‘Sono un’assistente amministrativa e mi viene contestato che in una mail diretta ai genitori in cui vi erano comunicazioni per partecipare ad una gita scolastica, c’erano anche dati relativi ad alunni disabili. Purtroppo è vero, ma in realtà la mail era stata visionata anche dalla DSGA. Cosa mi può succedere?’ Questa domanda è stata trattata nel corso del nostro webinar settimanale su YouTube in relazione alle sanzioni disciplinari, insieme all’Avvocato Maria Rosaria Altieri. Riportiamo di seguito la risposta data.
Violazione della privacy nelle comunicazioni
Purtroppo la violazione degli obblighi inerenti la tutela della privacy costituisce un illecito disciplinare, spiega l’Avvocato Altieri. Tanto più se le informazioni divulgate attengono ai dati sensibili, tra i quali vi sono proprio i dati inerenti lo stato di salute del soggetto. Tali sono senz’altro le informazioni su eventuali situazioni di disabilità. Si tratta di atti non conformi alle responsabilità, ai doveri ed alla correttezza inerenti alla funzione ricoperta. Si possono configurare anche responsabilità civili e amministrative.
La responsabilità civile
Per quanto riguarda la responsabilità civile, ossia il risarcimento dei danni, diretta conseguenza dell’art. 1218 c.c. secondo cui deve risarcire il danno chi non rispetta le condizioni di un contratto precedentemente stipulato. Questo perché la Giurisprudenza ritiene che tra gli studenti e la scuola vi sia un rapporto contrattuale, che nasce al momento dell’iscrizione dell’alunno (cd. contratto di scolarità) e il risarcimento è dovuto tutte le volte in cui vi è la violazione degli obblighi contrattuali, tra cui quelli relativi alla protezione dei dati personali. Il danno risarcibile è sia il danno materiale che morale, consistente quest’ultimo nel timore di un eventuale futuro uso improprio dei propri dati.
Tuttavia, non ogni violazione di dati personali provoca automaticamente un danno. Ciò è confermato anche da una recente pronuncia della Cassazione (Cass. n. 16402/2021). Il danno va provato, anche per quanto riguarda l’ammontare. Va precisato che, in un eventuale giudizio innanzi al Tribunale, verrà chiamato il Ministero dell’Istruzione e non il dipendente responsabile, che ha causato il danno.
Tuttavia, se il MIM dovesse essere condannato al risarcimento del danno, potrà agire nei confronti del dipendente responsabile promuovendo il giudizio di responsabilità dinanzi alla Corte dei Conti. Ciò in quanto il risarcimento che il MIM è costretto a pagare costituisce per lo Stato un danno erariale. Innanzi alla Corte dei Conti il Ministero può agire a carico del titolare anche per danni reputazionali, ossia per danno all’immagine sull’attività della PA.
La responsabilità amministrativa
Quanto alla responsabilità amministrativa, tra le conseguenze di una violazione delle norme in materia di protezione dei dati personali, vi sono anche le sanzioni amministrative pecuniarie applicate alla Scuola a seguito di un procedimento dinanzi all’Autorità di controllo nazionale (Garante Privacy) che possono arrivare anche a diversi milioni di euro. I provvedimenti adottati dal Garante sono impugnabili dinanzi all’autorità giurisdizionale.
Anche in questo caso, il Ministero che ha pagato la sanzione pecuniaria inflitta dal Garante potrà agire innanzi alla Corte dei Conti nei confronti del dipendente responsabile della violazione per ottenere a titolo risarcitorio, la sanzione pecuniaria versata. Segnalo da ultimo che, la divulgazione di dati a persone non autorizzata, il cd. data breach, comporta l’obbligo del titolare del trattamento, ossia nel nostro caso il Dirigente Scolastico, di notificare la violazione al Garante entro 72 ore e l’obbligo di seguire delle procedure ben definite il cui mancato rispetto comporta l’applicazione di una sanzione amministrativa fino ad € 10.000,00.