Ministero dell'Istruzione e del Merito - Ufficio Scolastico Regionale per la Lombardia
ordinanza ingiunzione ai sensi dell'art. 58, par. 2, lett. i) e art. 83 del Regolamento UE 2016/679
Sintesi del provvedimento
Il Garante accerta la violazione dei principi di liceità, correttezza e trasparenza e della base giuridica per il trattamento dei dati relativi a un provvedimento disciplinare di licenziamento, comunicati a una vasta platea di articolazioni amministrative senza idonea fondazione normativa. Applica una sanzione pecuniaria di 10.000 euro, considerando la condotta colposa e la buona cooperazione del titolare.
La comunicazione di dati relativi a sanzioni disciplinari all'interno della stessa amministrazione, ancorché tra uffici territoriali non autonomi, richiede una base giuridica specifica nel GDPR e non può fondarsi sulla mera esigenza organizzativa.
Approfondimento
Soggetti coinvolti
1 (una sola dipendente interessata)
Riferimenti normativi
Lettura del caso
Temi affrontati — violazione di liceità, correttezza, trasparenza e base giuridica nella comunicazione di dati personali relativi a provvedimento disciplinare
Conseguenze — Il Ministero deve pagare la sanzione di 10.000 euro entro 30 giorni dalla notificazione, con facoltà di definire la controversia mediante pagamento della metà della sanzione entro 30 giorni. Il provvedimento sarà pubblicato integralmente sul sito web del Garante. Le violazioni e le misure adottate saranno annotate nel registro interno dell'Autorità.
- violazione colposa derivante da errore in diritto nell'interpretazione della normativa di settore, nel contesto complesso dell'amministrazione scolastica, con intenzione di tutelare l'interesse pubblico
- buona cooperazione del titolare durante l'istruttoria e sospensione della prassi operativa contestata
- assenza di precedenti violazioni pertinenti. Fattore neutrale: numero limitato di interessati (una sola persona), sebbene i dati siano stati comunicati a vasta platea di destinatari e si trattasse di dati delicati afferenti a provvedimento disciplinare
Le comunicazioni interne a articolazioni della medesima amministrazione richiedono comunque una base giuridica esplicita nel GDPR: l'assenza di autonomia giuridica dei destinatari non legittima il trattamento senza fondamento normativo.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.