IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

RILEVATO che, a seguito di una segnalazione pervenuta all´Autorità in data 23 luglio 2013, con cui veniva lamentato che l´Istituto scolastico "Andrea Mantegna" di Brescia (di seguito "Istituto scolastico"), in occasione della pubblicazione degli esiti degli esami dell´anno scolastico 2012-2013, aveva diffuso la dicitura "non idoneo" nella colonna del tabellone relativa ad una studentessa con Piano educativo individualizzato (cd. P.E.I.) accanto all´indicazione di una votazione di esame superiore a quella prevista per il superamento dell´esame stesso, l´Ufficio avviava un´istruttoria preliminare diretta a verificare i presupposti normativi che avrebbero legittimato la differenziazione nelle modalità di pubblicazione degli esiti scolastici;

RILEVATO, inoltre, che nel corso di un accertamento preliminare condotto dall´Ufficio, è emerso che l´Istituto scolastico ha pubblicato sul proprio sito istituzionale gli elenchi nominativi degli alunni, distinti per classe;

VISTO il verbale n. 13096/88019 del 4 maggio 2015, con cui sono state contestate all´Istituto scolastico "A. Mantegna", con sede in Brescia, via Fura n. 96, C.F. 98092990179, in persona del legale rappresentante pro-tempore, due distinte violazioni amministrative ai sensi dell´art. 162, comma 2-bis, del Codice, in relazione all´art. 22, comma 8, del medesimo Codice, per aver effettuato una diffusione di dati idonei a rivelare lo stato di salute dell´interessato, e in relazione all´art. 19, comma 3, per aver pubblicato i dati personali degli studenti in assenza di una norma di legge o di regolamento che espressamente la preveda, informandolo della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

RILEVATO che dal rapporto predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, non risulta essere stati effettuati i pagamenti in misura ridotta;

VISTI gli scritti difensivi datati 3 giugno 2015, inviati ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689, con cui l´Istituto scolastico ha eccepito, in primo luogo, la titolarità del trattamento dei dati personali, in relazione alla pubblicazione degli esiti degli esami da cui si è originata la diffusione dei dati sensibili dell´interessato. Infatti, secondo l´Istituto scolastico poiché l´art. 3 del d.d.s. 19 marzo 2013 n. 2491 "al Presidente della Commissione spetta predisporre la documentazione ai fini dell´esposizione pubblica dei risultati", ne deriva che, nel caso in esame, "l´esposizione pubblica dei risultati è ascrivibile esclusivamente al Presidente della Commissione e, per esso, alla Regione, in nome e per conto della quale ha agito (…)". L´Istituto ha, poi, rilevato che "come si è documentato, i risultati degli esami (…) non riportano in alcun modo la dicitura "PEI" (piano educativo individualizzato) nè accanto al nominativo di alunni, né in calce, né altrove".

Con riguardo, invece, alla violazione dell´art. 19, comma 3, del Codice, inerente alla pubblicazione, sul proprio sito web, dei nominativi degli studenti distinti per classe, la parte ha rilevato che, "sebbene l´IIS si sia immediatamente uniformato alle indicazioni del Garante, non può non rilevare come la pubblicazione di tale indicazione non abbia avuto alcun carattere lesivo e debba essere ricondotta agli obblighi previsti dall´art. 32 della Legge n. 69/2009", che impone alle amministrazioni e agli enti pubblici la pubblicazione sui propri siti informatici degli atti e dei provvedimenti amministrativi, tra cui rientra l´atto con cui si dispone la suddivisione degli alunni per classi;

LETTO il verbale di audizione, svoltasi in data 11 aprile 2016, ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha ribadito quanto già dichiarato nelle memorie difensive, precisando che la pubblicazione on line degli elenchi nominativi degli studenti iscritti è avvenuta sulla base di un idoneo presupposto normativo, individuato nell´art. 3 del D.P.R. n. 81/2009;

RITENUTO che le argomentazioni addotte risultano in parte idonee ad escludere la responsabilità della parte in relazione a quanto contestato. In particolare, con riferimento alla violazione dell´art. 22, comma 8, del Codice, si osserva che, al di là dell´attribuzione di responsabilità per l´avvenuta diffusione di dati idonei a rivelare lo stato di salute dell´interessato, che deve essere in ogni caso ricondotta all´Istituto scolastico (e non al Presidente della Commissione di esame, come sostenuto dalla parte), il rilievo, oggetto della violazione, consiste nell´aver affisso nella bacheca scolastica la dicitura "non idoneo" accanto a una valutazione di esame superiore a quella richiesta per il superamento dello stesso, e non la dicitura P.E.I., relativa al piano educativo individualizzato, come invece è stato erroneamente riportato nel verbale di contestazione del 4 maggio 2015. Pertanto, sebbene la modalità di pubblicazione degli esiti degli esami adottata dall´Istituto scolastico sia idonea a rivelare lo stato di salute degli interessati, e quindi illecita, il procedimento sanzionatorio relativo a tale rilievo deve essere archiviato per la suesposta motivazione.

RITENUTO, pertanto, di dover archiviare il procedimento sanzionatorio relativo alla violazione dell´art. 22, comma 8, del Codice;

CONSIDERATO, inoltre, che l´avvenuta diffusione degli elenchi nominativi degli alunni, distinti per classe, rilevata ex officio dal Garante, è stata già oggetto di esame da parte dell´Autorità, la quale si è espressa nel senso di dichiarare tale operazione di trattamento di dati personali illecita, perché effettuata in assenza di una norma di legge o di regolamento che lo preveda ai sensi dell´art. 19, comma 3, del Codice (doc. web n. 2217211, in www.garanteprivacy.it). In particolare, si rileva che la disciplina normativa a cui l´Istituto scolastico fa riferimento nelle proprie memorie difensive (d.P.R. n. 81/2009, recante "Norme per la riorganizzazione della rete scolastica e il razionale ed efficace utilizzo delle risorse umane della scuola") stabilisce, tra l´altro, i criteri e i parametri da osservare ai fini della formazione delle classi scolastiche, ma non contiene alcuna disposizione in merito alla pubblicazione degli elenchi così formati. Inoltre, non può essere condivisa l´argomentazione della parte secondo la quale la pubblicazione in questione è stata effettuata per adempiere alle funzioni istituzionali di cui al d.lgs. n. 69/2009. Infatti, tale normativa ha previsto, per la parte che qui interessa, che gli obblighi a carico delle pubbliche amministrazioni di provvedere alla pubblicazione di atti e provvedimenti amministrativi aventi effetti di pubblicità legale, siano assolti mediante pubblicazione degli stessi atti nei siti internet degli stessi enti. In ogni caso, nell´adempimento di tale obbligo, le pubbliche amministrazioni devono preliminarmente verificare che una norma di legge o di regolamento preveda tale possibilità, fermo restando il generale divieto di diffusione di dati idonei a rivelare lo stato di salute (art. 22, comma 8, del Codice). Peraltro, in proposito l´Autorità ha fornito puntuali indicazioni tramite apposite linee guida (provvedimenti datati 19 aprile 2007, 2 marzo 2011 e, da ultimo, 15 maggio 2014 in www.garanteprivacy.it, doc. web nn.rr 1407101, 1793203 e 3134436). Pertanto, si conferma che la pubblicazione sul sito istituzionale dell´Istituto scolastico degli elenchi nominativi degli studenti è avvenuto in assenza di un idoneo presupposto normativo. Non assume rilievo, infine, ai fini dell´archiviazione del rilievo, la considerazione che tale pubblicazione non abbia avuto carattere lesivo per gli interessati;

RILEVATO, pertanto, che l´Istituto scolastico "A. Mantegna" ha effettuato una diffusione di dati personali in assenza di idonei presupposti normativi, in violazione di quanto disposto dall´art. 19, comma 3, del Codice;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 167 del medesimo Codice (tra cui l´art. 19) con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

RITENUTO che ricorrono le condizioni per applicare l´art. 164-bis, comma 1, del Codice che prevede che, se taluna delle violazioni di cui agli art. 161, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che, pertanto, l´ammontare della sanzione pecuniaria deve essere quantificato in euro 4.000,00 (quattromila);

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

DISPONE

l´archiviazione del procedimento sanzionatorio relativo alla contestazione della violazione amministrativa di cui all´art. 162, comma 2-bis, del Codice, in relazione all´art. 22, comma 8, nei termini di cui in motivazione;

ORDINA

all´Istituto scolastico "A. Mantegna", con sede in Brescia, via Fura n. 96, C.F. 98092990179, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 162, comma 2-bis, del Codice, come indicato in motivazione, per aver effettuato una diffusione di dati personali in assenza di idonei presupposti normativi;

INGIUNGE

al medesimo di pagare la somma di euro 4.000,00 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.