Violazione della privacy di alunno disabile: condannato un USR
di Agata Scarafilo
Abstract
Con Ordinanza di ingiunzione n. 67, il GPDP ha condannato un Ufficio Scolastico Regionale al pagamento della sanzione amministrativa di 4.000 euro per non aver minimizzato (ridotto al minimo indispensabile), nel contesto di una comunicazione tra PP. AA., i dati relativi ad un alunno disabile, ravvisando, così, un’indebita circolazione di dati personali e, in particolare, di dati relativi allo stato di salute, non necessari per adempiere ad una richiesta del Dipartimento della Funzione Pubblica.
In tema di trasmissione, tra pubblici uffici, dei dati di alunni con disabilità, sta facendo molto discutere la recente Ordinanza di ingiunzione (Registro dei provvedimenti n. 67 del 25 febbraio 2021)con la quale il Garante per la Protezione dei Dati Personali (G.P.D.P.) ha condannato un Ufficio Scolastico Regionale al pagamento della sanzione amministrativa di euro 4.000 per violazione della privacy. Un caso che non può non essere preso in considerazione anche dalle scuole, troppo spesso coinvolte non solo nella gestione e nel trattamento dei dati di alunni disabili all’ interno della stessa istituzione scolastica, ma anche nella loro trasmissione ad altre scuole (si pensi, per esempio, alla trasmissione del fascicolo alunni nel passaggio da un ordine di scuola all’altro) o ad altri enti (si pensi, ad esempio, all’attribuzione delle ore di sostegno o di figure educative-assistenziali).
Ricordiamo che, nell’ambito del diritto dell’UE, l’articolo 83 del Regolamento n. 2016/679 autorizza le autorità di controllo degli Stati membri a infliggere sanzioni amministrative pecuniarie in relazione a violazioni dello stesso regolamento. Le circostanze delle quali le autorità nazionali devono tener conto nell’applicare tali sanzioni, nonché il loro tetto massimo sono anch’essi fissati nell’articolo 83. Il regime sanzionatorio è, pertanto, armonizzato in tutta l’UE.
Il G.P.D.P. è l’autorità preposta a vigilare sulla legittimità del trattamento, verificando il rispetto della disciplina vigente e promuovendo la conoscenza finalizzata ad assicurare la corretta interpretazione. Inoltre, è chiamato a punire gli illeciti commessi in violazione delle disposizioni del Codice, infliggendo le sanzioni amministrative.
Nel caso in esame, a seguito della denuncia da parte della famiglia di un alunno con disabilità, il Garante ha rilevato l’illiceità del trattamento dei dati personali. Infatti, l’Ufficio Scolastico Regionale in questione, inviando alla Presidenza del Consiglio dei Ministri (Dipartimento della Funzione Pubblica) la documentazione contenente i dati personali dell’alunno, compresi quelli relativi alla salute ha, secondo il G.P.D.P., effettuato la comunicazione di dati in assenza di un idoneo presupposto giuridico e, quindi, in violazione degli art. 6 e 9 del Regolamento, degli artt. 2-ter e 2-sexies del Codice, nonché dei principi applicabili al trattamento di cui all’art. 5, par. 1, lett. a) del Regolamento.
Di conseguenza, l’accertata violazione delle predette disposizioni ha reso applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice.
Durante l’attività istruttoria è risultato, infatti, che l’Ufficio Scolastico Regionale ha comunicato, in particolare, delle informazioni relative allo stato di salute dell’alunno, tra le quali anche il codice diagnostico indicativo della sua disabilità, con l’aggiunta del riferimento all’art. 3, comma 3, della Legge 5 febbraio 1992, n. 104. Elementi, questi, che, secondo il Garante, non era necessario fornire al fine di dare riscontro alla richiesta di chiarimenti ricevuta dal Dipartimento della Funzione Pubblica in relazione alle presunte irregolarità nell’attribuzione delle ore di sostegno segnalate dal reclamante.
Ricordiamo che, ai sensi della disciplina in materia, il trattamento di dati personali effettuato in ambito pubblico è lecito solo se esso sia “necessario” al fine di adempiere ad un obbligo legale al quale è soggetto il titolare del trattamento, o per l’esecuzione di un compito d’interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento (art. 6, par. 1, lett. c) ed e)).
Relativamente al caso specifico dell’ alunno con disabilità, le comunicazioni anche tra enti pubblici dei dati relativi alla salute, per i quali è previsto un generale divieto di trattamento (ad eccezione dei casi indicati all’art. 9, par. 2, del Regolamento) e, comunque, un regime di maggiore garanzia rispetto alle altre tipologie di dati, in particolare, per effetto dell’art. 9, par. 4, nonché dell’art. 2-septies del Codice, il trattamento è consentito se, oltre ad essere proporzionato alla finalità che si vuole perseguire, rispetti il diritto alla protezione dei dati, prevedendo misure appropriate e specifiche per tutelarli (art. 9, par. 2, lett. g), del Regolamento).
Inoltre, il trattamento dei dati personali deve avvenire nel rispetto dei principi di seguito elencati:
- LICEITÀ – Il trattamento deve svolgersi in armonia con la disciplina vigente (di rango sia legislativo che regolamentare) e con i principi di ordine pubblico. Laddove il titolare del trattamento sia un soggetto pubblico, per liceità deve intendersi la legittimità: ciò significa che non solo è vietato operare in contrasto con l’ordinamento vigente, ma che è necessario anche che le operazioni effettuate dalla P.A. (nel nostro caso, la Scuola) siano strettamente connesse ai compiti che ad essa sono istituzionalmente conferiti dal legislatore o che comunque siano attività strettamente correlate all’espletamento di tali compiti.
- CORRETTEZZA – Il trattamento deve svolgersi in applicazione dei parametri di lealtà.
- TRASPARENZA – La finalità del trattamento deve essere individuata e resa nota fin dall’inizio; l’utilizzo dei dati raccolti in operazioni diverse da quelle originariamente preventivate è ammissibile solo se compatibile con l’obbiettivo complessivo del trattamento.
- MINIMIZZAZIONE DEI DATI: I dati devono essere limitati allo stretto necessario.
Quest’ultimo aspetto (minimizzazione dei dati) non è stato particolarmente rispettato dalla P.A. destinataria dell’Ordinanza di ingiunzione n. 67 del 25 febbraio 2021. Infatti, nel corso della fase ispettiva, è stato accertato che, nel caso di specie, l’USR avrebbe potuto fornire il necessario riscontro senza comunicare, al Dipartimento della funzione Pubblica, anche i dati personali del minore. La comunicazione della specifica documentazione relativa al ragazzo, di fatto, ha determinato, seppure nel limitato ambito della Pubblica Amministrazione, un’indebita circolazione di dati personali e, in particolare, di dati relativi allo stato di salute, non necessari al fine di fornire riscontro alle richieste del Dipartimento della Funzione Pubblica.
Rif. normativi:
