Provvedimento del 27 aprile 2023 [9897931] e limiti dell'azienda  a tutela della propria immagine

estimated reading time: 34 min

[doc. web n. 9897931]

Provvedimento del 27 aprile 2023

Registro dei provvedimentin. 167 del 27 aprile 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al Trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al Trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore l'avv. Guido Scorza;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, il Sig. XX, che ha svolto attività di docente universitario a contratto presso l’Università degli studi di Cassino e del Lazio Meridionale (di seguito, l’“Università” o l’“Ateneo”), ha lamentato le seguenti presunte violazioni della disciplina in materia di protezione dei dati personali:

1) la comunicazione orale da parte di un docente dell’Ateneo a una studentessa di Dati personali del reclamante relativi a reati, ovvero l’avvio di un procedimento penale a suo carico;

2) la comunicazione a terzi di Dati personali relativi a reati, mediante una nota del XX (prot. n. XX), a firma del Direttore generale d’Ateneo e del Responsabile Settore Attività Legali, trasmessa all’Ispettorato Territoriale del Lavoro di Frosinone;

3) la comunicazione a terzi di Dati personali relativi a reati, mediante una nota del XX (prot. n. XX), a firma del Direttore generale d’Ateneo e del Responsabile Settore Attività Legali, trasmessa all’Ispettorato per la Funzione Pubblica presso la Presidenza del Consiglio dei Ministri;

4) la comunicazione a terzi di dati personali, anche relativi a reati, mediante una nota del XX (prot. n. XX), a firma del Rettore d’Ateneo e del Responsabile Settore Attività Legali, trasmessa ai Rettori delle Università italiane;

5) il mancato riscontro a un’istanza di esercizio dei diritti dell’interessato, presentata, ai sensi degli artt. 15-22 del Regolamento, in XX.     Successivamente, il reclamante ha, altresì, lamentato, con nota del XX, in relazione al predetto motivo di reclamo sub punto 5), l’inidoneità del riscontro che l’Ateneo, nel corso dell’istruttoria, ha asserito di avergli fornito. Conseguentemente, l’Ufficio del Garante, ai sensi dell’art. 10, comma 4, del Regolamento interno n. 1/2019, ha disposto, limitatamente a tale profilo, la riunione dei procedimenti e la trattazione del motivo di reclamo sub punto 5) in un separato procedimento, allo stato in corso di definizione.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni di questa Autorità (nota prot. n. XX del XX), l’Ateneo, con nota del XX (prot. n. XX), ha, anzitutto, confermato che il reclamante ha svolto attività di docenza presso lo stesso. 

Con riguardo al motivo di reclamo di cui al punto n. 1), l’Ateneo ha dichiarato in particolare che il dipendente che, ad avviso del reclamante, avrebbe comunicato a una studentessa Dati personali relativi a reati, ha redatto una dichiarazione, datata XX, con la quale “il medesimo disconosce integralmente il contenuto della email che il reclamante asserisce essere pervenuta dalla studentessa [in questione]”, precisando “di non aver mai interloquito con detta studentessa in ordine a presunte indagini in corso a carico del [reclamante]”.

Con riguardo al motivo di reclamo di cui al punto n. 2),  l’Ateneo ha dichiarato, in particolare, che:

la “nota XX, Prot. XX […] riscontrava la nota dell’Ispettorato Territoriale del Lavoro di Frosinone con cui veniva fissata la convocazione delle parti per un tentativo di conciliazione in relazione alla mancata corresponsione di emolumenti in favore del reclamante”;

“nella suddetta nota […] [l’] Ateneo comunicava (unicamente all’amministrazione richiedente) le motivazioni del provvisorio mancato pagamento, precisando anche che la Procura della Repubblica di […], “in relazione al procedimento penale pendente a carico del contrattista in questione”, con decreto di esibizione in data […] aveva delegato la Polizia giudiziaria locale all’acquisizione di documentazione inerente gli affidamenti contrattuali in capo al medesimo”;

l’”Ateneo ritiene che tale comunicazione non integri un Trattamento di Dati personali dell’interessato relativi a condanne penali e reati”, in quanto “la locuzione contenuta nella comunicazione inviata […] all’Ispettorato […] non forniva alcuna indicazione circa una specifica condanna dello stesso, né attribuiva o specificava la commissione di uno specifico reato”;

“non ricadono più all’interno […] [dell’art. 10 del Regolamento] le informazioni relative alla qualità di imputato o indagato […] [e] ciò di per sé renderebbe applicabili al trattamento, quali condizioni di liceità dello stesso, le “normali” basi giuridiche di cui all’art. 6 del Regolamento”;

“la richiesta di convocazione da parte dell’Ispettorato del Lavoro, infatti, costituisce una fase preprocedimentale di un giudizio contenzioso, nell’ambito della quale vi è stata la necessità di difendere un diritto […] [dell’] Ateneo. In tale ambito la Suprema Corte di Cassazione ha più volte statuito (sentenza n. 3034/2011, n. 35296/2011) la prevalenza del diritto di difesa in giudizio rispetto al quello della protezione dei dati personali, bilanciamento oggi recepito dall’art. 2 octies, 3° comma, lett. e) del [Codice]”;

“la comunicazione dell’informazione contenuta nella nota inviata all’Ispettorato del Lavoro appariva necessaria al fine di dare contezza della difficile situazione in cui si trovava l’Ateneo rispetto al rapporto contrattuale intercorso con il reclamante”;

“sul punto la Base giuridica del trattamento dei dati giudiziari dei dipendenti pubblici può essere rinvenuta, così come richiesto dall’art. 6, par. 1 del Regolamento […], nelle norme nazionali che richiedono la verifica circa lo status del dipendente medesimo e, in particolare, l’art. 2, comma 3, del DPR 487/1994, secondo cui “non possono accedere agli impieghi coloro che siano esclusi dall’elettorato politico attivo e coloro che siano stati destituiti o dispensati dall’impiego presso una pubblica amministrazione” applicabile, ai sensi dell’art. 36 del D.lgs. 165/2001, anche alle assunzioni del personale assimilabile alle forme di lavoro flessibile”;

“nel caso specifico la precisazione verso l’Ispettorato si era resa necessaria per chiarire, in sede contenziosa, che gli affidamenti contrattuali posti in essere con il reclamante erano stati acquisiti dalla Polizia Giudiziaria in sede di un’indagine penale che avrebbe potuto comportare la declaratoria incidentale dell’illegittimità degli stessi e, quindi, dell’illiceità del pagamento delle retribuzioni dai medesimi derivanti”.Con riguardo al profilo di reclamo  di cui al punto n. 3), l’Ateneo ha dichiarato, in particolare, che:

“val[e] […] quanto già esplicitato per il precedente punto [2]. Il tenore e contenuto della comunicazione inviata [dall’] Ateneo alla Presidenza del Consiglio dei Ministri - Dipartimento Funzione Pubblica […], è identico a quello comunicato all’Ispettorato del lavoro, contenendo la sola locuzione “in relazione al procedimento penale pendente a carico del contrattista in questione””;

“devono quindi intendersi richiamati i chiarimenti sopra esposti, sia sull’assenza di dati relativi a condanne penali o reati all’interno della comunicazione, sia relativamente alla necessità di dar seguito alle attività specifiche di vigilanza ed ispezione poste in essere dal Dipartimento Funzione Pubblica (che avrebbero potuto condurre […] anche a eventuale giudizio disciplinare nei confronti dei responsabili di Ateneo). Per tali motivi, sempre per esigenze difensive di cui all’art. 2, octies, 3° comma, lett. e) del [Codice], l’Ateneo si è trovato a dover evidenziare in trasparenza e completezza le circostanze che avevano determinato il ritardo nel pagamento delle retribuzioni”.

Con riguardo al profilo di reclamo sub punto n. 4), l’Ateneo ha dichiarato, in particolare, che:

la “nota del XX, Prot. XX, a firma del Rettore d’Ateneo e del Responsabile Settore Attività̀ Legali, trasmessa ai Rettori delle Università̀ italiane  […] è stata il frutto di una riflessione interna dell’Ateneo che, in considerazione delle numerose segnalazioni che pervenivano sul conto del reclamante, si è trovata costretta a prendere le distanze, nell’ambito del settore della ricerca universitaria, da tale soggetto, trovandosi altrimenti coinvolta in una situazione di grave imbarazzo e lesione della propria reputazione”;

“anche in tale ipotesi […] [l’Ateneo] ritiene di non aver comunicato all’interno della segnalazione ai Rettori del XX alcun dato relativo a condanne penali o reati, essendo stata limitata la segnalazione al fatto che erano pervenute “altresì istanze di acquisizione di informazioni e documenti da parte di diverse Procure della Repubblica per ipotesi di reato per le quali lo stesso risulta indagato”;

“la missiva non conteneva né indicazioni circa eventuali condanne penali né addebitava al reclamante specifici reati, ma si limitava a riportare delle circostanze di fatto e non delle specifiche indicazioni sussumibili nell’ambito dei dati di cui all’art. 10 del Regolamento […]”;

“la medesima, pertanto, si era resa necessaria per tutelare l’Ateneo da illazioni e responsabilità legate all’interessato, che adduceva di essere ancora in servizio presso lo scrivente anche in prestigiose sedi internazionali”;

“[…] anche il Trattamento effettuato con tale comunicazione trov[a] il proprio fondamento nell’ambito della base giuridica di cui all’art. 2 octies, 3° comma, lett. e) [del Codice] essendo relativa ad azioni propedeutiche all’esercizio di un diritto in sede giudiziaria correlato alla tutela della reputazione ed immagine dell’Università, verso condotte del reclamante che sicuramente avrebbero potuto lederle”;

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Ateneo, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1, lett. a), 6 e 10 del Regolamento, nonché 2-ter e 2-octies del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), invitando il predetto Titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), l’Ateneo ha presentato una memoria difensiva, ribadendo le tesi difensive già prospettate e dichiarando, in particolare, che:

“le suddette comunicazioni non integrano […] un Trattamento di Dati personali dell’interessato relativi a condanne penali e reati”;

“anche laddove volesse ritenersi che le comunicazioni effettuate dall’Ateneo abbiano ad oggetto Dati personali del reclamante relativi a reati, deve ritenersi nella specie applicabile il disposto dell’art. 2-octies, comma 3, lett. e), del [Codice]”;

“con riguardo alla nota del XX (prot. n. XX) inviata [dall’] Ateneo in replica alla comunicazione dell’Ispettorato Territoriale del Lavoro di Frosinone del XX […] [, l’Ateneo ritiene che] il […] tentativo di conciliazione [cui si riferiva la nota dell’Ispettorato] riveste carattere prodromico a un eventuale giudizio, e che pertanto lo stesso si colloca in un’ottica precontenziosa quale strumento deflattivo delle controversie. Ciò appare confermato dal disposto normativo, che all’art. 11, comma 3-bis, D.lgs. n. 124/2004, prevede che il verbale di conciliazione sottoscritto dalle parti “è dichiarato esecutivo con decreto dal giudice competente, su istanza della parte interessata” […] [; pertanto tale nota deve ritenersi] perfettamente legittima in quanto resa in una fase precontenziosa, nonché al fine di difendere i diritti e interessi [dell’] Ateneo. Invero, quest’ultimo — considerato che il [reclamante] lamentava il mancato pagamento del corrispettivo dovuto allo stesso per l’aver svolto attività di insegnamento — si trovava costretto a evidenziare all’ispettorato, anche al fine di evitare un possibile intervento ispettivo, che il ritardo nel pagamento era dovuto: (i) da un lato, da una carenza delle disponibilità di cassa dovute alla sofferenza economica dell’Ateneo, peraltro rappresentata al reclamante; (ii) dall’altro dalla circostanza che la Procura della Repubblica di […], in relazione a procedimento penale pendente a carico del [reclamante], con decreto di esibizione in data […] aveva delegato la Polizia giudiziaria locale all’acquisizione di documentazione inerente gli affidamenti contrattuali in capo al medesimo. Tale ultima informazione, in particolare, lungi dall’essere non attinente “alla lamentata mancata corresponsione degli emolumenti”, si era resa necessaria per chiarire, in sede precontenziosa, che gli affidamenti contrattuali posti in essere con il reclamante erano stati acquisiti dalla Polizia Giudiziaria in sede di un’indagine penale che avrebbe potuto comportare la declaratoria incidentale dell’illegittimità degli stessi e, quindi, dell’illiceità del pagamento delle retribuzioni dai medesimi derivanti. A ciò si aggiunga, in ogni caso, che la comunicazione è stata inviata all’Ispettorato assicurando la segretezza dei dati ivi contenuti in quanto, al di là dello specifico trattamento, veniva apposta una limitazione all’ostensione integrale della stessa con i relativi “omissis””;

“le medesime considerazioni valgono con riguardo alla nota del XX (prot. XX), inviata [dall’] Ateneo all’Ispettorato per la Funzione Pubblica […], con la quale l’Università, conformemente ai principi di liceità, correttezza e trasparenza, ha semplicemente evidenziato le circostanze che avevano determinato il ritardo nel pagamento delle retribuzioni. Il riferimento al procedimento penale a carico del reclamante, in questo caso, si era reso necessario al precipuo fine di dare seguito alle attività specifiche di vigilanza ed ispezione poste in essere dal Dipartimento Funzione Pubblica, che avrebbero potuto condurre anche a eventuale giudizio disciplinare nei confronti dei responsabili di Ateneo […] ”;

“peraltro, l’ostensione da parte dell’Ateneo dei dati suddetti all’Ispettorato Territoriale del Lavoro […] e all’Ispettorato per la Funzione Pubblica […] si è resa necessaria a seguito delle iniziative promosse [dal] reclamante, che lamentava il ritardato pagamento dei compensi contrattuali. In tale contesto, l’Università è stata costretta a giustificare tale ritardato pagamento adducendo sia le difficoltà di liquidità di cassa, sia rappresentando le ragioni di opportunità che hanno originato il ritardo nei pagamenti, derivanti dall’esistenza di indagini della Procura a carico del reclamante”;

“con specifico riguardo alla nota del XX, Prot. XX, trasmessa [dall’] Ateneo ai Rettori delle Università italiane, la stessa si è resa necessaria in considerazione delle numerose segnalazioni che pervenivano sul conto del reclamante, per cui l’Università si è trovata costretta a prendere le distanze da tale soggetto, trovandosi altrimenti coinvolta in una situazione di grave imbarazzo e lesione della propria reputazione. In particolare, giungevano all'Ateneo varie segnalazioni di condotte inappropriate del reclamante, come quella datata XX dell’[…] University Press in cui si riportavano varie email dal contenuto ingiurioso e turpiloquiale inviate all’indirizzo di altri professori che collaborano con la rivista da parte del reclamante, ovvero la comunicazione del XX da [nome e cognome] [della] […]University of […], che notiziava 1’Ateneo del plagio che il reclamante aveva compiuto con la redazione di un articolo da lui pubblicato. L'imbarazzo costante e continuo provocato dal soggetto, il turpiloquio con il quale si rivolgeva a rappresentanti della comunità scientifica, evidentemente causavano non pochi danni reputazionali e di immagine [all’] Ateneo. Tali tipologie di comunicazioni, inviate dall’account ufficiale dell’Università, arrecavano un grave pregiudizio all’immagine della stessa e da molte altre istituzioni universitarie e segnalazioni di comportamenti a dir poco contrari ai doveri di buona condotta che si addicono ad un componente dell’istituzione. La missiva, pertanto, si era resa necessaria per tutelare l’Ateneo da illazioni e responsabilità legate all’interessato, che adduceva di essere ancora in servizio presso [l’Ateneo] anche in prestigiose sedi internazionali. Anche in tal caso, dunque, il Trattamento effettuato con tale comunicazione trova il proprio fondamento nell’ambito della base giuridica di cui all’art. 2-octies, comma 3, lett. e) [del Codice], essendo relativa ad azioni propedeutiche all’esercizio di un diritto in sede giudiziaria correlato alla tutela della reputazione ed immagine dell’Università, verso condotte del reclamante che sicuramente avrebbero potuto lederle”.

Successivamente, il reclamante, dopo aver effettuato un accesso agli atti dell’istruttoria, ha presentato, con nota del XX, proprie osservazioni in merito alle difese prospettate dall’Ateneo.In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX (verbale prot. n. XX del XX), l’Ateneo ha dichiarato, in particolare, che:

“ai sensi dell’art. 60, comma 6, del d.lgs. 165/2001, laddove vengano riscontrate delle irregolarità, è prevista la denuncia alla Corte dei Conti. Anche in tale ambito, pertanto, l’Ateneo aveva l’esigenza di tutelare i propri diritti e difendere la propria posizione, esponendo con piena chiarezza e collaborazione i fatti ritenuti rilevanti al Dipartimento della Funzione Pubblica”;

anche il Garante ha “sottolineato in più occasioni che il Trattamento dei Dati personali deve ritenersi sempre lecito quando lo stesso è necessario e proporzionato ai fini della difesa non solo in giudizio ma anche in sede stragiudiziale”;

“laddove fosse intervenuta una condanna nei confronti dell’interessato, con il conseguente accertamento delle falsità delle dichiarazioni rese dello stesso, si sarebbe determinata una nullità dell’affidamento e la conseguente impossibilità di corrispondere le somme dovute; diversamente, l’Amministrazione avrebbe potuto cagionare un danno erariale, con la conseguente responsabilità”;

“in ogni caso non si è concretizzata alcuna lesione sostanziale alla sfera giuridica dell’interessato, anche in considerazione del fatto che tutte le comunicazioni sono state indirizzate, in via riservata, esclusivamente a soggetti pubblici e senza l’indicazione di specifiche fattispecie di reato”;

“l’interessato aveva gravemente leso la reputazione dell’Ateneo davanti a prestigiose riviste giuridiche, anche internazionali, e, pertanto, l’Ateneo si è sentito in dovere di avvertire gli altri Atenei dei potenziali rischi in cui gli stessi avrebbero potuto incorrere in caso di rapporti con il medesimo interessato, con ciò anche tutelando la propria onorabilità”;

“peraltro l’Ateneo aveva ricevuto una visita da parte dei Carabinieri in relazione alla posizione dell’interessato, essendo, pertanto, aumentato il livello di allarme in merito alla condotta dello stesso”;

“il reclamo deve […] inquadrarsi in uno scenario più ampio di relazioni conflittuali e problematiche tra il reclamante e l’Ateneo”.

3. Esito dell’attività istruttoria.

La disciplina di protezione dei Dati personali prevede che i soggetti pubblici, nell’ambito del contesto lavorativo, possono trattare i Dati personali degli interessati, anche relativi a categorie particolari, se il Trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4 e 88 del Regolamento). Il Trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il Titolare del trattamento” (art. 6, parr. 1, lett. e), 2 e 3, e art. 9, par. 2, lett. g), del Regolamento; art. 2-ter del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

Con specifico riguardo al Trattamento dei dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza, si evidenzia che esso può avvenire soltanto sotto il controllo dell'autorità pubblica o se il Trattamento è Autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati (art. 10 del Regolamento), ovvero solo qualora il Trattamento sia Autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento (art. 2-octies, commi 1 e 5, del Codice).

Il Titolare del Trattamento è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, in base ai quali i Dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

Così ricostruito il quadro giuridico di riferimento, è necessario preliminarmente chiarire che, contrariamente a quanto sostenuto dall’Ateneo nel corso dell’istruttoria, l’informazione relativa alla circostanza che l’interessato fosse indagato e sottoposto a un procedimento penale costituisce, agli effetti dell’art. 10 del Regolamento, un dato personale relativo a reati.

Come, infatti, affermato dalla Corte di Giustizia dell’Unione Europea, “le informazioni relative ad un procedimento giudiziario a carico di una persona fisica, come quelle riferentisi all’apertura di un’indagine o al processo, ed eventualmente alla condanna che ne è risultata, costituiscono dati relativi alle «infrazioni» e alle «condanne penali» ai sensi dell’articolo 8, paragrafo 5, primo comma, della direttiva 95/46 e dell’articolo 10 del regolamento 2016/679, e ciò indipendentemente dal fatto che, nel corso di tale procedimento giudiziario, sia stata effettivamente dimostrata o meno la commissione del reato per il quale la persona era perseguita” (sent. C 136/17, “GC e a. contro Commission nationale de l'informatique et des libertés (CNIL)”, Grande Sezione, 24 settembre 2019). D’altra parte, con riguardo al contesto lavorativo, numerosi provvedimenti del Garante hanno chiarito che le informazioni ottenute dal certificato penale del casellario giudiziale o da dichiarazioni rilasciate dai lavoratori in merito all’assenza di condanne penali costituiscono comunque dati relativi a condanne penali e reati ai fini della normativa in materia di protezione dei dati (sul punto, con riguardo all’assenza di condanne penali rispetto a specifici reati, quale requisito per lo svolgimento di determinate attività lavorative nel settore pubblico, v. Relazione annuale 2018 del Garante, doc. web n.  9109211, pagg. 131 ss., nonché provv. 19 gennaio 2017, n. 10, doc. web n. 5953097; cfr. “Audizione del Presidente del Garante per la protezione dei dati personali, Prof. Pasquale Stanzione nell'ambito dell'esame delle proposte di legge C. 1779 […] e C. 1782 […], recanti disposizioni in materia di controlli sul personale addetto ai servizi di trasporto”, del 16 dicembre 2021, doc. web n. 9736014; in ambito privato, v. provv. 11 febbraio 2021, n. 47, doc. web n. 9562814; provv. 22 maggio 2018, n. 314, doc. web n. 9005845).

Come anche recentemente ribadito dal Garante (v. provv. 24 marzo 2022, n. 97, doc. web n. 9760883), le informazioni relative a vicende connesse alla commissione di reati o a procedimenti penali, che interessano una persona fisica, costituiscono, pertanto, “dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza” ai sensi e per gli effetti di cui all’art. 10 del Regolamento, senza che rilevi la circostanza che tali informazioni non contengano riferimenti espressi agli specifici reati commessi o ai procedimenti giudiziari in corso.

3.1 La lamentata comunicazione di Dati personali del reclamante da parte di un dipendente dell’Ateneo a una studentessa

Il reclamante ha lamentato che un dipendente dell’Ateneo avrebbe comunicato oralmente a una studentessa alcuni Dati personali relativi a un procedimento penale che sarebbe stato avviato a suo carico. Al riguardo, è stata prodotta agli atti un’email che tale studentessa avrebbe inviato al reclamante in data XX, ore 07:48. Il reclamante ritiene che l’email inviata dalla studentessa in questione “appare fondata e verosimile, laddove non si vede quale diverso interesse potrebbe detenere a comunicare al […] docente un’informazione di tal fatta non corrispondente al vero” e che la stessa “sembra dunque comprovare come tale Trattamento di dati sensibili giudiziari circa uno stato d’indagato del reclamante sia stata oggetto di comunicazione all’interno dell’Ateneo”. Da ciò, a suo avviso, “se ne deduce quindi non già solo una circolazione del dato giudiziario all’interno degli uffici d’Ateneo […] ma financo una circolazione esterna all’Ateneo laddove lo studente riferisce al [reclamante] di essere stato Destinatario di informazioni pacificamente di natura sensibile giudiziaria e destinate a permanere riservate”.

Ciò premesso, preso atto delle dichiarazioni dell’Ateneo, di cui si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice, con particolare riguardo alla circostanza che il dipendente in questione ha negato di aver posto in essere tale comunicazione di dati personali, e considerato che il reclamante non ha fornito alcun elemento probatorio idoneo a comprovare in maniera oggettiva la condotta addebitata all’Ateneo, ricostruita solo in via deduttiva e probabilistica, si dispone l’archiviazione di tale motivo di reclamo.

3.2 La comunicazione di Dati personali del reclamante all’Ispettorato Territoriale del Lavoro di Frosinone

Il reclamante ha lamentato che “con nota del XX, Prot. XX, […] trasmessa all’Ispettorato Territoriale del Lavoro di Frosinone, nell’ambito di tentativo di conciliazione, ex art. 11, c. 1, D.Lgs. 124/2004, a seguito d’intervento ispettivo del XX, Prot. XX, per mancato versamento degli emolumenti da parte dell’Ateneo al reclamante per l’a.a. 20[…]/20[…], era comunicato all’ufficio che: “Per quanto di utilità va inoltre evidenziato che la Procura della Repubblica di […], in relazione a procedimento penale pendente a carico del contrattista in questione, con decreto di esibizione in data […] ha delegato la Polizia giudiziaria locale all’acquisizione di documentazione inerente agli affidamenti contrattuali in capo al medesimo””.

Al riguardo, si osserva che l’Ateneo non ha indicato alcuna norma di legge o, nei casi previsti dalla legge, di regolamento, che prevedesse e autorizzasse la comunicazione all’Ispettorato Territoriale del Lavoro di Frosinone dei Dati personali del reclamante relativi a reati (v. artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), del Regolamento, nonché 2-ter e 2-octies del Codice).

Né può trovare applicazione, nel caso di specie, l’art. 2-octies, comma 3, lett. e), del Codice, ai sensi del quale “fermo quanto previsto dai commi 1 e 2, il Trattamento di Dati personali relativi a condanne penali e a reati o a connesse misure di sicurezza è consentito se Autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento, riguardanti, in particolare: […] l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria”. Sebbene, infatti, secondo la consolidata impostazione del Garante, il Trattamento di Dati personali effettuato per finalità di tutela dei diritti deve riferirsi a contenziosi in atto o a situazioni precontenziose e non ad astratte e indeterminate ipotesi di possibile difesa o tutela dei diritti (v., da ultimo, provv. 28 ottobre 2021, n. 384, doc. web n. 9722661, par. 3.4, ove si richiama anche il “Provvedimento recante le prescrizioni relative al Trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101”, All. 1, par. 1.3, lett. d), doc. web n. 9124510), nel caso di specie la nota del XX (prot. n. XX) è stata inviata dall’Ateneo in replica alla comunicazione dell’Ispettorato Territoriale del Lavoro di Frosinone del XX (prot. n. XX), con la quale lo stesso si era limitato a convocare l’Ateneo “per il tentativo di Conciliazione Monocratica” con riferimento a talune rivendicazioni del reclamante (“mancata corresponsione degli emolumenti dovuti quale lavoratore subordinato”).

Pertanto, non sussisteva ancora, in quel momento, un’effettiva esigenza difensiva dell’Ateneo, che era stato meramente convocato a comparire davanti a un funzionario dell’Ispettorato, in una data e in un orario stabilito, per esperire il predetto tentativo di conciliazione, che ben avrebbe potuto concludersi con un accordo tra le parti, senza che si concretizzasse la necessità per l’Ateneo di esercitare alcuna difesa, dando conto, in tale sede, della condizione d’indagato dell’interessato.

D’altra parte, l’Ateneo, nel riscontrare l’invito dell’Ispettorato a comparire nella data fissata per il tentativo di conciliazione, ha precisato di voler fornire le predette informazioni relative allo stato d’indagato del reclamante “per quanto di utilità”, senza quindi che vi fosse una comprovata attinenza rispetto all’invito in questione (al riguardo, v. provv. 25 febbraio 2021, n. 67, doc. web n. 9565218, ove l’Autorità ha chiarito che, anche nella corrispondenza tra amministrazioni pubbliche, possono essere comunicati soltanto Dati personali che siano strettamente necessari, tenuto conto del contesto di riferimento).

Peraltro, l’Ateneo non ha comprovato che, in base alla normativa di settore, la condizione di indagato costituisse di per sé motivo ostativo alla corresponsione degli emolumenti dovuti, avendo, infatti, addotto, in via principale, ragioni relative a una sofferenza di cassa per giustificare il ritardo nei pagamenti, e invocato, invece, mere “ragioni di opportunità che hanno originato il ritardo nei pagamenti, derivanti dall’esistenza di indagini della Procura a carico del reclamante”.

3.3 La comunicazione di Dati personali del reclamante all’Ispettorato per la Funzione Pubblica presso la Presidenza del Consiglio dei Ministri

Le medesime considerazioni di cui al precedente par. 3.2 valgono anche con riguardo alla nota del XX (prot. XX), inviata dall’Ateneo all’Ispettorato per la Funzione Pubblica presso la Presidenza del Consiglio dei Ministri, in riscontro a una comunicazione di quest’ultimo (prot. n. XX del XX), con la quale l’Ispettorato si era limitato ad invitare l’Ateneo “ad una verifica interna sulla regolarità dell’azione amministrativa, comunicandone gli esiti”.

Nella nota in questione l’Ateneo, dopo aver chiarito che “il mancato pagamento a detta data delle prestazioni contrattuali è stato determinato da una carenza delle disponibilità di cassa dovute alla sofferenza economica dell’Ateneo”, aggiunge che “per quanto di utilità va infine evidenziato che la Procura della Repubblica di […], in relazione a procedimento penale pendente a carico del contrattista in questione, con decreto di esibizione in data […]/[…]/20[…] ha delegato la Polizia giudiziaria locale all’acquisizione di documentazione inerente gli affidamenti contrattuali in capo al medesimo” e che “tale ultima circostanza ha contribuito a rallentare i pagamenti, nelle more di un eventuale provvedimento di sequestro cautelativo delle somme, ad oggi non pervenuto”.

Premesso che l’Ateneo non ha indicato alcuna norma di legge o, nei casi previsti dalla legge, di regolamento, che prevedesse e autorizzasse la comunicazione all’Ispettorato per la Funzione Pubblica dei Dati personali del reclamante relativi a reati (v. artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), del Regolamento, nonché 2-ter e 2-octies del Codice), deve, a tal riguardo, osservarsi che l’informazione in merito allo stato di indagato del reclamante, fornita dall’Ateneo all’Ispettorato per la Funzione Pubblica, appare non pertinente rispetto alla questione oggetto della predetta corrispondenza, non sussistendo ancora, in tale contesto, alcuna esigenza per l’Ateneo di accertare, esercitare o difendere un diritto in sede giudiziaria (v. le considerazioni, di cui al precedente par. 3.2, in merito alle condizioni al ricorrere delle quali può essere invocato quanto previsto dall’art. 2-octies, comma 3, lett. e), del Codice).

D’altra parte, l’Ateneo, nel riscontrare la richiesta dell’ Ispettorato per la Funzione Pubblica, ha precisato, anche in questo caso, di voler fornire le predette informazioni relative allo stato d’indagato del reclamante “per quanto di utilità”, senza quindi che vi fosse una comprovata attinenza rispetto alla richiesta in questione (al riguardo, v. provv. 25 febbraio 2021, n. 67, doc. web n. 9565218, cit., relativo ad analoga fattispecie).

Né l’Ateneo ha comprovato che, in base alla normativa di settore, la condizione di indagato costituisse di per sé motivo ostativo alla corresponsione degli emolumenti dovuti, avendo, infatti, addotto, in via principale, ragioni relative a una sofferenza di cassa per giustificare il ritardo nei pagamenti, rappresentando, invece, solo come “eventuale” la possibilità che fosse disposto dall’autorità giudiziaria un “sequestro cautelativo delle somme”, confermando che tale provvedimento di sequestro era “ad oggi non pervenuto”.

3.4 La comunicazione di Dati personali del reclamante ai Rettori delle Università italiane

Con nota del XX (prot. n. XX), con oggetto “Segnalazione di danno all’immagine dell’Università degli studi dì Cassino e del Lazio Meridionale”, trasmessa dall’Ateneo ai Rettori delle Università italiane, l’Ateneo rendeva edotti gli stessi che “sono pervenute diverse segnalazioni da parte di docenti di Università ed istituzioni di ricerca sia nazionali che stranieri in ordine ad episodi incresciosi che sarebbero stati posti in essere dal [reclamante]” e che l’interessato “utilizzando l'account di posta elettronica “unicas", ha intrattenuto corrispondenza dai toni oltraggiosi ed offensivi nei confronti di docenti universitari, inoltre è solito spendere il nome di questa Università per iniziative quantomeno discutibili”. Nella medesima nota si dava, altresì, conto della circostanza che “sono pervenute […] istanze di acquisizione di informazioni e documenti da parte di diverse Procure della Repubblica per ipotesi di reato per le quali lo stesso risulta indagato”. L’Ateneo evidenziava, altresì, che “si ritiene doveroso segnalare la completa estraneità dell’Ateneo di Cassino in relazione a tutto ciò che dovesse eventualmente pervenire dal [reclamante] dissociandosi, sin d’ora, da qualsivoglia forma di comunicazione, pubblicazione o altro derivante dallo stesso, in cui venga fatto riferimento a questa Università”, specificando che “la presente comunicazione ha carattere riservato e viene inviata a tutela dell’immagine dell’Ateneo”.

Anche in merito alla comunicazione di Dati personali in questione, l’Ateneo non ha indicato alcuna norma di legge o, nei casi previsti dalla legge, di regolamento, che potesse giustificare l’iniziativa assunta (v. artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), del Regolamento, nonché 2-ter e 2-octies del Codice).

Né può essere utilmente invocata, al fine di escludere la responsabilità dell’Ateneo, l’intento di tutelare in via generale e preventiva la reputazione dell’Ateneo in conseguenza di “illazioni e responsabilità legate all’interessato”. Ciò anche in considerazione del fatto che l’eventuale responsabilità penale, ove accertata dall’autorità giudiziaria procedente, avrebbe, in ogni caso, riguardato unicamente l’interessato e non anche l’Ateneo (v. art. 27, Cost).

Da ultimo, si osserva che la nota in questione è stata, peraltro, inviata indiscriminatamente a tutti gli Atenei italiani, indipendentemente da ogni valutazione in merito alla pregressa conoscenza, da parte di questi ultimi, dei fatti asseritamente lesivi della reputazione dell’Ateneo.

3.5 Disposizioni violate

In considerazione delle ragioni illustrate nei precedenti parr. 3.2, 3.3, 3.4, si ritiene che l’Ateneo abbia posto in essere operazioni di trattamento, consistenti nella comunicazione a terzi di Dati personali del reclamante, anche relativi a reati, in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 e 10 del Regolamento, nonché 2-ter e 2-octies del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal Titolare del Trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del Trattamento di Dati personali effettuato dall’Ateneo, per aver trattato  i Dati personali del reclamante in violazione degli artt. 5, par. 1, lett. a), 6 e 10 del Regolamento, nonché 2-ter e 2-octies del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stato considerato, in particolare, che le comunicazioni poste in essere dall’Ateneo hanno riguardato Dati personali anche relativi a reati, rispetto ai quali, tenuto conto della loro delicatezza, la normativa in materia di protezione dei dati appronta specifiche garanzie a tutela degli interessati.

Di contro, si è tenuto in considerazione la circostanza che l’Ateneo ha agito, al dichiarato fine di tutelare i propri diritti e la propria reputazione, in un quadro di relazioni conflittuali con l’interessato per ragioni non connesse alla protezione dei dati personali, nell’erronea convinzione che informazioni relative alla pendenza di un procedimento penale a carico del reclamante non costituissero Dati personali relativi a reati ai fini dell’art. 10 del Regolamento. Nel rilevare la tenuità del fatto, non risultano, infine, precedenti violazioni pertinenti commesse dal Titolare del Trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000 (quattromila) per la violazione degli artt. 5, par. 1, lett. a), 6 e 10 del Regolamento, nonché 2-ter e 2-octies del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, paragrafo 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto che le violazioni contestate all’Ateneo hanno avuto luogo nel delicato contesto lavorativo e che i Dati personali del reclamante, anche relativi a reati, sono stati comunicati indiscriminatamente a tutti gli Atenei italiani, si ritiene, altresì, che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del Trattamento effettuato dall’Università degli studi di Cassino e del Lazio Meridionale per violazione degli artt. 5, par. 1, lett. a), 6 e 10 del Regolamento, nonché 2-ter e 2-octies del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), nei termini di cui in motivazione;

ORDINA

all’Università degli studi di Cassino e del Lazio Meridionale, in persona del legale rappresentante pro-tempore, con sede legale in Viale dell’Università - Rettorato - Campus Universitario Località Folcara - 03043 Cassino (FR), C.F. 81006500607, di pagare la somma di euro 4.000 (quattromila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

alla predetta Università, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 4.000 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 27 aprile 2023

IL PRESIDENTEStanzione

IL RELATOREScorza

IL SEGRETARIO GENERALEMattei