g-docweb-display Portlet

Provvedimento del 13 aprile 2023 [9889627]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9889627]

Provvedimento del 13 aprile 2023

Registro dei provvedimenti
n. 119 del 13 aprile

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo presentato a questa Autorità il Sig. XX ha lamentato “l’illecita pubblicazione [di propri] dati personali […] in sede di sito web quali dati relativi alla scheda insegnamento, cd. Syllabus, di docenza a contratto dell’a.a. XX laddove è riportato il [proprio] nome […e] cognome […] a fronte dell’esaurimento dei doveri di pubblicazione, ex art. 15, c. 4, d.lgs. 33/2013”, da parte dell’Università degli Studi di Sassari (di seguito “Ateneo”), presso cui ha svolto attività di docenza.

La pubblicazione dei dati personali in questione e l’indicizzazione degli stessi è stata accerta dall’Ufficio (v. relazione di servizio in atti).

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni (nota prot. n. XX del XX), inviata dall’Ufficio ad integrazione di una precedente richiesta di informazioni (nota prot. n.XX del XX), l’Ateneo, con le note prot. n.XX del XX, prot. n. XX del XX e prot. n. XX del XX ha dichiarato, in particolare, che:

- “l’Ateneo ha ricevuto dal [reclamante] la richiesta di “rimozione degli atti ed informazioni relativi ad incarico d'insegnamento a.a. XX (…) dal sito web e indicizzati Google https://www.uniss.it/... (prot. n. XX del XX) cui l’allora Dirigente dell’Area Didattica, Orientamento e Servizi agli Studenti, […], ha dato riscontro con nota prot. n. XX del XX, valutando che “Nel caso di specie la richiesta di riservatezza è pertanto subordinata all’applicazione dei principi generali di trasparenza, che nel caso di specie sono da ritenersi prevalenti”;

- “l’Ateneo ha ritenuto di non dover procedere all’eliminazione del nominativo del docente dal sito istituzionale dell’Ateneo in quanto gli studenti che hanno seguito quel corso conservano il diritto di accedere a tutte le informazioni relative al corso stesso e dunque anche al nominativo del docente titolare. Oltretutto ad oggi risultano ancora studenti iscritti al suddetto corso (a.a. di immatricolazione XX, a.a. di erogazione dell’insegnamento in oggetto XX), i quali non hanno ancora conseguito il titolo di studio e che, non avendo abbandonato gli studi, risultano ancora attivi”;

- “l’Ateneo ha pertanto valutato che la richiesta di riservatezza fosse subordinata all’applicazione dei principi generali di trasparenza, anche nella sua accezione di strumento finalizzato a “dare conto” dell’utilizzo delle risorse finanziarie e umane che l’Ateneo assegna per il raggiungimento delle proprie finalità istituzionali, ritenuti nel caso specifico prevalenti”;

- “occorre, inoltre, rilevare che le modalità di trattamento del dato personale in questione sono vincolate alla forte interconnessione dei sistemi gestionali che presidiano l’offerta formativa di Ateneo, in modo particolare dalla “circolarità” del flusso delle informazioni che origina dal sistema di gestione dell’offerta formativa di Ateneo in back-office (UGOV-Didattica di Cineca per la programmazione, gestione ed archiviazione dei dati relativi all’offerta formativa), migra al sistema di gestione delle Carriere degli studenti (ESSE3 di Cineca) che consente al docente di effettuare le valutazioni degli studenti e di registrarle nella carriera dello studente; il percorso si chiude, infine, nel sito web dell’Ateneo, con la pubblicazione delle informazioni (portale web di Cineca)”;

- “in un sistema così connesso, l’eliminazione del nominativo del docente dal sito web determinerebbe il venir meno della richiamata “circolarità” dell’informazione con l’effetto di impedire la visualizzazione dell’offerta formativa relativa a tutti gli insegnamenti e i corsi di studio dell’A. A. XX”;

- “la base giuridica che, all’avviso dell’Ateneo, giustifica la pubblicazione del nominativo del docente è costituita […dal] D.M. XX del XX, Allegato C, punto D. Qualità della didattica e dei servizi agli studenti, in particolare nella necessità di garantire “l’attenzione dei Corsi di Studio agli studenti, attraverso la programmazione e l’attuazione (…) di modalità chiare e trasparenti per l’ammissione ai diversi corsi di studio, di gestione delle carriere e di tutoraggio”;

- “conclusivamente, si informa che la scheda informativa sul corso di istituzioni di diritto pubblico, recante il nome e il cognome del reclamante, è stata oggetto di pubblicazione sul sito web istituzionale dell’Ateneo a partire dal XX”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Ateneo, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo), invitando il predetto Ateneo a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX) l’Ateneo ha presentato una memoria difensiva, dichiarando, in particolare, che:

“sono stati oggetto di pubblicazione, nel link dell’offerta formativa a partire dal XX, i dati personali (nome e cognome) del reclamante, unitamente al corso di laurea, al settore disciplinare, all’insegnamento, al numero di ore di attività frontale e ai crediti conseguibili”;

la pubblicazione di un incarico di docenza nel sito istituzionale dell’Ateneo, oltre che consentire la consultazione da parte degli studenti del corso di studio interessati per lo svolgimento del proprio percorso universitario, garantisce anche al docente incaricato la possibilità di utilizzare il dato ai fini della ricostruzione della propria carriera universitaria, con l’ulteriore vantaggio, per le altre pubbliche amministrazioni, di verificare celermente la veridicità e correttezza delle informazioni ove le stesse siano incluse tra le esperienze professionali e curriculari”;

“in assenza di indicazioni specifiche atte a definire l’arco temporale di pubblicazione di dati ritenuti, come detto, rilevanti per la popolazione studentesca e più in generale per l’organizzazione anche in anni successivi dell’offerta formativa, l’Ateneo ha ritenuto di dover garantire l’accessibilità delle predette informazioni nel rispetto dei principi di trasparenza dell’azione amministrativa”;

“l’Ateneo scrivente non ha mai avuto intenzioni caratterizzate da alcun “dolo” nella pubblicazione dei dati in questione, ma ha sempre agito nella convinzione di rendere un servizio non solo agli studenti, ma anche agli stessi docenti incaricati per la costruzione del proprio curriculum professionale, premesso anche che le informazioni in questione non recano e possono recare alcun danno ai soggetti interessati”;

“le informazioni in questione non riguardano e non sono configurabili come trattamento di dati particolari, né tantomeno sono relative a condanne penali e reati”;

“nel confermare […] che le informazioni inserite erano esatte, in quanto effettivamente riferite allo specifico incarico di docenza attribuito, con indicazione dell’anno accademico di erogazione, delle ore e dei CFU, si comunica che l’Ateneo sta procedendo alla cancellazione dei dati del ricorrente dalla pagina sull’offerta formativa del proprio sito istituzionale”;

“tale operazione non potrà essere fatta tecnicamente in totale autonomia dall’Ateneo, in quanto le informazioni in questione presenti nel sito istituzionale vengono alimentate direttamente dalla Banca Dati Nazionale dell’Offerta Formativa gestita dal CINECA per la grandissima maggioranza di tutti gli Atenei italiani; è stato quindi espressamente richiesto l’intervento dello stesso CINECA in modo da eliminare l’automatismo della pubblicazione nel sito web di dati presenti nell’offerta formativa, una volta trascorso un certo periodo di tempo dal loro inserimento”;

“in osservanza delle disposizioni contenute, tra l’altro, nel D. M. (Miur) del 31 ottobre 2007, n. 554 secondo cui “le università devono rendere disponibili una serie di informazioni, individuate con Decreto Direttoriale, da evidenziare nell’offerta formativa pubblica per una esaustiva conoscenza da parte degli studenti e di tutti i soggetti interessati […]” e nel Decreto Direttoriale del XX, n. XX e nel suo Allegato, il MIUR ha elencato tutte le informazioni che le università sono tenute pubblicare nel loro sito web prima dell’avvio delle attività didattiche e, comunque, entro il 31 ottobre di ogni anno (come previsto dall’art. 1) e, tra queste, quelle specificate al paragrafo 1.2, relativamente a “Insegnamenti e altre attività formative (che producono crediti)”;

“al fine di garantire il rispetto dei principi generali in materia di trattamento dei dati personali, l’amministrazione intenderebbe ridefinire il limite temporale di pubblicazione delle informazioni collegate all’offerta formativa, comprensive del nominativo dei docenti incaricati”;

“a tale riguardo, considerato che i corsi di studio gestiti dall’Ateneo si suddividono in corsi di laurea ordinari, della durata di 3 anni, in corsi di laurea magistrale, della durata di 2 anni, e di corsi di laurea magistrale a ciclo unico, della durata di 5 anni, l’Ateneo scrivente richiederà al CINECA la cessazione della pubblicazione dal sito istituzionale di tutti i dati personali relativi ai docenti una volta trascorsi rispettivamente tre anni per i corsi di laurea ordinari, due anni per i corsi di laurea magistrale, e cinque anni per i corsi di laurea magistrale a ciclo unico, e della loro conseguente diffusione”;

“i dati saranno, inoltre, resi non più reperibili attraverso i canali dei motori di ricerca, si procederà quindi alla richiesta di “deindicizzazione”, disattivando lo specifico indirizzo URL, in modo che non sia più possibile neanche nel web che eventuali utenti accedano alle informazioni in questione attraverso ricerche nominative mirate”;

“i dati personali in questione sono stati pubblicati nel link relativo all’offerta formativa dell’Ateneo a partire dal XX. La diffusione degli stessi si è limitata al nome e cognome del docente nella scheda dell’insegnamento affidatogli in virtù del rapporto contrattuale con l’Ateneo (docenza a contratto)”;

“l’Ateneo ha provveduto alla diffusione interpretando la pubblicazione del nominativo del docente quale necessaria esigenza legata alla trasparenza e alla conoscibilità delle informazioni connesse all’offerta formativa, senza alcuna volontà di ledere i diritti dell’interessato in tema di protezione dei dati personali”;

facendo seguito alla segnalazione [dell’Autorità], l’Ateneo ha […] provveduto a richiedere (attraverso comunicazione della Direttrice Generale del XX) l’immediato oscuramento del nominativo dell’interessato dalla scheda specifica pubblica dell’offerta formativa dell’Ateneo (https://www.uniss.it/...), per conseguentemente richiedere a Google l’eliminazione dell’indicizzazione dei contenuti in argomento, monitorando il riscontro della richiesta nei tempi tecnici previsti, a programmare le necessarie modifiche da richiedere al Responsabile del trattamento (in questo caso CINECA), che fornisce e sviluppa tecnicamente gli applicativi dei gestione degli incarichi dei docenti e del portale web, affinché la pubblicazione dei contenuti necessari per l’utenza studentesca avvenga solo per i tempi corretti e conformi a quanto previsto dalla normativa vigente”;

“in collaborazione con il DPO di Ateneo è stata aggiornata e trasmessa al personale una circolare dello stesso DPO in merito alle regole cui attenersi per la diffusione dei dati, e, come già sopra evidenziato, è in previsione la calendarizzazione di ulteriori eventi formativi “ad hoc” per il personale nel quadro del generale obbligo formativo degli autorizzati al trattamento con relativa ulteriore sensibilizzazione con iniziative dedicate”;

“comprendendo la censura dell’Autorità Garante sulla diffusione dei predetti dati personali in assenza di un’adeguata fonte giuridica legittimante, si sottolinea l’oggettiva difficile parametrazione e calcolo di un ipotetico impatto negativo sui diritti e le libertà delle persone fisiche che si sarebbe attuato nel caso di specie attraverso la diffusione delle informazioni in questione”;

“i dati personali pubblicati sono da ritenersi esatti, non essendoci riferimenti diversi dalla realtà (non si diffonde una informazione errata o inesatta, ma solo una informazione “storica” riferita ad un corso di studi concluso)”;

“per quanto la pubblicazione si sia protratta oltre i tempi contrattuali e di conclusione dell’insegnamento, la memoria del rapporto stesso quale docente dovrebbe arrecare un contributo positivo all’interessato stesso […] che tra l’altro ha partecipato (e partecipa) a successive selezioni finalizzate allo svolgimento di ulteriori contratti di insegnamento, utilizzando le informazioni de qua”.

2. Esito dell’attività istruttoria.

Nel corso dell’istruttoria l’Ateneo ha dichiarato che la pubblicazione della predetta scheda è stata effettuata nell’ambito dell’“osservanza degli obiettivi e dei criteri della programmazione del sistema universitario” (art. 9 comma 2 del D.M. del 22 ottobre 2004, n. 270) e che il quadro normativo di settore prevede che “le Università rendono disponibili un insieme di informazioni” da evidenziare nell’offerta pubblica “per una esaustiva conoscenza da parte degli studenti e di tutti i soggetti interessati delle caratteristiche dei corsi di studio attivati” (art.2 D.M. 31 ottobre 2007, n.544). In particolare, in attuazione dell’art. 2 del D.M. 31 ottobre 2007, n. 544 sopra citato, è stato adottato il Decreto Direttoriale del Ministero dell’Istruzione, dell’Università e della Ricerca del 10 giugno 2008, n. 61 che nell’allegato, parte integrante del decreto stesso, elenca tutte le informazioni che le università sono tenute a pubblicare nel loro sito web prima dell’avvio delle attività didattiche, tra cui il nome del docente responsabile per ogni insegnamento o altra attività formativa (v. punto 1.2 dell’art.2 del decreto sopra richiamato). Tale quadro, che nulla stabilisce in merito al periodo di pubblicazione dei predetti dati, dispone il termine entro il quale le informazioni devono essere rese disponibili (entro il 31 ottobre di ogni anno e comunque prima dell’inizio delle attività didattiche) e che tali informazioni devono essere inserite dalle università nei siti internet di Ateneo.

Fermo restando quanto previsto nel punto 1.2 dell’allegato al predetto Decreto, nel corso dell’istruttoria l’Ateneo ha dichiarato che tali informazioni, riferite al caso di specie, sarebbero dovute rimanere online fino a quando tutti gli studenti iscritti al corso dell’anno accademico di riferimento (a.a.XX) avessero concluso il loro percorso formativo, allo scopo di consentire agli stessi di ottenere la completa “visualizzazione dell’offerta formativa relativa a tutti gli insegnamenti e i corsi di studio dell’A. A. XX”.

In ragione della finalità prevista dalla disciplina di settore per cui “le Università rendono disponibili un insieme di informazioni” ai fini di rendere pubblica l’offerta formativa “per una esaustiva conoscenza da parte degli studenti e di tutti i soggetti interessati delle caratteristiche dei corsi di studio attivati”.

E considerato che l’Ateneo ha agito ritenendo che “la memoria del rapporto stesso quale docente dovrebbe arrecare un contributo positivo all’interessato stesso […] che tra l’altro ha partecipato (e partecipa) a successive selezioni finalizzate allo svolgimento di ulteriori contratti di insegnamento”, si deve concludere che l’Ateneo abbia agito nel quadro delle disposizioni di settore applicabili e che dunque il reclamo debba essere considerato infondato

Si prende comunque atto che l’Ateneo ha provveduto, su richiesta del reclamante, alla cancellazione del “nominativo dell’interessato dalla scheda […] dell’offerta formativa” e ha ottenuto la deindicizzazione dei contenuti della scheda stessa.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f) del Regolamento, per le ragioni di cui in motivazione, dichiara il reclamo infondato.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 13 aprile 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei

Scheda

Doc-Web
9889627
Data
13/04/23

Argomenti


Tipologie

Prescrizioni del Garante