Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Regione Emilia Romagna

PROVVEDIMENTO DEL 20 DICEMBRE 2012

Registro dei provvedimenti
n. 430 del 20 dicembre 2012

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

RILEVATOche l'Ufficio, nell'ambito di un'istruttoria relativa al trattamento di datipersonali effettuato attraverso l'Anagrafe regionale degli studenti dellaRegione Emilia Romagna, con sede in Bologna, Viale Aldo Moro n. 38, avviata conla nota n.25733/65868 del 24 novembre 2009 e integrata con la nota inviatadalla Regione Emilia Romagna n. PG.2009.0290239 del 18 dicembre 2009, hasuccessivamente accertato che: 1) la Regione Emilia Romagna, attraverso laprocedura denominata "Anagrafe Regionale degli studenti" presente sulproprio sito web http://www.scolaer.it,  ha effettuato una diffusione didati personali in assenza di una base normativa idonea a legittimare taletrattamento, in violazione dell'art. 19, comma 3 del Codice in materia diprotezione dei dati personali (di seguito denominato Codice); 2) la Regione haconservato, inoltre, nei files trasmessi da alcuni istituti scolasticiall'Anagrafe regionale degli studenti, dati personali degli studenti di naturasensibile (quali, a titolo esemplificativo, dati relativi a disabilità, intolleranzealimentari, origine etnica), in violazione dell'art. 20 del Codice che prevedeche il trattamento di dati sensibili da parte di un soggetto pubblico àconsentito solo se autorizzato da espressa disposizione di legge nella qualesono specificati i tipi di dati che possono essere trattati e di operazionieseguibili e le finalità di rilevante interesse pubblico perseguite, ovvero,nei casi in cui la legge specifichi la finalità di rilevante interessepubblico, ma non i tipi di dati sensibili e di operazioni eseguibili, solo inriferimento ai tipi di dati e di operazioni identificati e resi pubblici a curadei soggetti che ne effettuano il trattamento, in relazione alle specifichefinalità perseguite nei singoli casi e nel rispetto dei principi di cui all'art.22, con atto di natura regolamentare adottato in conformità al parere espressodal Garante ai sensi dell'art. 154, comma 1, lett. g), anche su schemi tipo;

VISTOil verbale n. 16217/65868 del 13 luglio 2010 con cui sono state contestate allaRegione Emilia Romagna, la violazione amministrativa prevista dall'art. 162,comma 2-bis, del Codice, in relazione all'art. 19, comma 3, e la violazionesempre prevista dall'art. 162, comma 2 bis, ma nella forma attenuata previstadall'art. 164-bis, comma 1, in relazione all'art. 20, informandola, perentrambe le violazioni, della facoltà di effettuare il pagamento in misuraridotta ai sensi dell'art. 16 della legge n. 689/1981;

ESAMINATOil rapporto dell'Ufficio del Garante predisposto ai sensi dell'art. 17 dellalegge 24 novembre 1981, n. 689, relativo al predetto verbale di contestazionedi violazione amministrativa, dal quale non risulta essere stato effettuato ilpagamento in misura ridotta;

VISTOlo scritto difensivo inviato ai sensi dell'art. 18 della legge n. 689/1981, conil quale la Regione, relativamente alla violazione di cui all'art. 19, comma 3del Codice, ha rilevato come "() la procedura (denominata AnagrafeRegionale degli studenti) era stata testata anche per verificare l'anonimatodei dati ()" secondo il criterio dell'ordinaria diligenza. Sul punto haevidenziato come la procedura in esame non consenta "() un riferimento alsingolo soggetto, ma occorre, una volta reperiti i dati disponibili, procurarsiun elenco nominativo degli studenti", sulla disponibilità del quale,secondo il criterio dell'utilizzo di "mezzi ragionevoli" di cuiall'art. 4 del Codice di deontologia e buona condotta per i trattamenti di datipersonali a scopi statistici e di ricerca scientifica, à lecito dubitare tantoche l'illecito contestato "In ogni caso sarebbe frutto di attivitàconnotata da colpa, o al più da colpa lievissima". Riguardo allaviolazione di cui all'art. 20 del Codice, ha evidenziato come "All'epocadell'avvio, la realizzazione dell'Anagrafe (per effetto della disciplina di cuial d.lgs. n. 76/2005) sarebbe stata irrimediabilmente compromessa dall'esigenzadi evitare la trasmissione dei dati, per cui il loro congelamento nel serverregionale parve un sistema idoneo a bilanciare le esigenze di tutela della riservatezzae di realizzazione dei fini istituzionali";

CONSIDERATOche le argomentazioni addotte non permettono di escludere la responsabilitàdell'ente in relazione alle due contestazioni in oggetto. Riguardo al rilievodi cui all'art. 19, comma 3 del Codice, si evidenzia come l'individuazione deimezzi ragionevoli utili ai fini dell'identificabilità dell'interessato di cuiall'art. 3 del Codice di deontologia e buona condotta per i trattamenti di datipersonali a scopi statistici e di ricerca scientifica deve necessariamentetener conto dei criteri per la valutazione del rischio di identificazionedell'interessato stesso di cui all'art. 4 del medesimo Codice deontologico. Sulpunto, per effetto di quanto previsto dall'art. 13 della legge n. 689/1981, risultaaccertata la possibilità di identificare le persone, seppur in via indiretta emediante l'uso di tempi e risorse ragionevoli, dal momento che leinterrogazioni effettuate hanno fornito informazioni con un dettaglio inferiorealla soglia del tre, ovvero che alla combinazione delle modalità dellevariabili à stata associata una frequenza inferiore a quella fissata dall'art.4 del Codice di deontologia citato. Quanto detto determina, nel caso di specie,l'inapplicabilità della disciplina dell'errore scusabile di cui all'art. 3della legge n. 689/1981, anche con riferimento alla qualificazionedell'elemento psicologico dell'illecito contestato. Relativamente allaviolazione di cui all'art. 20 del Codice, la disciplina dello "stato dinecessità", invocata dall'ente come causa di esclusione dellaresponsabilità ex art. 4 legge 689/1981, ha, quali presupposti, i medesimiprevisti dall'art. 54 c.p. (Cass. del 12 maggio 1999 n. 4710). Ciò comporta lanecessaria sussistenza di una situazione di pericolo attuale di un danno graveincombente sulla persona e relativo ai beni dell'integrità fisica o della vita, circostanze che non ricorrono nel caso di specie;

RILEVATO,pertanto, che la Regione Emilia Romagna ha effettuato un trattamento di datipersonali ai sensi dell'art. 4, comma 1, lett. a) e b) del Codice, atteso che:1) attraverso la procedura denominata "Anagrafe Regionale deglistudenti" presente sul proprio sito web http://www.scolaer.it, haeffettuato una diffusione di dati personali in assenza di una base normativaidonea a legittimare tale trattamento, in violazione dell'art. 19, comma 3 delCodice; 2) ha conservato nei files trasmessi da alcuni istituti scolasticiall'Anagrafe regionale degli studenti, dati personali di natura sensibile, inviolazione dell'art. 20 del Codice;

VISTOl'art. 162, comma 2-bis, del Codice che punisce la violazione delledisposizioni indicate negli artt. 19 e 20 del Codice con la sanzioneamministrativa del pagamento di una somma da diecimila euro a centoventimilaeuro;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

RITENUTOche, nel caso in cui l'infrazione non abbia caratterizzazioni specifiche chepossano portare a valutazioni di maggiore o minor rigore, nella determinazionedella sanzione può ritenersi corretta l'individuazione di un importo pari alterzo del massimo o, se più favorevole, al doppio del minimo, in linea conquanto previsto dall'art. 16 della L. n. 689/1981, ferma restando lavalutazione degli ulteriori elementi previsti dall'art. 11 della medesima legge[cfr. Cass. civ., sez. I, 4 novembre 1998, n. 11054];

CONSIDERATOche, nel caso in esame:

a) inordine all'aspetto della gravità, la violazione di cui all'art. 19, comma 3 delCodice non risulta connotata da elementi specifici se valutata in relazioneall'entità del pregiudizio o del pericolo, alle modalità concrete dellacondotta e all'intensità dell'elemento psicologico; mentre per la violazione dicui all'art. 20 del Codice, i medesimi elementi devono essere valutati inragione del fatto che la conservazione dei dati di natura sensibile à risultataassai limitata nel tempo (mediamente circa un mese) e che l'ente si àtempestivamente attivato al fine di rendere operativo un apposito applicativovolto a consentire la depurazione dei file da dati personali non necessari(dati sensibili);

b) aifini della valutazione dell'opera svolta dall'agente, si rileva che, se laRegione, con riferimento alla violazione dell'art. 19, comma 3 del Codice, nonha fornito elementi di valutazione, riguardo alla violazione dell'art. 20 delCodice, deve essere preso in considerazione quanto evidenziato al punto a);

c) circala personalità dell'autore della violazione, deve essere positivamenteconsiderata la circostanza che l'ente non risulti avere precedenti specifici intermini di violazioni alle disposizioni del Codice;

d) inmerito alle condizioni economiche dell'agente, al fine di commisurare l'importodella sanzione alla reale capacità economica del trasgressore nel rispetto delprincipio di uguaglianza, non si rilevano elementi specifici idonei ad incideresulla quantificazione della sanzione, trattandosi di ente pubblico;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della L. n. 689/1981, l'ammontaredella sanzione pecuniaria per la violazione di cui all'art. 19, comma 3 delCodice, nella misura di euro 10.000,00 (diecimila), mentre per la violazione dicui all'art. 20 del Codice, nella misura di euro 10.000,00 (diecimila);

RITENUTA,riguardo alla sola violazione di cui all'art. 20 del Codice, la sussistenzadegli elementi idonei a configurare uno dei casi di minore gravità previstodall'art. 164-bis, comma 1, del Codice, ragione per la quale l'importo dellaspecifica sanzione di cui al punto precedente può essere ridotto in misura paria due quinti, per una somma di euro 4.000,00 (quattromila) e che pertantol'importo complessivo per entrambe le sanzioni à pari a euro 14.000,00;

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazionedel 28 giugno 2000;

RELATOREla dott.ssa Augusta Iannini ;

ORDINA

allaRegione Emilia Romagna, con sede in Bologna, Viale Aldo Moro n. 38, in personadel legale rappresentante pro-tempore, di pagare la somma di euro 14.000,00(quattordicimila) a titolo di sanzione amministrativa pecuniaria per laviolazione prevista dall'art. 162, comma 2-bis, del Codice indicata inmotivazione;

INGIUNGE

allamedesima Regione di pagare la somma di euro 14.000,00 (quattordicimila) secondole modalità indicate in allegato, entro 30 giorni dalla notificazione delpresente provvedimento, pena l'adozione dei conseguenti atti esecutivi a normadall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro iltermine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, inoriginale o in copia autentica, quietanza dell'avvenuto versamento.

Siavvisa che avverso il presente provvedimento, ai sensi dell'art. 152 delCodice, può essere proposta opposizione davanti al tribunale ordinario delluogo ove ha sede il titolare del trattamento entro il termine di trenta giornidalla notificazione del presente provvedimento.

Roma,  20 dicembre 2012

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia