiall'art. 19 del medesimo Codice, con la sanzione amministrativa del pagamentodi una somma da ventimila a centoventimila euro;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

RITENUTOche, nel caso in cui l'infrazione non abbia caratterizzazioni specifiche chepossano portare a valutazioni di maggiore o minor rigore, nella determinazionedella sanzione può ritenersi corretta l'individuazione di un importo pari alterzo del massimo o, se più favorevole, al doppio del minimo, in linea conquanto previsto dall'art. 16 della L. n. 689/1981, ferma restando lavalutazione degli ulteriori elementi previsti dall'art. 11 della medesima legge[cfr. Cass. civ., sez. I, 4 novembre 1998, n. 11054];

CONSIDERATOche, nel caso in esame:

a) inordine all'aspetto della gravità, la violazione non risulta connotata daelementi specifici se posta in relazione agli elementi dell'entità del danno odel pericolo, delle modalità della condotta e dell'intensità dell'elementopsicologico, in quanto non risulta provato che sia stato arrecato pregiudizio auno o più interessati;

b) aifini della valutazione dell'opera svolta dall'agente, si rileva che l'Ente haprovveduto a modificare la funzionalità del motore di ricerca, in conformitàalle indicazioni contenute nel Codice deontologico in materia di trattamento didati personali per scopi statistici;

c) circala personalità dell'autore della violazione, deve essere positivamenteconsiderata la circostanza che l'Ente non risulti avere precedenti specifici intermini di violazione alle disposizioni del Codice;

d) inmerito alle condizioni economiche dell'agente, al fine di commisurare l'importodella sanzione alla reale capacità economica del trasgressore nel rispetto delprincipio di uguaglianza, non si ravvisano elementi specifici, trattandosi diente pubblico;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della L. n. 689/1981, l'ammontaredella sanzione pecuniaria nella misura di euro 20.000,00 (ventimila) per laviolazione di cui all'art. 162, comma 2-bis;

VISTAla documentazione in atti;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazionedel 28 giugno 2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

ORDINA

alMinistero dell'Istruzione, dell'Università e della Ricerca - Direzione generaleper l'università, lo studente e il diritto allo studio universitario, con sedein Roma, Viale Trastevere n. 76/A, in persona del legale appresentantepro-tempore, di pagare la somma complessiva di euro 20.000,00 (ventimila) atitolo di sanzione amministrativa pecuniaria per la violazione previstadall'art. 162, comma 2-bis, del medesimo Codice, come indicato in motivazione icui i cui versamenti saranno effettuati a partire dal giorno 15 del mesesuccessivo a quello in cui avverrà la notifica della presente ordinanza;

INGIUNGE

almedesimo ente pubblico di pagare la somma di euro 20.000,00 (ventimila) secondole modalità indicate in allegato, entro 30 giorni dalla notificazione delpresente provvedimento, pena l'adozione dei conseguenti atti esecutivi a normadall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro iltermine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, inoriginale o in copia autentica, quietanza dell'avvenuto versamento.

Aisensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 4 ottobre 2012

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia