In sintesi
Un istituto scolastico ha ricevuto una sanzione di 4.000 euro dal Garante Privacy per aver diffuso online, sul proprio sito web, dati personali sensibili di dipendenti, inclusi documenti d'identità e l'appartenenza sindacale, senza avere una base giuridica valida. L'Autorità ha ritenuto la scuola responsabile dell'errore di un suo dipendente, sottolineando che i contratti collettivi non giustificano la diffusione di dati se non previsti da una legge specifica.
Cosa fare
- Verificate immediatamente la sezione 'Albo sindacale' o qualsiasi area del vostro sito web dove vengono pubblicati atti relativi al personale, assicurandovi che non ci siano documenti integrali con dati personali eccessivi o sensibili resi pubblici senza una legge specifica che lo richieda.
- Rileggete le procedure interne per la pubblicazione di documenti online. Verificate che il personale incaricato conosca con precisione quali informazioni possono essere rese pubbliche, per quanto tempo e in quale formato (evitando di pubblicare, ad esempio, copie di documenti d'identità o moduli di candidatura completi).
- Consultate il vostro calendario interno per le elezioni RSU o altre procedure che prevedono la pubblicazione di liste o documenti del personale, per assicurarvi che i dati non restino online oltre il periodo strettamente necessario al processo elettorale e ad eventuali ricorsi.
Cosa evitare
- Non pubblicate mai moduli di candidatura completi o copie di documenti d'identità di dipendenti su un sito web pubblico, anche se l'intento è la trasparenza, a meno che non sia specificamente richiesto da una legge.
- Non usate le 'prassi consolidate' o i contratti collettivi come unica giustificazione per la diffusione di dati personali sensibili come l'appartenenza sindacale; è necessaria una base giuridica più solida, come una legge o un regolamento.
- Non lasciate documenti con dati personali online per un tempo indefinito. Rimuoveteli non appena la finalità per cui sono stati pubblicati è esaurita.
Contesto
Un istituto di istruzione superiore ha ricevuto un reclamo per la presunta violazione della normativa sulla protezione dei dati personali. Il reclamo riguardava la diffusione online, sul sito web istituzionale dell’Istituto, di dati personali dei reclamanti. In particolare, nella sezione relativa all’albo sindacale del sito web, erano consultabili i moduli di accettazione della candidatura per le elezioni della RSU di Istituto, sottoscritti dai reclamanti, unitamente ai rispettivi documenti di identità. Da questi documenti si poteva anche desumere l’appartenenza sindacale dei reclamanti. L’Istituto ha fornito evidenza dei documenti pubblicati, tra cui liste elettorali con nominativi, qualifiche, luoghi e date di nascita, firme; moduli di candidatura con indirizzo di residenza e copie fronte/retro dei documenti di riconoscimento allegati. L'Istituto ha ammesso un “mero errore materiale” commesso dall’animatore digitale, riconoscendo che la pubblicazione integrale dei moduli e degli allegati rendeva generalmente accessibili sul web dati personali ulteriori rispetto a quanto strettamente necessario per la trasparenza del procedimento elettorale. I documenti sono rimasti visibili sul sito per 19 giorni, oltre il periodo strettamente corrispondente allo svolgimento delle elezioni, e sono stati rimossi a seguito di una diffida da parte dei reclamanti. L'Istituto ha anche dichiarato di stare adottando una nuova procedura per l'Albo sindacale e di aver separato l'albo online (per la pubblicità legale) dalla bacheca sindacale (per comunicazioni interne).
La decisione
Il Garante ha accertato che l’Istituto ha pubblicato sul proprio sito web, nella sezione dell’albo sindacale, documenti relativi alle elezioni della rappresentanza sindacale unitaria, contenenti dati personali dei candidati (inclusi i reclamanti) e di altri soggetti. Questi documenti includevano nominativi, luoghi e date di nascita, indirizzi di residenza e copie di documenti di riconoscimento, da cui si evinceva l'appartenenza sindacale. Il Garante ha ritenuto l'Istituto responsabile della diffusione illecita, nonostante l'errore sia stato attribuito a un dipendente, in quanto il titolare del trattamento ha l'obbligo di vigilare. Non è stata ravvisata una base giuridica idonea per la diffusione online di tali dati a una collettività indistinta, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice. Il Garante ha chiarito che le prassi consolidate e i contratti collettivi non costituiscono una base giuridica sufficiente per innovare l'ordinamento giuridico in materia di trattamento dati. Nonostante l'Istituto abbia rimosso tempestivamente i contenuti e adottato iniziative per prevenire future violazioni, il Garante ha ritenuto le violazioni non “minori”, considerando la natura dei dati diffusi. Pertanto, è stata inflitta una sanzione amministrativa pecuniaria di 4.000,00 euro e disposta la pubblicazione del provvedimento sul sito del Garante.
Articoli GDPR violati
| Articolo | Descrizione | Rilevanza |
|---|---|---|
|
5 par.1 lett.a GDPR |
Principio di liceità, correttezza e trasparenza del trattamento dei dati personali. | la diffusione online dei dati personali è avvenuta in assenza di una base giuridica idonea, rendendo il trattamento illecito e non trasparente. |
|
6 GDPR |
Condizioni di liceità del trattamento, che richiedono una base giuridica specifica per ogni operazione di trattamento. | la pubblicazione dei dati personali è avvenuta senza un idoneo presupposto di liceità che ne consentisse la diffusione indiscriminata. |
|
9 GDPR |
Divieto di trattamento di categorie particolari di dati personali (es. origine razziale o etnica, opinioni politiche, appartenenza sindacale) salvo specifiche eccezioni. | l'appartenenza sindacale dei candidati, rientrante tra le categorie particolari di dati, è stata diffusa online senza una base giuridica valida per tale operazione. |
|
2-ter Codice Privacy |
Basi giuridiche per il trattamento di dati personali da parte di organismi pubblici, che devono essere necessarie per un obbligo legale o un compito di interesse pubblico, in base a una norma di legge o di regolamento. | l'istituto, in quanto organismo pubblico, ha diffuso dati personali senza una specifica base giuridica prevista dalla legge o dal regolamento che autorizzasse tale diffusione. |
Misure imposte
Pagamento di una sanzione amministrativa pecuniaria di 4.000,00 euro; Pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante; Annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità
Sanzione
Il Garante ha ordinato all'Istituto di Istruzione Superiore Della Corte Vanvitelli il pagamento di una sanzione amministrativa pecuniaria di 4.000,00 euro per la violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice. Ha inoltre disposto la pubblicazione del provvedimento contenente l'ordinanza ingiunzione sul sito internet del Garante, in ragione della natura dei dati pubblicati.
Termini: Entro 30 giorni dalla notificazione del provvedimento
Implicazioni pratiche
Questo provvedimento sottolinea l'importanza cruciale di stabilire una base giuridica solida e specifica per ogni trattamento di dati personali, in particolare quando si tratta della loro diffusione online da parte di enti pubblici. Non basta che un'operazione di trattamento sia necessaria per un compito di interesse pubblico; è necessario che una norma di legge o di regolamento specifichi o consenta esplicitamente tale diffusione. L'errore di un singolo dipendente non esime il titolare del trattamento dalla propria responsabilità, poiché incombe su quest'ultimo l'obbligo di vigilare e di implementare procedure adeguate e una formazione efficace. Un aspetto rilevante è la reiterata affermazione del Garante che i contratti collettivi non possono costituire una base giuridica idonea per introdurre trattamenti di dati non previsti dalla legge, né per giustificare la diffusione di dati sensibili a una platea indistinta. Questo impone alle pubbliche amministrazioni e a tutte le organizzazioni che operano nel contesto lavorativo di valutare con rigore la portata dei propri accordi interni rispetto alla normativa privacy vigente, assicurando che non superino i limiti imposti dalla legge. Le organizzazioni devono implementare meccanismi di controllo robusti per la pubblicazione di informazioni online, soprattutto quelle contenenti dati personali, e definire chiaramente i tempi di conservazione e visibilità di tali dati.
Azioni da fare
- Verificare tutte le basi giuridiche invocate per la diffusione online di dati personali, assicurandosi che siano ancorate a specifiche disposizioni legislative o regolamentari.
- Implementare e documentare procedure chiare e dettagliate per la pubblicazione di qualsiasi contenuto sul sito web istituzionale, con particolare attenzione ai documenti contenenti dati personali.
- Formare il personale coinvolto nella gestione e pubblicazione di contenuti online sui principi di protezione dei dati, sulla natura dei dati sensibili e sulle conseguenze delle violazioni.
- Rivedere gli accordi collettivi e le prassi interne per assicurarsi che non siano utilizzati come unica base giuridica per trattamenti di dati personali che richiederebbero una fonte normativa superiore.
Errori da evitare
- Non diffondere dati personali, in particolare quelli sensibili o identificativi (come documenti di riconoscimento e indirizzi), a una platea indiscriminata senza una base giuridica esplicita e specifica.
- Non considerare i contratti collettivi come una base giuridica autonoma per introdurre nuovi trattamenti di dati personali non previsti o consentiti dalla legge.
- Non sottovalutare la responsabilità del titolare del trattamento per gli errori commessi dai propri dipendenti nell'ambito delle mansioni, anche se eccedenti il perimetro formale delle competenze.
- Non lasciare dati personali online oltre il periodo strettamente necessario alla finalità della pubblicazione, senza una chiara policy di conservazione.
Domande di self-assessment
- Quali sono le basi giuridiche specifiche (legge o regolamento) che autorizzano la diffusione online di ogni categoria di dati personali trattati dalla nostra organizzazione?
- Abbiamo un protocollo interno che regolamenta il processo di caricamento e pubblicazione di documenti sul sito web, includendo la verifica dei dati personali e la definizione dei tempi di visibilità?
- Il nostro personale autorizzato alla pubblicazione online ha ricevuto una formazione specifica e aggiornata sulle normative privacy e sui rischi legati alla diffusione non autorizzata di dati?
- I nostri accordi interni o contratti collettivi sono stati valutati per assicurarsi che non prevedano trattamenti di dati personali che esulano dalle previsioni di legge?
Riferimenti
Linee guida EDPB: Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR del 24 maggio 2023 · Raccomandazione del 1° aprile 2015, CM/Rec(2015)5, sul trattamento di dati personali nel contesto occupazionale
Normativa nazionale: D.Lgs. 196/2003 · L. 24 novembre 1981, n. 689 · D.Lgs. 165/2001 · D.Lgs. 1° settembre 2011, n. 150