Garante per la protezione
    dei dati personali


[vedi anche newsletter del 16 luglio 2013]

Diffusione sul sito web istituzionaledi un istituto scolastico di dati personali, contenuti in graduatorie, eccedentirispetto a quelli necessari

PROVVEDIMENTO DEL 6 GIUGNO 2013

Registro dei provvedimenti
n. 274 del 6 giugno 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n.196, di seguito "Codice");

VISTEle Linee guida per il trattamento di dati personali effettuato da soggettipubblici per finalità di pubblicazione e diffusione sul web (Provv. 2 marzo2011, in G.U. n. 64 del 19 marzo 2011);

VISTAla segnalazione con la quale è stata lamentata la diffusione su siti webistituzionali di dati personali contenuti in graduatorie d'istituto, eccedentirispetto a quelli necessari – con particolare riferimento a codicefiscale, indirizzo e recapito telefonico individuale –, peraltro liberamentereperibili utilizzando i comuni motori di ricerca;

RILEVATOche, da un accertamento preliminare effettuato dall'Ufficio in data 23 maggio2013, sul sito web istituzionale www.25luglio.it facente capo al 3° CircoloDidattico "XXV Luglio" di Taranto è risultata ancora pubblicata la"Graduatoria di Istituto III Fascia Personale ATA TAEE003002 DataProduzione Graduatoria Definitiva: 23/03/2012", concernente 4877interessati e contenente, rispetto a ciascuno, anche i campi relativi a codicefiscale, indirizzo e recapiti telefonici individuali;

VISTOche in occasione del medesimo accertamento preliminare è stato altresìverificato che le predette graduatorie sono indicizzate in rete tramite i piùdiffusi motori di ricerca (esterni ai siti degli istituti scolastici) tramitel'inserimento di qualsiasi attributo individuale, come ad esempio le generalitàdegli interessati o i loro recapiti telefonici;

CONSIDERATOche per "dato personale" si intende "qualunque informazionerelativa a persona fisica, identificata o identificabile, anche indirettamente,mediante riferimento a qualsiasi altra informazione, ivi compreso un numero diidentificazione personale" (art. 4, comma 1, lett. b), del Codice);

CONSIDERATOche per "diffusione" dei dati personali si intende "il dareconoscenza dei dati personali a soggetti indeterminati, in qualunque forma,anche mediante la loro messa a disposizione o consultazione" (art. 4,comma 1, lett. m), del Codice);

RITENUTOche la pubblicazione della menzionata graduatoria– prevista dall'art. 5,comma 13, D.M. 13 dicembre 2000, n. 430 (Regolamento recante norme sullemodalità di conferimento delle supplenze al personale amministrativo, tecnicoed ausiliario ai sensi dell'articolo 4 della L. 3 maggio 1999, n. 124) edall'art. 32, l. 18 giugno 2009, n. 69 –, avvenuta il 23 marzo 2012 erecante in chiaro oltre ai dati identificativi degli interessati, ancheinformazioni eccedenti e non pertinenti rispetto alla finalità dellapubblicazione (art. 11, comma 1, lett. d) del Codice) – relativi alcodice fiscale, all'indirizzo e ai recapiti telefonici degli interessati –considerato che questa condotta ha causato un'indebita diffusione di datipersonali e, in ragione della indicizzabilità da parte dei motori di ricerca, èsuscettibile di recare pregiudizio alla riservatezza individuale e diincrementare il rischio di abusi;

RICHIAMATEle indicazioni fornite dal Garante con il Provvedimento del 2 marzo2011 n. 88recante le "Linee guida in materia di trattamento di dati personalicontenuti anche in atti e documenti amministrativi, effettuato da soggettipubblici per finalità di pubblicazione e diffusione sul web" (pubblicatoin G.U. n. 64 del 19 marzo 2011) in cui è statoprecisato, con riferimento a forme di diffusione analoghe a quelle in esame,che risulta eccedente "la pubblicazione di dati concernenti il recapito ditelefonia fissa o mobile, l'indirizzo dell'abitazione o dell'e-mail, i titolidi studio, il codice fiscale [Š]" (cfr. i punti B.1 e 5 ; v. pureprovvedimento del 2 marzo 2011, in G.U. n. 64 del 19 marzo 2011);

RILEVATOche anche il Ministero dell'Istruzione, con la circolare del 7 marzo 2008(prot. 45/dip./segr.) ha chiarito che "non è consentita la pubblicazione,accanto ai dati strettamente necessari all'individuazione del candidato (nome,cognome, punteggio, e posizione in graduatoria) di ulteriori dati, come, adesempio, domicilio, recapito telefonico poiché la conoscenza da parti di terzidei dati in parola non è strettamente necessaria per raggiungere le finalitàistituzionali sottese alla pubblicazione della graduatoria, né esistononell'ordinamento specifiche norme che consentano la pubblicazione di daticomuni diversi da quelli necessari", ribadendo tale orientamento nellarecente circolare del 22 gennaio 2013 (prot. n. AOODGPER510 – Uff. III);

RITENUTA,pertanto, l'illiceità del trattamento effettuato dall'istituto scolastico inragione dell'avvenuta diffusione dei dati personali eccedenti e non pertinentirispetto alla finalità perseguita (art. 11, comma 1, lett. d), del Codice), inquanto il loro trattamento è finalizzato alla tempestiva presa di contattodegli aspiranti a supplenze temporanee e alla gestione dell'eventuale rapportocontrattuale;

CONSIDERATOche il Garante, ai sensi degli artt. 143, comma 1, lett. c), e 154, comma 1,lett. d), del Codice, ha il compito di "vietare anche d'ufficio, in tuttoo in parte, il trattamento illecito o non corretto dei dati o disporne ilblocco", nonché "di adottare gli altri provvedimenti previsti dalladisciplina applicabile al trattamento di dati personali";

RITENUTOnecessario, in ragione dell'illiceità del trattamento effettuato, vietare al 3°Circolo Didattico "XXV Luglio", ai sensi dei citati artt. 143, comma1, lett. c), e 154, comma 1, lett. d), del Codice, l'ulteriore diffusione inInternet dei dati eccedenti e non pertinenti contenuti nella graduatoria sopraindicata;

CONSIDERATO,inoltre, che risulta indispensabile adottare idonei accorgimenti nellapubblicazione di dette graduatorie, con particolare riferimento alla necessitàdi rispettare il divieto di diffusione di dati eccedenti e non pertinenti;

CONSIDERATO,in merito, che il Garante, ai sensi degli artt. 143, comma 1, lett. b), e 154,comma 1, lett. c), del Codice, ha il compito di prescrivere, anche d'ufficio,"le misure necessarie o opportune al fine di rendere il trattamentoconforme alle disposizioni vigenti";

RITENUTOquindi necessario prescrivere al 3° Circolo Didattico "XXV Luglio",ai sensi dei citati artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), delCodice, di conformare per il futuro la pubblicazione di graduatorie in Internetalle disposizioni contenute nel Codice in materia di protezione dei datipersonali e nelle citate "Linee guida in materia di trattamento di datipersonali contenuti anche in atti e documenti amministrativi, effettuato dasoggetti pubblici per finalità di pubblicazione e diffusione sul web", nelrispetto del principio di pertinenza e non eccedenza dei dati personalitrattati;

TENUTOCONTO che, ai sensi dell'art. 170 del Codice, chiunque essendovi tenuto nonosserva il presente provvedimento di divieto è punito con la reclusione da tremesi a due anni e che ai sensi dell'art. 162, comma 2-ter, del Codice, in casodi inosservanza del medesimo provvedimento, è altresì applicata in sedeamministrativa la sanzione del pagamento di una somma da trentamila acentottantamila euro;

VISTAla documentazione in atti;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATOREla dott.ssa Augusta Iannini;

TUTTO CIO' PREMESSO IL GARANTE

neiconfronti 3° Circolo Didattico "XXV Luglio" di Taranto, rilevatal'illiceità del trattamento dei dati effettuato da nei termini indicati inpremessa:

1.vieta, ai sensi dei citati artt. 143, comma 1, lett. c), e 154, comma 1, lett.d), del Codice, l'ulteriore diffusione in Internet dei dati personaliconcernenti il codice fiscale, il domicilio nonché il recapito telefonico degliinteressati contenuti nella "Graduatoria di Istituto III Fascia PersonaleATA TAEE003002 Data Produzione Graduatoria Definitiva: 23/03/2012";

2.prescrive, ai sensi dei citati artt. 143, comma 1, lett. b), e 154, comma 1,lett. c), del Codice, di conformare per il futuro la pubblicazione digraduatorie in Internet alle disposizioni contenute nel Codice in materia diprotezione dei dati personali e nelle citate "Linee guida in materia ditrattamento di dati personali contenuti anche in atti e documentiamministrativi, effettuato da soggetti pubblici per finalità di pubblicazione ediffusione sul web", con specifico riguardo alla corretta individuazionedei dati personali in esse contenuti nel rispetto del principio di pertinenza enon eccedenza.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 6 giugno 2013

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia