Università degli studi di Bari Aldo Moro
Ammonimento ai sensi dell'art. 58, par. 2, lett. b) del Regolamento (UE) 2016/679 e art. 83, par. 2 del Regolamento
Sintesi del provvedimento
Il Garante accerta la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati (art. 5, par. 1, lett. a) e c) GDPR) da parte dell'Università degli studi di Bari Aldo Moro. L'Università ha trasmesso al soggetto controinteressato, nell'ambito di una richiesta di accesso civico generalizzato, l'integrale istanza del ricorrente contenente dati eccedenti e non necessari quali il numero di telefono e l'indirizzo di residenza. Il Garante qualifica la violazione come minore e dispone l'ammonimento del titolare del trattamento, ritenendo insufficienti le giustificazioni addotte basate sulla presunta autorizzazione incondizionata del ricorrente.
Approfondimento
Soggetti coinvolti
1 (un solo interessato)
Riferimenti normativi
Lettura del caso
Temi affrontati — Protezione dei dati personali; principi di liceità, correttezza e trasparenza; minimizzazione dei dati; accesso civico; comunicazione ai controinteressati nei procedimenti amministrativi; base giuridica del trattamento
Conseguenze — Il Garante dichiara illecita la condotta dell'Università degli studi di Bari Aldo Moro consistente nella violazione dell'art. 5 par. 1 lett. a) e c) GDPR. Il Garante ammonisce l'Università quale titolare del trattamento per aver violato le norme sulla minimizzazione dei dati e sui principi di liceità, correttezza e trasparenza. Dispone la pubblicazione del provvedimento sul sito web del Garante e l'annotazione nel registro interno dell'Autorità.
Trattamento riguardante un solo interessato; erronea convinzione del titolare sulla presunta autorizzazione incondizionata; avvio di procedure interne di sensibilizzazione del personale al principio di minimizzazione; piena collaborazione durante l'istruttoria; assenza di precedenti violazioni pertinenti o provvedimenti ai sensi dell'art. 58 GDPR; qualificazione della violazione come minore ai sensi del considerando 148 GDPR
La Pubblica Amministrazione ha l'obbligo di operare un'adeguata ponderazione della stretta necessità di comunicare dati personali eccedenti ai controinteressati nei procedimenti di accesso, indipendentemente da qualsiasi autorizzazione generica fornita dall'interessato. Il principio di minimizzazione dei dati si applica anche nelle comunicazioni ai controinteressati e non può essere superato dalla semplice autorizzazione incondizionata del richiedente l'accesso.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.