Salta al contenuto

DIRITTI E PREVENZIONE > COME TUTELARE LA TUA PRIVACY

ricerca avanzata

Lavoro: comunicazione a terzi di documentazione contenente dati sensibili - 27 giugno 2013 [2576686]

[doc. web n. 2576686]

Lavoro: comunicazione a terzi di documentazione contenente dati sensibili - 27 giugno 2013

Registro dei provvedimenti
n. 315 del 27 giugno 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito "Codice");

VISTA la segnalazione del 29 febbraio 2012 proposta da XY concernente il trattamento di dati personali riferiti all'interessata effettuato dall'Università degli Studi di QQ;

VISTE le "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico", adottate con provvedimento del 14 giugno 2007 (pubblicato nella G.U. 13 luglio 2007, n. 161 e in www.garanteprivacy.it, doc. web n. 1417809);

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

PREMESSO

1. XY, professore associato presso la Facoltà di HH dell'Università degli Studi di QQ, ha lamentato la violazione della disciplina in materia di protezione dei dati personali in relazione all'indebita comunicazione a terzi di documentazione contenente dati personali a sé riferiti ritenuti avere natura sensibile.

In particolare, a detta della segnalante, il professore KW, docente presso diversa Facoltà dell'Ateneo, sarebbe venuto in possesso di copia di un decreto rettorale (prodotto in atti), con il quale era stata disposta a favore dell'interessata la collocazione in "interdizione dal lavoro" (e, quindi, in "congedo per maternità") ai sensi dell'art. 17, comma 2, lett. a), d.lg. 26 marzo 2001, n. 151 (Testo unico delle disposizioni in materia di tutela e sostegno della maternità e della paternità, a norma dell'articolo 15 della l. 8 marzo 2000, n. 53). Copia del menzionato decreto rettorale, infatti, sarebbe stata allegata dal professor KW alla richiesta di affidamento dell'insegnamento che si sarebbe reso vacante, dallo stesso presentata "senza aspettare che il Preside, una volta verificata l'indisponibilità di colleghi interni alla Facoltà a ricoprire la vacanza, emanasse il bando di affidamento per supplenza" (cfr. segnalazione, p. 2).

2. A fronte delle richieste d'informazione formulate dall'Ufficio nei confronti dell'Università, è stato inizialmente dichiarato che del menzionato decreto rettorale sarebbe stata data comunicazione al solo personale dell'Università (indicato nella menzionata comunicazione del 20 aprile u.s.) legittimato a prenderne conoscenza in ragione delle funzioni svolte nell'organizzazione dell'attività didattica e di ricerca nonché nell'ambito della gestione del rapporto di lavoro (cfr. nota 20 aprile 2012).

A seguito di approfondimenti, effettuati dall'Ateneo anche mediante un'apposita "Commissione preposta a verificare il rispetto della vigente normativa" (di cui si è data notizia con nota del 20 settembre 2012), è stato successivamente precisato che (cfr. comunicazione del 18 ottobre 2012):

a. la trasmissione del menzionato decreto rettorale sarebbe avvenuta nei confronti di "persone preposte, sulla base di provvedimenti formali, alle unità organizzative nel cui ambito di competenza ricadeva il trattamento stesso in relazione ad adempimenti da porre in essere con riguardo all'organizzazione della didattica e della ricerca nonché alla gestione del rapporto di lavoro"; tale personale opererebbe in base a norme regolamentari (Regolamento sul trattamento dei dati sensibili e giudiziari emanato da JX) "che individuano per iscritto l'ambito del trattamento consentito" e che, con riguardo al caso di specie, "prevede la possibilità di trattamento di dati inerenti lo stato di salute per esigenze di maternità da parte degli uffici […] competenti […] per finalità di gestione del rapporto di lavoro del personale docente";

b. la Facoltà di HH e i Dipartimenti XX e YY, "pur essendo strutture autonome, costituivano il cd polo di HH" e la quasi totalità dei "docenti afferenti ai due dipartimenti erano anche incardinati nella Facoltà di HH e componenti, quindi, del Consiglio di Facoltà";

c. una comunicazione sarebbe stata "inviata dalla segreteria della Facoltà di HH […] al […] direttore del Dipartimento di YY" che, a sua volta, "ha comunicato il decreto di che trattasi al prof. KW (in servizio presso la Facoltà di ZZ ma, per affinità scientifica, afferente al Dipartimento YY) ad esclusivi fini istituzionali, per provvedere alla copertura dell'insegnamento che l'assenza della prof.ssa XY avrebbe lasciato vacante";

d. tanto sarebbe avvenuto "in ossequio al principio statutario che richiede al dipartimento di concorrere alle attività didattiche mettendo a disposizione proprie risorse e in considerazione della circostanza che il prof. KW fosse l'unico docente del Dipartimento afferente al medesimo settore scientifico disciplinare [della segnalante]";

e. il prof. KW, senza attendere l'emanazione del bando di affidamento della supplenza, "ha inviato alla Preside della Facoltà di HH (e per conoscenza alla Preside della Facoltà di ZZ, a cui il medesimo afferiva) la propria istanza di affidamento di incarico didattico, allegando il d.r. n. 779/2011";

f.  la segreteria amministrativa della Facoltà di HH "ha trasmesso l'istanza del prof. KW, allegando inavvertitamente il decreto in questione, a tutti i componenti del Consiglio della Facoltà di HH in quanto la predetta istanza era stata posta dalla preside all'ordine del giorno della successiva seduta del Consiglio stesso".

3. Nel ribadire il contenuto della segnalazione e nel riportarsi alle doglianze ivi già rappresentate, l'interessata nelle proprie controdeduzioni (cfr. nota del 5 novembre 2012) ha dichiarato altresì che:

a. il c.d. polo di HHa non è "tra le strutture preposte al trattamento […] dei dati personali";

b. alla luce degli artt. 44, 48 e 52 dello Statuto dell'Università di QQ "il ruolo primario […] nell'organizzazione della didattica [spetterebbe] alle Facoltà [mentre] un ruolo complementare [competerebbe ai] Dipartimenti";

c. altri docenti nell'ambito dell'Ateneo, afferenti al medesimo settore scientifico disciplinare e nei cui confronti il decreto rettorale non sarebbe stato trasmesso, pure avrebbero avuto interesse a conoscere la vacanza dell'insegnamento (cfr. nota del 5 novembre 2012, cit.);

d. in ogni caso, di non ravvedere la "necessità di consegnare al prof. KW il decreto rettorale nella sua interezza […] diffondendo informazioni per la sottoscritta molto delicate";

e. con riguardo a quanto dichiarato dall'Università circa il fatto che "il documento è stato oggetto di comunicazione interna all'amministrazione" (cfr. nota 18 ottobre 2012 cit.), non per ciò solo ciascun dipendente dell'Università potrebbe legittimamente venire a conoscenza di vicende personali di altri dipendenti.

4. In via preliminare deve rilevarsi che nel caso di specie risultano aver formato oggetto di trattamento dati personali riferibili alla segnalante rientranti nel novero dei dati sensibili, così come definiti all'art. 4, comma 1, lett. d), del Codice.

Le informazioni relative all'"interdizione dal lavoro" della segnalante per le ragioni previste dal menzionato art. 17 comma 2, lett. a), d.lg. n. 151/2001 – disposizione espressamente richiamata nel decreto rettorale – fanno infatti riferimento a "gravi complicanze della gravidanza o [a] persistenti forme morbose che si presume possano essere aggravate dallo stato di gravidanza", fattispecie in relazione alla quale i competenti uffici della Direzione Provinciale del Lavoro e della Asl "dispongono […] l'interdizione dal lavoro delle lavoratrici in stato di gravidanza fino al periodo di astensione [c.d. obbligatoria]" (ex art. 17, comma 2, d.lg. n. 151/2001; in merito alla nozione di dato concernente le condizioni di salute cfr. Provv. 14 giugno 2007, n. 23, Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, punto 6.3; Provv. 3 febbraio 2009, doc. web 1597590; Provv.ti 7 luglio 2004, doc. web n. 1068839 e 1068917).

5.1. I dati sensibili in questione (desumibili dal menzionato decreto rettorale), che legittimamente possono essere trattati dalle competenti funzioni dell'Ateneo per la dichiarata finalità di "gestione del rapporto di lavoro" (cfr. artt. 11, comma 1, lett. a), 20, comma 1 e 112, comma 1, del Codice) – ed in relazione al quale il Regolamento dell'Università concernente il trattamento dei dati sensibili e giudiziari (pubblicato in http://www....), nel descrivere il "flusso informativo dei dati", individua (in particolare alla scheda A), in conformità all'art. 20, comma 2, del Codice, il tipo di dati sensibili, le operazioni eseguibili nonché i soggetti che le possono porre in essere in ragione delle mansioni svolte – non potevano invece formare legittimamente oggetto di comunicazione a vantaggio terzi. In particolare, nel caso di specie, non potevano essere comunicati ad altro docente (indipendentemente dalla Facoltà di appartenenza dello stesso), non avendo questi titolo alcuno a trattarli per la menzionata finalità di gestione del rapporto di lavoro (rientrante invece, come detto, nelle attribuzioni del personale amministrativo dell'Università a tal fine incaricato del trattamento).

A ciò va aggiunto che – al di là del profilo della lamentata presentazione della domanda di assegnazione dell'incarico di insegnamento anteriormente alla formulazione di apposito bando e prima che altri soggetti potessero venire a conoscenza di tale opportunità (aspetti che non rilevano ai fini della disciplina di protezione dei dati personali) – la comunicazione dei dati sensibili riferiti alla segnalante è altresì avvenuta in violazione del principio di necessità (cfr. art. 11, comma 1, lett. d) e 22, comma 3 del Codice), non essendo indispensabile ai fini dell'assegnazione dell'incarico resosi vacante mettere terzi a conoscenza delle motivazioni, nel caso di specie inerenti alle condizioni di salute dell'interessata, sottese alla vacanza dell'insegnamento.

5.2. Per le stesse ragioni deve ritenersi illecita anche la successiva comunicazione dei medesimi dati sensibili a tutti i componenti del Consiglio di Facoltà chiamati a deliberare in ordine all'assegnazione dell'insegnamento realizzatasi mettendo (nuovamente) a disposizione degli stessi il menzionato decreto rettorale, riprodotto dalla segreteria di Facoltà unitamente alla domanda del professor KW.

5.3. La necessità di particolari cautele nel trattamento di dati concernenti le condizioni di salute (desumibile anche dall'art. 22, comma 7, del Codice), peraltro, è stata da tempo evidenziata dal Garante anche nelle richiamate Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, precisandosi che le amministrazioni "devono adottare maggiori cautele se le informazioni personali sono idonee a rivelare profili particolarmente delicati della vita privata dei propri dipendenti" (quali ben possono essere quelle concernenti lo stato di salute). Nella stessa sede, l'Autorità ha ribadito che, con specifico riguardo alla gestione del rapporto di lavoro, l'amministrazione deve individuare i soggetti che possono venire lecitamente a conoscenza di tali informazioni, che devono essere in ogni caso designati incaricati o responsabili del trattamento (artt. 29 e 30 del Codice) con la necessaria adozione di "particolari cautele anche nelle trasmissioni di informazioni personali che possono intervenire tra i medesimi incaricati o responsabili nelle correnti attività di organizzazione e gestione del personale. In tali flussi di dati occorre evitare, in linea di principio, di fare superflui riferimenti puntuali a particolari condizioni personali riferite a singoli dipendenti, specie se riguardanti le condizioni di salute, selezionando le informazioni di volta in volta indispensabili, pertinenti e non eccedenti (artt. 11 e 22 del Codice) […] come pure riportare tali informazioni – quale presupposto degli atti adottati – solo nei provvedimenti messi a disposizione presso gli uffici per eventuali interessati e controinteressati (limitandosi quindi a richiamarli anche nelle comunicazioni interne e indicando gli estremi o un estratto del loro contenuto)" (cfr. par 5.1 Linee guida cit.).

6. Ritenuta illecita per le ragioni illustrate la comunicazione dei dati sensibili riferiti alla segnalante dapprima al professor KW (par. 5.1) nonché ai componenti del Consiglio di Facoltà (par. 5.2) e riservata la verifica, con autonomo procedimento, dei presupposti per l'eventuale contestazione della violazione amministrativa di cui all'art. 162, comma 2-bis del Codice, deve prescriversi all'Università degli Studi di QQ, ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c), del Codice, di adottare misure idonee volte a conformare il trattamento dei dati personali, con particolare riferimento ai dati trattati per finalità di gestione del rapporto di lavoro e specie se di natura sensibile, alla disciplina di protezione dei dati personali, anche alla luce delle indicazioni già formulate in via generale nelle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico.

TUTTO CIÒ PREMESSO, IL GARANTE

ritenuta illecita la comunicazione di dati sensibili riferiti alla segnalante avvenuta secondo le modalità indicate in narrativa, prescrive all'Università degli Studi di QQ, ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c), del Codice, di adottare misure idonee volte a conformare il trattamento dei dati personali nell'ambito della gestione del rapporto di lavoro alla disciplina di protezione dei dati personali, anche alla luce delle indicazioni già fornite in via generale nelle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 27 giugno 2013

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia