Casi & Pareri

Sentenza 10/05/2018 n° 11322
Area: Giurisprudenza

È illegittimo il licenziamento del lavoratore che registra e riprende le conversazioni con i colleghi a loro insaputa, se i dati non sono diffusi ma raccolti in vista di un eventuale procedimento giudiziario. Infatti, la rigida previsione del consenso del titolare dei dati personali subisce deroghe ed eccezioni quando si tratti di far valere in giudizio il diritto di difesa, le cui modalità di attuazione risultano disciplinate dal codice di rito; ciò sulla scorta dell'imprescindibile necessità di bilanciare le contrapposte istanze della riservatezza da una parte e della tutela giurisdizionale del diritto dall'altra e pertanto di contemperare la norma sul consenso al trattamento dei dati con le formalità previste dal codice di procedura civile per la tutela dei diritti in giudizio. La pertinenza dell'utilizzo rispetto alla tesi difensiva va verificata nei suoi termini astratti e con riguardo alla sua oggettiva inerenza alla finalità di addurre elementi atti a sostenerla e non alla sua concreta idoneità a provare la tesi stessa o avendo riguardo alla ammissibilità e rilevanza dello specifico mezzo istruttorio. Inoltre, il diritto di difesa non va considerato limitato alla pura e semplice sede processuale, estendendosi a tutte quelle attività dirette ad acquisire prove in essa utilizzabili, ancor prima che la controversia sia stata formalmente instaurata mediante citazione o ricorso. ( Nel caso di specie la Cassazione ha affermato l'illegittimità del licenziamento di un dipendente che, in sede di giustificazioni orali in merito ad altra precedente contestazione della società, aveva consegnato una chiavetta USB contenente registrazioni di conversazioni effettuate in orario di lavoro e sul posto di lavoro coinvolgenti altri dipendenti, ad insaputa degli stessi. In motivazione viene rilevato che si trattava di registrazioni di colloqui ad opera del dipendente medesimo, vale a dire di una delle persone presenti e partecipi ad essi, che aveva adottato tutte le dovute cautele al fine di non diffondere le registrazioni effettuate all'insaputa dei soggetti coinvolti. E' stata quindi considerata operante la deroga relativa all'ipotesi per cui il consenso non fosse richiesto, trattandosi di far valere o difendere un diritto in sede giudiziaria; infatti, la condotta era stata posta in essere dal dipendente per tutelare la propria posizione all'interno dell'azienda, messa a rischio da contestazioni disciplinari non proprio cristalline e per precostituirsi un mezzo di prova visto che diversamente avrebbe potuto trovarsi nella difficile situazione di non avere strumenti per tutelare la propria posizione ritenuta pregiudicata dalla condotta altrui. In senso contrario cfr Cassazione civile sez. lav., Ordinanza 16/05/2018, n.11999 Ordinanza).

Ordinanza 16/09/2024 n° 24797
Area: Giurisprudenza

Il trattamento di dati personali raccolti mediante una registrazione audio effettuata all’insaputa degli interlocutori e, pertanto, senza il loro consenso, nell’ambito di una riunione di lavoro, quando sia funzionale all’esercizio del diritto di difesa in giudizio, prescinde dal consenso della parte interessata e non può considerarsi illecito a condizione che i dati siano trattati esclusivamente per tale finalità e per il periodo strettamente necessario al suo perseguimento. Il diritto di difesa non è limitato alla pura e semplice sede processuale, ma comprende tutte le attività dirette ad acquisire prove in essa utilizzabili, ancor prima che la controversia sia stata formalmente instaurata. La liceità del trattamento dei dati personali costituito dal deposito in giudizio di una registrazione di una conversazione raccolta senza consenso della parte interessata è delibata solo dal giudice del merito della causa in cui la registrazione stessa è utilizzata. L’apprezzamento del giudice ha per oggetto esclusivamente la finalità difensiva perseguita da chi intenda avvalersi di tale mezzo istruttorio, essendo irrilevanti tanto l’identità, quanto la natura difensiva o meno del fine dell’autore materiale della registrazione stessa. (L’ordinanza in commento, pur pronunciata con riferimento a un contesto estraneo al mondo della scuola, affronta una delicata questione di carattere generale e di grande interesse. La controversia trae origine da un reclamo al Garante Privacy proposto da alcuni dirigenti di una società privata, i quali avevano chiesto che fosse ordinata la distruzione di un file audio contenente la registrazione di una conversazione con loro intrattenuta da un dipendente nell’ambito di una riunione svoltasi diversi anni prima. Tale file era stato prodotto da altri dipendenti della società, diversi dall’autore della registrazione, in occasione di un processo di lavoro intentato contro la medesima ditta. Il diniego espresso dal Garante era quindi impugnato dai dirigenti avanti il Tribunale di Venezia, il quale non solo aveva dichiarato l’illegittimità del citato provvedimento, ma aveva ordinato ai lavoratori di cancellare il file audio in questione. In particolare, il Tribunale aveva dichiarato l’illiceità della registrazione effettuata all’insaputa e senza il consenso degli interlocutori, non ravvisando alcuna concreta esigenza difensiva nell’originaria registrazione del colloquio, che, inoltre, era stata ceduta ad altri colleghi dopo due anni dalla data della riunione. La Corte di Cassazione, con l’ordinanza in questione, ha ribaltato la decisione del Tribunale, osservando che “il diritto di difesa in giudizio consente, ai sensi dell’art.24, lett.f del D.Lgs n.196 del 2003, di prescindere dal consenso della parte interessata, a condizione che i dati siano trattati esclusivamente per tale finalità e per il periodo strettamente necessario al suo perseguimento”. Il diritto di difesa, inoltre, non sarebbe limitato alla pura e semplice sede processuale, ma comprende “tutte le attività dirette ad acquisire prove in essa utilizzabili, ancor prima che la controversia sia stata formalmente instaurata”. In sostanza, ai fini della liceità del trattamento, sarebbero irrilevanti come e da chi sia stata eseguita la registrazione, o che sussistessero esigenze difensive in capo al suo autore materiale, ma per quali scopi siano utilizzate la conversazione registrata e le informazioni in essa contenute e segnatamente per quale finalità le abbia utilizzate concretamente il lavoratore ricorrente. Del resto, è evidente che per poter utilizzare dei dati in giudizio è necessaria una preventiva attività di ricerca e raccolta degli stessi, la cui liceità si valuta, appunto, in ragione dell'uso fattone. In linea generale, conclude quindi la Corte, “l’utilizzazione dei dati pur senza il consenso dell'interessato è ritenuta lecita quando si tratti di difendere un diritto fondamentale e inoltre, quando i dati siano stati utilizzati in giudizio, come nella specie, è il giudice di quel giudizio a dover bilanciare gli interessi in gioco ed ammettere o meno le prove che comportano il trattamento di dati di terzi, posto che la titolarità del trattamento spetta in questo caso all'autorità giudiziaria e in tal sede vanno composte le diverse esigenze, rispettivamente, di tutela della riservatezza e di corretta esecuzione del processo”. Avrebbe dunque errato il Tribunale civile -adito in sede impugnatoria del provvedimento del Garante- a sostituirsi al Giudice del lavoro -davanti al quale è stato depositato il file audio- nella valutazione della legittimità del trattamento dei dati personali. Ad un primo sommario esame, la pronuncia della Cassazione suscita qualche perplessità laddove opera una forse troppo radicale scissione tra la posizione dell’autore della registrazione e quella del successivo utilizzatore della stessa. Invero, come si ricava dall’ordinanza, il file audio era stato raccolto, senza consenso dei presenti, da soggetto diverso da coloro i quali ne avevano fatto utilizzo in sede processuale. Ebbene, ciò che non convince appieno è la dichiarata irrilevanza del come e del perché l’autore della registrazione aveva agito. Invero, tale affermazione conduce a ritenere che la finalità difensiva di chi sia venuto in possesso del file e delle informazioni in esse contenute sia idonea a sterilizzare l’eventuale originaria illiceità della condotta di colui il quale aveva, in ipotesi anche ingiustificatamente, effettuato la registrazione stessa.)

Sentenza 17/10/2025 n° 315
Area: Giurisprudenza

Il Dirigente scolastico di un istituto superiore è stato citato dalla Corte dei Conti per sentirlo condannare al risarcimento del danno pari a circa euro 22.000, per aver consentito, in occasione dell’avvio dell’anno scolastico 2014/15, la pubblicazione sul sito istituzionale della scuola degli elenchi con la composizione delle classi in violazione delle norme vigenti in materia di tutela dei dati personali e delle direttive del Garante della Privacy in assenza di esplicito consenso espresso dagli alunni e dai genitori esercenti la potestà. Una docente della scuola aveva segnalato la situazione all’autorità di vigilanza e in tal modo aveva avvio un procedimento sanzionatorio, poi conclusosi con l’irrogazione di una sanzione pari a euro 20.000. Poiché il Dirigente scolastico non aveva provveduto al pagamento della sanzione nei termini assegnati dall’autorità, la somma era stata iscritta a ruolo dall’Agenzia delle Entrate con conseguente notifica al Dirigente della cartella esattoriale per un importo maggiorato a oltre euro 22.000. Una volta divenuta inopponibile la contestazione per decorso del termine, l’Istituto procedeva al pagamento della cartella, con rateizzazione. A quel punto, la Procura della Corte dei Conti notificava l’atto di citazione al Dirigente, individuato come unico responsabile dell’avvenuta contestazione e del conseguente pagamento della sanzione amministrativa. In particolare la Procura rilevava che il Dirigente aveva omesso di realizzare un corretto sistema di gestione di tutte le tematiche afferenti alla tutela dei dati personali, non aveva nominato un responsabile del trattamento, né aveva predisposto circolari, direttive, note d’indirizzo ai sottoposti, e, più in generale, di un sistema di controlli adeguato alle caratteristiche ed alle dimensioni dell’Istituto gestito. Il Dirigente, con colpevole superficialità e negligenza, ometteva, anche, per un prolungato periodo di tempo, i necessari riscontri in ordine all’effettiva osservanza della normativa. Una volta ricevuta la notifica della citazione a giudizio della Procura ma prima dell’udienza di trattazione, il Dirigente provvedeva al pagamento integrale della somma e chiedeva alla Corte di voler dichiarare l’estinzione del giudizio per cessata materia del contendere. I giudici, hanno innanzitutto sottolineato che si ha cessazione della materia del contendere allorché risulti dimostrato che non sussiste più contestazione tra le parti sul diritto sostanziale e che conseguentemente non vi è più la necessità di affermare la volontà della legge nel caso concreto, allorché sopravvengano nel corso del giudizio fatti tali da determinare il venir meno delle ragioni di contrasto tra le parti e, dunque, dell'interesse al ricorso. La Corte ha pertanto dichiarato l’estinzione del giudizio per cessata materia del contendere con compensazione delle spese di lite tra le parti.

Sentenza 15/11/2023 n° 3369
Area: Giurisprudenza

L’obbligo di trasmissione della documentazione utile alla liquidazione del TFS grava sul datore di lavoro individuato per legge (il Ministero dell'Istruzione), ovvero, quanto ai profili organizzativi, sull’istituzione scolastica di ultima assegnazione del dipendente. L’eventuale responsabilità per ritardata trasmissione della documentazione utile alla liquidazione della prestazione — con conseguente diritto dell’INPS al risarcimento degli interessi corrisposti al dipendente — è imputabile esclusivamente al datore di lavoro individuato ex lege nel Ministero dell’Istruzione, ovvero all’istituzione scolastica presso cui il lavoratore risulta in servizio al momento della cessazione. Ne consegue che è nullo l’avviso di addebito emesso dall’INPS e notificato, nei confronti del solo Istituto scolastico, e non anche del Ministero dell’Istruzione e del Merito, quale effettivo datore di lavoro

Sentenza 17/08/2024 n° 351
Area: Giurisprudenza

L’art. 33 co 5 della L. 104/92 non costituisce in capo al dipendente un diritto incondizionato e illimitato al trasferimento. L’inciso “ove possibile” contenuto nella norma presuppone, oltre agli altri requisiti previsti dalla legge, la compatibilità con l'interesse comune, nel senso che il diritto all’effettiva tutela della persona disabile non può essere fatto valere quando il relativo esercizio valga a ledere in misura consistente le esigenze economiche ed organizzative del datore di lavoro, in quanto ciò può tradursi, soprattutto per quanto riguarda i rapporti di lavoro pubblico, in un danno per la collettività. Se quindi l’art. 33 sopra citato non attribuisce un diritto assoluto al trasferimento, è da considerarsi legittima la disciplina contrattuale (nel caso di specie l’art.13 del CCNI sulla mobilità del 06.03.19 con l’O.M. 106 del 29.03.21) che, nel comparare le esigenze organizzative della pubblica amministrazione e quelle dei lavoratori, regolamenta in modo diverso i trasferimenti provinciali e quelli interprovinciali limitando l’operatività della L. n. 104 alla sola mobilità provinciale. (nel caso di specie, peraltro, viene anche evidenziato il mancato adempimento degli oneri probatori da parte della ricorrente: l’eventuale riconoscimento del diritto di precedenza non implica automaticamente l’ottenimento della sede anelata, la ricorrente avrebbe dovuto dimostrare che, ove riconosciuto il diritto di precedenza, ella avrebbe conseguito la movimentazione richiesta).

Sentenza 25/06/2018 n° 3907
Area: Giurisprudenza

E’ legittimo il rigetto dell’istanza di accesso civico generalizzato di cui all’art. 5 d.lgs. n. 33/2013 che abbia ad oggetto le parti eliminate di un video streaming di una riunione, relativo ai colloqui tra i partecipanti alla riunione, intrattenuti durante la sospensione dei lavori per la pausa pranzo, ed inavvertitamente filmati. I colloqui privati fatti oggetto di registrazione per errore e che esulano dall’esercizio di funzioni istituzionali non possono considerarsi oggetto di accesso pubblico ai sensi dell’art. 5 del D.lgs. 33/2013 in quanto non perseguono i fini indicati nella normativa tra cui la promozione al dibattito pubblico e la diffusione del controllo delle istituzioni e delle risorse pubbliche. Nel caso di specie il diritto di protezione dei dati personali riguardanti manifestazioni di pensiero fra persone che (in quel particolare momento) non rivestono né esercitano funzioni pubbliche, deve prevalere sul diritto di accesso generalizzato. (Decisione di interesse per limitare alla funzione istituzionale perseguita i provvedimenti in tema di accesso all'attività provvedimentale degli organi collegiali)

Sentenza 01/11/2025 n° 28904
Area: Giurisprudenza

La ritenuta discriminazione alla base del mancato superamento del periodo di prova va dimostrata in giudizio dal docente In caso di mancato superamento del periodo di prova da parte di un docente per due anni consecutivi, il giudizio sull’inidoneità alla docenza spetta al Comitato di valutazione previsto dal D.M. n. 850/2015 e al Dirigente Scolastico. Qualora il docente intenda sostenere che si è trattato di un mancato superamento del periodo di prova dettato da ragioni di discriminazione o ritorsione, deve dimostrarlo in giudizio. In particolare, se si intendono acquisire prove testimoniali a favore della propria tesi, è necessario dimostrare che tali testimonianze siano in grado di confutare le valutazioni contenute nelle relazioni dei tutor, degli ispettori scolastici e del Comitato di valutazione. Anche qualora uno dei membri del Comitato di valutazione non riceva la documentazione istruttoria sulla prova almeno cinque giorni prima della data fissata per il colloquio finale del docente (previsto dall’art. 13 del D.M. n. 850/2015), ciò non determina automaticamente l’illegittimità del parere espresso dal Comitato, peraltro non vincolante nei confronti del Dirigente Scolastico. (Nel caso di specie, la sezione lavoro della Corte di cassazione ha confermato una sentenza di appello che affermava la legittimità della decisione della scuola che affermava il mancato superamento di un periodo di prova da parte di un docente. La decisione si fondava sul mancato rispetto, da parte del docente in prova, delle scadenze assegnate dai tutor, sulle carenze riscontrate nella preparazione e nella didattica e sul mancato adempimento dei doveri d’ufficio.)

Sentenza 02/09/2025 n° 652
Area: Giurisprudenza

1. In materia di accesso agli atti nei pubblici concorsi, le domande e i documenti prodotti dai candidati, i verbali, le schede di valutazione e gli stessi elaborati di un concorso pubblico costituiscono documenti rispetto ai quali deve essere esclusa in radice l’esigenza di riservatezza a tutela dei terzi, posto che i concorrenti, prendendo parte alla selezione, hanno evidentemente acconsentito a misurarsi in una competizione di cui la comparazione dei valori di ciascuno costituisce l'essenza della valutazione. Tali atti, quindi, una volta acquisiti alla procedura, escono dalla sfera personale dei partecipanti. 2. I concorrenti di pubblici concorsi alla cui documentazione si chiede di accedere non assumono, normalmente, neppure la veste di controinteressati in senso tecnico nel giudizio proposto ex art. 25, L. n. 241/1990##1173T; di talché l'omessa integrale intimazione in giudizio dei concorrenti cui si riferiscono gli atti fatti oggetto della richiesta ostensiva non arreca loro alcun significativo pregiudizio non potendo gli stessi opporsi all'ostensione dei documenti richiesti (si veda Tar Campania Napoli ord. 24 febbraio 2025 n. 1523). 3. Nel caso di specie, il TAR non ha ritenuto condivisibile la tesi dall’Amministrazione per cui le istanze, ove richiedono “ogni atto o documento da cui si evincano i criteri di valutazione utilizzati dalla commissione in applicazione a quanto previsto dall’Allegato al bando di concorso…al fine dell’attribuzione dei rispettivi punteggi, verifica e conferma titoli, scheda di valutazione prova orale con griglia di valutazione”, sarebbero eccessivamente generiche ed esplorative. Infatti, parte ricorrente ha individuato la documentazione da richiedere sulla base delle informazioni a sua disposizione, documentazione identificabile peraltro, almeno in parte, con la medesima già rilasciata limitatamente alle prove del ricorrente. 4. L'onere di specificazione dei documenti per i quali si esercita il diritto di accesso non implica la formale indicazione di tutti gli estremi identificativi (organo emanante, numero di protocollo, data di adozione dell'atto), ma può ritenersi assolto anche solo con l'indicazione dell'oggetto e dello scopo proprio dell'atto in questione ove, nei singoli casi di specie, risulti formulata in modo tale da mettere l'Amministrazione in condizione di comprendere la portata ed il contenuto della domanda (Tar Marche 26 aprile 2024 n. 409, Tar Sicilia Catania 30 gennaio 2023, n. 284 ). 5. Nel caso di specie, gli atti sono stati ritenuti sufficientemente individuati mediante la loro attinenza ai criteri di valutazione delle prove scritte e orali. Il partecipante di un concorso non può essere a conoscenza degli atti adottati dalla Commissione per orientare la propria attività. 6. In merito alla verifica dei titoli di riserva da parte di tutti i partecipanti al concorso sia vincitori che idonei, vale la regola per cui l’accesso deve essere limitato alla documentazione effettivamente esistente agli atti della procedura. Nel caso in esame le istanze sembrano richiedere all’Amministrazione un’attività di verifica ex novo senza indicare i documenti esistenti. 7. La domanda di accesso alle certificazioni presentate da idonei e vincitori e alle date di validità delle stesse per le categorie di riserva è specifica e non impone un’attività alla PA. L’accesso a tali documenti è consentito se finalizzata a difendere i propri interessi giuridici. La tutela della riservatezza non può ritenersi tout court ostativa al cd. “accesso difensivo”, ed anzi, salvo il giusto contrappeso con gli interessi cd. “sensibilissimi”, l’accesso difensivo è ritenuto ad essa prevalente. 8. L’art. 24, della L. n. 241 del 1990##1172T consente l’accesso agli atti amministrativi necessari per curare o per difendere i propri interessi giuridici anche laddove essi riguardino dati sensibili, salva l’applicazione dei principi di cui all’art. 60, D. Lgs. n. 196 del 2003##2277T, nel qual caso, il trattamento di atti contenenti dati idonei a rivelare, tra gli altri, lo stato di salute è consentito se la situazione giuridicamente rilevante che si intende tutelare con la richiesta di accesso ai documenti amministrativi è di rango almeno pari ai diritti dell'interessato, ovvero consiste in un diritto della personalità o in un altro diritto o libertà fondamentale e inviolabile (tra le tante Tar Lazio Roma 6 febbraio 2024, n. 2288) Nel caso in esame, vista la non contestata appartenenza del ricorrente alle categorie di riserva, la documentazione richiesta rientra certamente tra gli atti amministrativi necessari per curare o per difendere i propri interessi giuridici anche laddove essi riguardino dati sensibili. 9. Con riguardo ai limiti all’accesso, negli atti richiesti (con particolare riguardo alle certificazioni eventualmente acquisite dalla PA), sono potenzialmente contenuti anche dati previsti dall'art. 60, comma 1, del D.Lgs. n. 196 del 2003##2277T, nel testo sostituito dall'art. 5, comma 1, lett. b), del DLgs. n. 101 del 2018##3705T, il quale prevede che "quando il trattamento concerne dati genetici, relativi alla salute, alla vita sessuale o all'orientamento sessuale della persona, il trattamento è consentito se la situazione giuridicamente rilevante che si intende tutelare con la richiesta di accesso ai documenti amministrativi, è di rango almeno pari ai diritti dell'interessato, ovvero consiste in un diritto della personalità o in un altro diritto o libertà fondamentale". Tali dati dovranno essere oscurati dall’Amministrazione. 11. La graduatoria degli idonei, essendo esclusa la sua pubblicazione per legge, si presenta come un documento non esistente, che deve essere formato dall’Amministrazione in risposta all’istanza e, quindi, non accessibile. 12. L’accesso non potrà riguardare tutte le domande e la documentazione dei vincitori e degli idonei, ma solo i vincitori e gli idonei con un punteggio uguale o superiore al ricorrente, non essendo individuabile un interesse del ricorrente medesimo ad accedere alle domande dei soggetti idonei con un punteggio inferiore.

Sentenza 22/04/2008 n° 3960
Area: Giurisprudenza

1. In materia di accesso agli atti, le disposizioni in materia di diritto di accesso mirano a coniugare la ratio dell’istituto, quale fattore di trasparenza e garanzia di imparzialità dell’Amministrazione – come enunciato dall’art. 22 della citata legge n. 241/90##1170T – con il bilanciamento da effettuare rispetto ad interessi contrapposti, fra cui – specificamente – quelli dei soggetti “individuati o facilmente individuabili”…che dall’esercizio dell’accesso vedrebbero compromesso il loro diritto alla riservatezza” (art. 22 cit., comma 1, lettera c)##1170T; il successivo articolo 24 della medesima legge##1172T, che disciplina i casi di esclusione dal diritto in questione, prevede al primo e al sesto comma casi di possibile sottrazione all’accesso e fra questi – al primo comma, punto d) – quelli relativi a “procedimenti selettivi, nei confronti dei documenti amministrativi contenenti informazioni di carattere psicoattitudinale relativi a terzi”; al terzo comma, inoltre, si dispone l’inammissibilità delle istanze di accesso, preordinate ad un controllo generalizzato dell’operato delle pubbliche amministrazioni. A norma del medesimo art. 24, comma 7 della legge n. 241/1990##1172T, “deve…essere garantito ai richiedenti l’accesso ai documenti amministrativi, la cui conoscenza sia necessaria per curare o per difendere i propri interessi giuridici”; nel caso di “documenti contenenti dati sensibili e giudiziari”, però, la medesima norma precisa che l’accesso è consentito solo “nei limiti in cui sia strettamente indispensabile” (in esito ad un sostanziale bilanciamento di interessi, operato già a livello legislativo come regola di massima, ma da integrare con ogni evidenza – caso per caso – in considerazione delle specifiche esigenze da soddisfare). 2. Le esigenze di tutela, cui rispondono le prescrizioni dei primi sei commi del medesimo art. 24 L. n. 241/90##1172T, nonché dei conseguenti regolamenti attuativi, sono recessive rispetto al diritto di difesa (anche previa disapplicazione delle norme regolamentari contrastanti), ma non in modo assoluto: il tenore letterale e la ratio della disposizione legislativa in questione impongono infatti di volta in volta un’attenta valutazione, circa la stretta funzionalità dell’accesso alla salvaguardia di posizioni soggettive protette, che si assumano lese, con ulteriore salvaguardia, attraverso i limiti così imposti, degli altri interessi coinvolti, talvolta rispondenti a principi di pari rango costituzionale rispetto al diritto di difesa. Nel caso di specie, una candidata all’esame di maturità aveva chiesto copia delle schede personali di tutti gli altri candidati esaminati dalla commissione, dei giudizi di ammissione all’esame di Stato di ciascuno di essi, di tutti gli elaborati presentati nelle prove scritte di esame degli altri candidati, dei giudizi completi espressi in relazione a tutte le prove degli altri candidati, oltre che di tutti i verbali della commissione esaminatrice. L’Amministrazione scolastica rendeva disponibili gli atti inerenti le prove di esame sostenute dalla presentatrice dell’istanza, nonché parte dei verbali attestanti i lavori della Commissione esaminatrice, mentre dichiarava non consentito l’accesso ai documenti inerenti agli “altri candidati”, non essendo stato dimostrato uno specifico interesse della ricorrente alla conoscenza degli atti relativi agli altri candidati, tenuto conto del carattere non concorsuale degli esami di maturità. Secondo il Consiglio di Stato, nella fattispecie, esisteva un interesse ancora non formalizzato dell’istante a contestare l’esito sfavorevole del proprio esame di maturità; tale interesse presupponeva l’immediata esigenza difensiva di accedere agli atti, concernenti le prove sostenute dall’istante stessa e tale esigenza è stata soddisfatta dall’Amministrazione; non altrettanto giustificata, tuttavia, appariva fin dall’origine una richiesta di generalizzato controllo dell’intera procedura di esame, per tutti i candidati ammessi alle medesime prove nell’anno in questione: quanto sopra, dovendo ritenersi precluso un controllo generalizzato dell’attività amministrativa e non essendo dimostrabile che le esigenze difensive della candidata, giudicata sfavorevolmente, fossero pregiudicate dalla omessa conoscenza di tutti i dati relativi agli altri candidati, il cui diritto alla riservatezza avrebbe potuto, in tale ipotesi, essere sacrificato. Un allargamento di prospettiva dell’accesso sarebbe stato nella fattispecie configurabile solo in rapporto ad argomentazioni concrete, prospettate dall’interessata dopo una prima valutazione della documentazione in proprio possesso.

Sentenza 02/07/2025 n° 107
Area: Giurisprudenza

Il sistema normativo e contrattuale in materia di carta del docente va così riassunto. A. La carta del docente di cui all’art. 1, comma 121 della legge n. 107/2015 spetta ai docenti non di ruolo che ricevano incarichi annuali fino al 31 agosto, ai sensi dell’art. 4, primo comma della legge n. 124 del 1999, o incarichi per docenza fino al termine delle attività didattiche, ovverosia fino al 30 giugno, ai sensi dell’art. 4, secondo comma della medesima legge, e non rileva l’omessa presentazione, a suo tempo, di una domanda a quel fine diretta al Ministero. B. Ai docenti di cui al punto A, ai quali il beneficio di cui all’art. 1, comma 121 non sia stato tempestivamente riconosciuto e che, al momento della pronuncia giudiziale sul loro diritto, siano interni al sistema delle docenze scolastiche, perché iscritti nelle graduatorie per le supplenze, incaricati di una supplenza o transitati in ruolo, spetta l’adempimento in forma specifica, per l’attribuzione della carta del docente, secondo il sistema proprio di essa e per un valore corrispondente a quello perduto, oltre a interessi o rivalutazione, ai sensi dell’art. 22, comma 36 legge 23 dicembre 1994, n. 724, dalla data in cui è sorto il diritto all’accredito fino alla sua concreta attribuzione. C. Ai docenti di cui al punto A, cui quali il beneficio di cui all’art. 1, comma 121 non sia stato tempestivamente riconosciuto e che, al momento della pronuncia giudiziale, siano fuorusciti dal sistema delle docenze scolastiche, per la cessazione dal servizio di ruolo o per la cancellazione dalle graduatorie per le supplenze, spetta il risarcimento, per i danni che siano da essi allegati, rispetto ai quali, oltre alla prova presuntiva, può ammettersi la liquidazione equitativa, da parte del giudice del merito, nella misura più adeguata al caso di specie, tenuto conto delle circostanze del caso concreto (tra cui, per esempio, la durata della permanenza nel sistema scolastico, cui l’attribuzione è funzionale, o altro elemento rilevante), ed entro il massimo costituito dal valore della carta, salva l’allegazione e la prova specifica di un pregiudizio maggiore. D. L’azione di adempimento in forma specifica per l’attribuzione della carta del docente si prescrive nel termine quinquennale di cui all’art. 2948 n. 4 c.c., che decorre dalla data in cui è sorto il diritto all’accredito, ovverosia, per i casi di cui all’art. 4, primo e secondo comma della legge n. 124/1999, dalla data del conferimento dell’incarico di supplenza o, se posteriore, dalla data in cui il sistema telematico consentiva anno per anno la registrazione sulla corrispondente piattaforma informatica; la prescrizione delle azioni risarcitorie per la mancata attribuzione della carta del docente, tenuto conto della natura contrattuale della responsabilità, è decennale e il termine decorre, per i docenti già transitati in ruolo e cessati dal servizio o non più iscritti nelle graduatorie per le supplenze, dalla data della loro fuoruscita dal sistema scolastico.

Ordinanza 12/08/2025 n° 23185
Area: Giurisprudenza

Nell’esercizio dei permessi di cui all’art. 33 comma 3 della Legge n. 104 del 1992 non é richiesto che l'assistenza debba essere prestata necessariamente in corrispondenza dell'orario di lavoro che il lavoratore avrebbe dovuto svolgere, posto che si tratta di diritto del lavoratore che non ha siffatta limitazione temporale nella legge. (Nel caso di specie la Cassazione ha confermato l’illegittimità del licenziamento - già annullato dalla Corte di Appello – intimato ad un dipendente perché non aveva svolto assistenza all'invalido per il quale aveva preso permesso essendo stato, tra l’altro, fotografato al mare tra le ore 8:00 e le 13 con il figlio, in due giorni di agosto su tre di assenza per permesso, come era emerso da un'attività di pedinamento in relazione investigativa, però mai depositata in giudizio. La Corte di Appello aveva ritenuto che il datore non avesse provato che il lavoratore non si fosse recato dalla madre per l'assistenza dopo le ore 19:00 e nelle ore notturne ed ha riscontrato varie lacune dell'attività di sorveglianza. La Cassazione ha osservato che sulla base dell'ampia istruttoria espletata il lavoratore ha dimostrato l'effettività dell'assistenza prestata al proprio familiare, in particolare durante le ore notturne nelle quali era necessaria la detta assistenza per la particolari ragioni mediche indicate dai testimoni).

Ordinanza 11/09/2025 n° 25038
Area: Giurisprudenza

I dipendenti possono usufruire dei permessi per motivi di studio soltanto per frequentare corsi in orari coincidenti con quelli di servizio e non per tutte le necessità connesse all'esigenza di preparazione degli esami, ovvero per altre attività complementari. Pertanto, nel caso di università telematiche, in relazione alle lezioni erogate in modalità asincrona, non può che ritenersi che il lavoratore ha diritto a fruire dei permessi solo nel caso in cui dia prova alla propria amministrazione di appartenenza di aver seguito effettivamente lezioni trasmesse in via telematica esclusivamente in orari e giorni coincidenti con quelli in cui è tenuto a svolgere la propria attività lavorativa. Dunque, per quanto riguarda la partecipazione ai corsi delle università telematiche, proprio la circostanza che il lavoratore non è tenuto a rispettare un orario di frequenza del corso in orari prestabiliti induce a ritenere che ciò possa avvenire anche al di fuori dell'orario di lavoro, con il conseguente venire meno di ogni necessità di fruizione dei permessi di cui si tratta. Infatti, non essendo obbligato a partecipare necessariamente alle lezioni in orari rigidi, come avviene nella Università ordinaria, il lavoratore potrebbe sempre scegliere orari di collegamento compatibili con l'orario di lavoro nell'ente. In altri termini, il permesso serve a giustificare l'assenza dal servizio da parte del lavoratore interessato e tale assenza deve essere documentata con una dichiarazione dell'autorità scolastica o universitaria che attesti la partecipazione ai corsi per le ore di lavoro non prestate sino alla concorrenza di 150 ore. ( Si ricorda che per il personale scolastico l'art. 37 comma 6 del CCNL 2024 prevede che i criteri per la fruizione dei permessi per il diritto allo studio, sono definiti nell’ambito della contrattazione collettiva integrativa a livello regionale di cui all’art. 30, comma 4, lett. b4).

Ordinanza 09/09/2025 n° 24922
Area: Giurisprudenza

Il congedo parentale è configurabile come un diritto potestativo, caratterizzato da un comportamento con cui il titolare realizza da solo l'interesse tutelato e a cui fa riscontro, nell'altra parte, una mera soggezione alle conseguenze della dichiarazione di volontà. La configurazione legale di tale diritto potestativo non esclude la verifica delle modalità del suo esercizio nel suo momento funzionale, per mezzo di accertamenti probatori consentiti dall'ordinamento, ai fini della qualificazione del comportamento del lavoratore negli ambiti suddetti (quello del rapporto negoziale e quello del rapporto assistenziale), posto che la titolarità di un diritto potestativo non determina mera discrezionalità e arbitrio nell'esercizio di esso e non esclude la sindacabilità e il controllo degli atti. Il diritto va esercitato per la cura diretta del bambino, e lo svolgimento di qualunque altra attività che non si ponga in diretta relazione con detta cura, costituisce un abuso del diritto potestativo del congedo parentale; in coerenza con la ratio del beneficio, infatti, l'assenza dal lavoro per la fruizione del congedo deve porsi in relazione diretta con l'esigenza per il cui soddisfacimento il diritto stesso è riconosciuto, ossia l'assistenza al figlio. ( Nel caso di specie la Cassazione ha confermato la legittimità del licenziamento intimato ad un dipendente per abuso dei congedi parentali avendo, il lavoratore, trascurato di garantire il soddisfacimento dei bisogni affettivi dei figli e della loro esigenza di un pieno inserimento nella famiglia, dedicandosi, anche, ad attività lavorativa all'interno dello stabilimento balneare gestito dalla moglie e senza apportare alcun miglioramento all'organizzazione del nucleo familiare ma, anzi, rendendo necessario il ricorso ad un aiuto esterno per surrogare la presenza e il contatto diretto padre-figlio che l'istituto del congedo parentale è finalizzato a preservare).

Ordinanza 13/05/2021 n° 12865
Area: Giurisprudenza

In tema di indennità di buonuscita e di riscatto contributivo dei dipendenti pubblici, la Pubblica Amministrazione datrice di lavoro è tenuta a trasmettere la documentazione necessaria all’ente previdenziale entro il termine previsto dall’art. 24, comma 6, d.P.R. 1032/1973: “ La domanda di riscatto deve pervenire all'amministrazione del Fondo di previdenza, debitamente istruita, entro sei mesi dalla data di presentazione all'amministrazione statale competente”. Il ritardo nell’adempimento di tale obbligo, gravante sulla P.A. quale datrice di lavoro e non quale mero soggetto collaborante nel procedimento amministrativo, comporta delle conseguenza civilistiche risarcitorie verso l’ente previdenziale qualora ne derivi un danno. Danno che, nel caso di specie, è consistito nel mancato godimento degli interessi che l'istituto previdenziale stesso avrebbe maturato se l'amministrazione datrice di lavoro non avesse con il proprio comportamento negligente causato la posticipazione dell'incasso dei contributi dovuti dai dipendenti ai fini del riscatto dei servizi previsti dalla legge (c.d. " naturale fecondità del denaro"). In altri termini, il Giudice di legittimità, qualificando la responsabilità dell’amministrazione scolastica per violazione del termine indicato dall’art. 24, comma 6, d.P.R. n. 1032/1973 come una forma di responsabilità ex lege, ha finito con il ricondurre la medesima nel regime di cui all’art. 1218c.c. Nemmeno rileva, ai fini dell’esclusione del danno, il meccanismo di ripiano dei disavanzi INPS previsto dall’art. 2, comma 3, l. 335/1995, non potendo tale norma esonerare lo Stato dalle conseguenze della violazione di obblighi imposti da altre disposizioni.

Sentenza 17/07/2025 n° 19857
Area: Giurisprudenza

Il diritto del disabile di scegliere, ove possibile, la sede di lavoro più vicina al proprio domicilio, va interpretata nel senso che esso può essere esercitato, al ricorrere delle condizioni di legge, oltre che al momento dell'assunzione, anche successivamente a quest'ultima e, in tal caso, sia quando la situazione di disabilità intervenga in corso di rapporto, sia quando essa preesista ma l'interessato, per ragioni apprezzabili, intenda mutare la propria residenza, deponendo in tal senso, oltre che la lettera della norma, l'esigenza di consentire l'effettività del diritto al lavoro in capo alla persona svantaggiata a causa della situazione di disabilità. Deve dunque ritenersi che, sia nel caso di scelta della sede di lavoro all'atto dell'assunzione sia nel caso di successivo trasferimento a domanda, la limitazione del diritto, in ragione della concomitanza di valori di rilievo costituzionale, quali i principi distintamente espressi dall'art. 97 e dall'art. 41 Cost. (quest'ultimo nei limiti della sua applicabilità al lavoro pubblico contrattualizzato), comporta che l'inciso "ove possibile" valga a configurare una subordinazione del diritto alla condizione che il suo esercizio non comporti una lesione eccessiva delle esigenze organizzative ed economiche del datore di lavoro. Come già precisato (Cass. 28 marzo 2023, n. 8743, Cass. n. 22885 del 2021), la vacanza del posto è condizione necessaria ma non sufficiente, in quanto l'Amministrazione resta libera di decidere di coprire una data vacanza ovvero di privilegiare altre soluzioni e le sue determinazioni devono sempre rispettare i principi costituzionali d'imparzialità e di buon andamento, dovendo rispondere a finalità ed esigenze che prescindono dall'interesse dell'aspirante e che, invece, vanno commisurate anche all'interesse alla corretta gestione della finanza pubblica. ( Nel caso di specie un DS vincitore del concorso per dirigente scolastico indetto con D.D.G. n. 1259 del 23/11/2017, siccome utilmente collocato in graduatoria con posizione n. 2.674 e punti 156.75, conveniva in giudizio, dinanzi al Tribunale di Campobasso, il Ministero dell'Istruzione dell'Università e della Ricerca -ora Ministero dell'Istruzione e del Merito, per l'accertamento del suo diritto di precedenza, ai sensi dell'art. 21 della legge n. 104 del 1992 (in quanto invalido al 67%), nella scelta della sede di assegnazione e del diritto a stipulare il contratto di lavoro a tempo indeterminato con sede di lavoro nella Regione Puglia anziché in Molise ove era stato illegittimamente destinato. In particolare, lamentava la violazione della citata disciplina che, se applicata in fase di assegnazione del personale vincitore del concorso ai singoli uffici scolastici regionali e non solo nella fase di assegnazione all'interno della singola Regione, gli avrebbe consentito di ottenere una sede ben più prossima al luogo di residenza. La Cassazione ha confermato la Sentenza di appello che, nel confermare a sua volta la decisione di primo grado, aveva rigettato il ricorso. E’ stato affermato che il candidato vincitore del concorso per dirigente scolastico di cui al DDG del 23 novembre 2017, in base alle disposizioni del bando concorsuale , può far valere il diritto di precedenza nella scelta della sede, ai sensi dell'art. 21 della l. n. 104 del 1992, non già nell'ambito dell'assegnazione presso una determinata Regione ma solamente in sede intraregionale, quindi dopo che sia stata stabilita la Regione di prima nomina in base al suo collocamento in graduatoria).

Sentenza 24/09/2025 n° 26049
Area: Giurisprudenza

E’ legittimo il licenziamento disciplinare di una dipendente che, in occasione della stipula del contratto individuale di lavoro a tempo indeterminato con una Università, già docente di ruolo presso la scuola pubblica sin dal 2015, ha espressamente dichiarato di non avere altri rapporti di impiego pubblico o privato e che con la dichiarazione sostitutiva di certificazione resa proprio ai sensi dell'articolo 45 del D.P.R. n. 445/2000 ha ribadito, a riprova dell'intenzionalità del comportamento, di non prestare servizio presso altre amministrazioni pubbliche eludendo peraltro la successiva opzione presente nel prestampato contenente la dichiarazione di prestare servizio presso altra amministrazione. E’ corretta, quindi, la qualificazione della condotta della dipendente come grave ed intenzionale attesa l'infedele dichiarazione resa ai fini o in occasione dell'instaurazione del rapporto di lavoro che ha consentito alla stessa di beneficiare della procedura di stabilizzazione destinata ai soli lavoratori precari. Il licenziamento per giusta causa si fonda, esclusivamente, sull'accertamento della "falsità dichiarativa commessa all'atto dell'instaurazione del rapporto a tempo indeterminato", essendo conseguentemente del tutto irrilevante la verifica della insussistenza, nel caso di specie, di ipotesi di incompatibilità passibili di sanzione espulsiva essendo assorbente il fatto che, contrariamente al vero, la docente ha affermato, all'atto della stipula, "di non avere altri rapporti di impiego pubblico o privato" ed ha ribadito, con la dichiarazione sostitutiva di certificazione, di "non prestare servizio presso altre amministrazioni pubbliche".

Ordinanza 19/07/2025 n° 20225
Area: Giurisprudenza

La riabilitazione non può essere disposta in caso di sanzione definitiva della destituzione. Sebbene l'art. 501 del D.Lgs. n. 297 del 1994 si riferisca in generale alla sanzione disciplinare senza effettuare esplicite esclusioni circa le sanzioni per le quali può essere effettuata l'istanza di riabilitazione, sussistono evidenti ragioni di natura letterale e sistematica per ritenere l'art. 501 applicabile solo alle prime quattro sanzioni, conservative, previste dall'art. 492, comma 2, del testo unico. Si deve considerare, infatti, che la disposizione attribuisce esplicitamente la legittimazione attiva a chiedere la riabilitazione al "dipendente", segno di un rapporto di lavoro persistente idoneo a mantenere la qualifica di dipendente in capo al soggetto colpito dalla sanzione disciplinare. La disposizione stabilisce, poi, che il dipendente possa "chiedere che siano resi nulli gli effetti della sanzione, esclusa ogni efficacia retroattiva", e cioè gli effetti della riabilitazione, ove abbia tenuto una "condotta meritevole" da sottoporsi "al comitato per la valutazione del servizio": per questa vi appare chiaro che deve essere valutato il servizio reso dal dipendente e che sulle modalità di espletamento del servizio deve esprimersi il comitato competente. La disposizione è palesemente non applicabile a chi, avendo subito la destituzione, non sia più in servizio perché la sua condotta, evidentemente extra-lavorativa, non potrebbe essere utilmente ed obiettivamente valutata dal comitato. Pertanto, nell'ambito del sistema sanzionatorio previsto per il personale della scuola dal testo unico delle disposizioni legislative vigenti in materia, relative alle scuole di ogni ordine e grado D.Lgs. 16/04/1994, n. 297, l'istituto della riabilitazione previsto dall'art. 501 è applicabile alle sole sanzioni conservative previste dall'art. 492, comma 2, lettere a), b), c) e d) del medesimo testo unico e non è applicabile ai dipendenti cessati dal servizio in ragione della applicazione della massima sanzione della destituzione prevista dall'art. 492, comma 2, lettera e).

Sentenza 14/08/2025 n° 99
Area: Giurisprudenza

L’azione di responsabilità ha ad oggetto il caso di un docente di scuola superiore, già colpito per i medesimi fatti dalla sanzione disciplinare della sospensione dal lavoro per un mese, il quale ha esercitato attività imprenditoriale incompatibile con l’insegnamento, essendo risultato amministratore delegato e amministratore unico di tre distinte società di capitali (due delle quali in ambito della formazione e dei corsi di istruzione). Lo stesso era risultato altresì essere socio di tali società e aver ceduto alcune quote di una scuola paritaria alla propria compagna convivente, conservando tuttavia la gestione di fatto della scuola, facendosi parte attiva nella selezione dei docenti, nella stipula dei contratti e nella cura dei rapporti durante l’anno scolastico. La Guardia di Finanza, inoltre, nel corso delle indagini aveva accertato anche gravi irregolarità nel versamento dei contributi (con assunzioni c.d. “in nero” o “in grigio”) e fiscali. D’altro canto, era altresì emerso che il docente non aveva percepito alcun compenso per lo svolgimento di tali attività extraistituzionali. e che lo stesso aveva annualmente chiesto e ottenuto l’autorizzazione all’esercizio della libera professione di commercialista. La Corte dei Conti ha ritenuto l’insegnante responsabile per danno erariale, per aver esercitato attività incompatibile con il servizio pubblico alle dipendenze del Ministero dell’Istruzione. La giurisprudenza ha sinora distinto tra incompatibilità assoluta e incompatibilità relativa del pubblico dipendente allo svolgimento di attività esterne di tipo privatistico, e il caso in esame rientra nella prima ipotesi, di assoluta incompatibilità, in quanto essa è sancita a monte, senza alcuna possibilità di una valutazione in concreto della fattispecie da parte dell’amministrazione. Infatti, l’esercizio da parte del docente di attività di impresa, nella forma dell’amministrazione di varie società, costituisce attività non autorizzabile in senso assoluto, a nulla rilevando che annualmente lo stesso abbia chiesto e ottenuto dal Dirigente scolastico l’autorizzazione all’esercizio della libera professione di commercialista (generale divieto originariamente previsto all’art. 60, del d.P.R. n. 3/1957, Testo unico impiegati civili dello Stato, è confermato dal menzionato art. 53 del d. lgs. n. 165/2001##15L e ulteriormente rimarcato, per il personale scolastico, dall’art. 508, del d. lgs. n. 297/94). Nel merito, la Corte dei Conti della Toscana, andando di contrario avviso rispetto alla pronuncia n. 1/2025 del 25.1.2025 delle Sezioni Riunite della Corte dei Conti, ha ritenuto che in entrambe le ipotesi di incompatibilità assoluta e relativa indistintamente, debbano riconoscersi sussistenti, cumulativamente, sia il danno da mancata entrata per omesso riversamento alle casse dell’amministrazione di appartenenza dei proventi dell’attività vietata (ex art. 53, comma 7 e 7-bis, D.Lgs. n. 165/2001##15L), sia il danno da violazione del sinallagma contrattuale per violazione dell’obbligo di esclusiva del pubblico dipendente. Quanto al primo obbligo, a nulla rileva il titolo formalmente gratuito dell’attività di amministratore di società svolta dal docente, in quanto il dipendente è sempre tenuto a tale riversamento, dal momento che alcune attività, pur formalmente gratuite, determinano in modo indiretto la percezione di un lucro, quali sono quelle gestionali di società in cui si sia, al contempo, soci e, in quanto tali, percettori degli utili che si è contribuito a produrre con il proprio impegno lavorativo nell’amministrazione; ciò in quanto i proventi della società vengono prodotti proprio grazie all’attività di amministrazione posta in essere dal socio amministratore. Analogo discorso vale per la scuola paritaria le cui quote di partecipazione il docente aveva ceduto alla propria convivente, rimanendo comunque amministratore di fatto e co-gestore, poiché le situazioni di incompatibilità non possono essere superate dalla cessione delle quote sociali al coniuge o al convivente more uxorio, rimanendo ferma la presunzione di “comunità di intenti” tra i conviventi che fa presumere, appunto, che simili operazioni siano fittizie e volte all’elusione dei divieti normativi. Quanto al danno da violazione del sinallagma contrattuale, si osserva che il principio di esclusiva non si fonda unicamente sull’esigenza di garantire che le energie fisiche ed intellettuali del dipendente pubblico siano dedicate appieno al pubblico servizio (art. 98, comma 1, Cost.); ma anche che la prestazione di lavoro pubblico avvenga senza i condizionamenti che potrebbero derivare dall’esercizio di altre attività incompatibili, in modo da evitare ogni possibile contiguità dell’interesse privato incompatibile del dipendente con quelli pubblici di buon andamento della pubblica amministrazione. Ne discende che, accanto al danno da ridotto rendimento del dipendente, sarebbe configurabile anche un diverso e ulteriore danno, da violazione dell’obbligo della “fedeltà”, fondato, peraltro, su un principio di fonte costituzionale (art. 98 Cost.), che, con l’assunzione, va a costituire una delle obbligazioni che il dipendente assume nei confronti dell’amministrazione – datore di lavoro. In altri termini – nell’ambito del sinallagma contrattuale - la remunerazione riconosciuta al dipendente pubblico si pone come corrispettivo non solo della prestazione pattuita, corrispondente al ruolo e all’inquadramento e alle conseguenti funzioni da svolgere, ma anche della “fedeltà”, intesa come strumento necessario al perseguimento dei fini della neutralità e dell’indipendenza dell’azione amministrativa e quindi di quel buon andamento della PA, cui i pubblici dipendenti concorrono con il proprio lavoro (artt. 97, comma 2, e 98 Cost.). Ritenuto esistente il nesso causale, quanto all’elemento psicologico, è stato ritenuto sussistente nella forma del dolo desumibile sia dalla qualifica professionale del convenuto, professore di economia aziendale e commercialista libero professionista, rispetto alla quale non può ragionevolmente sostenersi una ignoranza del divieto del doppio lavoro e, nello specifico, dello svolgimento dell’attività di impresa; sia dall’avere questi evitato di farsi corrispondere una retribuzione in chiaro per l’esercizio della funzione di amministratore delegato nelle diverse società; sia dall’avere questi ceduto le quote sociali dell’istituto parificato alla compagna convivente, con modalità elusive, poco prima dell’assunzione nel pubblico impiego. Del resto, non è neppure ipotizzabile che il docente fosse stato indotto in errore in ordine alla possibilità o meno di svolgere l’attività di impresa contestatagli dalla procura erariale, dato che era addirittura sopravvenuta una circolare del dirigente scolastico diretta a tutto il personale docente, volta a dissipare incertezze applicative della disciplina, senza che il professore citato avesse ritenuto di dare esito, anche solo sollevando dubbi o quesiti al riguardo. Nella decisione, la Corte dei Conti ha condannato il docente a risarcire la somma di circa euro 42.000,00, soltanto per il mancato riversamento ai sensi dell’art. 53, commi 7 e 7-bis, del T.U.P.I., in virtù del principio di corrispondenza tra chiesto e pronunciato (art. 112 c.p.c.), avendo la Procura chiesto soltanto il danno da mancato riversamento dei proventi da attività incompatibile, e non anche il danno da violazione dell’obbligo di fedeltà. Nel concreto i giudici sono ricorsi alla valutazione equitativa, considerando il reddito d’impresa parametrato alla quota di partecipazione sociale del docente nelle varie società, tenuto conto che la partecipazione come socio agli utili di impresa costituisce un arricchimento conseguente all’impegno profuso nell’esercizio dell’attività di amministrazione e gestione incompatibili con il pubblico impiego e, quindi, una forma di ritorno economico validamente configurabile alla stregua di una retribuzione.

Ordinanza 13/05/2021 n° 12864
Area: Giurisprudenza

In tema di indennità di buonuscita e di riscatto contributivo dei dipendenti pubblici, la Pubblica Amministrazione datrice di lavoro è tenuta a trasmettere la documentazione necessaria all’ente previdenziale entro il termine previsto dall’art. 24, comma 6, d.P.R. 1032/1973: “ La domanda di riscatto deve pervenire all'amministrazione del Fondo di previdenza, debitamente istruita, entro sei mesi dalla data di presentazione all'amministrazione statale competente”. Il ritardo nell’adempimento di tale obbligo, gravante sulla P.A. quale datrice di lavoro e non quale mero soggetto collaborante nel procedimento amministrativo, comporta delle conseguenza civilistiche risarcitorie verso l’ente previdenziale qualora ne derivi un danno. Danno che, nel caso di specie, è consistito nel mancato godimento degli interessi che l'istituto previdenziale stesso avrebbe maturato se l'amministrazione datrice di lavoro non avesse con il proprio comportamento negligente causato la posticipazione dell'incasso dei contributi dovuti dai dipendenti ai fini del riscatto dei servizi previsti dalla legge (c.d. " naturale fecondità del denaro"). In altri termini, il Giudice di legittimità, qualificando la responsabilità dell’amministrazione scolastica per violazione del termine indicato dall’art. 24, comma 6, d.P.R. n. 1032/1973 come una forma di responsabilità ex lege, ha finito con il ricondurre la medesima nel regime di cui all’art. 1218c.c. Nemmeno rileva, ai fini dell’esclusione del danno, il meccanismo di ripiano dei disavanzi INPS previsto dall’art. 2, comma 3, l. 335/1995, non potendo tale norma esonerare lo Stato dalle conseguenze della violazione di obblighi imposti da altre disposizioni.

Sentenza 03/02/2017 n° 5241
Area: Giurisprudenza

Le registrazioni, video e/o sonore, tra presenti, o anche di una conversazione telefonica, effettuata da uno dei partecipanti al colloquio o da persona autorizzata ad assistervi - che non commette il reato di cui agli artt. 617 e 623 c.p., perchè autorizzato, costituisce prova documentale valida e particolarmente attendibile, perchè cristallizza in via definitiva ed oggettiva un fatto storico - il colloquio tra presenti (e tutto l'incontro, se con video) o la telefonata -; la persona che registra (o che viene filmata dallo stesso autore del fatto) infatti è pienamente legittimata a rendere testimonianza, e quindi la documentazione del colloquio esclude qualsiasi contestazione sul contenuto dello stesso, anche se la registrazione fosse avvenuta su consiglio o su incarico della Polizia Giudiziaria.

13/03/2025 n° 134
Area: Prassi, Circolari, Note

27/03/2025 n° 167
Area: Prassi, Circolari, Note

[doc. web n. 10138981]

Provvedimento del 27 marzo 2025

Registro dei provvedimenti
n. 167 del 27 marzo 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore l'avv. Guido Scorza;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, i Sig.ri XX, XX e XX hanno lamentato, per il tramite del proprio difensore, una presunta violazione della disciplina in materia di protezione dei dati personali con riguardo all’impiego, presso le sedi dell’Istituto di Istruzione Superiore “P. Galluppi” Tropea, di un sistema di rilevazione delle presenze del personale dipendente amministrativo che, richiedendo l’utilizzo delle impronte digitali dei lavoratori, implicherebbe il trattamento dei relativi dati biometrici al fine di identificarli in modo univoco.

2. L’attività istruttoria.

Al riguardo, nell’ambito dell’istruttoria, con nota del XX, l’Istituto ha dichiarato, in particolare, che:

“nelle diverse sedi dell’IIS di Tropea il personale ATA attesta la propria presenza in servizio per mezzo di rilevatore con badge acquisito nell’anno scolastico XX […] Nel corso del tempo, tuttavia, [… l’Istituto] ha rilevato situazioni che hanno generato il dubbio sul corretto utilizzo del badge e sulla effettiva presenza in servizio di titolari del badge, oltre ad episodi di manomissioni, danneggiamenti e atti vandalici. Per fare fronte alle azioni suddette e accertarsi della effettiva presenza in servizio dei dipendenti nelle ore previste, la Dirigenza della Scuola ha proposto al personale, a sua esclusiva tutela, l’integrazione del sistema di rilevazione con l’utilizzo dell’impronta digitale in abbinamento al badge, accolto con favore dallo stesso”;

“il sistema adottato è stato scelto sulla base della garanzia in ordine alla correttezza del trattamento dati ed alla conformità al GDPR rilasciate dall’azienda fornitrice”;

“non si è pensato di dover informare e coinvolgere il DPO, ritenendo sufficienti le indicazioni tecniche e le garanzie fornite dall’azienda oltre al consenso prestato dal personale ATA coinvolto ed anzi alla sollecitazione, da parte dello stesso, circa l’adozione di tale sistema a garanzia di tutti”;

“al personale coinvolto, per consentire di esprimere un consenso libero, è stata garantita la possibilità di usare alternativamente il sistema di rilevazione delle presenze con badge senza associazione dell’impronta. […] Tranne i due Signori [… tra i reclamanti], tutto il personale ATA (34 unità), in servizio presso l’Istituto d’Istruzione Superiore di Tropea, ha prestato il consenso all’integrazione del sistema di rilevazione delle presenze […] Agli atti della scuola sono conservati i consensi sottoscritti dal personale ATA interessato”;

“a seguito della ricezione del reclamo [ossia in data XX, giorno in cui l’Autorità ha trasmesso all’Istituto una richiesta di informazioni ai sensi dell’art. 157 Codice], [… l’Istituto] ha nell’immediatezza sospeso la rilevazione delle presenze con badge abbinato all’impronta digitale. Ad oggi, nonostante le richieste di tutto il personale ATA (tranne le due unità che hanno presentato reclamo) di riattivazione del sistema badge con impronta, sollevate e sollecitate dallo stesso durante le riunioni di avvio anno XX, con la disponibilità di tutto il personale suddetto a prestare richiesta scritta e ulteriore consenso alla riattivazione del sistema, la rilevazione delle presenze in servizio è attestata con il SOLO uso del badge SENZA impronta”.

Quanto, più nello specifico, al funzionamento del sistema di rilevazione delle presenze precedentemente in uso presso l’Istituto, dalla documentazione tecnica trasmessa in allegato alla predetta nota del XX si evince, in particolare, che:

“il funzionamento del lettore di impronte digitali, quale strumento di verifica biometrica comprende 2 fasi principali: A. Registrazione (enrolment): le caratteristiche dell'impronta digitale sono acquisite tramite il lettore del terminale, digitalizzate, elaborate e compresse mediante un algoritmo matematica irreversibile (da non confondersi con il processo di criptografia o crittografia) fino ad ottenerne un modello matematico (template) che, associato al codice identificativo della persona, diviene la base dei successivi confronti o verifiche; B. Verifica (matching): le caratteristiche dell'impronta digitale sono acquisite, digitalizzate, elaborate e compresse in modo identico a quello della fase di registrazione fino ad ottenere un analogo modello matematico. Il confronto tra il modello (template) archiviato relativo al codice di riferimento ed il risultato della lettura determina, in base allo scostamento, il risultato della verifica”;

“nel [predetto] modello […] vengono memorizzati solo dei numeri di riferimento […] e non la caratteristica biometrica vera e propria. Questo rende impossibile risalire dal template all'impronta stessa, rendendo così sicura, in materia di privacy, l'identità dei soggetti registrati”;

“il [predetto] template può essere memorizzato direttamente nella memoria del lettore oppure può essere memorizzato su un badge in dotazione all'utente, in entrambi i casi sono archiviati solo i seguenti dati: codice utente; è un puro codice di riferimento, assimilabile al numero di matricola; modello (template) è un puro numero, assimilabile al codice presente in una banda magnetica di un badge […;] elenco eventi: data/ora, codice utente, indirizzo del terminale ed eventuale codice causale (giustificativo) sono gli unici risultati memorizzati dopo le verifiche operate dal lettore biometrico, dati equivalenti ai dati "classici" di un terminale di gestione presenze”;

“nel lettore biometrico del terminale […] non sono quindi presenti: dati anagrafici dell'utente; immagine dell'impronta digitale dell'utente; dati fisici diretti o deducibili dell'impronta digitale”.

Con nota del XX, l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Istituto, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver trattato i dati personali biometrici dei dipendenti amministrativi, tecnici e ausiliari (A.T.A.) al fine di identificarli in modo univoco per rilevarne la presenza in servizio, in maniera non conforme al principio di “liceità, correttezza e trasparenza” nonché in assenza di un idoneo presupposto normativo, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del XX, l’Istituto, che non ha richiesto di essere audito, ha presentato una memoria difensiva, dichiarando, in particolare, che:

- “il sistema di rilevazione delle presenze tramite badge abbinato all’impronta digitale, è stato avviato [… dall’Istituto] nel XX”

- “contestualmente [alla sospensione dell’impiego del predetto sistema nel XX], sono state effettuate le operazioni di cancellazione di tutti i dati biometrici acquisiti dal sistema e impostato lo stesso per il funzionamento con il solo badge senza associazione dell’impronta”.

- “ad oggi […] la rilevazione delle presenze in servizio è attestata con il solo uso del badge senza impronta”.

3. Il quadro normativo in materia di protezione dei dati personali.

Con riferimento alla questione prospettata nel reclamo si evidenzia, in via preliminare, che i dati biometrici sono definiti dal Regolamento come “i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici” (art. 4, punto 14), del Regolamento) e, laddove intesi a identificare in modo univoco una persona fisica, sono ricompresi tra le categorie “particolari” di dati personali (art. 9 del Regolamento) in ragione della loro delicatezza, derivante dalla stretta e stabile relazione con l’individuo e la sua identità.

Il trattamento di dati biometrici, di regola vietato per effetto del disposto di cui all’art. 9, par. 1, del Regolamento, è consentito esclusivamente al ricorrere di una delle condizioni indicate dell’art. 9, par. 2 del Regolamento e, in ambito lavorativo, solo quando sia “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. b), del Regolamento; v. pure, art. 88, par. 1 e cons. 51-53 del Regolamento).

Il quadro normativo vigente prevede inoltre che il trattamento di dati biometrici, per poter essere lecitamente posto in essere, avvenga nel rispetto di “ulteriori condizioni, comprese limitazioni” (cfr. art. 9, par. 4, del Regolamento); a tale disposizione è stata data attuazione, nell’ordinamento nazionale, con l’art. 2-septies (Misure di garanzia per il trattamento dei dati genetici, biometrici e relativi alla salute) del Codice (come modificato dal decreto legislativo 10 agosto 2018 n. 101 di adeguamento della normativa nazionale alle disposizioni del Regolamento). La norma prevede che è lecito il trattamento di tali categorie di dati al ricorrere di una delle condizioni di cui all’art. 9, par. 2, del Regolamento “ed in conformità alle misure di garanzia disposte dal Garante”, in relazione a ciascuna categoria dei dati.

Il datore di lavoro, titolare del trattamento, è, in ogni caso, tenuto a rispettare i principi di protezione dei dati personali, tra cui in particolare quelli di “liceità, correttezza e trasparenza”, “minimizzazione” e protezione dei dati “fin dalla progettazione” e “per impostazione predefinita” (artt. 5 e 25 del Regolamento).

4. Esito dell’attività istruttoria.

Dall’accertamento compiuto sulla base degli elementi acquisiti e dei fatti emersi all’esito dell’attività istruttoria, nonché delle successive valutazioni dell’Autorità, risulta accertato che, a partire dal XX e sino alla data del XX, l’Istituto ha fatto uso, presso le proprie sedi, di un sistema di rilevazione delle presenze del personale A.T.A. che richiedeva l’utilizzo delle impronte digitali dei lavoratori che avessero rilasciato il proprio consenso, con ciò dando luogo ad un trattamento dei relativi dati biometrici inteso ad identificare in modo univoco i singoli dipendenti al fine di rilevarne la presenza in servizio nonché nell’ottica di prevenire “episodi di manomissioni, danneggiamenti e atti vandalici” (cfr. nota del XX).

In particolare, è stato accertato che il predetto sistema, elaborando le caratteristiche dell'impronta digitale acquisita, permette di creare un modello matematico che, venendo associato al codice identificativo del singolo interessato, costituisce il termine di raffronto delle successive verifiche all’atto della timbratura dei dipendenti.

Ancorché lo stesso non mantenga traccia dei dati anagrafici dei dipendenti, dell’immagine o di “dati fisici diretti o deducibili” delle relative impronte digitali e, per altro verso, “la "ricostruzione dell'impronta digitale" partendo dal modello non [… sia] possibile, nemmeno conoscendo l'algoritmo di elaborazione” (cfr. nota del XX), si osserva quanto segue.

Le informazioni trattate per il tramite di tale sistema risultano comunque riconducibili ad un codice direttamente identificativo del singolo dipendente, ne consentono o confermano l’identificazione univoca e costituiscono pertanto dati personali biometrici (cfr. art. 4, nn. 1) e 14), del Regolamento).

Ciò premesso, si fa presente che la finalità di rilevazione delle presenze in servizio dei dipendenti, funzionale all’attestazione dell’osservanza dell’orario di lavoro alla sua contabilizzazione, che, in generale, nell’ambito del pubblico impiego, è prevista da un quadro normativo stratificatosi nel tempo (v. ad esempio, art. 22, comma 3 della l. 23.12.1994, n. 724; art. 3 della l. 24.12.2007, n. 244; art. 7 del d.P.R. 1.02.1986, n. 13), è riconducibile nell’ambito di applicazione dell’articolo 9 par. 2, lett. b) del Regolamento poiché implica un trattamento “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro […]” (v. pure art. 88, par. 1, Regolamento).  Tuttavia, l’impiego di sistemi di rilevazione delle presenze che comportano anche il trattamento di dati biometrici richiede, nel sistema del Regolamento e del Codice, un’espressa previsione normativa e specifiche garanzie per i diritti degli interessati (il trattamento è infatti consentito “nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri […] in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato”, art. 9, par. 2, lett. b), del Regolamento e cons. 51-53, e “nel rispetto delle misure di garanzia” individuate dal Garante ai sensi dell’art. 9, par. 4, del Regolamento e dell’art. 2-septies del Codice).

Nel contesto lavorativo il trattamento avente a oggetto dati biometrici può essere lecitamente posto in essere solo ove lo stesso trovi il proprio fondamento in una disposizione normativa che possa essere ritenuta base giuridica del trattamento “idonea” anche alla luce dell’assetto delle fonti dell’“ordinamento costituzionale” dello Stato membro (v. considerando 41 del Regolamento e v. anche Corte Cost. sent. n. 271/2005, in base alla quale la disciplina di protezione dei dati personali rientra fra la materia di competenza esclusiva statale riferita all’“ordinamento civile”). Tale disposizione deve, infatti, avere le caratteristiche richieste dalla disciplina di protezione dei dati e soddisfare specifici requisiti, sia in termini di qualità della fonte, contenuti necessari e misure appropriate e specifiche per tutelare i diritti e le libertà degli interessati, sia in termini di proporzionalità dell’intervento regolatorio rispetto alle finalità che si intendono perseguire (art. 6, parr. 2 e 3, lett. b), del Regolamento). Ciò in quanto, la base giuridica del trattamento, per poter essere considerata una valida condizione di liceità del trattamento, deve, tra l’altro, “persegu[ire] un obiettivo di interesse pubblico ed [essere] proporzionato all’obiettivo legittimo perseguito” (art. 6, par. 3, lett. b), del Regolamento).

Al riguardo, si fa presente inoltre che l’art. 2 della l. 19 giugno 2019, n. 56, recante “Interventi per la concretezza delle azioni delle pubbliche amministrazioni e la prevenzione dell’assenteismo”, aveva previsto una generalizzata sostituzione dei sistemi di rilevazione automatica delle presenze con sistemi di rilevazione di dati biometrici unitamente all’impiego di sistemi di videosorveglianza prevedendo che, “ai fini della verifica dell’osservanza dell’orario di lavoro”, le amministrazioni pubbliche - individuate ai sensi dell’art. 1, comma 2, del d.lgs. n. 165/2001, ad esclusione del “personale in regime di diritto pubblico” (cfr. art. 3, comma 2, d.lgs. n. 165/2001), e quello sottoposto alla disciplina del lavoro agile di cui all’articolo 18 della legge 22 maggio 2017, n. 81 - “introducono sistemi di identificazione biometrica e di videosorveglianza in sostituzione dei diversi sistemi di rilevazione automatica attualmente in uso” ma prevede anche che le “modalità attuative” della norma – nel rispetto dell’art. 9 del Regolamento e delle misure di garanzia definite dal Garante ai sensi dell’art. 2-septies del Codice – siano individuate con d.P.C.M., su proposta del Ministro della funzione pubblica, previa intesa con la conferenza unificata (stato regioni e autonomie locali) e “previo parere del Garante ai sensi dell’art. 154 del Codice sulle modalità del trattamento dei dati biometrici”.

Nell’esercizio dei propri poteri consultivi sugli atti normativi (artt. 36, par. 4 e 58, par. 3 del Regolamento nonché art. 154 del Codice), il Garante aveva, a suo tempo, segnalato al legislatore nazionale le criticità della norma evidenziando, in particolare, “l’eccedenza rispetto alle finalità che si intendono perseguire, anche sotto il profilo della gradualità delle misure limitative che possono essere adottate nei confronti dei lavoratori” (cfr. provv. 11 ottobre 2018, n. 464, doc. web n. 9051774) e - confermando quanto già rilevato nel corso delle audizioni dinanzi alle Commissioni parlamentari competenti (audizioni presso le Commissioni riunite I e XI, Affari Costituzionali e Lavoro, della Camera dei Deputati il 6 febbraio 2019, doc. web n. 9080870) -, ha ribadito, anche in relazione allo schema di regolamento di attuazione, peraltro mai adottato, che “non può ritenersi in alcun modo conforme al canone di proporzionalità- come declinato dalla giurisprudenza europea e interna– l’ipotizzata introduzione sistematica, generalizzata e indifferenziata per tutte le pubbliche amministrazioni di sistemi di rilevazione biometrica delle presenze, in ragione dei vincoli posti dall’ordinamento europeo sul punto, a motivo dell’invasività di tali forme di verifica e delle implicazioni derivanti dalla particolare natura del dato” (provv. 19 settembre 2019, n. 167, doc. web n. 9147290).

Le disposizioni che prevedevano l’introduzione di sistemi di rilevazione biometrica delle presenze, in ambito pubblico, contenute nei commi da 1 a 4 dell’art. 2 della l. 19 giugno 2019, n. 56, sono state da ultimo abrogate dalla l. 30 dicembre 2020, n. 178 (c.d. Legge di Bilancio 2021, art. 1, comma 958). 
Per tali ragioni, si evidenzia che, in assenza di specifiche disposizioni che prevedano il trattamento dei dati biometrici per finalità di rilevazione delle presenze e delle relative garanzie, il relativo trattamento non può essere lecitamente effettuato, non sussistendo base giuridica.

In tale quadro, il Garante in numerosi casi ha accertato l’illiceità del trattamento dei dati biometrici dei dipendenti per la finalità di rilevazione delle presenze posto in essere da soggetti pubblici e privati in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, adottando i conseguenti provvedimenti correttivi e sanzionatori (provv. 15 dicembre 2022, n. 422, doc. web n. 9852776; provv. 15 dicembre 2022, n. 423, doc. web n. 9852800; provv. 14 gennaio 2021, n. 16, doc. web n. 9542071; per analoghe considerazioni in ambito privato, cfr. provv. 22 febbraio 2024, n. 105, 106, 107, 108 e 109, doc. web nn. 9995680, 9995701, 9995741, 9995762, 9995785; provv. 10 novembre 2022, n. 369, doc. web n. 9832838).

Nei menzionati provvedimenti, il Garante ha altresì avuto modo di chiarire come il difetto di base giuridica, in merito al trattamento dei dati biometrici, non possa essere colmato neppure dal consenso dei dipendenti, che l’Istituto ha dichiarato di aver acquisito nel caso di specie, assicurando altresì ai dipendenti che non lo avessero rilasciato la possibilità di attestare la propria presenza in servizio senza conferire a tal fine dati biometrici. Ciò in quanto, alla luce della asimmetria tra le rispettive parti del rapporto di lavoro e la conseguente, eventuale, necessità di accertare, di volta in volta e in concreto, l’effettiva libertà della manifestazione di volontà del dipendente, il consenso non costituisce, di regola, un valido presupposto di liceità per il trattamento dei dati personali in ambito lavorativo, indipendentemente dalla natura pubblica o privata del datore di lavoro (cons. n. 43; art. 4, punto 11), e art. 7, par. 3 e 4, del Regolamento; v., l’orientamento consolidato in sede europea, Gruppo di lavoro "Articolo 29", Parere 2/2017 sul trattamento dei dati sul posto di lavoro, WP 249, p. 7 e 26 e Linee Guida sul consenso ai sensi del Regolamento UE 2016/679- WP 259- del 4 maggio 2020).

Per le ragioni che precedono, deve concludersi che il trattamento dei dati personali biometrici dei dipendenti amministrativi, tecnici e ausiliari (A.T.A.), effettuato dall’Istituto al fine di identificarli in modo univoco per rilevarne la presenza in servizio, è stato posto in essere in maniera non conforme al principio di “liceità, correttezza e trasparenza” nonché in assenza di un idoneo presupposto normativo, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento

5. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Istituto, per aver effettuato il predetto trattamento in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti - atteso che l’Istituto ha dichiarato di aver sospeso l’utilizzo del sistema di rilevazione biometrica delle presenze dei dipendenti A.T.A. nel XX nonché di aver cancellato i dati biometrici precedentemente raccolti - non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto, in particolare, che:

il trattamento, che ha riguardato unicamente i dipendenti A.T.A. (34 persone), ai quali era comunque riconosciuta la possibilità di registrare la propria presenza in servizio attraverso modalità tradizionali che non comportavano il trattamento di dati biometrici (art. 83, par. 2, lett. a), del Regolamento);

il titolare, nel fare affidamento sulle informazioni rese dalla società fornitrice del sistema, ha ritenuto di non consultare il proprio responsabile della protezione dei dati, iniziativa che avrebbe invece consentito allo stesso di avvedersi degli specifici ed elevati rischi per i diritti e le libertà degli interessati coinvolti e di orientare le proprie scelte al riguardo in maniera maggiormente consapevole e, se del caso, diversa (art. 83, par. 2, lett. b), del Regolamento);

il trattamento ha avuto ad oggetto dati biometrici intesi ad identificare in modo univoco gli interessati di cui agli artt. 4, n. 14), del Regolamento, dati che, analogamente a quelli sulla salute e genetici, sono tutelati in maniera particolarmente stringente dal Regolamento e dal Codice (cfr. art. 83, par. 2, lett. g), del Regolamento),

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia alto (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel tenere presente che, comunque, il titolare è costituito da un istituto scolastico, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze attenuanti:

il titolare ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria, avendo, peraltro, fornito tempestiva comunicazione delle iniziative intraprese per porre rimedio alla violazione (art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dall’Istituto (art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000,00 (quattromila/00) per la violazione degli artt. 5, 6 e 9 del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione della particolare natura dei dati personali oggetto di trattamento e dei connessi rischi per gli interessati nel contesto lavorativo.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dall’Istituto di Istruzione Superiore “P. Galluppi” Tropea per violazione degli artt. 5, 6 e 9 del Regolamento, nei termini di cui in motivazione;

ORDINA

all’Istituto di Istruzione Superiore “P. Galluppi” Tropea in persona del legale rappresentante pro-tempore, con sede legale in viale Coniugi Crigna snc - 89861 Tropea (VV), C.F. 96012510796, di pagare la somma di euro 4.000,00 (quattromila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Istituto, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 4.000,00 (quattromila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 27 marzo 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei

n° 1
Area: Normativa

1. Al decreto legislativo 13 aprile 2017, n. 62, sono apportate le seguenti modificazioni:

a) all'articolo 12:

1) il comma 1 è sostituito dal seguente:

«1. L'esame di Stato conclusivo dei percorsi di istruzione secondaria di secondo grado è denominato «esame di maturità». L' esame di maturità verifica i livelli di apprendimento conseguiti da ciascun candidato in relazione alle conoscenze, alle abilità e alle competenze specifiche di ogni indirizzo di studio, con riferimento alle Indicazioni nazionali per i licei e alle Linee guida per gli istituti tecnici e gli istituti professionali, e valuta il grado di maturazione personale, di autonomia e di responsabilità acquisito al termine del percorso di studio, anche tenuto conto dell'impegno dimostrato nell'ambito scolastico e in altre attività coerenti con il medesimo percorso di studio, in una prospettiva di sviluppo integrale della persona. L'esame di maturità assume altresì una funzione orientativa, finalizzata a sostenere scelte consapevoli in ordine al proseguimento degli studi a livello terziario ovvero all'inserimento nel mondo del lavoro e delle professioni.»;

2) il comma 2 è sostituito dal seguente:

«2. In relazione al profilo educativo, culturale e professionale specifico di ogni indirizzo di studi, l'esame di Stato tiene conto anche della partecipazione alle attività di formazione scuola-lavoro, dello sviluppo delle competenze digitali e del percorso dello studente di cui all'articolo 1, comma 28, della legge 13 luglio 2015, n. 107.»;

3) il comma 3 è sostituito dal seguente:

«3. L'esame di maturità tiene conto delle competenze maturate nell'ambito dell'insegnamento dell'educazione civica di cui alla legge 20 agosto 2019, n. 92.»;

b) all'articolo 16, comma 4, il primo periodo è sostituito dal seguente: «Presso le istituzioni scolastiche statali e paritarie sedi di esame, sono costituite commissioni d'esame, una ogni due classi, presiedute da un presidente esterno all'istituzione scolastica e composte da due membri esterni e, per ciascuna delle due classi, da due membri interni, afferenti alle aree disciplinari individuate con decreto del Ministro dell'istruzione e del merito da adottare entro sessanta giorni dalla data di entrata in vigore della presente disposizione.»;

c) all'articolo 17:

1) dopo il comma 2 è inserito il seguente:

«2-bis. L'esame di maturità è validamente sostenuto se il candidato ha regolarmente svolto tutte le prove di cui al comma 2»;

2) il comma 7 è sostituito dal seguente:

«7. Con decreto del Ministro dell'istruzione e del merito, sono individuate annualmente, entro il mese di gennaio, le discipline oggetto della seconda prova, nell'ambito delle materie caratterizzanti i percorsi di studio, l'eventuale disciplina oggetto di una terza prova scritta per specifici indirizzi di studio, le quattro discipline oggetto di colloquio d'esame, nonché le modalità organizzative relative allo svolgimento del colloquio medesimo di cui al comma 9. Per gli istituti professionali continuano ad applicarsi le specifiche disposizioni vigenti.»;

3) al comma 9:

3.1) il secondo periodo è sostituito dai seguenti:

«A tal fine la commissione d'esame tiene conto anche delle informazioni contenute nel curriculum dello studente di cui all'articolo 1, comma 30, della legge 13 luglio 2015, n. 107. Il colloquio si svolge sulle quattro discipline individuate ai sensi del comma 7 del presente articolo, al fine di verificare l'acquisizione dei contenuti e dei metodi propri di ciascuna disciplina, la capacità di utilizzare e raccordare le conoscenze acquisite e di argomentare in modo critico e personale, nonché il grado di responsabilità e maturità raggiunto. Il colloquio concorre alla valutazione delle conoscenze, delle abilità e delle competenze del candidato, nonché del grado di maturazione personale, di autonomia e di responsabilità raggiunto al termine del percorso di studio, anche tenuto conto dell'impegno dimostrato nell'ambito scolastico e in altre attività coerenti con il percorso di studio, nonché del grado di responsabilità o dell'impegno evidenziati in azioni particolarmente meritevoli, in una prospettiva di sviluppo integrale della persona. La commissione d'esame tiene, altresì, conto delle competenze maturate nell'insegnamento trasversale dell'educazione civica, come definite nel curricolo d'istituto e documentate dalle attività indicate nel documento del consiglio di classe.»;

d) all'articolo 18, il comma 5 è sostituito dal seguente:

«5. La commissione d'esame può motivatamente integrare il punteggio fino a un massimo di tre punti ove il candidato abbia ottenuto un punteggio complessivo di almeno novantasette punti, tra credito scolastico e prove d'esame»;

e) all'articolo 21:

1) al comma 2, secondo periodo, dopo le parole: «sono indicati,» sono inserite le seguenti: «all'esito dell'esame di maturità,»;

2) il comma 3 è sostituito dal seguente:

«3. Con decreto del Ministro dell'istruzione e del merito sono adottati il modello relativo al diploma finale di cui al comma 1 e, sentito il Garante per la protezione dei dati personali, il modello relativo al curriculum di cui al comma 2.».

2. A decorrere dalla data di entrata in vigore del presente decreto, la denominazione «Esame di Stato conclusivo del secondo ciclo di istruzione», ovunque ricorra, è sostituita dalla seguente: «esame di maturità».

3. All'articolo 1 del decreto legislativo 17 ottobre 2005, n. 226, il comma 7 è sostituito dal seguente:

«7. Nell'ambito del primo biennio dei percorsi della scuola secondaria di secondo grado, gli studenti possono richiedere, entro e non oltre il 31 gennaio di ciascun anno scolastico, l'iscrizione alla corrispondente classe di altro indirizzo, articolazione o opzione. L'istituzione scolastica individuata per la successiva frequenza adotta interventi didattici integrativi volti ad assicurare l'acquisizione delle conoscenze, delle abilità e delle competenze necessarie per l'inserimento nel percorso prescelto, al fine di favorire il successo formativo e il riorientamento. A decorrere dal terzo anno dei percorsi della scuola secondaria di secondo grado, gli studenti, all'esito dello scrutinio finale, possono richiedere l'iscrizione a una classe corrispondente di altro percorso, indirizzo, articolazione o opzione del medesimo grado di scuola, presso l'istituzione scolastica individuata per la prosecuzione degli studi, previo superamento di un esame integrativo. L'esame integrativo si svolge in un'unica sessione da concludersi prima dell'inizio delle lezioni. Con ordinanza del Ministro dell'istruzione e del merito sono stabilite le modalità di svolgimento degli esami integrativi di cui al quarto periodo.».

4. All'articolo 17, comma 2, del decreto legislativo 31 dicembre 2009, n. 213, dopo la lettera a) è inserita la seguente:

«a-bis) la restituzione alle studentesse e agli studenti dei livelli di apprendimento conseguiti nelle prove a carattere nazionale di cui all'articolo 19 del decreto legislativo 13 aprile 2017, n. 62;».

5. All'articolo 1 della legge 1° ottobre 2024, n. 150, dopo il comma 5 è aggiunto il seguente:

«5-bis. L'elaborato critico in materia di cittadinanza attiva e solidale è discusso dalla studentessa o dallo studente in sede di accertamento del recupero delle carenze formative di cui all'articolo 4, comma 6, del decreto del Presidente della Repubblica 22 giugno 2009, n. 122.».

6. All'articolo 1 della legge 30 dicembre 2018, n. 145, dopo il comma 784-septies è inserito il seguente:

«784-octies. Fermi restando gli obblighi di attivazione, i contenuti formativi, gli obiettivi generali e le finalità educative previsti dalla normativa vigente, a decorrere dall'anno scolastico 2025/2026, i percorsi per le competenze trasversali e per l'orientamento di cui ai commi 784 e 785 sono ridenominati «formazione scuola-lavoro». A decorrere dal medesimo anno scolastico, la denominazione «percorsi per le competenze trasversali e per l'orientamento», ovunque ricorra, è da intendersi sostituita con la denominazione di cui al primo periodo.».

7. L'autorizzazione di spesa di cui all'articolo 1, comma 125, della legge 13 luglio 2015, n. 107, è incrementata di 3 milioni di euro annui a decorrere dall'anno 2026, anche per la formazione specifica dei docenti nominati quali componenti delle commissioni degli esami di maturità. Ai relativi oneri si provvede, mediante utilizzo di quota parte delle risorse rivenienti dalle disposizioni di cui all'articolo 1, comma 1, lettera b) del presente decreto.

8. A decorrere dall'anno scolastico 2026/2027 costituisce titolo preferenziale per la nomina a componente delle commissioni degli esami di maturità l'aver partecipato alla formazione specifica di cui al comma 7.

n° 22
Area: Normativa

1.  Ai fini dell'assunzione al lavoro pubblico e privato non è richiesta la certificazione di sana e robusta costituzione fisica.
 

n° 1
Area: Normativa

1.  Il trattamento dei dati personali avviene secondo le norme del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, di seguito «Regolamento», e del presente codice, nel rispetto della dignità umana, dei diritti e delle libertà fondamentali della persona. (1)

(1) Articolo così sostituito dal d.lgs. 101/2018, con effetto a decorrere dal 19 settembre 2018.

n° 87-bis
Area: Normativa

1. Allo scopo di agevolare l'applicazione del lavoro agile di cui alla legge 22 maggio 2017, n. 81, quale ulteriore misura per contrastare e contenere l'imprevedibile emergenza epidemiologica, i quantitativi massimi delle vigenti convenzioni-quadro di Consip S.p.A. per la fornitura di personal computer portatili e tablet possono essere incrementati sino al 50 per cento del valore iniziale delle convenzioni, fatta salva la facolta' di recesso dell'aggiudicatario con riferimento a tale incremento, da esercitare entro quindici giorni dalla comunicazione della modifica da parte della stazione appaltante.

2. Nel caso di recesso dell'aggiudicatario ai sensi del comma 1 o nel caso in cui l'incremento dei quantitativi di cui al comma 1 non sia sufficiente al soddisfacimento del fabbisogno delle pubbliche amministrazioni di cui all'articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165, nonche' degli organismi di diritto pubblico di cui all'articolo 3, comma 1, lettera d), del codice di cui al decreto legislativo 18 aprile 2016, n. 50, Consip S.p.A., nell'ambito del Programma di razionalizzazione degli acquisti nella pubblica amministrazione, e' autorizzata sino al 30 settembre 2020, ai sensi dell'articolo 63, comma 2, lettera e), del decreto legislativo 18 aprile 2016, n. 50:

a) allo svolgimento di procedure negoziate senza previa pubblicazione di bandi di gara finalizzate alla stipula di convenzioni-quadro interpellando progressivamente gli operatori economici che hanno presentato un'offerta valida nella proceduta indetta da Consip S.p.A. per la conclusione della vigente convenzione per la fornitura di personal computer portatili e tablet, alle stesse condizioni contrattuali offerte dal primo miglior offerente;

b) allo svolgimento di procedure negoziate senza previa pubblicazione di bandi di gara finalizzate alla stipula di convenzioni-quadro e di accordi-quadro aventi ad oggetto beni e servizi informatici, selezionando almeno tre operatori economici da consultare, se sussistono in tale numero soggetti idonei, tra gli operatori economici ammessi nella pertinente categoria del sistema dinamico di acquisizione di cui all'articolo 55, comma 14, del decreto legislativo 18 aprile 2016, n. 50.

3. Ai fini dello svolgimento delle procedure di cui al comma 2 le offerte possono essere presentate sotto forma di catalogo elettronico di cui all'articolo 57 del codice di cui al decreto legislativo 18 aprile 2016, n. 50, e la raccolta delle relative informazioni puo' avvenire con modalita' completamente automatizzate.

4. Ai contratti derivanti dalle procedure di cui al comma 2 possono ricorrere le pubbliche amministrazioni di cui all'articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165, nonche' gli organismi di diritto pubblico di cui all'articolo 3, comma 1, lettera d), del codice di cui al decreto legislativo 18 aprile 2016, n. 50, previa attestazione della necessita' ed urgenza di acquisire le relative dotazioni al fine di poter adottare le misure di lavoro agile di cui al comma 1 per il proprio personale.

5. All'articolo 14, comma 1, della legge 7 agosto 2015, n. 124, le parole: "per la sperimentazione" sono soppresse».

(1) Articolo inserito in sede di conversione dalla legge n. 27/2020, con effetto a decorrere dal 30 aprile 2020.

n° 22
Area: Normativa

1.  Fermo restando quanto previsto dall'articolo 9-bis, ciascuna amministrazione pubblica e aggiorna annualmente:
a)  l'elenco degli enti pubblici, comunque denominati, istituiti, vigilati o finanziati dall'amministrazione medesima nonché di quelli per i quali l'amministrazione abbia il potere di nomina degli amministratori dell'ente, con l'elencazione delle funzioni attribuite e delle attività svolte in favore dell'amministrazione o delle attività di servizio pubblico affidate;
b)  l'elenco delle società di cui detiene direttamente quote di partecipazione anche minoritaria indicandone l'entità, con l'indicazione delle funzioni attribuite e delle attività svolte in favore dell'amministrazione o delle attività di servizio pubblico affidate;
c)  l'elenco degli enti di diritto privato, comunque denominati, in controllo dell'amministrazione, con l'indicazione delle funzioni attribuite e delle attività svolte in favore dell'amministrazione o delle attività di servizio pubblico affidate. Ai fini delle presenti disposizioni sono enti di diritto privato in controllo pubblico gli enti di diritto privato sottoposti a controllo da parte di amministrazioni pubbliche, oppure gli enti costituiti o vigilati da pubbliche amministrazioni nei quali siano a queste riconosciuti, anche in assenza di una partecipazione azionaria, poteri di nomina dei vertici o dei componenti degli organi;
d)  una o più rappresentazioni grafiche che evidenziano i rapporti tra l'amministrazione e gli enti di cui al precedente comma;
d-bis)  i provvedimenti in materia di costituzione di società a partecipazione pubblica, acquisto di partecipazioni in società già costituite, gestione delle partecipazioni pubbliche, alienazione di partecipazioni sociali, quotazione di società a controllo pubblico in mercati regolamentati e razionalizzazione periodica delle partecipazioni pubbliche, previsti dal decreto legislativo adottato ai sensi dell'articolo 18 della legge 7 agosto 2015, n. 124.
2.  Fermo restando quanto previsto dall'articolo 9-bis, per ciascuno degli enti di cui alle lettere da a) a c) del comma 1 sono pubblicati i dati relativi alla ragione sociale, alla misura della eventuale partecipazione dell'amministrazione, alla durata dell'impegno, all'onere complessivo a qualsiasi titolo gravante per l'anno sul bilancio dell'amministrazione, al numero dei rappresentanti dell'amministrazione negli organi di governo, al trattamento economico complessivo a ciascuno di essi spettante, ai risultati di bilancio degli ultimi tre esercizi finanziari. Sono altresì pubblicati i dati relativi agli incarichi di amministratore dell'ente e il relativo trattamento economico complessivo.
3.  Nel sito dell'amministrazione è inserito il collegamento con i siti istituzionali dei soggetti di cui al comma 1.
4.  Nel caso di mancata o incompleta pubblicazione dei dati relativi agli enti di cui al comma 1, è vietata l'erogazione in loro favore di somme a qualsivoglia titolo da parte dell'amministrazione interessata ad esclusione dei pagamenti che le amministrazioni sono tenute ad erogare a fronte di obbligazioni contrattuali per prestazioni svolte in loro favore da parte di uno degli enti e società indicati nelle categorie di cui al comma 1, lettere da a) a c).
5.  Le amministrazioni titolari di partecipazioni di controllo promuovono l'applicazione dei principi di trasparenza di cui ai commi 1, lettera b), e 2, da parte delle società direttamente controllate nei confronti delle società indirettamente controllate dalle medesime amministrazioni.
6.  Le disposizioni di cui al presente articolo non trovano applicazione nei confronti delle società, partecipate da amministrazioni pubbliche, con azioni quotate in mercati regolamentati italiani o di altri paesi dell'Unione europea, e loro controllate.

11/02/2021 n° 51
Area: Prassi, Circolari, Note

[doc. web n. 9572226]

Ordinanza ingiunzione nei confronti di OMISSIS - 11 febbraio 2021

Registro dei provvedimenti
n. 51 dell'11 febbraio 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, Segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “RGPD”);

VISTO il d. lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Il reclamo

Questa Autorità ha ricevuto un reclamo in ordine alla diffusione sul sito web istituzionale del Liceo Scientifico OMISSIS di OMISSIS di graduatorie relative a personale docente di III fascia, contenenti dati personali del reclamante.

2. L’attività istruttoria.

Dalla istruttoria preliminare effettuata dall’Ufficio in data 22 ottobre 2019, è emerso che la predetta graduatoria, relativa al personale docente di III fascia, risultava visibile e liberamente scaricabile dal sito web istituzionale del predetto Istituto,  all’url: https://...

Nell’ambito dell’accertamento effettuato, l’Ufficio ha inoltre riscontrato che in tali graduatorie, previste dall´art. 5, comma 9, Decreto del Ministro della Pubblica Istruzione 13 giugno 2007, n. 131 (Regolamento per il conferimento delle supplenze al personale docente ed educativo ai sensi dell’articolo 4 della legge 3 maggio 1999, n. 124) e dall’art. 32, l. 18 giugno 2009, n. 69, oltre ai dati personali indicati dal reclamante, erano contenute ulteriori informazioni di carattere personale relative a circa 2000 docenti, non necessarie rispetto alle finalità sottese alla pubblicazione, tra le quali i recapiti telefonici, l’indirizzo di residenza, gli indirizzi e-mail, i codici di preferenza nonché i dati relativi alla salute di taluni interessati.

L’Ufficio ha infatti rilevato che, nei campi denominati “Prefer. 1” “Prefer. 2” “Prefer. 3” “Prefer. 4” risultavano indicate alcune sigle alfabetiche tra cui la lettera “S”.  Tale lettera, secondo quanto riportato nell’Allegato 6 (codici preferenze) del Decreto del Ministero dell’Istruzione Università e Ricerca del 1° aprile 2014, n. 235 (Aggiornamento delle graduatorie ad esaurimento del personale docente ed educativo, valevoli per il triennio scolastico 2014/15, 2015/16 e 2016/17), nonché nei modelli di domanda relativi alla inclusione nelle graduatorie di circolo e d’istituto per il medesimo triennio scolastico, allegate al D.M. 22 maggio 2014, n. 353 (vedi anche art. 5, comma 4 del D.P.R. 9 maggio 1994 n. 487), individua la categoria degli “invalidi e mutilati civili”. Gli interessati per i quali è stata individuata la presenza della sigla “S” erano circa 25.

Al riguardo, il liceo OMISSIS, ha fornito riscontro alla richiesta di informazioni di questo Dipartimento del 29 ottobre 2019 (prot. n. 37090/19) con nota prot. 3717/A.13.a del 23 novembre 2019.

In particolare, il Dirigente scolastico del Liceo, con dichiarazione della cui veridicità risponde penalmente ai sensi dell’art. 168 del Codice, ha rappresentato che:

- “l'Amministrazione ha erroneamente ed involontariamente diffuso sulla rete internet il file relativo alle graduatorie provvisorie di Istituto del personale docente di III fascia, contenente anche informazioni personali del docente reclamante. Si è accertato che al posto del file da pubblicare, appositamente decurtato da tutti i dati personali non necessari allo scopo, è stato purtroppo inserito il file originale”;

- sono state “messe in atto tutte le misure di sicurezza necessarie al fine di impedire la diffusione e divulgazione ulteriore dei dati suindicati. Gli stessi; infatti, sono stati rimossi tempestivamente dal sito istituzionale della Scuola. A seguito poi di comunicazione del Dpo in carica all'epoca in data 21/10/2019 della presenza nel web di dati ancora accessibili, l'Amministrazione ha altresì chiesto una rimozione profonda dal server dei file che erano già stati immediatamente rimossi dall'albo del sito, da parte dei programmatori del Gruppo Spaggiari — Parma, con contestuale richiesta a google della rimozione del link “.

3.  Normativa applicabile.

Ai sensi del Regolamento europeo, divenuto applicabile dal 25 maggio 2018, il trattamento di dati personali effettuato da soggetti pubblici, anche quando operano nell’ambito di procedure concorsuali e selettive del personale, è lecito, solo se tale trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e)).

La normativa europea prevede inoltre che “Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto (…)” con la conseguenza che, al caso di specie, risulta applicabile la disposizione contenuta nell’art. 2-ter del Codice, in base al quale l’operazione di diffusione di dati personali (come la pubblicazione in Internet), in ambito pubblico è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento.

In tale quadro, il trattamento dei dati personali deve avvenire nel rispetto dei principi indicati nell’art. 5 del Regolamento, fra cui quelli di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, secondo i quali i dati personali devono essere – rispettivamente – “trattati in modo lecito, corretto e trasparente nei confronti dell'interessato” nonché “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (par. 1, lett. a) e c)).

In ogni caso, resta assolutamente vietata la diffusione di dati relativi alla salute (art. 9, parr. 1, 2 e 4, del Regolamento, art. 2-septies, comma 8, del Codice, ossia di “dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute” (art. 4, par. 1, n. 15; considerando n. 35 del Regolamento).

Con particolare riferimento alla pubblicazione delle graduatorie, inoltre, il Garante nel provvedimento n. 134 del 15 maggio 2014, recante le “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati» (in www.gpdp.it, doc. web n. 3134436, in corso di aggiornamento) ha chiarito che “devono essere diffusi i soli dati pertinenti e non eccedenti riferiti agli interessati” e che “Non possono quindi formare oggetto di pubblicazione dati concernenti i recapiti degli interessati (si pensi alle utenze di telefonia fissa o mobile, l´indirizzo di residenza o di posta elettronica, il codice fiscale, l´indicatore Isee, il numero di figli disabili, i risultati di test psicoattitudinali o i titoli di studio)”. In maniera analoga il Garante si era espresso nel provvedimento n. 23 del 14 giugno 2007, recante “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico"(in www.gpdp.it, doc. web n. 1417809) evidenziando che: “Non risulta lecito riportare negli atti delle graduatorie da pubblicare altre tipologie di informazioni non pertinenti quali, ad esempio, recapiti di telefonia fissa o mobile o il codice fiscale.”

4. Valutazioni preliminari dell’Ufficio sul trattamento di dati personali effettuato.

Dall’accertamento compiuto sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, l’Ufficio ha accertato che l’Istituto scolastico, pubblicando sul sito web istituzionale le suddette graduatorie (comprensive, tra l’altro, di codice fiscale, indirizzo di residenza, numero di telefono fisso e mobile, indirizzo e-mail, codici di preferenza, dati relativi alla salute degli interessati), ha determinato una divulgazione di dati personali relativi ai soggetti riportati nelle predette graduatorie, in assenza di un idoneo presupposto normativo, ai sensi dell’art. 2-ter, commi 1 e 3 del Codice, in riferimento all’art. 6 par. 1, lett. c) ed e), del Regolamento, che invece ammette la predetta possibilità, da parte di soggetti pubblici, solo quando la diffusione è prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento, nonché la diffusione di dati relativi alla salute di taluni interessati in violazione dell’art. 9, parr. 1, 2 e 4, del Regolamento, nonché dell’art. 2-septies, comma 8, del Codice.

La diffusione dei dati personali sopra descritti è avvenuta, inoltre, in maniera non conforme al rispetto dei principi di “liceità” e “minimizzazione” del trattamento, in violazione dell’art. 5, par. 1, lett. a) e c), del Regolamento europeo.

Si è così proceduto alla notifica delle violazioni effettuate, prevista dall’art. 166, comma 5, del Codice, all’Istituto scolastico, comunicando l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articolo 58, paragrafo 2, del Regolamento e invitando il predetto Liceo a inviare al Garante scritti difensivi o documenti ed, eventualmente, a chiedere di essere sentito dall’Autorità, entro il termine di 30 giorni (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

5. Esito dell’istruttoria relativa al reclamo presentato.

Con nota prot. n. 0001797/2020 del 02 luglio 2020 il Liceo ha inviato al Garante i propri scritti difensivi in relazione alle violazioni notificate.

Nello specifico, è stato evidenziato, fra l’altro, che:

- “l’Amministrazione ha erroneamente ed involontariamente diffuso sulla rete internet il file relativo alle graduatorie provvisorie d’Istituto del personale docente di III fascia, contenente anche informazioni personali del docente reclamante. Si è accertato che al posto del file da pubblicare, appositamente decurtato da tutti i dati personali non necessari allo scopo, è stato purtroppo inserito il file originale”.

- “non appena” avuta “conoscenza della violazione tramite pec dell’interessato in data 16/09/2019 nella quale si fa riferimento ad una non rintracciabile telefonata del 30/08/2019, in cui lo stesso avrebbe lamentato la presenza su Internet della problematica in oggetto”, sono state messe “in atto tutte le misure di sicurezza necessarie al fine di impedire la diffusione e divulgazione ulteriore dei dati suindicati”.

- “con riferimento al carattere della violazione, è stata accertata l’involontarietà dello stesso posto che l’errore non è stato di tipo procedurale ma un mero scambio di file, probabilmente non sufficientemente distinti in fase di nominazione”.

- “L’Amministrazione ha altresì chiesto una rimozione profonda dal server dei file che erano già stati immediatamente rimossi dall'albo del sito, da parte dei programmatori del OMISSIS, con contestuale richiesta a google della rimozione del link. Ad oggi i dati personali, anche relativi alla salute del personale docente inserito nelle predette graduatorie, non risultano più presenti sul sito web istituzionale e/o rinvenibili attraverso i comuni motori di ricerca.”

Tali elementi, seppure meritevoli di considerazione, non consentono tuttavia di superare i rilievi notificati dall’Ufficio con la nota prot. n. 20021/20 del 3 giugno 2020 e non risultano sufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro nessuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

In tale quadro, si confermano le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal liceo scientifico OMISSIS per aver diffuso, tramite la pubblicazione integrale delle graduatorie all’url: https://..., dati personali non necessari (codice fiscale, indirizzo, numero di telefono fisso e mobile, indirizzo e-mail, codici di preferenza) rispetto alle finalità perseguite con la pubblicazione della graduatoria, riguardanti il reclamante e altri 2000 docenti inseriti nelle predette graduatorie (cfr., con riguardo alla pubblicazione di dati non pertinenti contenuti in graduatorie scolastiche, i provvedimenti del 6 giugno 2013, nn. 274, 275 e 276, doc. web n. 2535862, 2536184, 2536409)
Risulta accertato inoltre che, nelle stesse graduatorie, fossero contenuti dati relativi alla salute di circa 25 docenti.

L’indicazione della lettera “S” accanto ai nominativi degli interessati, infatti, fornisce informazioni relative allo stato di salute degli stessi, ancorché attraverso la consultazione dell’allegato 6 al decreto del MIUR del 1° aprile 2014, n. 235, in violazione del generale divieto di diffusione dei dati sulla salute (art. 2-septies del Codice; art. 9 del Regolamento; cfr., in particolare, il consolidato orientamento del Garante, ancorché con riguardo al quadro normativo previgente, Provv. 4 febbraio 2016, n. 35, doc. web n. 4727305 e 4912481; Provv. 1° giugno 2016, n. 244, doc. web n. 5260571, e i provvedimenti ivi citati, nonché, da ultimo Provv. 30 gennaio 2020, n. 21, doc. web. n. 9283014, Provv. 6 febbraio 2020 n. 27 doc. web. n. 9283029, Provv. 12 marzo 2020 n. 50 doc. web n. 9365159).

Tale pubblicazione è avvenuta in violazione della normativa a tutela dei dati personali e, specificamente:

a) in violazione dei principi di “liceità, correttezza e trasparenza” e di “minimizzazione dei dati”, di cui all’art. 5, par. 1, lett. a) e c) del Regolamento;

b) in assenza di un presupposto normativo per la pubblicazione di taluni dati personali quali codice fiscale, indirizzo, numero di telefono fisso e mobile, indirizzo e-mail, codici di preferenza, dati relativi alla salute di taluni interessati di cui all’art. 2-ter, commi 1 e 3, del Codice, in riferimento all’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del Regolamento;

c) in violazione del divieto di diffusione di dati relativi alla salute (art. 9, parr. 1, 2, 4, del Regolamento e art. 2-septies, comma 8, del Codice).

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che il titolare del trattamento ha provveduto a rimuovere il documento dal sito della scuola, circostanza verificata dall’Ufficio, non ricorrono i presupposti per l’adozione di provvedimenti, di tipo prescrittivo o inibitorio, di cui all’art. 58, par. 2, del Regolamento.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria (artt. 58, par. 2, lett. i; 83 RGPD).

Il Liceo OMISSIS risulta aver dunque violato gli artt. 5, par. 1, lett. a) e c) e 9, parr. 1, 2, 4, del Regolamento; artt. 2-ter commi 1 e 3, in riferimento all’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del Regolamento e 2-septies, comma 8, del Codice.

Al riguardo, l’art. 83, par. 3, del Regolamento, prevede che “Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento o un responsabile del trattamento viola, con dolo o colpa, varie disposizioni del presente regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave”.

Nel caso di specie, la violazione delle disposizioni citate è soggetta alla stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, che si applica pertanto al caso di specie.

Occorre altresì tenere conto che, seppure i documenti oggetto del reclamo siano stati pubblicati prima della data di piena applicazione del Regolamento, per la determinazione della norma applicabile, sotto il profilo temporale, deve essere richiamato in particolare il principio di legalità di cui all’art. 1, comma 2, della l. n. 689/1981 che sancisce come “Le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e nei tempi in esse considerati”. Ciò determina l’obbligo di prendere in considerazione le disposizioni vigenti al momento della commessa violazione, che nel caso in esame – data la natura permanente dell’illecito contestato – deve essere individuato all’atto di cessazione della condotta illecita, verificatasi successivamente alla data del 25 maggio 2018 in cui il Regolamento è divenuto applicabile. Dagli atti dell’istruttoria è, infatti, emerso che l’illecita diffusione online si è protratta almeno fino alla verifica effettuata dall’Ufficio in data 22 ottobre 2019.

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere correttivo di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso”. In tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In tal senso va considerato che la rilevata condotta, tenuta in violazione della disciplina in materia di protezione dei dati personali, ha avuto a oggetto la diffusione di dati personali non necessari rispetto alle finalità sottese alla pubblicazione delle graduatorie (codice fiscale, indirizzo, numero di telefono fisso e mobile, indirizzo e-mail, codici di preferenza), riferiti a un elevato numero di soggetti, (più di 2000) nonché dei dati relativi alla salute di circa 25 soggetti, individuati nella graduatoria tramite l’annotazione, accanto ai nominativi interessati, della lettera “S” quale titolo di preferenza relativo alla categoria degli “invalidi e mutilati civili", ai sensi del Decreto MIUR 1° aprile 2014, n. 235, allegato 6, relativo ai “codici preferenze”. Tale diffusione di dati personali si è protratta per un notevole lasso di tempo (alcuni anni).

È necessario, tuttavia, tenere in considerazione il carattere colposo della violazione in quanto la pubblicazione è da imputarsi ad un mero errore determinato da uno scambio di files in quanto “al posto del file da pubblicare, appositamente decurtato da tutti i dati personali (…), è stato purtroppo inserito il file originale” e che il soggetto destinatario del provvedimento è un Istituto scolastico pubblico. L’Istituto inoltre si è attivato per rimuovere i dati personali dei soggetti interessati appena ricevuta la richiesta di informazioni da parte del Dipartimento e ha quindi collaborato con l’Autorità nel corso dell’istruttoria del presente procedimento al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi. È stata anche avviata una serie di azioni volte a implementare le misure tecniche e organizzative. Non risultano, inoltre, eventuali precedenti violazioni del Regolamento pertinenti, commesse dal richiamato Liceo.

In ragione dei suddetti elementi, valutati nel loro complesso, tenendo anche conto della fase di prima applicazione delle disposizioni sanzionatorie ai sensi dell’art. 22, comma 13, del d. lgs. 10/08/2018, n. 101, si ritiene di dover determinare ai sensi dell’art. 83, par. 2, del Regolamento l’ammontare della sanzione pecuniaria, prevista dall’art. 83, par. 5, lett. a) del Regolamento, nella misura di euro 5.000,00 (cinquemila) per la violazione degli artt. 5, par. 1, lett. a) e c); 9, parr. 1, 2, 4, del Regolamento, artt. 2-ter commi 1 e 3, in riferimento all’art. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b) del Regolamento e 2-septies, comma 8, del Codice, quale sanzione amministrativa pecuniaria ritenuta effettiva, proporzionata e dissuasiva sensi dell’art. 83, par. 1, del medesimo Regolamento.

In relazione alle specifiche circostanze del presente caso, si ritiene che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si ritiene, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

rilevata l’illiceità del trattamento effettuato dal Liceo OMISSIS nei termini indicati in motivazione ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché 166 del Codice

ORDINA

Al Liceo OMISSIS, in persona del legale rappresentante pro-tempore, con sede legale in via OMISSIS – C.F. OMISSIS di pagare la somma di euro 5.000,00 (cinquemila) a titolo di sanzione amministrativa pecuniaria per le violazioni di cui in motivazione;

INGIUNGE

al medesimo Liceo di pagare la somma di euro 5.000,00 (cinquemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981.

Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1/9/2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice).

DISPONE

- la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019;

- l’annotazione nel registro interno dell’Autorità ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 11 febbraio 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei

14/01/2021 n° 16
Area: Prassi, Circolari, Note

[doc. web n. 9542071]

Ordinanza ingiunzione nei confronti di Azienda sanitaria provinciale di Enna - 14 gennaio 2021

Registro dei provvedimenti
n. 16 del 14 gennaio 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore l’avv. Guido Scorza;

PREMESSO

1. Premessa.

In riferimento ad articoli di stampa pubblicati nel novembre 2019 che riportavano la notizia che l’Azienda sanitaria provinciale di OMISSIS (di seguito “l’Azienda”) aveva adottato, nelle proprie sedi, un sistema che consente il trattamento dei dati biometrici dei dipendenti per la rilevazione delle presenze, al fine di garantire “una maggiore affidabilità tecnica nella verifica dell’identità di ogni dipendente” e “scoraggia[re] fenomeni di assenteismo […]”, l’Ufficio ha avviato un’istruttoria nei confronti dell’Azienda.

2. L’attività istruttoria.

In riscontro alle specifiche richieste dell’Ufficio (cfr. nota del XX, prot. n. XX in atti), l’Azienda, con nota del XX, ha precisato che:

- la stessa “eroga le proprie prestazioni in 21 Comuni appartenenti alla provincia di OMISSIS e […] di OMISSIS. I dipendenti dell’azienda […] sono oltre 2000 e prestano servizio in 4 presidi ospedalieri […] nonché presso gli ambulatori e i presidi territoriali allocati in 22 Comuni”;

- l’amministrazione ha introdotto “il sistema di verifica biometrica dell’identità” in quanto “l’esistenza di presidi decentrati […] e la tipologia dell’attività prestata (diversi operatori prestano la propria attività su due e/o tre turni nelle 24 ore, talvolta anche in presidi ospedalieri e territoriali) comporta una notevole complessità nella gestione del personale dipendente” e pertanto il sistema è stato attivato “alla luce di quanto previsto dalla legge n. 56/2019”;

- il sistema utilizza “un software in grado di acquisire i dati dello stesso dipendente e memorizzarli in forma crittografata su un dispositivo sicuro (badge) dato nell’esclusiva disponibilità dell’interessato”;

- “il software provvede, immediatamente dopo la fase di registrazione in forma crittografata dei dati, alla loro cancellazione”;

- “a tutti i dipendenti è stata fornita l’informativa ai sensi dell’art. 13 del Regolamento”;

- la procedura di registrazione del dato comporta la “rilevazione dell’impronta biometrica che viene trasformata in una stringa criptata, memorizzata a sua volta nel badge”

- la lettura del dato, all’atto della rilevazione della presenza, avviene mediante contestuale utilizzo del badge (che deve essere avvicinato al rilevatore delle presenze) e mediante apposizione del dito sul dispositivo: “il sistema confronta localmente e solo per il tempo necessario alla verifica, stringa conservata nel badge con quella calcolata momentaneamente dal rilevatore delle presenze” e, se il confronto è coincidente, “la stringa calcolata momentaneamente viene automaticamente cancellata […] nessun dato biometrico viene memorizzato”, ma “solo il numero di matricola del dipendente, l’ora e la data di presenza”;

- “nessun sistema di videosorveglianza è stato installato nei vari accessi aziendali”; e per tutte queste ragioni l’Azienda sostiene che “non sussistono criticità, né violazioni di norme”. Tali considerazioni sono contenute anche in un documento denominato “valutazione di impatto”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, ha notificato all’Azienda, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

Con la nota sopra menzionata, l’Ufficio ha rilevato che l’Azienda tratta, con le modalità sopra descritte, dati biometrici dei dipendenti per la finalità di rilevazione delle presenze in violazione del principio di “liceità, correttezza e trasparenza”, art. 5, par. 1, lett. a), del Regolamento e in assenza di un idoneo presupposto di liceità, in violazione degli artt. 6, par. 1, lett. c) e 9 par. 2, lett. b), e par. 4, del Regolamento.

Con nota del XX l’Azienda ha fatto pervenire le proprie memorie difensive, rappresentando, tra l’altro, che:

- non sussisterebbe alcun trattamento di dati personali da parte dell’amministrazione in quanto “il trattamento dei dati personali propri dell’interessato [sarebbe] effettuato da questo stesso” e “deve considerarsi in sé lecito e legittimo ai sensi dell’ordinamento nazionale e di quello comunitario, senza che ad esso debbano (o possano) essere applicate i presupposti e le eventuali limitazioni sancite dagli articoli 5. 6 e 9 del Regolamento”, analogamente a quanto avviene per “il trattamento dell’impronta digitale propria memorizzata su uno specifico device, come strumento di accesso allo stesso (che si tratti dell’elaboratore o dello smartphone proprio del soggetto in questione) [che] esula da qualsiasi applicazione della normativa nazionale e comunitaria” (cfr. pp. 4 e 5);

- “nel caso di specie sussistono certamente tutte le condizioni per concludere che, nel momento in cui viene effettuata la verifica dell’identità del dipendente ai varchi di accesso, vi sia effettivamente un trattamento di dati personali biometrici [ma che lo stesso non sia] soggetto alle norme del Regolamento e del Codice” ed esuli “conseguentemente dalla competenza dell’Autorità Garante;

- ciò in quanto “il trattamento è effettuato direttamente e personalmente dall’interessato […] l’intero meccanismo risulta predisposto appositamente in modo da evitare che un soggetto diverso dall’interessato possa effettuare il trattamento dei dati biometrici dell’interessato medesimo […] il trattamento del dato biometrico ha inizio (in modo automatizzato) se e quando (e solo quando) il dipendente da inizio al procedimento stesso compiendo due operazioni materiali che sono sotto il suo personale ed esclusivo controllo: a. L’appoggio del badge sul lettore e b. L’appoggio del polpastrello sullo scanner. Dopo il compimento di tali operazioni ha inizio il procedimento di rilievo e confronto dei dati” (pp. 7 ss.)

- “tali semplici gesti hanno un significato univoco espressivo di una precisa volontà del dipendente di dare avvio e quindi, in un certo senso, di acconsentire al trattamento dei dati”;

- “durante il confronto tra il dato biometrico memorizzato e quello rilevato dallo scanner, il lettore non comunica con altri sistemi o macchine e non vi è dunque possibilità che i dati biometrici che in quel momento si trovano (sebbene per pochissimi istanti) all’interno della macchina siano acquisiti, memorizzati, alterati, o trattati in qualsiasi modo da soggetti terzi. Per fare ciò sarebbe, infatti, necessario accedere fisicamente alla macchina in quello stesso breve lasso temporale in cui avviene il confronto dei dati – lasso temporale in cui, però, l’interessato al trattamento si trova direttamente a contatto fisico con la macchina medesima che è, quindi, sotto il suo diretto controllo”;

- “l’intero processo di trattamento del dato biometrico non avviene mai e non può mai avvenire sotto il controllo diretto o indiretto dell’amministrazione perché esso avviene sotto il diretto ed esclusivo controllo del dipendente ed è, anzi, espressamente finalizzato ad impedire che altri soggetti che non siano l’interessato possano avere qualunque accesso ai dati personali e biometrici dello stesso” (p. 9);

- in ogni caso - ove si ritenesse che il trattamento rientri nell’ambito di applicazione del Regolamento- “la finalità perseguita dall’adozione dei sistemi biometrici di rilevazione delle presenze risponde ad un’esigenza di estrema attualità volta alla prevenzione di reati contro la pubblica amministrazione e, in generale di comportamenti scorretti da parte dei dipendenti, di per sé idonei a ridurre considerevolmente l’efficienza della Pubblica Amministrazione. Laddove, come nel caso di specie, la pubblica Amministrazione interessata operi nel campo dell’assistenza sanitaria vengono quindi in rilievo due distinti interessi cardine dell’ordinamento tanto nazionale (art. 32 ed art. 97 Costituzione della Repubblica) che comunitario (artt. 35 e art. 41 della Carta dei Diritti Fondamentali dell’Unione Europea): il diritto alla salute ed il principio del buon andamento dell’amministrazione” (p.11);

- “negli ultimi anni, svariate amministrazioni pubbliche hanno compiuto la medesima scelta di adozione di un sistema di verifica biometrica delle presenze senza andare incontro, per quanto ne possa sapere l’Azienda deducente, ad alcuna contestazione da parte della predetta Autorità […] da indurre nella generale convinzione della liceità del comportamento […] “il Garante della privacy, con provvedimento del 15 settembre 2016 n. 357, esprimeva parere positivo con riferimento alla richiesta preliminare [di un’azienda ospedaliera …] per l’installazione del sistema di lettura di dati biometrici (impronte digitali) per la rilevazione della presenza in servizio dei dipendenti […con] modalità di funzionamento [analoghe a quelle in uso] presso l’ASP di Enna” (p. 16);

- “la sussistenza di un obbligo legale risalente alla l. 56/2019 […pur se oggetto] di numerosi rilievi critici circa la compatibilità di tale norma nazionale con il contesto normativo comunitario […] porta a escludere che nel caso di specie possa essere imputata all’ASP di Enna una violazione dell’art. 6”;

- “l’amministrazione interessata, dunque, non può che adeguarsi a quello che (la stessa Autorità Garante) ritiene essere un obbligo normativamente imposto a fronte della sussistenza di meri dubbi sulla compatibilità di detto obbligo con alcuni dei criteri dettati dal Regolamento (dubbi che peraltro l’Amministrazione non ritiene di poter condividere se non nei limiti in cui riguardano modalità di rilevamento diverse da quelle prese in esame in questa sede). Il sistema di rilevamento delle presenze adottato si è infatti in tutto e per tutto adeguato alle modalità operative suggerite nel predetto parere”;

- “la presenza effettiva in servizio dei pubblici dipendenti e la conseguente effettiva esecuzione delle mansioni loro attribuite costituiscono condizione essenziale per il perseguimento dell’obiettivo del buon andamento della pubblica amministrazione. Di conseguenza, sono palesi la ricorrenza del parametro prescritto dalla lett. e) dell’art. 6 del Regolamento e la conseguente liceità del trattamento di dati biomedici in questione [anche alla luce] della lettera f) dell’art. 6 del Regolamento” (p. 21)

- quanto alla violazione dell’art. 9, par. 2 lett. b), del Regolamento “è evidente che il sistema di verifica biometrica delle presenze sia stato adottato dall’ASP di OMISSIS in quanto espressamente previsto come obbligo del datore di lavoro pubblico posto a suo carico della l. n.56/2019 […]” e “il trattamento in oggetto risulta peraltro necessario all’esercizio di diritti specifici del titolare del trattamento in materia di diritto del lavoro” tanto anche in ragione dei casi di “assenteismo verificatisi nell’Ospedale Chiello di Piazza Armerina, Presidio Ospedaliero rientrante nella competenza dell’ASP di Enna”;

- il trattamento troverebbe inoltre la propria base giuridica anche nell’art. 9, par. 2 lett. g) e art. 2 sexies del codice lett. u) “compiti del servizio sanitario nazionale e dei soggetti operanti in ambito sanitario, nonché compiti di igiene e sicurezza sui luoghi di lavoro e sicurezza e salute della popolazione, protezione civile, salvaguardia della vita e incolumità fisica”, compiti precipui, appunto, di un’Azienda sanitaria territoriale quale l’ASP di OMISSIS” (p. 26);

- “nel predisporre il sistema che consentisse il rilievo biometrico ai varchi di ingresso, come previsto dalla normativa vigente, l’Azienda ha ritenuto di adeguarsi alle modalità risultanti dalle precedenti indicazioni di questa Autorità Garante, prima di tutto non predisponendo alcun contestuale sistema di rilievo audiovisivo in corrispondenza dei varchi. Questa Azienda, comprende e condivide le preoccupazioni che codesta Autorità Garante ha espresso nel proprio parere sullo schema di regolamento attuativo della. 56/2019” ma “non ritiene condivisibile la considerazione ivi espressa, secondo la quale l’incompatibilità delle disposizioni di cui all’art. 2 della legge n.56 non sarebbe sanabile con l’adozione di particolari modalità attuative dell’obbligo ivi sancito, poiché essa risiederebbe ‘nell’an prima che nel quomodo del trattamento’”;

- “A fronte del diritto di libertà costituito dalla tutela dei dati personali (ed in particolare dei dati biometrici) garantito dalla normativa nazionale e comunitaria vi sono interessi pubblici molteplici e non subordinati ma pari ordinati rispetto ad esso. La valutazione di tali interessi pubblici e la scelta di tutelarli attraverso l’imposizione di un obbligo generalizzato compete al legislatore ordinario nazionale, anche perché in questi termini si esprime lo stesso Regolamento. La valutazione di proporzionalità del trattamento, quindi, si deve spostare proprio sul contenuto e sulle modalità del trattamento stesso, senza, peraltro, dimenticare che lo stesso articolo 2 della l.56/2019 richiama tale principio come criterio orientativo dell’applicazione dell’obbligo di legge” (pp. 30 e 31);

- “si ritiene comunque che debba applicarsi alla condotta tenuta da questa Azienda l’esimente dell’errore scusabile che la giurisprudenza riconosce in applicazione dell’art. 3 l.689\1981 [...]” in quanto “da una parte il legislatore che ha introdotto l’obbligo generalizzato di rilievo delle presenze attraverso la rilevazione di dati biometrici. […] Dall’altra parte la condotta di codesta stessa Autorità Garante che: prima dell’introduzione del G.D.P.R. ha consentito espressamente a soggetti pubblici svolgenti le medesime funzioni di questa Azienda e per finalità analoghe a quelle dalla stessa perseguite di introdurre un sistema di rilevazione generalizzata delle presenze mediante verifica dei dati biometrici, dopo l’introduzione del G.D.P.R. non ha – per quanto risulta – disposto sanzioni o divieti a carico di questi medesimi enti per le stesse ragioni ora oggetto di contestazione […]”;

- “l’amministrazione ha richiesto ed ottenuto dal legale rappresentante della ditta appaltatrice (doc.1) prima di procedere all’istallazione del sistema in questione e che attesta, sotto la penale e personale responsabilità del dichiarate la conformità del sistema stesso alla legge ed al parere di questa Autorità”;

- è stato inoltre chiarito che “l’operatività del sistema risulta attualmente sospesa in esito alle contestazioni del Garante”.

3. Esito dell’attività istruttoria.

La disciplina di protezione dei dati personali prevede che il datore di lavoro può trattare i dati personali, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1 del Regolamento), dei dipendenti se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti da leggi, dalla normativa comunitaria, da regolamenti o da contratti collettivi (artt. 6, par. 1, lett. c), 9, parr. 2, lett. b), e 4, e 88 del Regolamento).

Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” ovvero, quando “necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato” (artt. 6, parr. 1, lett. e), 2 e 3, nonché 9, par. 2, lett. g,) del Regolamento e 2-ter e 2-sexies del Codice).

Il legislatore nazionale ha definito “rilevante” l’interesse pubblico per il trattamento “effettuato da soggetti che svolgono compiti di interesse pubblico o connessi all’esercizio di pubblici poteri” nelle materie indicate, seppur in modo non esaustivo, dall’art. 2-sexies del Codice, stabilendo che i relativi trattamenti “sono ammessi qualora siano previsti […] da disposizioni di legge o, nei casi previsti dalla legge, di regolamento che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato”.

Come noto, la definizione di dati biometrici li individua come “i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici”(art. 4, punto 14), del Regolamento) e sono ricompresi tra le categorie “particolari” di dati personali (art. 9 del Regolamento) in ragione della loro delicatezza, derivante dalla stretta e stabile relazione con l’individuo e la sua identità.

In tale quadro, il trattamento di dati biometrici (di regola vietato) è consentito al ricorrere di una delle condizioni indicate dell’art. 9, par. 2 del Regolamento e, in ambito lavorativo, solo quando sia “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. b), del Regolamento; v. pure, art. 88, par. 1 e cons. 51-53 del Regolamento).

Il quadro normativo vigente prevede inoltre che il trattamento di dati biometrici, per poter essere lecitamente posto in essere, avvenga nel rispetto di “ulteriori condizioni, comprese limitazioni” (cfr. art. 9, par. 4, del Regolamento); a tale disposizione è stata data attuazione, nell’ordinamento nazionale, con l’art. 2-septies (Misure di garanzia per il trattamento dei dati genetici, biometrici e relativi alla salute) del Codice (come modificato dal decreto legislativo 10 agosto 2018 n. 101 di adeguamento della normativa nazionale alle disposizioni del Regolamento). La norma prevede che è lecito il trattamento di tali categorie di dati al ricorrere di una delle condizioni di cui all’art. 9, par. 2, del Regolamento “ed in conformità alle misure di garanzia disposte dal Garante”, in relazione a ciascuna categoria dei dati.

Il datore di lavoro, titolare del trattamento, è, in ogni caso, tenuto a rispettare i principi di “liceità, correttezza e trasparenza”, “limitazione delle finalità”, “minimizzazione” nonché “integrità e riservatezza” dei dati e “responsabilizzazione” (art. 5 del Regolamento). I dati devono, inoltre, essere “trattati in maniera da garantire un’adeguata sicurezza” degli stessi, “compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali” (art. 5, par. 1, lett. f), e art. 32 del Regolamento).

3.1. L’applicabilità del quadro normativo in materia di protezione dei dati al trattamento dei dati biometrici effettuato dall’Azienda.

Occorre preliminarmente evidenziare che il trattamento di dati personali consiste in una “qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione” (art. 4, punto 2), del Regolamento).

Sebbene l’Azienda ammetta che “nel momento in cui viene effettuata la verifica dell’identità del dipendente ai varchi di accesso, vi sia effettivamente un trattamento di dati personali biometrici”, la stessa ritiene che “questo particolare trattamento esuli dall’applicazione della normativa del Regolamento comunitario, nonché, conseguentemente, dalla competenza di questa Autorità Garante”, in ragione del fatto che “il trattamento è effettuato direttamente e personalmente dall’interessato e quindi non soggetto all’applicazione dei principi di liceità e correttezza sanciti dagli artt. 5-6-9 del Regolamento” (cfr. nota del XX, pp. 6 e 7).

Sulla base degli elementi sopra riportati, deve invece ritenersi che, contrariamente a quanto sostenuto dall’Azienda, le operazioni sopra descritte diano luogo comunque a un trattamento di dati biometrici da parte della stessa Azienda, soggetto all’applicazione del quadro normativo in materia di protezione dei dati personali.

Nel caso in esame infatti l’Azienda – ancorché non conservi su una banca dati centralizzata i dati biometrici degli interessati, ma solo su dispositivi portatili dotati di adeguate capacità crittografiche (badge con funzionalità di smart card), affidati alla diretta ed esclusiva disponibilità di ciascun interessato – effettua comunque trattamenti di dati biometrici che, come confermato dall’Azienda, “si trovano (sebbene per pochissimi istanti) all’interno” di sistemi impiegati dal datore di lavoro per la rilevazione delle presenze e per le connesse finalità di gestione del rapporto contrattuale con i propri dipendenti. Ciò, sia nella fase di registrazione (c.d. enrollment) con l’acquisizione delle caratteristiche biometriche (impronte digitali) dell’interessato (v. anche punti 6.1 e 6.2 dell’allegato A al provvedimento del Garante del 12 novembre 2014, n. 513), sia nella fase di riconoscimento biometrico, all’atto delle rilevazioni delle presenze (v. anche punto 6.3 dell’allegato A al citato provvedimento).

Tali trattamenti sono, infatti, funzionali a consentire la rilevazione dei dati di entrata e uscita dei dipendenti ai fini dell’attestazione dell’osservanza dell’orario di lavoro e per la relativa contabilizzazione, finalità che, in generale, nell’ambito del pubblico impiego, è prevista da un quadro normativo stratificatosi nel tempo (v. ad esempio, art. 22, comma 3 della l. 23.12.1994, n. 724; art. 3 della l. 24.12.2007, n. 244; art. 7 del d.P.R. 1.02.1986, n. 13), non potendo gli stessi essere, in alcun modo, assimilati a quelli compiuti dall’interessato per accedere a un proprio dispositivo mobile “per l’esercizio di attività a carattere esclusivamente personale o domestico” (art. 2, par. 2, lett. c), e cons. n. 18 del Regolamento).

In particolare, nella fase di registrazione, l’Azienda acquisisce, tramite un apposito lettore, l’impronta digitale dell’interessato, al fine di creare un modello biometrico (ossia una descrizione informatica sintetica della caratteristica biometrica ottenuta estraendo dal campione biometrico soltanto gli elementi salienti predefiniti) che viene memorizzato, in modo sicuro, all’interno del badge consegnato all’interessato.

Nelle successive fasi di riconoscimento biometrico dell’interessato, l’Azienda verifica l’identità dello stesso mediante il confronto tra il modello biometrico di riferimento, memorizzato all’interno del badge, e il modello biometrico ricavato dall’impronta digitale presentata all’atto del rilevamento della presenza. Qualora l’operazione di confronto vada a buon fine, l’identità dell’interessato può dirsi verificata e vengono tramessi, al sistema di gestione delle presenze, il numero di matricola del dipendente unitamente ad altre informazioni (quali la data e l’ora della timbratura).

La conservazione dei dati biometrici, con modalità sicure su badge con funzionalità di smart card che l’amministrazione affida all’esclusiva disponibilità di ciascun interessato, risponde a una scelta progettuale del titolare che, al momento di determinare i mezzi del trattamento, adotta tale misura tecnica e organizzativa in attuazione del principio di minimizzazione dei dati oggetto di trattamento (cfr. artt. 5, par. 1, lett. c), 24 e 25 del Regolamento), restando però, in ogni caso, necessaria la preliminare verifica in ordine alla ricorrenza dei presupposti di liceità per trattare i dati biometrici dei dipendenti (art. 9 del Regolamento). Si osserva infatti che, anche nel previgente quadro normativo, tale modalità di conservazione dei dati biometrici era stata espressamente indicata dal Garante tra le misure e accorgimenti di carattere tecnico che, sempre in presenza delle condizioni di liceità del trattamento (al tempo, notificazione e istanza di verifica preliminare al Garante, salva la ricorrenza di specifiche ipotesi di esonero, cfr. par. 4, provv. 12 novembre 2014, n. 513), il titolare doveva adottare per garantire la proporzionalità e la sicurezza del trattamento.

Per tali ragioni, l’adozione di questa misura non esclude, anzi conferma, l’applicazione della disciplina in materia di protezione dei dati personali ai trattamenti in esame, come peraltro comprovato anche dal fatto che l’Azienda ha ritenuto necessario assolvere l’obbligo di rendere agli interessati un’informativa, nell’imminenza dell’attivazione del nuovo sistema di rilevazione delle presenze.

3.2. La correttezza e trasparenza del trattamento: l’informativa agli interessati.

Il titolare del trattamento deve trattare i dati “in modo lecito, corretto e trasparente nei confronti dell’interessato” (art. 5, par. 1, lett. a) del Regolamento), adottando “misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 […]” (art. 12 del Regolamento).

Sebbene l’Azienda abbia assicurato, in un primo momento, che “a tutti i dipendenti è stata fornita l’informativa ai sensi dell’art. 13 del Regolamento” (cfr. nota del XX, cit.), tuttavia la stessa ha trasmesso la documentazione con la quale ritiene di aver assolto al predetto obbligo solo successivamente, su sollecitazione dell’Ufficio, in allegato alle memorie difensive (cfr. all. n. XX, nota XX, cit.).

Dall’esame di tale documentazione, emerge che l’Azienda ha certamente avvertito il personale e informato le organizzazioni sindacali della scelta organizzativa compiuta, diramando a tal fine talune note e documenti che contengono generici riferimenti, in nessuno dei quali sono però riportate tutte le informazioni richieste dal Regolamento per assicurare un trattamento corretto e trasparente (art. 13 del Regolamento).

Sempre sotto il profilo della correttezza e trasparenza, si rileva inoltre che, in tali note e documenti, il trattamento viene prospettato come pienamente conforme al quadro normativo in materia di protezione dei dati e alle indicazioni fornite dal Garante.

In particolare, si osserva che la nota indirizzata a tutto il personale, in data XX (all. n. XX, nota del XX, in atti), “integrata dalle istruzioni affisse in prossimità dei rilevatori”, si limita a indicare che “in applicazione dell’art. 2 della legge n. 56 del 19.6.2019 con decorrenza dal 4 novembre 2019 entrerà in funzione il nuovo sistema di rilevazione delle presenze mediante l’utilizzo del sensore biometrico” […ciò] nel pieno rispetto della vigente normativa in materia di dati personali, stante che, tali dati, rimangono memorizzati solo sul tesserino personale, in possesso del solo dipendente”. Peraltro in altro documento, denominato “Informativa sui sistemi di rilevazione di identità biometrica”, si dichiara che il sistema “è coerente con il Parere su uno schema di decreto del Presidente del Consiglio dei ministri concernente la disciplina di attuazione della disposizione di cui all’articolo 2 della legge 19 giugno 2019, n. 56, recante “Interventi per la concretezza delle azioni delle pubbliche amministrazioni e la prevenzione dell'assenteismo” - 19 settembre 2019 perché l’impronta è criptata e memorizzata solo sul tesserino che resta in possesso del dipendente”.

Per tali ragioni il trattamento risulta essere stato effettuato in violazione dei principi di liceità, trasparenza e correttezza (art. 5, par. 1, lett. a), del Regolamento) in quanto i documenti informativi, sopra indicati, non rappresentano compiutamente il trattamento effettuato, prospettandolo peraltro come conforme al quadro normativo in materia di protezione dei dati.

3.3. L’assenza di base giuridica per il trattamento di dati biometrici per finalità di rilevazione delle presenze.

Alla luce degli elementi acquisiti e delle dichiarazioni rese nel corso dell’istruttoria, è emerso che nel mese di XX (più specificatamente, come da documentazione in atti, a decorrere dal XX) l’Azienda ha attivato un sistema di rilevazione delle presenze che comporta il trattamento dei dati biometrici dei dipendenti.

Le ragioni che avrebbero reso necessaria l’introduzione del sistema sarebbero legate alla “notevole complessità nella gestione del personale dipendente” in ragione del numero di dipendenti (“oltre 2000”) e della vastità dell’ambito territoriale in cui sono ubicati i presidi ospedalieri e ambulatoriali in cui prestano servizio (“allocati in 22 Comuni”); la scelta sarebbe inoltre avvenuta “alla luce di quanto previsto dalla legge n. 56/2019”. Dalla documentazione in atti e da quanto ribadito nelle memorie difensive, emerge che l’amministrazione, nel dare corso al trattamento, abbia ritenuto che il consenso degli interessati costituisca idonea condizione di liceità del trattamento (cfr. Documento relativo alla Valutazione di impatto, allegato alla nota del XX, cit.).

In ogni caso l’Azienda ha provveduto a sospendere il trattamento in esito alle contestazioni del Garante: come risulta dagli atti è stato chiesto alla direzione competente di rivolgersi alla ditta fornitrice del servizio per il ripristino della “precedente modalità d’uso” del sistema di rilevazione delle presenze, disattivando la funzionalità di riconoscimento biometrico (cfr. nota XX, prot. XX, all. n. XX, in atti).

Nel corso dell’istruttoria l’Azienda ha rappresentato di essersi adeguata “alle modalità risultanti dalle precedenti indicazioni di questa Autorità Garante”, menzionando, tra l’altro, il “provvedimento del 15 settembre 2016 n. 357 [con il quale il Garante] esprimeva parere positivo con riferimento alla richiesta preliminare [di un’azienda ospedaliera …] per l’installazione del sistema di lettura di dati biometrici (impronte digitali) per la rilevazione della presenza in servizio dei dipendenti” (cfr. p. 16, nota 17 febbraio cit.).

A tal proposto nel premettere che solo alcuni dei casi richiamati dall’Azienda sono stati sottoposti al Garante con istanze di verifiche preliminari, anteriormente all’entrata in vigore del Regolamento, appare necessario ricostruire il sistema delle basi giuridiche per il trattamento dei dati biometrici per i quali è prevista ora una tutela rafforzata rispetto al precedente quadro normativo (direttiva n. 95/46, legge n. 675/1996 e Codice).

Nel sistema previgente i dati biometrici non erano considerati “sensibili”, eppure in considerazione della loro stretta e stabile relazione con l’individuo e la sua identità, i titolari pubblici o privati potevano iniziare il trattamento, salve specifiche ipotesi di esonero, previa notificazione e solo dopo aver sottoposto il trattamento alla verifica preliminare del Garante, quali condizioni di liceità del trattamento prima dell’inizio dello stesso (artt. 17 e 37, comma 1, lett. a) del Codice, nel testo antecedente alle modifiche del d.lgs. n. 101/2018; cfr. Provvedimento generale prescrittivo in tema di biometria, 12 novembre 2014, n. 513, doc. web n. 3556992, punto 4); provv. 23 novembre 2006, n. 53, doc. web n. 1364099 e provv. 14 giugno 2007, XX 23, doc. web n. 1417809; nonché provv.ti 22 ottobre 2015, n. 552, doc. web n. 4430740 e 17 marzo 2016, n. 129, doc. web n. 4948405; più di recente, tali principi sono stati confermati con il provv. n. 249 del 24 maggio 2017, doc. web n. 6531525).

In questo delicato ambito, fin dal 2007 il Garante ha evidenziato che i principi di protezione dei dati impongono che siano preventivamente considerati altri sistemi, dispositivi e misure di sicurezza – meno invasive– che possano assicurare l’attendibile verifica delle presenze, senza fare ricorso al trattamento dei dati biometrici (v. già, Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro, rispettivamente, alle dipendenze di datori di lavoro privati e in ambito pubblico provv. 23 novembre 2006, n. 53, doc. web n. 1364099 e provv. 14 giugno 2007, n. 23, doc. web n. 1417809). Tali principi trovano conferma anche a livello internazionale e nelle posizioni assunte dalle altre autorità di controllo (v. Raccomandazione CM/Rec(2015)5 del Comitato dei Ministri agli Stati Membri sul trattamento di dati personali nel contesto occupazionale, par. 18; v. anche Gruppo di lavoro "Articolo 29", Parere 2/2017 sul trattamento dei dati sul posto di lavoro, WP 249, par. 5; CNIL, deliberazione 10.1.2019 https://www.cnil.fr/fr/biometrie-sur-les-lieux-de-travail-publication-dun-reglement-type e le FAQ pubblicate in data 28 marzo 2019 “Question-réponses sur le règlement type biométrie nonché le precedenti linee guida “Travail & données personnells”).

In tale quadro, con riguardo ad alcuni casi di uso generalizzato dei sistemi biometrici nel contesto lavorativo, a fronte di generiche esigenze di prevenzione circa l’eventuale utilizzo distorto degli strumenti di rilevazione delle presenze d’uso comune (quali i badge), il Garante ha valutato non proporzionato il relativo trattamento (cfr., Provv.ti 30 maggio 2013 nn. 261 e 262 e 1° agosto 2013, n. 384, doc. web nn. 2502951, 2503101 e 2578547 nei confronti di alcuni istituti scolastici; ma anche 31 gennaio 2013, n. 38, doc. web n. 2304669 nei confronti di un Comune; v. anche il provv. n. 249 del 24 maggio 2017, doc. web n. 6531525, avente ad oggetto la carta multiservizi del Ministero della difesa), ammettendolo, invece, in limitate ipotesi e in presenza di obiettive e documentate esigenze che rendessero indispensabile l’adozione di tali sistemi, tenuto conto della specificità del caso concreto, del contesto socio-economico di riferimento e delle caratteristiche della tecnologia impiegata (cfr., ad esempio, provv. 15 settembre 2016 n. 357, doc. web n. 5505689, espressamente menzionato dall’Azienda nelle memorie difensive).

Il rafforzamento delle tutele dei dati biometrici previste nel Regolamento e nel Codice, come modificato dal d.lgs. n. 101/2018, mediante l’inclusione degli stessi nelle categorie di dati particolari, al pari dei dati sulla salute e genetici, tra quelle assistite cioè da un più elevato livello di garanzie (art. 9, par. 2 e par 4, del Regolamento), ha riguardato in primis i presupposti giuridici che rendono leciti i trattamenti di tali categorie di dati, prima ancora che gli aspetti di natura tecnica e le misure di sicurezza.

Nel contesto lavorativo, le finalità di rilevazione delle presenze dei dipendenti e di verifica dell’osservanza dell’orario di lavoro possono rientrare nell’ambito di applicazione dell’art. 9, par. 2, lett. b) del Regolamento in quanto implicanti un trattamento “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro [e della sicurezza sociale e protezione sociale]” (v. pure art. 88, par. 1, Regolamento), ovvero nell’ambito di applicazione dell’art. 9, par. 2, lett. g) del Regolamento, relativo al trattamento “necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato”.

Nel primo caso, affine a quello di specie, il trattamento dei dati biometrici sarà consentito solo “nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri […] in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. b), e conss. nn. 51-53 del Regolamento),

In tale quadro, affinché uno specifico trattamento avente a oggetto dati biometrici possa essere lecitamente iniziato è necessario che lo stesso trovi il proprio fondamento in una disposizione normativa che abbia le caratteristiche richieste dalla disciplina di protezione dei dati, anche in termini di proporzionalità dell’intervento regolatorio rispetto alle finalità che si intendono perseguire. Ciò in quanto, la base giuridica del trattamento, per poter essere considerata una valida condizione di liceità del trattamento, deve, tra l’altro, “persegu[ire] un obiettivo di interesse pubblico ed [essere] proporzionato all’obiettivo legittimo perseguito” (art. 6, par. 3, lett. b), del Regolamento).

L’art. 2 della legge 19 giugno 2019, n. 56, recante “Interventi per la concretezza delle azioni delle pubbliche amministrazioni e la prevenzione dell’assenteismo”, invocato dall’Azienda, ha previsto che “ai fini della verifica dell’osservanza dell’orario di lavoro”, le amministrazioni pubbliche - individuate ai sensi dell’art. 1, comma 2 del d.lgs. n. 165/2001, ad esclusione del “personale in regime di diritto pubblico” (cfr. art. 3, comma 2, d.lgs. n. 165/2001), e quello sottoposto alla disciplina del lavoro agile di cui all’articolo 18 della legge 22 maggio 2017, n. 81-  “introducono sistemi di identificazione biometrica e di videosorveglianza in sostituzione dei diversi sistemi di rilevazione automatica attualmente in uso” ma prevede anche che le “modalità attuative” della norma – nel rispetto dell’art. 9 del Regolamento e delle misure di garanzia definite dal Garante ai sensi dell’art. 2-septies – siano individuate con d.P.C.M., su proposta del Ministro della funzione pubblica, previa intesa con la conferenza unificata (stato regioni e autonomie locali) e “previo parere del Garante ai sensi dell’art. 154 del Codice sulle modalità del trattamento dei dati biometrici”.

Come noto, l’iter normativo, indispensabile a integrare il sistema delle basi giuridiche del trattamento richiesto dal Regolamento e dal Codice con riguardo ai dati biometrici, non è stato, concluso -non essendo stato adottato il regolamento attuativo, che avrebbe dovuto contenere specifiche garanzie per circoscrivere e specificare la portata della norma nonché regolare le principali caratteristiche e modalità del trattamento-  e, da ultimo, l’art. 1, comma 958 della legge 30 dicembre 2020, n. 178 (c.d. Legge di Bilancio 2021) ha abrogato i commi da 1 a 4 dell'articolo 2 della legge 19 giugno  2019.

A ciò si aggiunga che i provvedimenti con i quali il Garante ha espresso il dovuto parere sullo schema di disegno di legge e, successivamente, sullo schema di regolamento (cfr., provv. n. 464, 11 ottobre 2018, doc. web n. 9051774 e provv. n. 167 del 19 settembre 2019, doc. web n. 9147290), risultano peraltro, in larga parte, già noti all’Azienda, per averli espressamente menzionati nei documenti informativi diramati al personale e alle organizzazioni sindacali, prima di intraprendere il trattamento (cfr. all. n. XX, nota del XX).

Allo stato non sussiste pertanto un’idonea base giuridica che possa soddisfare i requisiti richiesti dal Regolamento e dal Codice per legittimare le amministrazioni pubbliche a porre in essere il trattamento dei dati biometrici per finalità di rilevazione delle presenze dei dipendenti ai sensi dell’art. 9, par. 2, lett. b) del Regolamento.

Le considerazioni che precedono valgono anche ove si ritenesse che la finalità perseguita dall’amministrazione, mediante il descritto trattamento, non sia solo quella connessa alla gestione del rapporto di lavoro ma anche quella di accrescere l'efficienza della pubblica amministrazione e perseguire il miglioramento dei servizi, mediante l’effettiva presenza in servizio delle risorse umane assegnate agli uffici pubblici (art. 97 Cost.), riconducendolo, come prospettato dall’Azienda, all’ambito dei trattamenti necessari per “motivi di interesse pubblico rilevante”. Come noto, nel margine di flessibilità concesso al legislatore nazionale, la rilevanza dell'interesse pubblico è stata ulteriormente declinata nell’ambito dell'art. 2-sexies che ha specificato le condizioni, richieste dall'art. 9, par. 1, lett. g), del Regolamento, delimitando i presupposti di legittimità del trattamento, quando sono necessari per motivi di interesse pubblico rilevante, alla sussistenza di una previsione normativa che deve specificare, oltre al motivo di interesse pubblico rilevante, tra l’altro, i tipi di dati, le operazioni eseguibili, le misure appropriate per tutelare i diritti degli interessati. Tali elementi, allo stato, non sono stati individuati da alcuna disposizione normativa coerente col caso specifico di applicazione individuato dall’Azienda nei suoi scritti difensivi.

Né il difetto di base giuridica, in merito al trattamento dei dati biometrici, può essere superato dal consenso dei dipendenti posto che, come peraltro ribadito di recente dal Garante (da ultimo, provv. n. 35 del 13 febbraio 2020, doc. web n. 9285411) non costituisce, di regola, un valido presupposto di liceità per il trattamento dei dati personali in ambito lavorativo, indipendentemente dalla natura pubblica o privata del datore di lavoro (cons. n. 43; art. 4, punto 11), e art. 7, par. 3 e 4, del Regolamento; v., l’orientamento consolidato in sede europea, Gruppo di lavoro "Articolo 29", Parere 2/2017 sul trattamento dei dati sul posto di lavoro, WP 249, p. 7 e 26 e Linee Guida sul consenso ai sensi del Regolamento UE 2016/679- WP 259- del 4 maggio 2020).

Da ultimo, contrariamente a quanto sostenuto dall’Azienda, il trattamento in esame non può essere lecitamente effettuato richiamando il legittimo interesse del titolare del trattamento, in quanto, non essendo indicato all’art. 9, par. 2, del Regolamento, lo stesso non può costituire idonea deroga al generale divieto di trattare categorie particolari di dati personali, né peraltro può trovare applicazione “al trattamento di dati effettuato dalle autorità pubbliche” (cfr. art. 6, par. 1, lett. f), del Regolamento).

Per tali ragioni, si ritiene che l’Azienda abbia effettuato dal 4 novembre 2019 il trattamento dei dati biometrici dei dipendenti per la finalità di rilevazione delle presenze in assenza di un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento negli scritti difensivi ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati biometrici dei dipendenti dell’Azienda, avvenuto in violazione della disciplina in materia di trattamento dei dati personali è stato intrapreso, nel mese di novembre 2019, nella piena vigenza delle disposizioni del Regolamento e del Codice, come modificato dal d.lgs. n.101/2018. Per tali ragioni, al fine della determinazione del quadro normativo applicabile sotto il profilo temporale (art. 1, comma 2, della l. 24 novembre 1981, n. 689), queste costituiscono le disposizioni vigenti al momento della commessa violazione.

Si confermano pertanto le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Azienda, in quanto il trattamento dei dati biometrici degli interessati, è avvenuto in violazione dei principi generali del trattamento e in assenza di un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, del Regolamento medesimo come richiamato anche dall’art. 166, comma 2, del Codice.

5. Misure correttive (art. 58, par. 2, lett. d) del Regolamento).

Sebbene dal 23 gennaio 2020 l’Azienda abbia dato disposizioni per disattivare la funzionalità di riconoscimento biometrico all’atto della rilevazione delle presenze, non risulta in atti che i dati delle impronte digitali, memorizzati sotto forma di modello biometrico all’interno dei badge consegnati al personale, siano stati cancellati. Per tali ragioni il trattamento risulta ancora, seppur parzialmente, in corso.

In tale quadro, in ragione dell’illiceità del trattamento effettuato, si ritiene necessario disporre, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento - che prevede che il Garante ha i poteri correttivi di “ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i travamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine” – la cancellazione dei dati personali (modelli biometrici) dei dipendenti attualmente memorizzati all’interno dei badge in uso agli stessi, entro sessanta giorni dalla notifica del presente provvedimento.

Ai sensi dell’art. 157 del Codice, l’Azienda dovrà, inoltre, provvedere a comunicare a questa Autorità le iniziative che intende intraprendere per assicurare la cessazione del trattamento entro trenta giorni dalla notifica del presente provvedimento.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i), e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Si rileva preliminarmente che la condotta dell’Azienda non può essere considerata quale frutto di “errore scusabile” (cfr., Cassazione civile sez. II - 17/05/2018, n. 12110 “L'errore di diritto sulla liceità della condotta può rilevare in termini di esclusione della responsabilità amministrativa […], solo quando esso risulti inevitabile, occorrendo a tal fine, da un lato, che sussistano elementi positivi, estranei all'autore dell'infrazione, che siano idonei ad ingenerare in lui la convinzione della liceità della sua condotta e, dall'altro, che l'autore dell'infrazione abbia fatto tutto il possibile per osservare la legge, onde nessun rimprovero possa essergli mosso, neppure sotto il profilo della negligenza omissiva, gravando sull'autore dell'infrazione l'onere della prova della sussistenza dei suddetti elementi, necessari per poter ritenere la sua buona fede”), atteso che, come peraltro noto alla stessa Azienda, l’incompletezza del quadro giuridico relativo al trattamento dei dati biometrici per finalità di rilevazione delle presenze nel settore pubblico era stata rilevata dal Garante sia con i richiamati pareri sugli atti normativi che nell’ambito di un’audizione del Presidente dell’Autorità in occasione delle audizioni presso le Commissioni riunite I (Affari Costituzionali) e XI (Lavoro) della Camera dei Deputati il 6 febbraio 2019 (doc. web n. 9080870). Tali elementi consentono quindi di escludere che, nel caso di specie, possa ricorrere “l'errore di diritto sulla liceità della condotta” ai fini dell’esclusione della responsabilità amministrativa.

Ai fini dell’applicazione della sanzione è stata considerata la particolare delicatezza dei dati personali illecitamente trattati e l’elevato numero di interessati coinvolti (tutti i dipendenti dell’Azienda ossia oltre 2000 interessati).

Di contro è stato considerato che l’Azienda ha sospeso tempestivamente il trattamento relativo al riconoscimento biometrico degli interessati e che non risultano precedenti violazioni commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria, nella misura di euro 30.000 (trentamila) per la violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento.

Tenuto conto della particolare delicatezza dei dati illecitamente trattati, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

rilevata l’illiceità del trattamento effettuato dall’Azienda sanitaria provinciale di OMISSIS per violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nei termini di cui in motivazione, ingiunge ai sensi dell’art. 58, par. 2, lett. d), del Regolamento la cancellazione dei dati personali (modelli biometrici) dei dipendenti attualmente memorizzati all’interno dei badge in uso agli stessi, entro sessanta giorni dalla notifica del presente provvedimento e dispone di comunicare, ai sensi dell’art. 157 del Codice, entro trenta giorni dalla data di ricezione presente provvedimento, le iniziative che intende intraprendere per assicurare la cessazione del trattamento. Il mancato riscontro a una richiesta è punito con la sanzione amministrativa, ai sensi del combinato disposto di cui agli artt. 83, par. 5, del Regolamento e 166 del Codice.

ORDINA

all’Azienda sanitaria provinciale di OMISSIS in persona del legale rappresentante pro-tempore, con sede legale in Viale OMISSIS, C.F. OMISSIS ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, del Regolamento e 166, comma 2, del Codice, di pagare la somma di euro 30.000,00 (trentamila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

alla medesima Azienda di pagare la somma di euro 30.000,00 (trentamila), in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice;

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 14 gennaio 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei

n° 9 octies
Area: Normativa

1. In caso di richiesta da parte del datore di lavoro, derivante da specifiche esigenze organizzative volte a garantire l'efficace programmazione del lavoro, i lavoratori sono tenuti a rendere le comunicazioni di cui al comma 6 dell'articolo 9-quinquies e al comma 6 dell'articolo 9-septies con un preavviso necessario a soddisfare le predette esigenze organizzative.

(1) Articolo inserito dal D.L. 8 ottobre 2021, n. 139, non ancora convertito in legge, con effetto a decorrere dal 9 ottobre 2021.

29/10/2024 n° 126839
Area: Prassi, Circolari, Note

GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

DIPARTIMENTO REALTA' PUBBLICHE

ARAN - Agenzia per la rappresentanza negoziale
delle pubbliche amministrazioni
Via Del Corso, 476
00186 Roma
PEC: protocollo@pec.aranagenzia.it

e p.c. Responsabile della protezione dei dati
Dott. Pietro De Falco
PEC: dpo@pec.aranagenzia.it
DRP/EP-MEC/335742
(rif.: nota del 4 giugno 2024)

Oggetto: comunicazione degli indirizzi e-mail istituzionali del personale dipendente da parte delle amministrazioni pubbliche alle organizzazioni sindacali. Riscontro.

Si fa riferimento alla segnalazione, pervenuta a questa Autorità, con la quale è stato rappresentato che alcune organizzazioni sindacali costituite presso Enti e Aziende del Servizio Sanitario Nazionale, nell’esercizio del cd. “diritto di affissione”, avrebbero richiesto di acquisire l’elenco degli indirizzi e-mail istituzionali di tutto il personale dipendente in servizio presso le predette Amministrazioni in virtù dell’art. 5, comma 1, del “Contratto collettivo nazionale quadro sulle modalità di utilizzo dei distacchi, aspettative e permessi, nonché delle altre prerogative sindacali del 4 dicembre 2017”, così come da ultimo modificato dall’art. 1, comma 2, del “CCNQ di ripartizione dei distacchi e dei permessi tra le Associazioni Sindacali rappresentative nei comparti e nelle aree di contrattazione nel triennio 2022-2024”, sottoscritto in data 30 novembre 2023.
Facendo seguito alle interlocuzioni con questo Dipartimento e, da ultimo, alla nota di codesta Agenzia del 4 giugno 2024, con la quale è stato rappresentato che, “[… stante] l’impossibilità di raggiungere l’unanimità dei consensi necessaria per poter firmare un contratto di interpretazione autentica [volto ad assicurare una piena armonizzazione del predetto CCNQ con la disciplina di protezione di dati], le parti hanno constato l’assenza delle condizioni per definire una soluzione concordata ed hanno conseguentemente sottoscritto il verbale di mancato accordo”, si fa comunque integrale rinvio alle considerazioni già espresse nella nota del 25 marzo 2024 (prot. 36986).
Nel rammentare, quindi, le criticità già rappresentate in merito alla possibilità che il citato art. 5, comma 1, del CCNQ del 4 dicembre 2017 possa costituire un’idonea base giuridica ai sensi del Regolamento (UE) 2016/679 e del d. lgs. 196/2003, Codice in materia di protezione dei dati personali (artt. 6, par. 1, lett. e), 2 e 3, e 88 del Regolamento e art. 2-ter del Codice), si fa presente che spetta comunque al titolare del trattamento assicurare il rispetto della disciplina in materia di protezione dei dati personali in ossequio al principio di responsabilizzazione (artt. 5, par. 2, e 24 del Regolamento), il quale esige che sia preliminarmente valutata la sussistenza di idonei presupposti di liceità prima di dare corso a qualunque trattamento, anche considerando la possibilità che lo specifico interesse delle organizzazioni sindacali all’esercizio del diritto di affissione nel contesto organizzativo
dell’amministrazione, datore di lavoro, possa essere parimenti conseguito senza dar luogo a comunicazione di dati personali.
Si rimane a disposizione per ogni necessario chiarimento

LA DIRIGENTE
Laura Ferola

(Firmato digitalmente)

n° 9-octies
Area: Normativa

1. In caso di richiesta da parte del datore di lavoro, derivante da specifiche esigenze organizzative volte a garantire l'efficace programmazione del lavoro, i lavoratori sono tenuti a rendere le comunicazioni di cui al comma 6 dell'articolo 9-quinquies e al comma 6 dell'articolo 9-septies con un preavviso necessario a soddisfare le predette esigenze organizzative.

(1) Articolo inserito dal D.L. 8 ottobre 2021, n. 139, convertito con modificazioni dalla legge n. 205/2021, con effetto a decorrere dal 8 dicembre 2021.

n° 79
Area: Normativa

1.  Per la copertura degli oneri derivanti dalle disposizioni di cui al presente testo unico relativi alle lavoratrici e ai lavoratori con rapporto di lavoro subordinato privato e in attuazione della riduzione degli oneri di cui all'articolo 78, è dovuto dai datori di lavoro un contributo sulle retribuzioni di tutti i lavoratori dipendenti nelle seguenti misure:

a)  dello 0,46 per cento sulla retribuzione per il settore dell'industria, del credito, dell’assicurazione, dell'artigianato, marittimi, spettacolo;

b)  dello 0,24 per cento sulla retribuzione per il settore del terziario e servizi, proprietari di fabbricati e servizi di culto;

c)  dello 0,13 per cento sulla retribuzione per il settore dei servizi tributari appaltati;

d)  dello 0,03 per cento per gli operai agricoli e dello 0,43 per cento per gli impiegati agricoli. Il contributo è calcolato, per gli operai a tempo indeterminato secondo le disposizioni di cui al decreto-legge 22 dicembre 1981, n. 791, convertito dalla legge 26 febbraio 1982, n. 54, per gli operai agricoli a tempo determinato secondo le disposizioni del decreto legislativo 16 aprile 1997, n. 146; e per i piccoli coloni e compartecipanti familiari prendendo a riferimento i salari medi convenzionali di cui all'articolo 28 del decreto del Presidente della Repubblica 27 aprile 1968, n. 488;

e)  dello 0,01 per cento per gli allievi dei cantieri scuola e lavoro di cui alla legge 6 agosto 1975, n. 418.

2.  Per gli apprendisti è dovuto un contributo di lire 32 settimanali.

3.  Per i giornalisti iscritti all'Istituto nazionale di previdenza per i giornalisti italiani "Giovanni Amendola" è dovuto un contributo pari allo 0,65 per cento della retribuzione.

4.  In relazione al versamento dei contributi di cui al presente articolo, alle trasgressioni degli obblighi relativi ed a quanto altro concerne il contributo medesimo, si applicano le disposizioni relative ai contributi obbligatori.

5.  Con decreto del Presidente della Repubblica, su proposta del Ministro per il lavoro e la previdenza sociale, di concerto con quello per il tesoro, la misura dei contributi stabiliti dal presente articolo può essere modificata in relazione alle effettive esigenze delle relative gestioni.

12/12/2019
Area: Prassi, Circolari, Note

Scuola e privacy

Domande più frequenti 

1) La scuola deve rendere l’informativa?

Sì. Tutte le scuole – sia quelle pubbliche, sia quelle private - hanno l’obbligo di far conoscere agli “interessati” (studenti, famiglie, professori, etc.) come vengono trattati i loro dati personali. Devono cioè rendere noto - attraverso un’adeguata informativa con le modalità ritenute più opportune, eventualmente anche online - quali dati raccolgono, come li utilizzano e a quale fine.

2) È possibile accedere ai propri dati personali detenuti dagli istituti scolastici?

Sì. Ogni persona ha diritto di conoscere se sono conservate informazioni che la riguardano, di farle rettificare se erronee o non aggiornate. Per esercitare questi diritti è possibile rivolgersi direttamente al “titolare del trattamento” (in genere l’istituto scolastico di riferimento). Se la scuola non risponde o il riscontro non è adeguato, è possibile rivolgersi al Garante o alla magistratura ordinaria.

3) È possibile accedere alla documentazione relativa ad alunni e studenti in possesso della scuola?

Sì. È possibile accedere agli atti e ai documenti amministrativi detenuti dalla scuola ai sensi dalla legge n. 241 del 1990 (artt. 22 ss.)  

4) In caso di delega per prelevare il proprio figlio a scuola, è necessario fornire copia della carta d’identità del delegante e del delegato?

Sulla base del principio generale di accountability, è facoltà delle istituzioni scolastiche regolare e modulare tale modalità, assicurando al tempo stesso le cautele necessarie a garantire l’identificabilità dei soggetti coinvolti e che i dati eventualmente raccolti siano protetti (da accessi abusivi, rischi di perdita o manomissione) con adeguate misure di sicurezza.

5) Gli esiti degli scrutini o degli esami di Stato sono pubblici?

Sì. Le informazioni sul rendimento scolastico sono soggette ad un regime di conoscibilità stabilito dal MIUR. Nel pubblicare i voti degli scrutini e degli esami nei tabelloni, l’istituto scolastico deve evitare, però, di fornire informazioni sulle condizioni di salute degli studenti o altri dati personali non pertinenti. Il riferimento alle “prove differenziate” sostenute, ad esempio, dagli studenti con disturbi specifici di apprendimento (DSA) non va inserito nei tabelloni, ma deve essere indicato solamente nell’attestazione da rilasciare allo studente.

6) Le scuole possono trattare le categorie particolari di dati personali?

Le scuole possono trattare le categorie particolari di dati personali (es. dati sulle convinzioni religiose, dati sulla salute) solo se espressamente previsto da norme di legge o regolamentari. In ogni caso non possono essere diffusi i dati relativi alla salute: non è consentito, ad esempio, pubblicare online una circolare contenente i nomi degli studenti con disabilità oppure quegli degli alunni che seguono un regime alimentare differenziato per motivi di salute.

7) Nelle comunicazioni scuola-famiglia possono essere inseriti dati personali degli alunni?

No, nelle circolari, nelle delibere o in altre comunicazioni non rivolte a specifici destinatari non possono essere inseriti dati personali che rendano identificabili gli alunni (ad esempio, quelli coinvolti in casi di bullismo o quelli cui siano state comminate sanzioni disciplinari o interessati da altre vicende delicate).

8) Chi può trattare i dati degli allievi disabili o con disturbi specifici dell’apprendimento (DSA)?

La conoscenza di tali dati è limitata ai soli soggetti a ciò legittimati dalla normativa scolastica e da quella specifica di settore, come ad esempio i docenti, i genitori e gli operatori sanitari che congiuntamente devono predisporre il piano educativo individualizzato (L. n. 104/92, L. n. 328/2000 e D.Lgs. n. 66/2017).

9) L’utilizzo degli smartphone all’interno delle scuole è consentito?

Spetta alle istituzioni scolastiche disciplinare l’utilizzo degli smartphone all’interno delle aule o nelle scuole stesse. In ogni caso, laddove gli smartphone siano utilizzati per riprendere immagini o registrare conversazioni, l’utilizzo dovrà avvenire esclusivamente per fini personali e nel rispetto dei diritti delle persone coinvolte.

10) Violano la privacy le riprese video e le fotografie raccolte dai genitori durante le recite, le gite e i saggi scolastici?

No. Le immagini, in questi casi, sono raccolte per fini personali e destinate a un ambito familiare o amicale. Va però prestata particolare attenzione alla eventuale pubblicazione delle medesime immagini su Internet e sui social network. In caso di diffusione di immagini dei minori diventa infatti indispensabile ottenere il consenso da parte degli esercenti la potestà genitoriale.

11) È possibile registrare la lezione da parte dell’alunno?

Sì. È lecito registrare la lezione per scopi personali, ad esempio per motivi di studio individuale, compatibilmente con le specifiche disposizioni scolastiche al riguardo. Per ogni altro utilizzo o eventuale diffusione, anche su Internet, è necessario prima informare le persone coinvolte nella registrazione (professori, studenti…) e ottenere il loro consenso.

12)  Gli allievi con DSA possono utilizzare liberamente strumenti didattici che consentano loro anche di registrare (c.d. "strumenti compensativi e aumentativi")?

Sì. La specifica normativa di settore (L. n. 170/2010) prevede che gli studenti che presentano tali disturbi hanno il diritto di utilizzare strumenti di ausilio per una maggiore flessibilità didattica. In particolare, viene stabilito che gli studenti con diagnosi DSA possono utilizzare gli strumenti di volta in volta previsti dalla scuola nei piani didattici personalizzati che li riguardano (ivi compreso il registratore o il pc). In questi casi non è necessario richiedere il consenso delle persone coinvolte nella registrazione.

13) Gli istituti scolastici possono pubblicare sui propri siti internet le graduatorie di docenti e personale ATA?

Sì. Questo consente a chi ambisce a incarichi e supplenze di conoscere la propria posizione e il proprio punteggio. Tali liste devono però contenere solo il nome, il cognome, il punteggio e la posizione in graduatoria. È invece eccedente la pubblicazione dei numeri di telefono e degli indirizzi privati dei candidati.

14) Si possono installare telecamere all’interno degli istituti scolastici?

Sì, ma l’eventuale installazione di sistemi di videosorveglianza presso le scuole deve garantire il diritto dello studente alla riservatezza. Può risultare ammissibile l’utilizzo di tali sistemi in casi di stretta indispensabilità, al fine di tutelare l’edificio e i beni scolastici da atti vandalici, circoscrivendo le riprese alle sole aree interessate. È inoltre necessario segnalare la presenza degli impianti con cartelli. Le telecamere che inquadrano l’interno degli istituti possono essere attivate solo negli orari di chiusura, quindi non in coincidenza con lo svolgimento di attività scolastiche ed extrascolastiche. Se le riprese riguardano l’esterno della scuola, l’angolo visuale delle telecamere deve essere opportunamente delimitato. [Progetti di revisione della disciplina sull’utilizzo degli strumenti di videosorveglianza negli istituti scolastici sono attualmente all’attenzione del Parlamento.]

15) Le scuole possono consentire a soggetti legittimati di svolgere attività di ricerca tramite questionari, da sottoporre agli alunni, contenenti richieste di informazioni personali?

Sì, ma soltanto se i ragazzi e, nel caso di minori, chi esercita la responsabilità genitoriale, siano stati preventivamente informati sulle modalità di trattamento e sulle misure di sicurezza adottate per proteggere i dati personali degli alunni e, ove previsto, abbiano acconsentito al trattamento dei dati. Ragazzi e genitori devono, comunque, avere sempre la facoltà di non aderire all’iniziativa.

21/06/1996 n° 292
Area: Prassi, Circolari, Note

IL MINISTRO DELLA PUBBLICA ISTRUZIONE

Visto il D.L.vo 19 settembre 1994, n. 626, concernente l'attuazione delle direttive n. 89/391/CEE, n. 89/654/CEE, n. 89/655/CEE, n. 9/656/CEE, n. 90/269/CEE, n. 90/270/CEE, n. 90/394/CEE e n. 90/679/CEE, riguardanti il miglioramento della sicurezza e della salute dei lavoratori sul luogo di lavoro

Visto il D.L.vo 19 marzo 1996, n. 242, concernente modifiche ed integrazioni al D.L.vo 19 settembre 1994, n. 626 sopra citato

Visti in particolare gli artt. 1, 2 e 30 del citato D.Lvo. n. 242/96

Rilevato che l'art. 2, comma 1, del D.L.vo n. 626/94, così come modificato dall'art. 2, comma 1, lett. b) del D.L.vo n. 242/96, stabilisce che «nelle pubbliche amministrazioni di cui all'art. 1, comma 2, del D.L.vo 3 febbraio 1993, n. 29, per datore di lavoro si intende il dirigente al quale spettano i poteri di gestione, ovvero il funzionario non avente qualifica dirigenziale, nei soli casi in cui quest'ultimo sia preposto ad un ufficio avente autonomia gestionale»

Rilevato, altresì, che l'art. 30, comma 1, del D.L.vo n. 242/96, prevede che entro sessanta giorni della data di entrata in vigore dello stesso decreto legislativo, gli organi di direzione politica o, comunque, di vertice delle amministrazioni pubbliche di cui all'art. 1, comma 2, del D.L.vo 3 febbraio 1993, n. 29, procedano all'individuazione dei soggetti di cui al citato art. 2, comma 1, lett. b), tenendo conto dell'ubicazione e dell'ambito funzionale degli uffici nei quali viene svolta l'attività

Ritenuto di provvedere all'adempimento relativamente agli uffici ed alle istituzioni dipendenti dal Ministero della Pubblica Istruzione

Decreta:

Art. 1.

Ai fini ed effetti dei DD.LL. n. 626/94 e n. 242/96 citati in premessa e ferme restando le attribuzioni e le competenze dei dirigenti degli uffici e dei preposti, ove presenti, nei rispettivi ambiti di responsabilità, il datore di lavoro per gli uffici e le Istituzioni Scolastiche dipendenti dal Ministero della Pubblica Istruzione viene individuato, per quanto riguarda gli obblighi di loro competenza, come segue:

A) Ufficio dell'Amministrazione Centrale: il Direttore Generale del Personale e degli Affari Generali ed Amministrativi

B) Uffici dell'Amministrazione Periferica: i Sovrintendenti Scolastici ed i Provveditori agli Studi

C) Istituzioni scolastiche ed educative statali: i Capi delle Istituzioni Scolastiche ed Educative Statali

D) Conservatori di Musica, Accademie di Belle Arti, Accademie Nazionali di Arte Drammatica e di Danza: i Presidenti dei Consigli di Amministrazione.

Art. 2.

Negli Istituti di ricerca, sperimentazione e aggiornamento educativi (ivi compreso il Centro europeo dell'educazione) e nella Biblioteca di documentazione pedagogica per datore di lavoro si intende rispettivamente il segretario ed il direttore, cui spettano poteri di gestione.

Art. 3.

Con successivo decreto da emanarsi entro sei mesi dalla pubblicazione del D.L.vo n. 242/96, ai sensi dell'art. 1, comma 1, e dell'art. 30, comma 2, di concerto coi Ministri del Lavoro e della Previdenza Sociale, della Sanità e della Funzione Pubblica, verranno individuate le particolari esigenze connesse al servizio espletato negli istituti di istruzione e di educazione di ogni ordine e grado, ai fini dell'applicazione delle norme dei DD.LL. n. 626/94 e n. 242/96 di cui in premessa.

Il presente decreto sarà sottoposto ai successivi controlli di legge.

19/03/2021 n° 45
Area: Prassi, Circolari, Note

INPS

Instituto Nazionale di Previdenza Sociale

Direzione Centrale Ammortizzatori Sociali

Direzione Centrale Tecnologia, Informatica e Innovazione

Roma, 19/03/2021

Circolare n. 45

Ai Dirigenti centrali e territoriali

Ai Responsabili delle Agenzie

Ai Coordinatori generali, centrali e territoriali delle Aree dei professionisti

Al Coordinatore generale, ai coordinatori centrali e ai responsabili territoriali dell'Area medico legale

E, per conoscenza,

Al Presidente

Al Vice Presidente

Ai Consiglieri di Amministrazione

Al Presidente e ai Componenti del Consiglio di Indirizzo di Vigilanza

Al Presidente e ai Componenti del Collegio dei Sindaci

Al Magistrato della Corte dei Conti delegato all'esercizio del controllo Ai Presidenti dei Comitati amministratori di fondi, gestioni e casse

Al Presidente della Commissione centrale per l'accertamento e la riscossione dei contributi agricoli unificati

Ai Presidenti dei Comitati regionali

OGGETTO: Permessi ai sensi dell’articolo 33, commi 3 e 6, della legge n. 104/1992. Lavoro a tempo parziale di tipo verticale o di tipo misto. Riproporzionamento della durata dei permessi fruiti dai lavoratori dipendenti del settore privato. Nuove istruzioni

SOMMARIO: Con il messaggio n. 3114 del 7 agosto 2018, sono stati forniti chiarimenti in materia di modalità di fruizione dei permessi di cui all’articolo 33 della legge n. 104/1992. Con la presente circolare, a seguito dell’orientamento giurisprudenziale consolidatosi da parte della Corte di Cassazione e deirelativi chiarimenti del Ministero del Lavoro e delle politiche sociali, si forniscono nuove istruzioni per il riconoscimento dei benefici in oggetto in caso di lavoro a tempo parziale di tipo verticale o di tipo misto.

INDICE

1. Premessa 2. Il nuovo orientamento giurisprudenziale 3. I chiarimenti del Ministero del Lavoro e delle politiche sociali 4. Istruzioni operative e ambito di applicazione 4.1 Riproporzionamento dei giorni di permesso di cui all’articolo 33, commi 3 e 6, della legge n. 104/1992 in caso di rapporto di lavoro part-time 4.2 Frazionabilità in ore dei giorni di permesso di cui all’articolo 33, commi 3 e 6, della legge n. 104/1992 in caso di rapporto di lavoro part-time 5. Istruzioni procedurali

1. Premessa

Con il messaggio n. 3114 del 7 agosto 2018, al paragrafo 2, sono state fornite le nuove formule di calcolo da applicare ai fini del riproporzionamento dei tre giorni di permesso mensile di cui all’articolo 33 della legge 5 febbraio 1992, n. 104, nei casi di rapporto di lavoro part-time di tipo verticale e di tipo misto con attività lavorativa limitata ad alcuni giorni del mese.

Tali indicazioni devono essere riviste alla luce degli orientamenti della Suprema Corte di Cassazione, Sezione Lavoro, che con due decisioni (sentenze 29 settembre 2017, n. 22925 e 20 febbraio 2018, n. 4069) ha statuito che la durata dei permessi, qualora la percentuale del tempo parziale di tipo verticale superi il 50% del tempo pieno previsto dal contratto collettivo, non debba subire decurtazioni in ragione del ridotto orario di lavoro.

2. Il nuovo orientamento giurisprudenziale

La Corte di Cassazione fonda le sue conclusioni sull’analisi dell’articolo 4 del decreto legislativo 25 febbraio 2000, n. 61, recante “Attuazione della direttiva 97/81/CE relativa all'accordoquadro sul lavoro a tempo parziale concluso dall'UNICE, dal CEEP e dalla CES”.

La norma opera una differenziazione tra gli istituti che hanno una connotazione patrimoniale e che si pongono in stretta corrispettività con la durata della prestazione lavorativa - per i quali è ammesso il riproporzionamento del trattamento - e gli istituti riconducibili a un ambito di diritti a connotazione non strettamente patrimoniale, che si è inteso salvaguardare da qualsiasi riduzione connessa alla minore entità della durata della prestazione lavorativa.

Tra questi ultimi, sottolinea la Suprema Corte, vi sono i permessi di cui all’articolo 33 della legge n. 104/1992, i quali, oltretutto, costituiscono misure di tutela della salute psico-fisica della persona disabile, che è un diritto fondamentale dell’individuo tutelato dall’articolo 32 della Costituzione.

Ne consegue che, in linea di principio, il diritto ad usufruire dei permessi non è comprimibile. La Cassazione sottolinea la necessità, comunque, di una valutazione comparativa delle esigenze dei datori di lavoro e dei lavoratori, in particolare di una distribuzione in misura paritaria degli oneri e dei sacrifici connessi all'adozione del rapporto di lavoro part-time e, nello specifico, del rapporto di lavoro parziale di tipo verticale.

In coerenza con tale criterio, valutate le opposte esigenze, appare ragionevole – specifica la Suprema Corte - distinguere l'ipotesi in cui la prestazione di lavoro part-time sia articolata con un numero di giornate superiore al 50% di quello ordinario, da quello in cui comporti una prestazione per un numero di giornate di lavoro inferiori. Solo nel primo caso, stante la pregnanza degli interessi coinvolti e l'esigenza di effettività di tutela del disabile, occorre riconoscere il diritto alla integrale fruizione dei permessi.

3. I chiarimenti del Ministero del Lavoro e delle politiche sociali

Nelle more dei giudizi da cui sono scaturite le citate pronunce della Cassazione, il D.lgs n. 61/2000 è stato abrogato dall’articolo 55, comma 1, lettera a), del decreto legislativo 15 giugno 2015, n. 81. Quest’ultimo decreto, all’articolo 7, comma 2, dispone che: “Il lavoratore a tempo parziale ha i medesimi diritti di un lavoratore a tempo pieno comparabile ed il suo trattamento economico e normativo è riproporzionato in ragione della ridotta entità della prestazione lavorativa”.

La formulazione della nuova norma, ben più sintetica rispetto a quella di cui all’articolo 4 del D.lgs n. 61/2000, è stata oggetto di analisi da parte dell’Ufficio legislativo del Ministero del Lavoro e delle politiche sociali. In particolare, il Ministero ha chiarito che i principi enunciati dalla giurisprudenza con riferimento al D.lgs n. 61/2000 sono applicabili anche dopo l’entrata in vigore del D.lgs n. 81/2015. L’articolo 7, comma 2, citato - chiarisce il Ministero - conserva infatti la distinzione tra “diritti” e “trattamento economico e normativo”.

Resta dunque fermo il nucleo dei “diritti” a connotazione non strettamente patrimoniale – tra cui il diritto ai permessi - che vanno salvaguardati dalla riduzione connessa alla minore durata della prestazione lavorativa.

Sul punto, il Ministero del Lavoro e delle politiche sociali ha infatti precisato che i permessi riconosciuti dalla legge n. 104/1992 possono essere annoverati tra i suddetti diritti. Ciò in considerazione del fatto che i medesimi sono volti ad assicurare la continuità nelle cure e nell’assistenza del familiare disabile e la rilevanza degli interessi di rilievo costituzionale tutelati.

Infine, il medesimo Dicastero precisa che la ratio del D.lgs n. 81/2015 non è quella di modificare in modo sostanziale la disciplina del part-time, quanto piuttosto di ricomprendere in un unico testo normativo la disciplina organica dei diversi contratti di lavoro.

Conseguentemente, il Ministero del Lavoro e delle politiche sociali ha invitato l’Istituto ad adeguare le indicazioni fornite con il messaggio n. 3114/2018 a quanto stabilito dalla recente giurisprudenza della Corte di Cassazione.

4. Istruzioni operative e ambito di applicazione

Tenuto conto di quanto sopra evidenziato, con riferimento ai lavoratori dipendenti del settore privato, si forniscono le nuove indicazioni relative al riproporzionamento della durata dei giorni di permesso di cui all’articolo 33, commi 3 e 6, della legge n. 104/1992, da attuare nelle ipotesi di lavoro a tempo parziale di tipo verticale o misto, con attività lavorativa part-time superiore al 50%.

4.1 Riproporzionamento dei giorni di permesso di cui all’articolo 33, commi 3 e 6, della legge n. 104/1992 in caso di rapporto di lavoro part-time

In caso di part-time di tipo orizzontale rimangono valide le disposizioni fornite al paragrafo 2 del messaggio n. 3114/2018. Pertanto, i tre giorni di permesso non andranno riproporzionati.

Relativamente a tali fattispecie, infatti, la commisurazione dei giorni di permesso alla ridotta durata dell’attività lavorativa è insita nella dinamica del rapporto medesimo.

Con riferimento ai rapporti di lavoro part-time di tipo verticale e di tipo misto fino al 50%, rimangono valide le disposizioni fornite al citato paragrafo 2 del messaggio n. 3114/2018.

Si conferma che la formula di calcolo da applicare, ai fini del riproporzionamento dei 3 giorni di permesso mensile del part-time di tipo verticale e di tipo misto con attività lavorativa limitata ad alcuni giorni del mese, è la seguente:

orario medio settimanale teoricamente eseguibile

dal lavoratore part-time -------------------------------------------------------- x 3 (giorni di permesso teorici)

orario medio settimanale teoricamente eseguibile

a tempo pieno

Il risultato numerico andrà quindi arrotondato all’unità inferiore o a quella superiore a seconda che la frazione sia fino allo 0,50 o superiore.

Si ribadisce che il riproporzionamento andrà effettuato solo in caso di part-time di tipo verticale e di tipo misto con attività lavorativa limitata ad alcuni giorni del mese.

Il riproporzionamento dei tre giorni, infatti, non andrà effettuato per i mesi in cui, nell’ambito del rapporto di lavoro part-time, sia previsto lo svolgimento di attività lavorativa a tempo pieno.

Per quanto riguarda il rapporto di lavoro svolto in regime di part-time con percentuale a partire dal 51%, verranno riconosciuti interamente i tre giorni di permesso mensile.

4.2 Frazionabilità in ore dei giorni di permesso di cui all’articolo 33, commi 3 e 6, della legge n. 104/1992 in caso di rapporto di lavoro part-time

Si ribadisce che il riproporzionamento orario dei giorni di permesso di cui all’articolo 33, commi 3 e 6, della legge n. 104/1992 dovrà essere effettuato solo nel caso in cui il beneficio venga utilizzato, anche solo parzialmente, in ore.

Al riguardo si specifica quanto segue.

In caso di rapporto di lavoro svolto in regime di part-time (orizzontale, verticale o misto) con percentuale a partire dal 51%, rimane confermata la formula già indicata nel messaggio n. 16866//2007:

orario normale di lavoro medio settimanale

---------------------------------------------------- x 3 = ore mensili fruibili

numero medio dei giorni lavorativi settimanali

Con riferimento ai rapporti di lavoro part-time di tipo orizzontale, verticale e misto fino al 50%, la formula di calcolo da utilizzare ai fini della quantificazione del massimale orario mensile dei permessi è quella fornita al paragrafo 3 del messaggio n. 3114/2018, ossia:

orario medio settimanaleteoricamente eseguibile

dal lavoratore part-time ------------------------------------------------------- x 3 (giorni di permesso teorici)

numero medio dei giorni (o turni)

lavorativi settimanali previsti per il tempo pieno

5. Istruzioni procedurali

Con successivo messaggio verranno fornite le istruzioni per la gestione, da parte degli operatori di Sede, delle domande per i permessi di cui alla legge n. 104/1992, interessate dalle nuove istruzioni della presente circolare.

Il Direttore Generale

Gabriella Di Michele

14/01/2022
Area: Prassi, Circolari, Note

FAQ - Trattamento dati nel contesto scolastico nell’ambito dell’emergenza sanitaria

1) Le scuole sono tenute ad acquisire il consenso di alunni, genitori e insegnanti per attivare la didattica a distanza?

No. Gli istituti scolastici possono trattare i dati, anche relativi a categorie particolari(1) di insegnanti, alunni (anche minorenni), e genitori nell’ambito delle proprie finalità istituzionali e non devono chiedere agli interessati di prestare il consenso al trattamento dei propri dati, neanche in relazione alla didattica a distanza, attivata a seguito della sospensione delle attività formative delle scuole di ogni ordine e grado. Peraltro, il consenso di regola non costituisce una base giuridica idonea per il trattamento dei dati in ambito pubblico e nel contesto del rapporto di lavoro.

2) Gli Istituti scolastici devono informare gli interessati in merito ai trattamenti dei dati personali effettuati nelle attività di didattica a distanza?

Sì. Gli istituti scolastici sono tenuti ad assicurare la trasparenza del trattamento informando, con un linguaggio facilmente comprensibile anche dai minori, gli interessati (alunni, studenti, genitori e docenti) in merito, in particolare, ai tipi di dati e alle modalità di trattamento degli stessi, ai tempi di conservazione e alle altre operazioni di trattamento, specificando che le finalità perseguite sono limitate esclusivamente all’erogazione della didattica a distanza, sulla base dei medesimi presupposti e con garanzie analoghe a quelli della didattica tradizionale.

3) La scuola può comunicare alle famiglie degli alunni l’identità dei parenti di studenti risultati positivi al COVID 19?

Spetta alle autorità sanitarie competenti informare i contatti stretti del contagiato, al fine di attivare le previste misure di profilassi. L’istituto scolastico è tenuto a fornire alle istituzioni competenti, le informazioni necessarie, affinché le stesse possano ricostruire la filiera dei contatti del contagiato, nonché, sotto altro profilo, ad attivare le misure di sanificazione recentemente disposte.

4) Le scuole possono svolgere riunioni dei docenti in video conferenza?

Per effetto della sospensione dell’attività didattica e delle riunioni degli organi collegiali in presenza, sono state attivate modalità di didattica a distanza e il ricorso al lavoro agile con riguardo ai servizi amministrativi. Per le medesime ragioni legate all’emergenza, anche alla luce delle indicazioni del Ministro per la pubblica amministrazione e del Ministero dell’Istruzione, ogni forma di riunione nell’ambito delle attività indifferibili deve essere svolta con modalità telematiche.

Il Garante ha già fornito alcune indicazioni alle scuole per orientare scelte consapevoli riguardo alle piattaforme da impiegare, sulla base delle garanzie offerte dai fornitori, in considerazione degli specifici rischi anche per i dati personali dei docenti.

(1) Vale a dire i dati che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché dati genetici, biometrici, relativi alla salute o alla vita sessuale o all’orientamento sessuale.

5) Quali aspetti bisogna considerare nel promuovere screening per il Covid-19 negli istituti scolastici?

Le strutture sanitarie territorialmente competenti possono promuovere campagne di screening sulla positività al Covid-19, in contesti a rischio contagio, come quello scolastico. La partecipazione degli alunni ai test può avvenire solo su base volontaria.

In tal caso, la titolarità del trattamento effettuato nell’ambito delle predette attività di screening resta in capo alla struttura sanitaria (la AUSL e non l’istituto scolastico) che lo promuove e che, pertanto, è l’unica legittimata a raccogliere le adesioni e a comunicare i risultati alla famiglia.

Il ruolo della scuola, anche nell’ambito delle proprie funzioni istituzionali, deve essere quello di promozione, supporto, nonché di intermediazione tra struttura sanitaria e famiglie, senza di regola raccolta di dati personali.

Laddove, in ragione di peculiari esigenze locali legate al contesto emergenziale, le strutture sanitarie ritengano necessario avvalersi degli istituti scolastici per la raccolta delle adesioni ai predetti screening, le scuole potranno trattare, per conto delle strutture sanitarie, in qualità di responsabili del trattamento (art. 28 del Regolamento), unicamente i dati degli alunni necessari ad agevolare l’organizzazione degli screening.

Nei diversi casi in cui, ai fini dello svolgimento delle attività di prevenzione connesse alla gestione dell'emergenza sanitaria in atto, la struttura sanitaria reputi indispensabile acquisire dagli istituti scolastici gli elenchi degli alunni iscritti cui rivolgere l’invito a effettuare i predetti screening, la comunicazione dei nominativi è ammissibile, fino al termine dello stato di emergenza, ai sensi e nei limiti di quanto previsto dall’art. 17-bis, comma 2, del d.l. n. 18/2020.

È inoltre opportuno che le modalità di esecuzione delle predette campagne presso i locali scolastici assicurino il rispetto della libertà di scelta individuale, evitando di suscitare disagio negli alunni o creare disparità tra gli stessi per effetto della partecipazione o meno allo screening prediligendo l’effettuazione delle operazioni in prossimità dell’orario di ingresso o al termine delle lezioni.

6) Quali sono le informazioni che l'istituzione scolasticapuò raccogliere dagli studenti o dai genitori, per gli alunni minorenni, nell'ambito delle azioni volte a prevenire il contagio da Covid-19?

n° 42
Area: Normativa

1.  Nelle pubbliche amministrazioni la libertà e l'attività sindacale sono tutelate nelle forme previste dalle disposizioni della legge 20 maggio 1970, n. 300, e successive modificazioni ed integrazioni. Fino a quando non vengano emanate norme di carattere generale sulla rappresentatività sindacale che sostituiscano o modifichino tali disposizioni, le pubbliche amministrazioni, in attuazione dei criteri di cui all'articolo 2, comma 1, lettera b) della legge 23 ottobre 1992, n. 421, osservano le disposizioni seguenti in materia di rappresentatività delle organizzazioni sindacali ai fini dell'attribuzione dei diritti e delle prerogative sindacali nei luoghi di lavoro e dell'esercizio della contrattazione collettiva.
2.  In ciascuna amministrazione, ente o struttura amministrativa di cui al comma 8, le organizzazioni sindacali che, in base ai criteri dell'articolo 43, siano ammesse alle trattative per la sottoscrizione dei contratti collettivi, possono costituire rappresentanze sindacali aziendali ai sensi dell'articolo 19 e seguenti della legge 20 maggio 1970, n. 300, e successive modificazioni ed integrazioni. Ad esse spettano, in proporzione alla rappresentatività, le garanzie previste dagli articoli 23, 24 e 30 della medesima legge n. 300 del 1970, e le migliori condizioni derivanti dai contratti collettivi.
3.  In ciascuna amministrazione, ente o struttura amministrativa di cui al comma 8, ad iniziativa anche disgiunta delle organizzazioni sindacali di cui al comma 2, viene altresì costituito, con le modalità di cui ai commi seguenti, un organismo di rappresentanza unitaria del personale mediante elezioni alle quali è garantita la partecipazione di tutti i lavoratori.
3-bis.  Ai fini della costituzione degli organismi di cui al comma 3, è garantita la partecipazione del personale in servizio presso le rappresentanze diplomatiche e consolari nonché presso gli istituti italiani di cultura all'estero, ancorché assunto con contratto regolato dalla legge locale. Di quanto previsto dal presente comma si tiene conto ai fini del calcolo della rappresentatività sindacale ai sensi dell'articolo 43.
4.  Con appositi accordi o contratti collettivi nazionali, tra l'ARAN e le confederazioni o organizzazioni sindacali rappresentative ai sensi dell'articolo 43, sono definite la composizione dell'organismo di rappresentanza unitaria del personale e le specifiche modalità delle elezioni, prevedendo in ogni caso il voto segreto, il metodo proporzionale e il periodico rinnovo, con esclusione della prorogabilità. Deve essere garantita la facoltà di presentare liste, oltre alle organizzazioni che, in base ai criteri dell'articolo 43, siano ammesse alle trattative per la sottoscrizione dei contratti collettivi, anche ad altre organizzazioni sindacali, purché siano costituite in associazione con un proprio statuto e purché abbiano aderito agli accordi o contratti collettivi che disciplinano l'elezione e il funzionamento dell'organismo. Per la presentazione delle liste, può essere richiesto a tutte le organizzazioni sindacali promotrici un numero di firme di dipendenti con diritto al voto non superiore al 3 per cento del totale dei dipendenti nelle amministrazioni, enti o strutture amministrative fino a duemila dipendenti, e del 2 per cento in quelle di dimensioni superiori.
5.  I medesimi accordi o contratti collettivi possono prevedere che, alle condizioni di cui al comma 8, siano costituite rappresentanze unitarie del personale comuni a più amministrazioni o enti di modeste dimensioni ubicati nel medesimo territorio. Essi possono altresì prevedere che siano costituiti organismi di coordinamento tra le rappresentanze unitarie del personale nelle amministrazioni e enti con pluralità di sedi o strutture di cui al comma 8.
6.  I componenti della rappresentanza unitaria del personale sono equiparati ai dirigenti delle rappresentanze sindacali aziendali ai fini della legge 20 maggio 1970, n. 300, e successive modificazioni ed integrazioni, e del presente decreto. Gli accordi o contratti collettivi che regolano l'elezione e il funzionamento dell'organismo, stabiliscono i criteri e le modalità con cui sono trasferite ai componenti eletti della rappresentanza unitaria del personale le garanzie spettanti alle rappresentanze sindacali aziendali delle organizzazioni sindacali di cui al comma 2 che li abbiano sottoscritti o vi aderiscano.
7.  I medesimi accordi possono disciplinare le modalità con le quali la rappresentanza unitaria del personale esercita in via esclusiva i diritti di informazione e di partecipazione riconosciuti alle rappresentanze sindacali aziendali dall'articolo 9 o da altre disposizioni della legge e della contrattazione collettiva. Essi possono altresì prevedere che, ai fini dell'esercizio della contrattazione collettiva integrativa, la rappresentanza unitaria del personale sia integrata da rappresentanti delle organizzazioni sindacali firmatarie del contratto collettivo nazionale del comparto.
8.  Salvo che i contratti collettivi non prevedano, in relazione alle caratteristiche del comparto, diversi criteri dimensionali, gli organismi di cui ai commi 2 e 3 del presente articolo possono essere costituiti, alle condizioni previste dai commi precedenti, in ciascuna amministrazione o ente che occupi oltre quindici dipendenti. Nel caso di amministrazioni o enti con pluralità di sedi o strutture periferiche, possono essere costituiti anche presso le sedi o strutture periferiche che siano considerate livelli decentrati di contrattazione collettiva dai contratti collettivi nazionali.
9.  Fermo restando quanto previsto dal comma 2, per la costituzione di rappresentanze sindacali aziendali ai sensi dell'articolo 19 della legge 20 maggio 1970, n. 300, e successive modificazioni ed integrazioni, la rappresentanza dei dirigenti nelle amministrazioni, enti o strutture amministrative è disciplinata, in coerenza con la natura delle loro funzioni, dagli accordi o contratti collettivi riguardanti la relativa area contrattuale.
10.  Alle figure professionali per le quali nel contratto collettivo del comparto sia prevista una disciplina distinta ai sensi dell'articolo 40, comma 2, deve essere garantita una adeguata presenza negli organismi di rappresentanza unitaria del personale, anche mediante l'istituzione, tenuto conto della loro incidenza quantitativa e del numero dei componenti dell'organismo, di specifici collegi elettorali.
11.  Per quanto riguarda i diritti e le prerogative sindacali delle organizzazioni sindacali delle minoranze linguistiche, nell'ambito della provincia di Bolzano e della regione Valle d'Aosta, si applica quanto previsto dall'articolo 9 del decreto del Presidente della Repubblica 6 gennaio 1978, n. 58, e dal decreto legislativo 28 dicembre 1989, n. 430.