[doc. web n. 2337668]

Ordinanza di ingiunzione nei confronti di Regione Emilia Romagna - 20 dicembre 2012

Registro dei provvedimenti
n. 430 del 20 dicembre 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che l´Ufficio, nell´ambito di un´istruttoria relativa al trattamento di dati personali effettuato attraverso l´Anagrafe regionale degli studenti della Regione Emilia Romagna, con sede in Bologna, Viale Aldo Moro n. 38, avviata con la nota n.25733/65868 del 24 novembre 2009 e integrata con la nota inviata dalla Regione Emilia Romagna n. PG.2009.0290239 del 18 dicembre 2009, ha successivamente accertato che: 1) la Regione Emilia Romagna, attraverso la procedura denominata "Anagrafe Regionale degli studenti" presente sul proprio sito web http://www.scolaer.it,  ha effettuato una diffusione di dati personali in assenza di una base normativa idonea a legittimare tale trattamento, in violazione dell´art. 19, comma 3 del Codice in materia di protezione dei dati personali (di seguito denominato Codice); 2) la Regione ha conservato, inoltre, nei files trasmessi da alcuni istituti scolastici all´Anagrafe regionale degli studenti, dati personali degli studenti di natura sensibile (quali, a titolo esemplificativo, dati relativi a disabilità, intolleranze alimentari, origine etnica), in violazione dell´art. 20 del Codice che prevede che il trattamento di dati sensibili da parte di un soggetto pubblico è consentito solo se autorizzato da espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati e di operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite, ovvero, nei casi in cui la legge specifichi la finalità di rilevante interesse pubblico, ma non i tipi di dati sensibili e di operazioni eseguibili, solo in riferimento ai tipi di dati e di operazioni identificati e resi pubblici a cura dei soggetti che ne effettuano il trattamento, in relazione alle specifiche finalità perseguite nei singoli casi e nel rispetto dei principi di cui all´art. 22, con atto di natura regolamentare adottato in conformità al parere espresso dal Garante ai sensi dell´art. 154, comma 1, lett. g), anche su schemi tipo;

VISTO il verbale n. 16217/65868 del 13 luglio 2010 con cui sono state contestate alla Regione Emilia Romagna, la violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice, in relazione all´art. 19, comma 3, e la violazione sempre prevista dall´art. 162, comma 2 bis, ma nella forma attenuata prevista dall´art. 164-bis, comma 1, in relazione all´art. 20, informandola, per entrambe le violazioni, della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al predetto verbale di contestazione di violazione amministrativa, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981, con il quale la Regione, relativamente alla violazione di cui all´art. 19, comma 3 del Codice, ha rilevato come "(…) la procedura (denominata Anagrafe Regionale degli studenti) era stata testata anche per verificare l´anonimato dei dati (…)" secondo il criterio dell´ordinaria diligenza. Sul punto ha evidenziato come la procedura in esame non consenta "(…) un riferimento al singolo soggetto, ma occorre, una volta reperiti i dati disponibili, procurarsi un elenco nominativo degli studenti", sulla disponibilità del quale, secondo il criterio dell´utilizzo di "mezzi ragionevoli" di cui all´art. 4 del Codice di deontologia e buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica, è lecito dubitare tanto che l´illecito contestato "In ogni caso sarebbe frutto di attività connotata da colpa, o al più da colpa lievissima". Riguardo alla violazione di cui all´art. 20 del Codice, ha evidenziato come "All´epoca dell´avvio, la realizzazione dell´Anagrafe (per effetto della disciplina di cui al d.lgs. n. 76/2005) sarebbe stata irrimediabilmente compromessa dall´esigenza di evitare la trasmissione dei dati, per cui il loro congelamento nel server regionale parve un sistema idoneo a bilanciare le esigenze di tutela della riservatezza e di realizzazione dei fini istituzionali";

CONSIDERATO che le argomentazioni addotte non permettono di escludere la responsabilità dell´ente in relazione alle due contestazioni in oggetto. Riguardo al rilievo di cui all´art. 19, comma 3 del Codice, si evidenzia come l´individuazione dei mezzi ragionevoli utili ai fini dell´identificabilità dell´interessato di cui all´art. 3 del Codice di deontologia e buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica deve necessariamente tener conto dei criteri per la valutazione del rischio di identificazione dell´interessato stesso di cui all´art. 4 del medesimo Codice deontologico. Sul punto, per effetto di quanto previsto dall´art. 13 della legge n. 689/1981, risulta accertata la possibilità di identificare le persone, seppur in via indiretta e mediante l´uso di tempi e risorse ragionevoli, dal momento che le interrogazioni effettuate hanno fornito informazioni con un dettaglio inferiore alla soglia del tre, ovvero che alla combinazione delle modalità delle variabili è stata associata una frequenza inferiore a quella fissata dall´art. 4 del Codice di deontologia citato. Quanto detto determina, nel caso di specie, l´inapplicabilità della disciplina dell´errore scusabile di cui all´art. 3 della legge n. 689/1981, anche con riferimento alla qualificazione dell´elemento psicologico dell´illecito contestato. Relativamente alla violazione di cui all´art. 20 del Codice, la disciplina dello "stato di necessità", invocata dall´ente come causa di esclusione della responsabilità ex art. 4 legge 689/1981, ha, quali presupposti, i medesimi previsti dall´art. 54 c.p. (Cass. del 12 maggio 1999 n. 4710). Ciò comporta la necessaria sussistenza di una situazione di pericolo attuale di un danno grave incombente sulla persona e relativo ai beni dell´integrità fisica o della vita,  circostanze che non ricorrono nel caso di specie;

RILEVATO, pertanto, che la Regione Emilia Romagna ha effettuato un trattamento di dati personali ai sensi dell´art. 4, comma 1, lett. a) e b) del Codice, atteso che: 1) attraverso la procedura denominata "Anagrafe Regionale degli studenti" presente sul proprio sito web http://www.scolaer.it, ha effettuato una diffusione di dati personali in assenza di una base normativa idonea a legittimare tale trattamento, in violazione dell´art. 19, comma 3 del Codice; 2) ha conservato nei files trasmessi da alcuni istituti scolastici all´Anagrafe regionale degli studenti, dati personali di natura sensibile, in violazione dell´art. 20 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate negli artt. 19 e 20 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO che, nel caso in cui l´infrazione non abbia caratterizzazioni specifiche che possano portare a valutazioni di maggiore o minor rigore, nella determinazione della sanzione può ritenersi corretta l´individuazione di un importo pari al terzo del massimo o, se più favorevole, al doppio del minimo, in linea con quanto previsto dall´art. 16 della L. n. 689/1981, ferma restando la valutazione degli ulteriori elementi previsti dall´art. 11 della medesima legge [cfr. Cass. civ., sez. I, 4 novembre 1998, n. 11054];

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, la violazione di cui all´art. 19, comma 3 del Codice non risulta connotata da elementi specifici se valutata in relazione all´entità del pregiudizio o del pericolo, alle modalità concrete della condotta e all´intensità dell´elemento psicologico; mentre per la violazione di cui all´art. 20 del Codice, i medesimi elementi devono essere valutati in ragione del fatto che la conservazione dei dati di natura sensibile è risultata assai limitata nel tempo (mediamente circa un mese) e che l´ente si è tempestivamente attivato al fine di rendere operativo un apposito applicativo volto a consentire la depurazione dei file da dati personali non necessari (dati sensibili);

b) ai fini della valutazione dell´opera svolta dall´agente, si rileva che, se la Regione, con riferimento alla violazione dell´art. 19, comma 3 del Codice, non ha fornito elementi di valutazione, riguardo alla violazione dell´art. 20 del Codice, deve essere preso in considerazione quanto evidenziato al punto a);

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che l´ente non risulti avere precedenti specifici in termini di violazioni alle disposizioni del Codice;

d) in merito alle condizioni economiche dell´agente, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, non si rilevano elementi specifici idonei ad incidere sulla quantificazione della sanzione, trattandosi di ente pubblico;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria per la violazione di cui all´art. 19, comma 3 del Codice, nella misura di euro 10.000,00 (diecimila), mentre per la violazione di cui all´art. 20 del Codice, nella misura di euro 10.000,00 (diecimila);

RITENUTA, riguardo alla sola violazione di cui all´art. 20 del Codice, la sussistenza degli elementi idonei a configurare uno dei casi di minore gravità previsto dall´art. 164-bis, comma 1, del Codice, ragione per la quale l´importo della specifica sanzione di cui al punto precedente può essere ridotto in misura pari a due quinti, per una somma di euro 4.000,00 (quattromila) e che pertanto l´importo complessivo per entrambe le sanzioni è pari a euro 14.000,00;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini ;

ORDINA

alla Regione Emilia Romagna, con sede in Bologna, Viale Aldo Moro n. 38, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 14.000,00 (quattordicimila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 162, comma 2-bis, del Codice indicata in motivazione;

INGIUNGE

alla medesima Regione di pagare la somma di euro 14.000,00 (quattordicimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Si avvisa che avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma,  20 dicembre 2012

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia