Garante per la protezione
    dei dati personali


Diffusione sul sito web di un'Aziendaregionale per il diritto allo studio universitario di dati relativi allo statodi disabilità

PROVVEDIMENTO DEL 19 DICEMBRE 2012

Registro dei provvedimenti
n. 421 del 19 dicembre 2012

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n.196, di seguito "Codice");

VISTAla segnalazione in atti con la quale è stata lamentata la diffusione sul sitoweb dell'Azienda regionale per il diritto allo studio universitario dellaToscana – agli url: http://www.dsu.toscana.it/it/atti/Determinazioni.htmlehttp://www.dsu.toscana.it/export/sites/default/it/documenti/atti15giorni/DETERM_341_AOT_SI_06NOV2012.pdf– di dati relativi allo stato di disabilità e, pertanto, idonei arivelare lo stato di salute dei soggetti interessati;

RILEVATO,da un accertamento preliminare effettuato dall'Ufficio in data 27 novembre2012, che all'url indicato http://www.dsu.toscana.it/it/atti/Determinazioni.htmlcompare l'elenco delle determinazioni dirigenziali pubblicate onlinedall'Azienda regionale per il diritto allo studio universitario della Toscana;

CONSIDERATOche in tale pagina web è possibile visualizzare unicamente l'oggetto della determinazionedirigenziale n. 341/12 del 6 novembre 2012 – recante "domanda dicontributi a favore di studenti disabili a.a. 2011/2012" –accompagnato da un asterisco che specifica espressamente "Atto nonpubblicabile ai sensi di quanto previsto dalla normativa vigente in materia diprotezione dei dati personali";

RILEVATO,nel medesimo accertamento preliminare, che ciò nonostante al secondo urlsegnalato:http://www.dsu.toscana.it/export/sites/default/it/documenti/atti15giorni/DETERM_341_AOT_SI_06NOV2012.pdf– appartenente al dominio dsu.toscana.it registrato dall'Aziendaregionale per il diritto allo studio universitario della Toscana (cfr. Registrodell'"anagrafe dei domini Internet .it", in www.nic.it) –risulta, invece, interamente visualizzabile la predetta determinazionedirigenziale n. 341/2012;

PRESOATTO che tale atto determina la concessione di benefici economici a favore distudenti disabili, riportando in chiaro il nome e cognome, il riferimento allacondizione di disabilità degli studenti beneficiari nonché l'importo delcontributo concesso;

VISTOche dal medesimo accertamento preliminare è stato, altresì, verificato che ilfile della predetta determinazione dirigenziale n. 341/2012 è immediatamentevisibile in rete tramite l'inserimento delle generalità dei beneficiari delcontributo economico nei più diffusi motori di ricerca generalisti come Google;

CONSIDERATOche l'art. 4, comma 1, lett. b) del Codice qualifica come dato personale"qualunque informazione relativa a persona fisica, identificata oidentificabile, anche indirettamente, mediante riferimento a qualsiasi altrainformazione, ivi compreso un numero di identificazione personale";

CONSIDERATOche l'art. 4, comma 1, lett. m) del Codice definisce la diffusione dei datipersonali come "il dare conoscenza dei dati personali a soggettiindeterminati, in qualunque forma, anche mediante la loro messa a disposizioneo consultazione";

PRESOATTO che la pubblicazione della determinazione dirigenziale n. 341/2012, conl'indicazione in chiaro dei dati identificativi degli interessati e la lorocondizione di disabilità, ha causato una diffusione – considerandooltretutto che la suddetta determinazione dirigenziale è liberamenteconsultabile in Internet anche mediante la semplice consultazione dei motori diricerca – di dati sensibili in quanto idonei a rivelare lo stato disalute degli interessati (art. 4, comma 1, lett. d, del Codice);

CONSIDERATOche l'art. 22, comma 8, del Codice prevede che nel trattamento effettuato dasoggetti pubblici i "dati idonei a rivelare lo stato di salute non possonoessere diffusi" (cfr., in tal senso, anche l'art. 65, comma 5, e l'art.68, comma 3, del Codice) e che, pertanto, è vietata la diffusione di dati dacui si possa desumere lo stato di malattia o l'esistenza di patologie deisoggetti interessati, compreso qualsiasi riferimento alla condizioni diinvalidità, disabilità o handicap fisici e/o psichici (cfr. i provvedimenti delGarante 7 ottobre 2009; 17 settembre 2009; 25 giugno 2009; 8 maggio 2008; 18 gennaio 2007; 27 febbraio 2002).

RICHIAMATEle indicazioni fornite dal Garante con il Provvedimento del 2 marzo 2011 n. 88recante le "Linee guida in materia di trattamento di dati personalicontenuti anche in atti e documenti amministrativi, effettuato da soggettipubblici per finalità di pubblicazione e diffusione sul web" (pubblicatoin G.U. n. 64 del 19 marzo 2011) in cui è stato precisato che in "relazione allesole operazioni di comunicazione e di diffusione, le pubbliche amministrazioni,nel mettere a disposizione sui propri siti istituzionali dati personali,contenuti anche in atti e documenti amministrativi (in forma integrale, perestratto, ivi compresi gli allegati), devono preventivamente verificare che unanorma di legge o di regolamento preveda tale possibilità (artt. 4, comma 1,lett. l) e m), 19, comma 3, 20 e 21, del Codice), fermo restando comunque ilgenerale divieto di diffusione dei dati idonei a rivelare lo stato di salutedei singoli interessati (artt. 22, comma 8, 65, comma 5, 68, comma 3, delCodice)" (cfr. par. 2.1.; nonché par. 6.A.4.);

CONSIDERATO,inoltre, che, anche nell'ambito delle "misure urgenti per l'agendadigitale e la trasparenza nella pubblica amministrazione" previste, fral'altro, dall'art. 18, comma 1, intitolato "Amministrazione aperta"del decreto legge 22/6/2012 n. 83 (convertito, con modificazioni, in legge7/8/2012, n. 134) recante "Misure urgenti per la crescita del Paese"(Decreto sviluppo), è sancita, per le persone fisiche, la pubblicità sulla reteInternet unicamente dell'"attribuzione dei corrispettivi e deicompensi"; anche in relazione a tale quadro normativo pertanto è esclusala diffusione dei dati idonei a rivelare lo stato di salute contenuti nellapredetta determinazione dirigenziale n. 341/2012 avente a oggetto laconcessione di contributi economici a favore di soggetti disabili;

RILEVATA,pertanto, l'illiceità del trattamento effettuato dall'Azienda regionale per ildiritto allo studio universitario della Toscana in relazione all'avvenutadiffusione di dati idonei a rivelare lo stato di salute degli interessati inviolazione dell'art. 22, comma 8, del Codice;

CONSIDERATOche risulta indispensabile adottare idonei accorgimenti nella predisposizionedegli atti che riconoscono benefici economici con particolare riferimento allanecessità di rispettare il divieto di diffusione di dati idonei a rivelare lostato di salute del beneficiario e di evitare la diffusione di informazionieccedenti che possano creare disagio all'interessato o esporlo a conseguenzeindesiderate;

CONSIDERATOche il Garante, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1,lett. d), del Codice, ha il compito di "vietare anche d'ufficio, in tuttoo in parte, il trattamento illecito o non corretto dei dati o disporne ilblocco", nonché "di adottare gli altri provvedimenti previsti dalladisciplina applicabile al trattamento di dati personali";

RITENUTOnecessario, in ragione dell'illiceità del trattamento effettuato, vietareall'Azienda regionale per il diritto allo studio universitario della Toscana,ai sensi dei citati artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), delCodice, l'ulteriore diffusione in Internet dei dati personali dei soggettidisabili in quanto idonei a rivelare lo stato di salute degli interessaticontenuti nella determinazione dirigenziale n. 341/12 del 6 novembre 2012pubblicata all'url:http://www.dsu.toscana.it/export/sites/default/it/documenti/atti15giorni/DETERM_341_AOT_SI_06NOV2012.pdf;

CONSIDERATO,inoltre, che il Garante, ai sensi degli artt. 143, comma 1, lett. b) e 154,comma 1, lett. c), del Codice, ha il compito di prescrivere, anche d'ufficio,"le misure necessarie o opportune al fine di rendere il trattamentoconforme alle disposizioni vigenti";

RITENUTOnecessario prescrivere all'Azienda regionale per il diritto allo studiouniversitario della Toscana, ai sensi dei citati artt. 143, comma 1, lett. b) e154, comma 1, lett. c) del Codice, di conformare per il futuro la pubblicazionedi atti e documenti in Internet alle disposizioni contenute nel Codice inmateria di protezione dei dati personali e nelle citate "Linee guida inmateria di trattamento di dati personali contenuti anche in atti e documentiamministrativi, effettuato da soggetti pubblici per finalità di pubblicazione ediffusione sul web", rispettando, in particolare, il divieto di diffusionedei dati idonei a rivelare lo stato di salute degli interessati (art. 22, comma8, del Codice; par. 2.1 e par. 6.A.4. delle Linee guida);

RITENUTOaltresì necessario prescrivere all'Azienda regionale per il diritto allo studiouniversitario della Toscana di attivarsi presso i responsabili dei principalimotori di ricerca, come Google, al fine di sollecitare la rimozione della copiaweb della predetta determinazione dagli indici e dalla cache dei motori diricerca a decorrere dalla data di ricezione del presente provvedimento;

RITENUTOdi valutare, con separato provvedimento, gli estremi per contestare all'Aziendaregionale per il diritto allo studio universitario della Toscana la violazioneamministrativa prevista dall'art. 162, comma 2-bis, del Codice come modificatodalla legge 27 febbraio 2009, n. 14 di conversione, con modificazioni, deldecreto legge del 30 dicembre 2008 n. 207;

TENUTOCONTO che, ai sensi dell'art. 170 del Codice, chiunque essendovi tenuto nonosserva il presente provvedimento di divieto è punito con la reclusione da tremesi e due anni e che ai sensi dell'art. 162, comma 2-ter del Codice, in casodi inosservanza del medesimo provvedimento, è altresì applicata in sedeamministrativa, in ogni caso, la sanzione del pagamento di una somma datrentamila a centottantamila euro;

VISTAla documentazione in atti;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

Relatorela dott.ssa Augusta Iannini;

TUTTO CIO' PREMESSO IL GARANTE

rilevatal'illiceità del trattamento dei dati effettuato all'Azienda regionale per ildiritto allo studio universitario della Toscana nei termini indicati inpremessa:

1.vieta all'Azienda regionale per il diritto allo studio universitario dellaToscana, ai sensi dei citati artt. 143, comma 1, lett. c) e 154, comma 1, lett.d), del Codice, l'ulteriore diffusione in Internet dei dati personali deisoggetti disabili in quanto idonei a rivelare lo stato di salute degliinteressati contenuti nella determinazione dirigenziale n. 341/12 del 6 novembre2012 pubblicata all'url:http://www.dsu.toscana.it/export/sites/default/it/documenti/atti15giorni/DETERM_341_AOT_SI_06NOV2012.pdf;

2.prescrive all'Azienda regionale per il diritto allo studio universitario dellaToscana, ai sensi dei citati artt. 143, comma 1, lett. b) e 154, comma 1, lett.c) del Codice, di conformare per il futuro la pubblicazione di atti e documentiin Internet alle disposizioni contenute nel Codice in materia di protezione deidati personali e nelle citate "Linee guida in materia di trattamento didati personali contenuti anche in atti e documenti amministrativi, effettuatoda soggetti pubblici per finalità di pubblicazione e diffusione sul web",rispettando, in particolare, il divieto di diffusione dei dati idonei arivelare lo stato di salute degli interessati (art. 22, comma 8, del Codice;par. 2.1 e par. 6.A.4. delle Linee guida);

3.prescrive all'Azienda regionale per il diritto allo studio universitario dellaToscana, ai sensi dei citati artt. 143, comma 1, lett. b) e 154, comma 1, lett.c) del Codice, di attivarsi presso i principali motori di ricerca, come Google,al fine di sollecitare la rimozione della copia web della determinazionedirigenziale n. 341/12 del 6 novembre 2012 dagli indici e dalla cache deimotori di ricerca a decorrere dalla data di ricezione del presenteprovvedimento;

Ai sensidegli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 19 dicembre 2012

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia