Garante per la protezione
    dei dati personali


Vedi anche:
newsletter del 3 novembre 2014

 

[doc. webn. 3505289]

Diffusione in Internet di dati personali idonei arivelare lo stato di salute di un docente

PROVVEDIMENTO DEL 25 SETTEMBRE 2014

Registro deiprovvedimenti
n. 426 del 25 settembre 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenzadel dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini,vicepresidente, della dott.ssa Giovanna Bianchi Clerici, componente, e deldott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei datipersonali (d.lg. 30 giugno 2003, n. 196, di seguito"Codice");

VISTE le indicazioni fornite dal Garante con ilProvvedimento n. 243 del 15 maggio 2014, Linee guida in materia di trattamentodi dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul webda soggetti pubblici e da altri enti obbligati;

VISTA la segnalazione presentata il 20 luglio 2014 daXY con la quale è stata lamentata la pubblicazione di dati personali relativialla condizione di disabilità della segnalante, in qualità didocente, oltre ad altre informazioni, non tutte ritenute pertinenti, sul sitoweb dellìUfficio scolastico regionale per lìEmilia-Romagna, Ufficio IX (ambitoterritoriale provinciale Bologna) agevolmente raggiungibili mediante i comunimotori di ricerca;

RILEVATO che da un accertamento preliminare effettuatodallìUfficio in data 8 agosto 2014 è emerso che sul sitoweb www.bo.istruzioneer.it/..., facente capo al menzionato Ufficio scolastico,risultavano pubblicati on line le graduatorie allìinterno della sezionedenominata "Documenti e comunicazioni pubbliche";

RILEVATO che le verifiche effettuate hanno messo inluce che allìinterno di tale sezione del sito, oltre alle graduatorie dellascuola primaria relative agli anni scolastici 2005-2007, risultavanoaltresì pubblicati gli allegati alle stesse tra i quali, appunto, gli elenchidei "riservisti, gruppo 2: disabili art. 1, l. n. 68/99", cheriguardano decine di docenti, tra cui la segnalante; taleelenco è inoltre corredato da una legenda che dà conto dellìeventuale fruizioneda parte del personale dei benefici derivanti dallìart. 21,legge 5 febbraio 1992, n. 104 (con riguardo alla precedenza nellìassegnazionedella sede per le persone con gravi invalidità) e dallìart. 61, legge n. 20maggio 1982, n. 270 (che disciplina modalità diassegnazione della sede e titoli di preferenza per gli insegnanti non vedenti);

RILEVATO che le graduatorie recano in chiaro, oltre aidati identificativi degli interessati, anche informazioni eccedenti e nonpertinenti rispetto alla finalità della pubblicazione (art.11, comma 1, lett. d) del Codice) – relativi alcodice fiscale e al numero di figli a carico;

RILEVATO che a seguito di richiesta diinformazioni indirizzata al menzionato Ufficio scolastico regionale e alMinistero dellìIstruzione dellìUniversità e della Ricerca solo questìultimo,con nota della Direzione Generale del Personale della Scuola, ha fattopervenire un riscontro con il quale peraltro invitava lìUfficio territoriale adattenersi alle istruzioni già fornite con la circolare del 22 gennaio 2013,prot. n. 510 (cfr. nota 4 settembre 20124, in atti);

RILEVATO che con successivo accertamento del 16settembre 2014 è stato possibile verificare quanto dichiarato dalla segnalantecirca lìattualità della pubblicazione on line (cfr. successive comunicazioni del4  e 10 settembre 2014, in atti, con cui si davaconto del fatto che le informazioni "non sono state rimosse") elìimmediata visibilità in rete tramite lìinserimento delle generalità nei piùdiffusi motori di ricerca generalisti;

RILEVATO che con successivo accesso al sito avvenutoin data odierna è stato ulteriormente verificato chenellìambito della sezione "Documenti e comunicazioni pubbliche",risulta ancora pubblicata una delle graduatorie oggetto di segnalazione (comeanticipato dalla segnalante con nota del 16 settembre 2014, in atti);

CONSIDERATO che per dato personale siintende "qualunque informazione relativa a persona fisica,identificata o identificabile, anche indirettamente, mediante riferimento aqualsiasi altra informazione, ivi compreso un numero di identificazionepersonale" (art. 4, comma 1, lett. b), delCodice);

CONSIDERATO che per diffusione dei dati personali si intende "il dare conoscenza dei dati personali asoggetti indeterminati, in qualunque forma, anche mediante la loro messa adisposizione o consultazione" (art. 4, comma 1, lett.m), del Codice);

PRESO ATTO quindi che la descritta pubblicazione hacausato una diffusione di dati sensibili in quantoidonei a rivelare lo stato di salute degli interessati (art. 4, comma 1, lett. d), del Codice), in ragione dellìespresso riferimentoalla disabilità degli interessati nonché dellìespresso richiamo (nel medesimocontesto) alla legge n. 68/1999, normativa concernente le "Norme per ildiritto al lavoro dei disabili" e alla legge n. 104/1992 "Leggequadro per lìassistenza, lìintegrazione sociale e i diritti delle personehandicappate";

CONSIDERATO che lìart. 22, comma 8,del Codice prevede che nel trattamento effettuato da soggetti pubblici i"dati idonei a rivelare lo stato di salute non possono esserediffusi" (cfr., in tal senso, anche lìart. 65, comma 5,e lìart. 68, comma 3, del Codice) e che, pertanto, èvietata la diffusione di dati da cui si possa desumere lo stato di malattia olìesistenza di patologie dei soggetti interessati, compreso qualsiasiriferimento alla condizioni di invalidità, disabilità o handicap fisici e/opsichici (cfr. i provvedimenti del Garante, disponibili sul sito dellìAutoritàwww.garanteprivacy.it, in particolare tra i più recenti, 6 marzo 2014, n. 109; 6 giugno 2013, n. 277; masi veda anche, 22 novembre 2012; 29 novembre 2012; 7 ottobre 2009; 17 settembre 2009; 25 giugno 2009; 8 maggio 2008; 18 gennaio 2007; 7 febbraio 2002);

PRESO ATTO che lìelenco ancora pubblicato sul sito webcontiene anche informazioni eccedenti rispetto alla finalità della pubblicazione(art. 11, comma 1, lett. d)del Codice) –codice fiscale e numero dei figli a carico degli interessati–condotta che ha causato unìindebita diffusione di dati personali e, inragione dellìindicizzabilità da parte dei motori di ricerca, è suscettibile direcare pregiudizio alla riservatezza individuale e di incrementare il rischiodi abusi e furti di identità;

RICHIAMATE le indicazioni fornite dal Garante con ilProvvedimento n. 243  del 15 maggio 2014, Lineeguida in materia di trattamento di dati personali, contenuti anche in atti edocumenti amministrativi, effettuato per finalità di pubblicità e trasparenzasul web da soggetti pubblici e da altri enti obbligati (cfr., in particolare,parte II punti 1 e 3.b.);

RILEVATO che anche il MinisterodellìIstruzione, dapprima con la circolare del 7 marzo 2008 (prot.45/dip./segr.) con riguardo al divieto di pubblicaredati sensibili nelle graduatorie di circolo e di istituto, ha chiarito che"non è consentita la pubblicazione, accanto ai dati strettamente necessariallìindividuazione del candidato (nome, cognome, punteggio, e posizione ingraduatoria) di ulteriori dati, come, ad esempio, il domicilio o il recapitotelefonico poiché la conoscenza da parte di terzi dei dati in parola non èstrettamente necessaria per raggiungere le finalità istituzionali sottese allapubblicazione della graduatoria, né esistono nellìordinamento specifiche normeche consentano la pubblicazione di dati comuni diversi da quellinecessari", ribadendo poi tale orientamento nella citata circolare del 22gennaio 2013 (prot. n. AOODGPER510 – Uff. III);

RILEVATA, pertanto, lìilliceità del trattamentoeffettuato dal Ministero dellìIstruzione dellìUniversità e della Ricerca– Ufficio scolastico regionale per lìEmilia Romagna inrelazione allìavvenuta diffusione di dati idonei a rivelare lo stato disalute degli interessati (art. 22, comma 8, delCodice) nonché di dati personali eccedenti rispetto alla finalità perseguita(art. 11, comma 1, lett. d), del Codice);

CONSIDERATO che il Garante, ai sensi degli artt. 143,comma 1, lett. c), 144 e 154, comma 1, lett. d), delCodice, ha il compito di "vietare anche dìufficio, in tutto o in parte, iltrattamento illecito o non corretto dei dati o disporne il blocco", nonché"di adottare gli altri provvedimenti previsti dalla disciplina applicabileal trattamento di dati personali";

RITENUTO necessario, in ragione dellìilliceità deltrattamento effettuato, vietare al Ministero dellìIstruzione dellìUniversità edella Ricerca - Ufficio Scolastico Regionale per lìEmilia Romagna, ai sensidegli artt. 143, comma 1, lett. c), 144 e 154, comma1, lett. d), del Codice, lìulteriore diffusione in Internet dei dati personaliidonei a rivelare lo stato di salute dei soggetti interessati e dei datipersonali eccedenti rispetto alla finalità perseguita;

CONSIDERATO, inoltre, che risultaindispensabile lìadozione da parte del titolare del trattamento di idoneiaccorgimenti nella pubblicazione di detto elenco e di altri eventuali analoghidocumenti, con particolare riferimento alla necessità di rispettare il divietodi diffusione di dati idonei a rivelare lo stato di salute degli interessati;

CONSIDERATO, in merito, che il Garante, ai sensi degliartt. 143, comma 1, lett. b), 144 e 154, comma 1,lett. c), del Codice, ha il compito di prescrivere, anche dìufficio, "lemisure necessarie o opportune al fine di rendere il trattamento conforme alledisposizioni vigenti";

RITENUTO necessario prescrivere al Ministero dellìIstruzionedellìUniversità e della Ricerca - Ufficio Scolastico Regionale per lìEmiliaRomagna, ai sensi dei citati artt. 143, comma 1, lett.b), 144 e 154, comma 1, lett. c), del Codice, di conformare per il futuro lapubblicazione di atti e documenti in Internet alle disposizioni contenute nelCodice e nelle citate Linee guida, rispettando, in particolare, il divieto didiffusione dei dati idonei a rivelare lo stato di salute degli interessati(art. 22, comma 8, del Codice; parte II, punto 1,Linee guida, cit.), implementando misure volte a rendere effettiva lìosservanzadelle indicazioni già fornite con le menzionate circolari;

RITENUTO di valutare, conseparato provvedimento, gli estremi per contestare al titolare del trattamentola violazione amministrativa prevista dallìart. 162, comma 2-bis,del Codice come modificato dalla legge 27 febbraio 2009, n. 14 di conversione,con modificazioni, del decreto legge 30 dicembre 2008, n. 207;

TENUTO CONTO che, ai sensi dellìart. 170 del Codice,chiunque essendovi tenuto non osserva il presente provvedimento di divieto èpunito con la reclusione da tre mesi a due anni e che ai sensi dellìart. 162,comma 2-ter, del Codice, in caso di inosservanza delmedesimo provvedimento, è altresì applicata in sede amministrativa, in ognicaso, la sanzione del pagamento di una somma da trentamila a centottantamilaeuro;

VISTA la documentazione in atti;

VISTE le osservazionidellìUfficio, formulate dal segretario generale ai sensi dellìart. 15del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE la dott.ssa AugustaIannini;

TUTTO CIO' PREMESSO IL GARANTE

neiconfronti del Ministero dellìIstruzione dellìUniversitàe della Ricerca - Ufficio Scolastico Regionale per lìEmilia Romagna, rilevatalìilliceità del trattamento dei dati effettuato nei termini indicati inpremessa:

1.vieta, ai sensi dei citati artt. 143, comma 1, lett.c), 144 e 154, comma 1, lett. d), del Codice, lìulteriore diffusione inInternet dei dati personali idonei a rivelare lo stato di salute della segnalantee degli altri soggetti interessati oltreché degli altri dati eccedenticontenuti nellìelenco menzionato nel presente provvedimento;

2.prescrive, ai sensi dei citati artt. 143, comma 1, lett.b), 144 e 154, comma 1, lett. c), del Codice, di conformare per il futuro lapubblicazione di atti e documenti in Internet alle disposizioni contenute nelCodice in materia di protezione dei dati personali e nelle citate Linee guidain materia di trattamento di dati personali, contenuti anche in atti edocumenti amministrativi, effettuato per finalità di pubblicità e trasparenzasul web da soggetti pubblici e da altri enti obbligati, rispettando, inparticolare, il divieto di diffusione dei dati idonei a rivelare lo stato disalute degli interessati (art. 22, comma 8, delCodice; parte II, punti 1 e 3.b., Linee guida), implementando ogni utile misuravolta a rendere effettiva lìosservanza delle indicazioni già fornitedallìAmministrazione scolastica con le menzionate circolari e dandocomunicazione al Garante, entro quaranta giorni dalla ricezione del presenteprovvedimento, delle iniziative intraprese.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n.150/2011, avverso il presente provvedimento può essere proposta opposizioneallìautorità giudiziaria ordinaria, con ricorso depositato al tribunaleordinario del luogo ove ha la residenza il titolare del trattamento dei dati,entro il termine di trenta giorni dalla data di comunicazione del provvedimentostesso, ovvero di sessanta giorni se il ricorrente risiede allìestero.

Roma, 25 settembre 2014

IL PRESIDENTE

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia