Garante per la protezione
    dei dati personali


Diffusione sul sito web istituzionaledi un istituto scolastico di dati personali, contenuti in graduatorie, eccedentirispetto a quelli necessari

PROVVEDIMENTO DEL 6 GIUGNO 2013

Registro dei provvedimenti
n. 276 del 6 giugno 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n.196, di seguito "Codice");

VISTEle Linee guida per il trattamento di dati personali effettuato da soggettipubblici per finalità di pubblicazione e diffusione sul web (Provv. 2 marzo2011, in G.U. n. 64 del 19 marzo 2011);

VISTAla segnalazione con la quale è stata lamentata la diffusione su siti webistituzionali di dati personali contenuti in graduatorie d'istituto, eccedentirispetto a quelli necessari – con particolare riferimento all'indirizzo eal recapito telefonico individuale (fisso e mobile) –, peraltroliberamente reperibili utilizzando i comuni motori di ricerca;

RILEVATOche, da un accertamento preliminare effettuato dall'Ufficio in data 23 maggio2013, sul sito web istituzionale http://icbattaglia.interfree.it, facente capoall'Istituto Comprensivo Battaglia di Fusignano (RA) è risultata pubblicata la"Graduatoria di Istituto 2^ e 3^ Fascia Personale Docente ScuolaSecondaria di I  Grado RAIC82100L Data Produzione Graduatoria Definitiva:15/11/2011", concernente 403 interessati e contenente, rispetto aciascuno, i campi relativi a codice fiscale, indirizzo e recapiti telefoniciindividuali (fissi e mobili);

VISTOche in occasione del medesimo accertamento preliminare è stato altresìverificato che le predette graduatorie sono indicizzate in rete tramite i piùdiffusi motori di ricerca (esterni ai siti degli istituti scolastici) tramitel'inserimento di qualsiasi attributo individuale, come ad esempio le generalitàdegli interessati o i loro recapiti telefonici;

CONSIDERATOche per "dato personale" si intende "qualunque informazionerelativa a persona fisica, identificata o identificabile, anche indirettamente,mediante riferimento a qualsiasi altra informazione, ivi compreso un numero diidentificazione personale" (art. 4, comma 1, lett. b), del Codice);

CONSIDERATOche per "diffusione" dei dati personali si intende "il dareconoscenza dei dati personali a soggetti indeterminati, in qualunque forma,anche mediante la loro messa a disposizione o consultazione" (art. 4,comma 1, lett. m), del Codice);

RITENUTOche la pubblicazione della menzionata graduatoria – prevista dall'art. 5,comma 9, D.M. 13 giugno 2007, n. 131 (Regolamento per il conferimento dellesupplenze al personale docente ed educativo ai sensi dell'articolo 4 dellalegge 3 maggio 1999, n. 124) e dall'art. 32, l. 18 giugno 2009, n. 69 –avvenuta il 15 novembre 2011 e recante in chiaro oltre ai dati identificatividegli interessati, anche informazioni eccedenti e non pertinenti rispetto allafinalità della pubblicazione (art. 11, comma 1, lett. d) del Codice) –relativi all'indirizzo e ai recapiti telefonici degli interessati –considerato che questa condotta ha causato un'indebita diffusione di datipersonali e, in ragione dell'indicizzabilità da parte dei motori di ricerca, èsuscettibile di recare pregiudizio alla riservatezza individuale e diincrementare il rischio di abusi;

RICHIAMATEle indicazioni fornite dal Garante con il Provvedimento del 2 marzo2011 n. 88recante le "Linee guida in materia di trattamento di dati personalicontenuti anche in atti e documenti amministrativi, effettuato da soggettipubblici per finalità di pubblicazione e diffusione sul web" (pubblicatoin G.U. n. 64 del 19 marzo 2011, e doc. web n. 1793203) in cui è statoprecisato, con riferimento a forme di diffusione analoghe a quelle in esame cherisulta eccedente "la pubblicazione di dati concernenti il recapito ditelefonia fissa o mobile, l'indirizzo dell'abitazione o dell'e-mail, i titolidi studio, il codice fiscale []" (cfr. i punti B.1 e 5 ; v. pure provvedimentodel 2 marzo 2011, in G.U. n. 64 del 19 marzo 2011 e in www.garanteprivacy.it,doc. web n. 1793203).

RILEVATOche anche il Ministero dell'Istruzione, dapprima con la circolare del 7 marzo2008 (prot. 45/dip./segr.) ha chiarito che "non è consentita lapubblicazione, accanto ai dati strettamente necessari all'individuazione delcandidato (nome, cognome, punteggio, e posizione in graduatoria) di ulterioridati, come, ad esempio, domicilio, recapito telefonico poiché la conoscenza daparti di terzi dei dati in parola non è strettamente necessaria per raggiungerele finalità istituzionali sottese alla pubblicazione della graduatoria, néesistono nell'ordinamento specifiche norme che consentano la pubblicazione didati comuni diversi da quelli necessari", ribadendo quindi taleorientamento nella circolare del 22 gennaio 2013 (prot. n. AOODGPER510 –Uff. III);

RITENUTA,pertanto, l'illiceità del trattamento effettuato dall'istituto scolastico inragione dell'avvenuta diffusione dei dati personali eccedenti e non pertinentirispetto alla finalità perseguita (art. 11, comma 1, lett. d), del Codice), inquanto il loro trattamento è finalizzato alla tempestiva presa di contattodegli aspiranti a supplenze temporanee e alla gestione dell'eventuale rapportocontrattuale (cfr., per il personale docente, l'art. 5, comma 6, D.M. n.131/2007);

CONSIDERATOche il Garante, ai sensi degli artt. 143, comma 1, lett. c), e 154, comma 1,lett. d), del Codice, ha il compito di "vietare anche d'ufficio, in tuttoo in parte, il trattamento illecito o non corretto dei dati o disporne ilblocco", nonché "di adottare gli altri provvedimenti previsti dalladisciplina applicabile al trattamento di dati personali";

RITENUTOnecessario, in ragione dell'illiceità del trattamento effettuato, vietareall'IC "Battaglia", ai sensi dei citati artt. 143, comma 1, lett. c),e 154, comma 1, lett. d), del Codice, l'ulteriore diffusione in Internet deidati eccedenti e non pertinenti contenuti nella graduatoria sopra indicata;

CONSIDERATO,inoltre, che risulta indispensabile adottare idonei accorgimenti nellapubblicazione di dette graduatorie, con particolare riferimento alla necessitàdi rispettare il divieto di diffusione di dati eccedenti e non pertinenti;

CONSIDERATO,in merito, che il Garante, ai sensi degli artt. 143, comma 1, lett. b), e 154,comma 1, lett. c), del Codice, ha il compito di prescrivere, anche d'ufficio,"le misure necessarie o opportune al fine di rendere il trattamentoconforme alle disposizioni vigenti";

RITENUTOquindi necessario prescrivere all'IC "Battaglia", ai sensi dei citatiartt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, diconformare per il futuro la pubblicazione di graduatorie in Internet alledisposizioni contenute nel Codice in materia di protezione dei dati personali enelle citate "Linee guida in materia di trattamento di dati personalicontenuti anche in atti e documenti amministrativi, effettuato da soggettipubblici per finalità di pubblicazione e diffusione sul web", nel rispettodel principio di pertinenza e non eccedenza dei dati personali trattati;

TENUTOCONTO che, ai sensi dell'art. 170 del Codice, chiunque essendovi tenuto nonosserva il presente provvedimento di divieto è punito con la reclusione da tremesi a due anni e che ai sensi dell'art. 162, comma 2-ter, del Codice, in casodi inosservanza del medesimo provvedimento, è altresì applicata in sedeamministrativa, in ogni caso, la sanzione del pagamento di una somma datrentamila a centottantamila euro;

VISTAla documentazione in atti;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

TUTTO CIO' PREMESSO IL GARANTE

neiconfronti dell'IC "Battaglia", rilevata l'illiceità del trattamentodei dati effettuato nei termini indicati in premessa:

1. vieta, ai sensi dei citati artt. 143, comma 1, lett. c), e 154, comma 1, lett.d), del Codice, l'ulteriore diffusione in Internet dei dati personaliconcernenti il domicilio nonché il recapito telefonico degli interessaticontenuti nella "Graduatoria di Istituto 2^ e 3^ Fascia Personale DocenteScuola Secondaria di I  Grado RAIC82100L Data Produzione GraduatoriaDefinitiva: 15/11/2011";

2.prescrive, ai sensi dei citati artt. 143, comma 1, lett. b), e 154, comma 1,lett. c), del Codice, di conformare per il futuro la pubblicazione di atti edocumenti in Internet alle disposizioni contenute nel Codice in materia diprotezione dei dati personali e nelle citate "Linee guida in materia ditrattamento di dati personali contenuti anche in atti e documentiamministrativi, effettuato da soggetti pubblici per finalità di pubblicazione ediffusione sul web", con specifico riguardo alla corretta individuazionedei dati personali in esse contenuti nel rispetto del principio di pertinenza enon eccedenza.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 6 giugno 2013

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia