[doc. web n. 10272950]

Provvedimento del 3 luglio 2026

Registro dei provvedimenti
n. 479 del 3 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componenti, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”); 

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione 

L’Autorità ha appreso, da una segnalazione, che in data XX, accedendo al portale di iscrizione agli esami “(esami.unipi.it)” dell’Università di Pisa (di seguito, “Università”), era possibile scaricare l'elenco degli iscritti ad un esame, visualizzare le informazioni relative agli studenti iscritti, nonché cancellare le iscrizioni. 

2. L’attività istruttoria.

In riscontro alle richieste di informazioni dell’Autorità (note del XX, prot. n. XX e XX, prot. n. XX) l’Università, con note del XX (ns. prot. n. XX) e del XX (ns. prot. n. XX), cui si rinvia integralmente, ha rappresentato quanto segue:

- “le Università sono tenute ad organizzare i corsi di studio sotto ogni aspetto, comprese le modalità di svolgimento degli esami e delle altre verifiche di profitto degli studenti […] Tale organizzazione deve tener conto di quanto disposto dall’art. 23, Verifiche di profitto, del Regolamento didattico d’Ateneo, emanato con D.R. prot. n. XX del XX, secondo cui: “Gli esami sono pubblici e devono sempre tenersi in locali universitari accessibili al pubblico. Deve essere pubblica anche la comunicazione dell’esito dell'esame e della votazione”;

- “La disposizione regolamentare recepisce quanto previsto dall’art. 43 del Regolamento sugli studenti i titoli accademici, gli esami di Stato e l’assistenza scolastica nelle università e negli istituti superiori, approvato con R.D. n. XX del XX, nel quale è sancito il principio secondo cui gli esami universitari di profitto sono “pubblici”.;

- “Nell’ambito dell’organizzazione delle sessioni di esame, si è reso necessario informatizzare il servizio d’iscrizione, sostituendo il tradizionale sistema delle liste cartacee ma mantenendo, nel contempo, alcune delle sue caratteristiche, in particolare la possibilità per lo studente di conoscere la sua collocazione all’interno della lista e quindi informazioni sui tempi di svolgimento della propria prova (es. se nel primo o nel secondo giorno dell’appello, di mattina o di pomeriggio). Questo, anche tenuto conto del fatto che molti docenti organizzano l’appello di chiamata estraendo una lettera e procedendo da tale lettera secondo l’ordine alfabetico. L’inserimento di nome, cognome e indirizzo e-mail istituzionale (@studenti.unipi.it) degli studenti iscritti alla sessione d’esame, quindi all’interno di un sistema chiuso e con visibilità limitata esclusivamente agli altri studenti iscritti, è stato pertanto ritenuto funzionale all’organizzazione del servizio di iscrizione, nonché utile agli studenti stessi e, pertanto, adeguato e pertinente rispetto alle finalità del trattamento. La possibilità di conoscere l’identità degli altri studenti iscritti alla sessione di esame, inoltre, è stata ritenuta coerente e funzionale con il principio di pubblicità dell’esame, agevolando forme di controllo del rispetto del principio di uguaglianza sotto i profili sopra evidenziati”;

- “i dati personali resi accessibili a causa del disservizio (nome, cognome e indirizzo e-mail fornito dall’Ateneo allo studente) sono conoscibili, secondo la funzionalità ordinaria della piattaforma, da tutti gli studenti che si iscrivono all’appello”; 

- “l’iscrizione a un appello di esame è consentita, previa autenticazione, indistintamente a tutti gli studenti dell’Ateneo, senza limitazioni relative alle attività didattiche del corso di studio di appartenenza”;

- “l’accessibilità degli studenti alle liste degli iscritti agli appelli, senza necessità della previa iscrizione, è stata oggettivamente limitata, sia in termini di tempo (meno di un’ora) sia con riguardo al numero degli studenti interessati (137)”;

- “l’inaccessibilità degli studenti ai propri dati pregressi trattati dalla piattaforma è durata meno di un’ora (dalle 11:25 alle 12:30 circa)”;

- “il servizio è stato sospeso, per popolare il campo matricola vuoto e ripristinare le iscrizioni annullate, per meno di tre ore”;

- “il malfunzionamento non ha comportato riflessi negativi di nessun genere sulla carriera degli studenti”.

Tra gli allegati della nota del XX è pervenuta anche la relazione redatta e sottoscritta dal Presidente del Sistema Informatico di Ateneo, da cui è emerso, in particolare, che:

- “Il sistema invia conferma per tutti gli eventi rilevanti alla mail istituzionale dello studente, in particolare per l’iscrizione e la cancellazione ad un appello di esame”;

- “La piattaforma utilizza il database come sistema di log delle operazioni, memorizzando tutte le attività. Le cancellazioni sono logiche e rimosse dopo 365 giorni, salvo procedimenti in corso. I file di log del Web Server Apache riguardano le connessioni HTTPS e sono inclusi nella comunicazione. Questi dati, insieme ai log di Apache, sono stati usati per ripristinare le informazioni durante il malfunzionamento del sistema”;

- “La piattaforma VALUTAMI adotta un’architettura 2-tier con l’application server e il Web server che eseguono su una macchina virtuale e il DBMS Postgres su una VM differente che usa un firewall per consentire connessioni solo dal frontend. L’utente applicativo ha solo i diritti per accedere alle tabelle usate dall’applicazione e non può effettuare modifiche allo schema o manipolare tutti gli oggetti del DB. Il backup del database giornaliero con un periodo di rotazione di tre mesi assicura l’integrità delle informazioni contenute nel DB per il suddetto periodo. Mentre il log del Web Server sono disponibili solo all’utente che ne esegue il processo in scrittura e mantenuti per 6 mesi e i backup ne assicurano l’integrità”;

- “Il sistema VALUTAMI non memorizza alcuna password per il suo funzionamento. Gli utenti vengono identificati mediante l'IdP Shibboleth di Ateneo attraverso procedure standard di redirezione e messaggi SAML crittografati. Questo metodo assicura che le credenziali degli utenti siano protette e non necessitano di essere conservate nel sistema. Inoltre, l'uso di Shibboleth permette una gestione centralizzata delle identità, garantendo un elevato livello di sicurezza e facilità d'accesso per gli utenti”;

- “I dati relativi alle iscrizioni agli appelli sono visibili dallo studente fintanto che è nel ruolo. Solo limitatamente al periodo compreso tra l’iscrizione di uno studente all’appello e la data d’inizio dello stesso inclusa, gli studenti possono vedere i colleghi iscritti allo stesso appello. Inoltre, i dati delle iscrizioni vengono mantenuti e restituiti allo studente per tutta la durata della sua carriera accademica. Le iscrizioni agli appelli sono considerate eventi di carriera e, in accordo con il massimario di scarto, sono soggette a conservazione illimitata. Questo serve a garantire la presenza di tutte le informazioni rilevanti nell'archivio storico, assicurando così che ogni evento significativo nella carriera degli studenti possa essere recuperato e consultato, se necessario, in futuro”.

Sulla base degli elementi acquisiti, l’Ufficio ha notificato, con nota del XX (prot. n. XX), all’Università, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver effettuato una comunicazione di dati personali in assenza di idoneo presupposto di liceità e non aver  adottato misure idonee a assicurare la coerenza e l’integrità dei dati essenziali per l’identificazione univoca dell’interessato, oltre ladisponibilità e la correttezza dei dati trattati, in maniera non conforme al principio di “liceità, correttezza e trasparenza”, in violazione degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3, 25 e 32 del Regolamento e 2-ter, commi 1 e 3 del Codice.

Pertanto, l’Ufficio ha invitato l’Università a produrre scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

L’Università ha fatto pervenire le proprie memorie difensive, alle quali si rinvia integralmente, con nota del XX (prot.n. XX) rappresentando, in particolare, che: 

- “La violazione non ha carattere doloso, trattandosi di un temporaneo malfunzionamento del servizio che implementa le API […Application Programming Interface], del tutto indipendente da interventi umani esterni o interni”;

- Il problema di funzionamento, segnalato mediante ticket, è stato immediatamente preso in carico dalla PO Sviluppo del Sistema Informatico di Ateneo che, dopo averlo analizzato, ha provveduto alla sua risoluzione dopo circa mezz’ora dalla segnalazione. A seguito di un aggiornamento delle API usate il campo matricola associato alla credenziale autenticata veniva restituito come stringa vuota e non da un valore nullo. Attraverso l’analisi dei log è stato poi ricostruito l’insieme delle iscrizioni coinvolte nella problematica, è stato correttamente popolato il campo matricola vuoto delle iscrizioni effettuate e sono state tempestivamente ripristinate le iscrizioni annullate per errore da altro studente”;

- “Il codice del sistema esami.unipi.it, attualmente in corso di dismissione, è stato aggiornato in modo tale da impedire la possibilità di analogo malfunzionamento. In particolare, sono stati aggiunti i controlli per irrobustire il codice e assicurare che eventuali dati restituiti da sorgenti dati esterne, in particolare nelle porzioni di codice che utilizzano le API secondo l’architettura a microservizi dei sistemi di Ateneo. La revisione del codice non si è limitata al controllo del valore del campo matricola restituito, per assicurarne la validità, ma sono stati aggiunti altri controlli di integrità per assicurare che comportamenti analoghi non si possano nuovamente verificare”;

- “il codice prevedeva controlli di integrità fin dal primo sviluppo ma, nell’interrogazione del database, lo scenario che si è verificato era improbabile e, pertanto, non era presente il controllo sul valore del campo matricola restituito come stringa vuota”;

- “Seguendo il principio di sostituzione, il passaggio all'API ha preservato la correttezza del codice ma ne ha indebolito la robustezza”;

- “A testimonianza dell’attenzione nel trattamento dei dati, il sistema (mediante l’operazione di giunzione) non ha associato alcun dato personale dal database e gli utenti non hanno avuto accesso ad alcun dato presente nel sistema, se non alle informazioni ottenute dall’identity provider (nome, cognome e indirizzo e-mail) e presenti nella sessione Web. Tutte le operazioni di recupero dati dal database erano, infatti, vuote grazie alle proprietà dell’operazione di giunzione sul campo chiave matricola, ad eccezione delle scritture effettuate durante il malfunzionamento che avevano il valore errato della matricola. Se il campo matricola fosse stato nullo, invece che la stringa vuota sarebbe stata generata un’eccezione che avrebbe bloccato il codice impedendo il malfunzionamento”;

- “Gli unici dati mostrati non provenivano dal database o dalle API ma dalle informazioni relative all’utente connesso, ottenute dall’IdP mediante la federazione Shibboleth basata sullo standard SAML”;

- “Le tecniche di sviluppo del portale VALUTAMI seguivano le best practice dell’epoca per i sistemi PHP. Proprio per migliorare la sicurezza dei sistemi, a partire dal XX l’Ateneo ha cambiato le piattaforme di sviluppo privilegiando l’uso di sistemi fortemente e staticamente tipati, come .NET core, introducendo tecniche di testing assenti nello sviluppo di Valutami. Per questo motivo la piattaforma è attualmente in via di dismissione, attraverso la progressiva riduzione di servizi erogati dalla stessa (a titolo di esempio, la gestione dei sillabi degli insegnamenti è stata migrata nel XX nel nuovo sistema GDA di CINECA)”;

- “Considerato che il disservizio della piattaforma VALUTAMI non ha comportato alcun rischio per i diritti e le libertà degli interessati, l’amministrazione, valutate le circostanze, non ha ritenuto necessario effettuare la notifica all’Autorità garante ai sensi dell’art. 33 GDPR. La violazione rimane, comunque, documentata nel registro delle violazioni dei dati personali, conservato presso gli uffici dell’Ateneo, per eventuali ulteriori controlli”.

3. Normativa applicabile.

3.1 Il quadro normativo.

In via preliminare si rappresenta che il trattamento dei dati personali è lecito nella misura in cui ricorrono i presupposti di cui all’art. 6 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, il “Regolamento”). 

In particolare il trattamento di dati personali effettuato in ambito pubblico è lecito quando è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento”  o “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. c) ed e) e paragrafo 2 e 3 del Regolamento; art 2-ter del d.lgs. n. 196 del 30 giugno 2003 - Codice in materia di protezione dei dati personali, di seguito, il “Codice”).

La base giuridica dei predetti trattamenti deve essere stabilita dal diritto dell’Unione o dello Stato membro, che deve perseguire “un obiettivo di interesse pubblico [e deve essere] proporzionato all'obiettivo” (art. 6, par. 3, del Regolamento).

In tale contesto, è sancito che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento).

Il Codice ha stabilito che “la base giuridica prevista dall’articolo 6, paragrafo 3, lettera b), del Regolamento è costituita da una norma di legge o di regolamento o da atti amministrativi generali” (art. 2-ter, comma 1).

In particolare, le operazioni di trattamento che consistono nella “diffusione” e “comunicazione” di dati personali sono ammesse solo quando previste da una norma di legge, regolamento o atti amministrativi generali (art. 2-ter, comma 3 del Codice).

ll titolare del trattamento è in ogni caso tenuto a rispettare i principi in materia di protezione dei dati, tra cui quello di “liceità, correttezza e trasparenza” in base al quale i dati devono essere trattati in modo lecito, corretto e trasparente nei confronti dell'interessato (art. 5, par. 1, lett. a) del Regolamento).

Inoltre, in base al principio di “protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita” (cd. privacy by design e by default) “tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati. Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l'intervento della persona fisica (art. 25, parr.1 e 2 del Regolamento).

Infine, ai sensi dell’art. 32 del Regolamento “tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio”.

3.2 Il trattamento di dati personali effettuato dall’Università.

Da quanto emerge dall’accertamento compiuto sulla base degli elementi acquisiti a seguito dell’attività istruttoria e dalle successive valutazioni di questo Dipartimento, risulta che l’Università ha messo a disposizione nella piattaforma “VALUTAMI”, in assenza di un’idonea base giuridica, i dati personali (nome, cognome, indirizzo e-mail) di tutti gli studenti iscritti ad un esame. 

In particolare, è stato accertato che tale piattaforma, utilizzata per la gestione degli appelli d’esame degli studenti, ha presentato un malfunzionamento riconducibile a un errore nel servizio di esposizione delle API il quale ha determinato, per un limitato intervallo temporale, l’erronea associazione delle operazioni effettuate dagli utenti autenticati. Tale anomalia ha consentito agli studenti connessi di visualizzare dati personali riferiti ad altri studenti contemporaneamente autenticati nonché di intervenire sulle relative iscrizioni agli appelli, determinandone in alcuni casi la cancellazione. In alcuni casi, infatti, gli studenti non riconoscendo le iscrizioni visualizzate, hanno proceduto alla loro cancellazione, provocando inavvertitamente l’annullamento delle iscrizioni di altri studenti.

L’evento ha interessato complessivamente 137 studenti e 221 iscrizioni agli appelli d’esame, delle quali 156 sono state annullate e successivamente ripristinate dall’Ateneo. 

Sebbene il disservizio abbia avuto durata limitata e non abbia prodotto conseguenze permanenti sulle carriere degli interessati, esso ha comportato una comunicazione di dati personali a soggetti diversi dagli interessati in assenza di un’idonea base giuridica.

Le argomentazioni formulate dall’Università in ordine alla pubblicità degli esami universitari e alla possibilità, ordinariamente prevista dalla piattaforma, per gli studenti iscritti a uno stesso appello di conoscere l’identità degli altri partecipanti non risultano idonee a giustificare il trattamento oggetto del presente procedimento. Infatti, l’evento verificatosi non ha riguardato la normale funzionalità del sistema, bensì l’accessibilità indiscriminata di dati personali riferiti a studenti estranei allo specifico appello cui l’utente risultava iscritto, resa possibile da un malfunzionamento tecnico non previsto né disciplinato da alcuna disposizione normativa. 

L’accaduto evidenzia, inoltre, l’inadeguatezza delle misure tecniche e organizzative adottate dall’Università. Dalle risultanze istruttorie emerge infatti l’assenza di controlli idonei a verificare la correttezza e la coerenza dei dati utilizzati per l’identificazione univoca degli utenti e la mancanza di adeguati meccanismi di validazione e gestione delle anomalie derivanti dall’interazione con servizi esterni. Come riconosciuto dalla stessa Università, il sistema non prevedeva controlli in grado di intercettare il caso in cui il campo matricola fosse restituito come stringa vuota, circostanza che ha consentito il verificarsi del malfunzionamento.

Tali carenze hanno determinato una temporanea esposizione di dati personali a soggetti non autorizzati e hanno inciso sull’integrità, disponibilità e correttezza dei dati trattati, consentendo modifiche non legittime alle iscrizioni agli appelli d’esame. 

Per le ragioni sovraesposte l’Università ha dato luogo, in assenza di idoneo presupposto di liceità, a una comunicazione di dati personali, in maniera non conforme al principio di “liceità, correttezza e trasparenza”, in violazione dell’art. 5, paragrafo 1, lett. a) del Regolamento e degli artt. 6, parr. 1, lett. c) ed e), 2 e 3 del Regolamento e 2-ter, commi 1 e 3 del Codice. Risultano altresì violate le disposizioni di cui agli artt. 25 e 32 del Regolamento, non avendo il titolare del trattamento adottato misure tecniche e organizzative adeguate a garantire, fin dalla progettazione e per impostazione predefinita, la protezione dei dati personali e un livello di sicurezza adeguato al rischio connesso al trattamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dall’Università nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti nelle memorie difensive, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Pertanto, si confermano le valutazioni preliminari dell'Ufficio e si rileva l'illiceità del trattamento di dati personali effettuato dall’Università, avvenuto in assenza di condizioni di liceità, e in presenza di misure tecniche e organizzative non adeguate, in violazione degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3, 25 e 32 del Regolamento e 2-ter, commi 1 e 3 del Codice).

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

Considerando, in ogni caso, che la condotta ha esaurito i suoi effetti non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Tenuto conto che la violazione delle disposizioni sopra citate da parte della Università ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, alcune violazioni accertate - degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3 del Regolamento e 2-ter, commi 1 e 3 del Codice) - sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000 (ventimilioni/00).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- con specifico riguardo alla natura, alla gravità e alla durata della violazione, occorre considerare che la comunicazione dei dati ha riguardato numerosi interessati (cfr. art. 83, par. 2, lett. a), del Regolamento); 

- con specifico riguardo al profilo soggettivo della violazione, la stessa ha natura colposa (art. 83, par. 2, lett. b), del Regolamento); 

- la comunicazione non ha riguardato categorie particolari di dati (art.83, par. 2, lett. g) del Regolamento).

Alla luce di tale specifica circostanza, si ritiene che, nel caso di specie, il livello di gravità di tale violazione commessa dal responsabile del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Si devono considerare, altresì, le seguenti circostanze attenuanti:

- l’Università ha adottato misure tecniche al fine si irrobustire la sicurezza dei sistemi utilizzati (art. 83, par. 2, lett. c), del Regolamento); 

- non risultano precedenti violazioni pertinenti commesse dall’Università (art. 83, par. 2, lett. e), del Regolamento);

- il grado di cooperazione manifestato con l'autorità di controllo (art. 83, par. 2, lett. f) del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 15.000 (quindicimila/00)  per la violazione degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3 e 25 e 32 del Regolamento e 2-ter, commi 1 e 3 del Codice), quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva. 

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. 

Ciò in considerazione delle specifiche circostanze del caso concreto, riguardanti la comunicazione di dati personali di numerosi interessati in assenza di una condizione di liceità e l’adozione di misure di sicurezza inadeguate.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, l’illiceità del trattamento effettuato dall’Università, nei termini di cui in motivazione, in violazione degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3 e 25 e 32 del Regolamento e 2-ter, commi 1 e 3 del Codice).

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, alla Università di Pisa, con sede in Lungarno Pacinotti, n. 43, 56126 Pisa (PI) - C.F. 80003670504 - di pagare la complessiva somma di euro 15.000 (quindicimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

Alla Università di Pisa:

- di pagare la complessiva somma di euro 15.000 (quindicimila/00) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell'art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento. 

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. 

Roma, 3 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori