[doc. web n. 10021491]

Provvedimento del 24 aprile 2024

Registro dei provvedimenti
n. 268 del 24 aprile 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Il reclamo.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento il sig. XX, operatore amministrativo presso la XX (di seguito “XX”), ha rappresentato che il Ministero della Giustizia - Dipartimento dell'Amministrazione Penitenziaria (di seguito “Ministero”) ha posto in essere trattamenti di dati personali non conformi alla disciplina di protezione dei dati personali mediante propri uffici centrali e periferici. In particolare è stato lamentato che il Ministero ha avviato nei confronti del reclamante un procedimento disciplinare sul presupposto che lo stesso abbia assunto “una condotta disciplinarmente rilevante […] consistita nell’aver diffuso la propria immagine in rete – e più specificatamente su un sito di incontri […] offrendo prestazioni sessuali dietro ricompensa” (cfr. nota di contestazione disciplinare del XX del Dipartimento - Direzione generale del personale e delle risorse umane, in atti). Tale procedimento disciplinare sarebbe stato avviato a seguito di un’indagine effettuata nei confronti del reclamante da parte della XX accedendo al sito di incontri sopra richiamato e acquisendo immagini di annunci online relativi alle prestazioni offerte e contenenti, oltre alle fotografie dell’interessato, identificato anche attraverso uno pseudonimo, anche informazioni relative all’età e ai recapiti telefonici dello stesso.

Dalla documentazione in atti emerge, inoltre, che già nella fase di contestazione dell’addebito al reclamante (cfr. la predetta nota del Dipartimento del XX, in atti) era stato rilevato che il comportamento dello stesso non fosse “stato posto in essere durante l’orario di servizio”. Successivamente il Ministero, in data XX (a seguito dell’avvio dell’istruttoria del Garante) ha archiviato il procedimento disciplinare in questione sul presupposto che “la condotta infrattiva contestata non afferisce ad attività di servizio ed è stata posta in essere fuori dall’orario di servizio” confermando espressamente che essa “non ha arrecato danni al prestigio dell’amministrazione in quanto non sono emersi elementi tali da consentire il collegamento tra la stessa e l’incolpato”.

2. L’attività istruttoria.

Con nota del XX (prot. n. XX), il Dipartimento - Direzione generale del personale e delle risorse umane del Ministero, in riscontro a una richiesta d’informazioni del Garante, ha dichiarato, in particolare, che:

- “la XX di XX ha inviato […] la nota con cui segnalava una infrazione disciplinare corredata di allegati, attraverso raccomandata in doppia busta chiusa […] che al proprio interno conteneva documenti con dati sensibili e raccomandazioni per il trattamento dei dati”;

- “il carteggio in busta chiusa è stato recapitato al Direttore Reggente dell'Ufficio ed assegnato al Funzionario incaricato di procedere all'istruttoria della pratica. Detta documentazione non è stata né riprodotta né protocollata con sistema di protocollazione informatico al fine di tutelare al meglio i dati sensibili in essa contenuti e appositamente custodita presso l'Ufficio di quest'ultimo”;

- “la documentazione riservata è stata successivamente trattata dall'UPD [della] Direzione Generale composta dal Direttore dell'Ufficio, dal F.O.R. Responsabile del Procedimento, dall’Ispettore di Polizia Penitenziaria verbalizzante, per la trattazione dell'udienza disciplinare tenutasi in data XX”;

- “infine il carteggio è stato trattato dal Direttore Generale del Personale e delle Risorse per l'adozione del provvedimento conclusivo di archiviazione del procedimento disciplinare”;

- è stata inoltre “dat[a] informazione al dipendente medesimo interessato dell'invio della documentazione afferente [a] un comportamento disciplinarmente rilevante ai sensi dell’art. 12 del Regolamento […]”.

Con nota del XX (prot. n. XX), la XX ha fatto pervenire ulteriori elementi, da cui emerge, in particolare, che:

- “la direzione dell’istituto penitenziario […] è venuta a conoscenza dell'annuncio pubblicato dal [reclamante] a seguito di relazione di servizio prodotta da un appartenente al ruolo degli Ispettori del Corpo di polizia penitenziaria, a sua volta informato da alcuni colleghi che, accedendo al sito di incontri [...], avevano visionato l'annuncio di offerta di prestazioni sessuali, anche in cambio di regalie e compensi di natura economica, inserito dal predetto dipendente. Detta relazione era corredata di immagini relative all'annuncio stesso”;

- “sulla base di quanto relazionato e documentato, senza aver compiuto alcuna indagine sulle abitudini e afferenti la vita privata e sessuale dell'odierno reclamante [la XX] avendo comunque rilevato un comportamento suscettibile di rilevanza disciplinare in ragione del dovere facente capo ai pubblici dipendenti, anche liberi dal servizio, di mantenere una condotta integra e corretta, evitando qualsiasi condotta che possa ledere l’Amministrazione e la sua immagine, ha ritenuto di dover trasmettere gli atti all'Ufficio Centrale di Disciplina, per le valutazioni e determinazioni di competenza”;

- “tant'è vero che il predetto Centrale Ufficio avviava azione disciplinare rilevando la violazione degli 3 del Codice di Comportamento dei dipendenti pubblici di cui al D.P.R. 16 aprile 2013, n. 62 nella parte in cui dispone che il pubblico dipendente ‘“(...) evita situazioni e comportamenti che possano...nuocere agli interessi o all'immagine della pubblica amministrazione...” e dell’art. 42, comma 1, CCNL del comparto funzioni centrali nella parte in cui dispone che [...] il dipendente adegua altresì il proprio comportamento ai principi riguardanti il rapporto di lavoro, contenuti nel codice di comportamento di cui all'art. 54 del D. Lgs. 165/2001 e nel codice di comportamento adottato da ciascuna amministrazione” e ritenendo integrata la fattispecie infrattiva di cui all’art. 43, comma 3, lett. b) “condotta non conforme ai principi di correttezza ... del succitato CCNL, assorbita nella previsione di cui alla lettera 1) “violazioni di doveri ed obblighi di comportamento non ricompresi specificatamente nelle lettere precedenti da cui sia derivato un disservizio, danno o pericolo all'amministrazione...”;

- “la Direzione in intestazione, nel segnalare al competente superiore ufficio centrale la condotta ritenuta disciplinarmente rilevante tenuta [dal reclamante], ha agito in ottemperanza all’obbligo legale sancito dall’art. 55 sexies del D.Lgs. 165/2001 e ss.mm. che impone in capo al responsabile della struttura di cui all’art. 55 bis della medesima legge di rilevare e segnalare condotte tenute dai dipendenti passibili di sanzioni disciplinari, pena l'insorgenza in capo al medesimo, in caso di omissioni o ritardi, di responsabilità amministrative, civili e dirigenziali”;

- “in merito alle modalità di accesso ai dati personali del dipendente non può peraltro non evidenziarsi che questi sono stati acquisiti in base alle informazioni che lo stesso [reclamante] ha pubblicato su una bacheca di annunci aperta e, pertanto, consultabili e fruibili da chiunque si fosse collegato al sito”;

- “questa Direzione, proprio al fine di tutelare la privacy e tutelare i diritti fondamentali del [reclamante], ha inoltrato per competenza la segnalazione contenente dati personali all’ufficio disciplina dipartimentale adottando tutte le cautele del caso, ovvero, inserendo il carteggio in busta chiusa e indicando chiaramente nella lettera di trasmissione la seguente dicitura: “Si comunica altresì, che la documentazione trasmessa contiene cd. “dati sensibili” previsti dall'art. 9 del regolamento sulla protezione dei dati UE 2016/679 […]”.

Con nota del XX (prot. n. XX, l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Ministero, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1 lett. a), 6, 9 e 88 del Regolamento, nonché 2-ter, 2-sexies e 113 del Codice (in relazione all’ art. 8 della l. 20 maggio 1970, n. 300 e art. 10 del d.lgs. 10 settembre 2003, n. 276), in merito alla raccolta e al successivo trattamento di dati personali riconducibili anche alla “vita sessuale” e all’“orientamento sessuale” del reclamante, avvenuta in assenza di un’idonea base giuridica e in contrasto con le disposizioni nazionali che vietano al datore di lavoro di acquisire e trattare informazioni relative alla sfera privata del dipendente. Con la medesima nota, il titolare è stato invitato, altresì, a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), il Ministero ha presentato una memoria difensiva, dichiarando, in particolare, che:

- “come si evince dalla nota n. XX — S.P.P. del XX la Direzione dell'istituto penitenziario di  […] “è venuta a conoscenza dell'annuncio pubblicato dal [reclamante] a seguito di relazione di servizio prodotta da un appartenente al ruolo degli Ispettori del Corpo di polizia penitenziaria, a sua volta informato da alcuni colleghi che, accedendo al sito di incontri [...], avevano visionato l'annuncio di offerta di prestazioni sessuali, anche in cambio di regalie e compensi di natura economica, inserito dal predetto dipendente. Detta relazione era corredata di immagini relative all'annuncio”;

- “il Direttore Reggente della XX […] trasmetteva in busta chiusa all'Ufficio Disciplina del Dipartimento dell’Amministrazione Penitenziaria - Raccomandata A/R n. 13189667514-4 […] con nota prot. n. XX - S.P.P. del XX […] - la richiesta di attivazione di procedimento disciplinare a carico dell'Operatore Amministrativo in argomento corredata dalla documentazione acquisita”;

- “la Direzione “ha agito in ottemperanza all'obbligo legale sancito dall'art. 55 sexies del D.I.gs. 165/2001 e ss.mm. che impone in capo al responsabile della struttura di cui all'art. 55 bis medesima legge di rilevare e segnalare condotte tenute dai dipendenti passibili di sanzioni disciplinari, pena l'insorgenza in capo al medesimo, in caso di omissioni o ritardi, di responsabilità amministrative, civili e dirigenziali”;

-  “nessuna attività di raccolta di dati inerente la vita sessuale del [reclamante] è stata compiuta da questa direzione che si è limitata a prendere atto dell'attività dell'offerta di prestazioni sessuali pubblicizzata dal dipendente, anche in cambio di regalie e compensi di natura economica con possibili profili di rilevanza anche penale”;

- “riguardo all'attività svolta dall’Ufficio VII — Disciplina della Direzione generale del personale […] il personale addetto all'Ufficio ricevuto il carteggio in argomento con le modalità sopra esplicitate dalla direzione della XX di XX, lo ha rimesso al Direttore Reggente dell'Ufficio che a sua volta ha incaricato il Funzionario responsabile di procedere all'istruttoria della pratica. Si precisa che detta documentazione riservata pervenuta con raccomandata in data XX, non è stata né riprodotta né protocollata con sistema di protocollazione informatica al fine di tutelare al meglio i dati sensibili in essa contenuti, ed è stata appositamente custodita presso l'Ufficio del Funzionario di cui sopra”;

- “considerato che dall'esame del carteggio prodotto dalla sede penitenziaria di XX, emergeva una condotta che sebbene posta in essere dal dipendente fuori dall'orario di lavoro, appariva contraria ai principi di correttezza a cui è sottoposto il dipendente pubblico come espressamente specificato nell'art 3 del codice di comportamento DPR 16 aprile 2013 n. 62 e dunque rilevante dal punto di vista deontologico, atteso che il dipendente pubblico è tenuto a mantenere sempre una condotta integra e corretta evitando qualsivoglia situazione che possa ledere l’Amministrazione e la sua immagine, in ottemperanza al principio di obbligatorietà dell’azione disciplinare a fronte di condotte che appaiono violative di norme di legge, veniva avviato nei confronti del [reclamante] procedimento disciplinare con atto di contestazione del XX”;

- “ed infatti l'avvio del procedimento disciplinare è rispondente al principio di obbligatorietà dell’azione disciplinare prevista per l’impiego presso la P.A. sancito dall'art. 55 del D.Lgs. 165/2001 e ss. mm., come peraltro confermato dalla Cassazione (Cass. Sez. lav., 2 marzo 2017 n. 5317) in ossequio ai principi costituzionali di buon andamento della P.A., di imparzialità e di legalità-legittimità dell’azione amministrativa (art. 97 Cost.), al cui doveroso perseguimento è ostativa la impunita tolleranza di fenomeni di illegalità all’interno dell'apparato pubblico” […] come stabilito al comma 3 dell'art. 55 — sexies del D.Lgs. 165/2001”;

- “per tale ragione, una volta attivato il procedimento disciplinare nei riguardi del [reclamante], a conclusione dell'attività istruttoria, avendo accertato che la condotta posta in essere del dipendente non fosse avvenuta durante l'orario di lavoro e che non erano emersi elementi che potessero ricondurre l’immagine del dipendente all’Amministrazione, si procedeva all’archiviazione del procedimento disciplinare in parola con decreto del Direttore Generale del Personale e delle Risorse n. XX del XX”;

- “riguardo dunque all'intera fase del procedimento disciplinare si precisa che, come già esplicitato nella nota trasmessa a codesta Autorità il XX, la trattazione del carteggio pervenuto dalla direzione di XX con le garanzie di ricezione e custodia riservata sopra esplicitate è avvenuta a cura esclusivamente del personale dell'Ufficio Procedimenti Disciplinari che ha dovere di assoluta riservatezza di tutti gli elementi e documentazione di cui viene in possesso per ragioni del proprio Ufficio”;

Il Ministero, inoltre, nel corso dell’audizione ai sensi dell’art. 166, comma 6, del Codice, ha rappresentato che (cfr. verbale prot.n. XX del XX):

- “il dipendente ha sollevato una questione presentando un reclamo al Garante che riteniamo infondato perché si incardina in un procedimento disciplinare che ha proprie regole precise e che impone specifici obblighi in capo all’amministrazione”;

- “è stato segnalato un comportamento che prima facie sembrava poco consono con il comportamento di un dipendente e avevamo l’obbligo di attivarci in ragione dell’obbligatorietà dell’avvio dell’azione disciplinare, indipendentemente dall’esito dello stesso; ciò in quanto il comportamento non risultava del tutto inconferente rispetto ai presupposti che impongono l’avvio dell’iter disciplinare (art. 55 d.lgs. n. 165/2001) sussistendo il rischio di una rilevanza penale della condotta”;

- “il Ministero ha un’ampia casistica in merito al trattamento di dati anche sensibili (ad esempio, maltrattamenti a carico di terzi, corruzione e altri comportamenti comunque aventi rilevanza penale o suscettibili di mettere in cattiva luce l’amministrazione […]); in tali casi pur trattandosi talvolta di comportamenti relativi alla sfera extra lavorativa, devono necessariamente essere conosciuti dall’amministrazione che poi valuterà se avviare o meno l’azione disciplinare” […] “in ogni caso la gestione del dato avviene, ed è avvenuta anche in questo caso, nell’ambito di una filiera che prevede accesso da parte del solo personale autorizzato”;

-  “i dati in questione sono arrivati personalmente al Direttore reggente dell’ufficio disciplina in doppia busta chiusa, l’incartamento è stato custodito dal funzionario competente che lo ha conservato senza protocollarlo nel sistema di gestione di protocollazione documentale al fine di effettuare delle prime verifiche in merito alla rilevanza della condotta in sede disciplinare”;

- “è stato quindi ritenuto che la fattispecie avesse presumibilmente rilevanza sul piano disciplinare ed è stato avviato il procedimento con contestazione disciplinare all’interessato anche in ragione del fatto che il sito web fosse utilizzato e frequentato da altro personale della stessa amministrazione o da persone che potevano conoscere l’interessato; si è ritenuto che sussistesse una concreta possibilità di violazione del codice di comportamento che ha determinato l’atto di contestazione degli addebiti; le sole unità di personale che hanno trattato i dati sono: il direttore reggente dell’ufficio disciplina all’epoca in carica, il funzionario responsabile del procedimento per la preliminare istruttoria, il direttore generale che ha firmato l’atto di contestazione degli addebiti e poi adottato il provvedimento di archiviazione, il direttore dell’ufficio VII, il verbalizzante nell’ambito dell’udienza disciplinare, soggetti che avendo compiti e ruoli specifici in tale ambito sono autorizzati al trattamento, essendo stati debitamente istruiti in merito alla riservatezza del complessivo trattamento;

- al riguardo appare rilevante anche l’art. 71 lett. p) del CCNL 16 novembre 2022, considerato che l’interessato richiedeva remunerazione per specifiche prestazioni”.

3. Esito dell’attività istruttoria. Il quadro normativo applicabile ai rapporti di lavoro

Nella cornice del Regolamento e del Codice, il datore di lavoro può trattare i dati personali dei lavoratori (art. 4, n. 1, del Regolamento), anche relativi a “categorie particolari”, se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” (artt. 6, par. 1, lett. c), e 2 e 3, e art. 9, parr. 2, lett. b) e 4; 88 del Regolamento) oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, parr. 1, lett. e), 2 e 3, e art. 9, par. 2, lett. g), del Regolamento; artt. 2-ter e 2-sexies del Codice).

Con riferimento ai dati relativi a categorie particolari, tra i quali sono espressamente ricompresi i dati relativi “alla vita sessuale o all’orientamento sessuale […]” (art. 9, par. 1 del Regolamento), si fa presente che il relativo trattamento è, in generale, vietato a meno che non ricorra una delle specifiche condizioni indicate dal par. 2 dell’art. 9 del Regolamento.

In ambito lavorativo ciò implica che il trattamento di tali categorie di dati possa essere legittimamente posto in essere solo quando sia “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato” (art. 9, par. 2, lett. b), del Regolamento; v. pure, art. 88, e cons. 51-53 del Regolamento; cfr., “Provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1, del d.lgs 10 agosto 2018, n. 101”, doc web n. 9124510) nonché, in taluni casi, al ricorrere di “motivi di interesse pubblico rilevante” (art. 9, par. 2, lett. g) del Regolamento e art. 2-sexies, spec. lett. dd) del Codice). 

In ogni caso, il datore di lavoro deve rispettare le norme nazionali più specifiche con riguardo al trattamento dei dati nell’ambito dei rapporti di lavoro (art. 88 e cons. 155 del Regolamento), e, in particolare, le disposizioni che vietano al datore di lavoro di acquisire, anche a mezzo di terzi, e trattare informazioni sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore (cfr. art. 113 del Codice, che richiama l’art. 8 della l. 20 maggio 1970, n. 300 e l’art. 10 del d.lgs. 10 settembre 2003, n. 276). Per effetto di tale rinvio, e tenuto conto dell’art. 88, par. 2, del Regolamento, l’osservanza dell’art. 8 della l. 20 maggio 1970, n. 300 e dell’art. 10 del d.lgs. 10 settembre 2003, n.276 (nei casi in cui ne ricorrono i presupposti) costituisce una condizione di liceità del trattamento. Tali norme costituiscono nell’ordinamento interno quelle disposizioni più specifiche e di maggiore garanzia di cui all’art. 88 del Regolamento - a tal fine oggetto di specifica notifica da parte del Garante alla Commissione europea, ai sensi dell’art. 88, par. 3, del Regolamento - la cui osservanza costituisce una condizione di liceità del trattamento e la cui violazione - analogamente alle specifiche situazioni di trattamento del capo IX del Regolamento – determina, in aggiunta alla responsabilità sul piano penale (cfr. art. 171 del Codice), anche l’applicazione di sanzioni amministrative pecuniarie ai sensi dell’art. 83, par. 5, lett. d), del Regolamento (cfr., con riguardo all’ambito lavorativo pubblico, da ultimo, Corte di giustizia dell’Unione europea, sentenza 30 marzo 2023, causa C-34/21; cfr. anche la giurisprudenza della Corte europea dei diritti dell’uomo, nel caso Antovic e Mirković v. Montenegro, application n. 70838/13 del 28 novembre 2017, che ha stabilito che il rispetto della “vita privata” deve essere esteso anche ai luoghi di lavoro pubblici, evidenziando il necessario rispetto delle garanzie previste dalla legge nazionale applicabile).

Il datore di lavoro è, comunque, tenuto a rispettare i principi in materia di protezione dei dati (art. 5 del Regolamento) e deve essere in grado di dimostrare che il trattamento è effettuato in conformità al Regolamento (artt. 5, par. 2, e 24 del Regolamento).

3.1. Il trattamento dei dati personali del reclamante

Sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, risulta accertato che il Ministero ha trattato dati personali relativi all’interessato con riguardo all'“annuncio di offerta di prestazioni sessuali” e alle relative immagini, presenti su un sito web d’incontri.

In particolare, come risulta in atti e come confermato dalle dichiarazioni rese dal titolare del trattamento, tali dati sarebbero stati acquisiti dalla XX, a seguito di segnalazione da parte di alcuni dipendenti e, successivamente, trasmessi al competente ufficio centrale del Ministero che, pur rilevando che i comportamenti segnalati fossero avvenuti al di fuori dell’orario di lavoro, avviava azione disciplinare nei confronti del reclamante (nota del XX, cit.). Successivamente, dopo l’avvio della presente istruttoria, il procedimento disciplinare è stato archiviato ritenendo che i comportamenti contestati al reclamante non fossero suscettibili di pregiudicare in alcun modo il Ministero, non avendo “arrecato danni al prestigio” dello stesso e non essendo emersi “elementi tali da consentire il collegamento tra la stessa e l’incolpato” (cfr. decreto del XX, cit.).

3.2. L’azione disciplinare e la tutela della sfera extra lavorativa

Nel contesto lavorativo l’esercizio dell’azione disciplinare - che in generale può essere ricondotta nell’ambito di un “obbligo legale al quale è soggetto il titolare del trattamento” nonché dei “diritti specifici del titolare del trattamento” e dell’“adempimento degli obblighi stabiliti dalla legge o da contratti collettivi” (cfr. artt. 6.par. 1, lett. c), 9, par. 2, lett. b) del Regolamento e artt. 55-bis e ss. del d.lgs.165/2001) - ha ad oggetto la violazione da parte del dipendente degli obblighi di diligenza, lealtà e imparzialità che qualificano il corretto adempimento della prestazione lavorativa (cfr. artt. 1339 e 1419, secondo comma, del codice civile e, con specifico riguardo al rapporto di lavoro pubblico, artt. da 55 a 55-octies del d.lgs. 165/2001; art. 1 Codice di comportamento dei dipendenti delle pubbliche amministrazioni adottato dal d.P.R. 16 aprile 2013, n. 62 avente ad oggetto “i doveri minimi di diligenza, lealtà, imparzialità e buona condotta che i pubblici dipendenti sono tenuti ad osservare”, applicabile al caso di specie; si veda anche il nuovo Codice di comportamento dei dipendenti pubblici adottato dal d.P.R. 13 giugno 2023, n. 81).

In ossequio ai principi costituzionali di buon andamento della amministrazione pubblica, di imparzialità e di legalità-legittimità dell’azione amministrativa (art. 97 Cost.), i doveri di diligenza del dipendente pubblico attengono, più nello specifico, al corretto svolgimento dei “propri compiti nel rispetto della legge, perseguendo l'interesse pubblico senza abusare della posizione o dei poteri di cui è titolare” nella prospettiva di assicurare “la qualità dei servizi, la prevenzione dei fenomeni di corruzione, il rispetto dei doveri costituzionali di diligenza, lealtà, imparzialità e servizio esclusivo alla cura dell'interesse pubblico” (cfr. art 54 d.lgs. 165/2001). In tale quadro al pubblico dipendente è espressamente richiesto nello svolgimento della propria attività lavorativa il rispetto dei “principi di integrità, correttezza, buona fede, proporzionalità, obiettività, trasparenza, equità e ragionevolezza” di “astene[rsi] in caso di conflitto di interessi”, nonché di evitare “situazioni e comportamenti che possano ostacolare il corretto adempimento dei compiti o nuocere agli interessi o all'immagine della pubblica amministrazione” (cfr. art. 3 del predetto Codice di comportamento, espressamente oggetto della contestazione disciplinare al reclamante).

Diversamente, le informazioni relative alle attività e ai comportamenti assunti dal dipendente, al di fuori dello svolgimento dei propri compiti e mansioni, e non interferenti, neanche in via indiretta, con l’esecuzione della prestazione lavorativa, afferiscono alla vita privata del lavoratore, la cui tutela è garantita dal quadro normativo a livello sovranazionale (cfr. art. 8, par. 2, della Convenzione europea dei diritti dell’uomo e art. 7 della Carta dei diritti fondamentali dell’Unione europea e, per i profili di protezione dei dati, cons. 1 del Regolamento) nonché dalle disposizioni nazionali ed europee, stratificatesi nel tempo, che mirano a prevenire differenziazioni penalizzanti nel delicato contesto lavorativo e professionale (v., ad esempio, l’art. 15, l. 20 maggio 1970, n. 300; l’art. 6 della l. 5 giugno 1990, n. 135, che vieta ai datori di lavoro lo svolgimento di indagini volte ad accertare l´esistenza di uno stato di sieropositività; v. anche, Corte di Giustizia dell’Unione Europea, sentenza 12 gennaio 2023, causa C 356/21; v. anche Cass. civ. sez. I – 15 dicembre 2020, n. 28646, spec. p. 5.5.). In tale quadro, si collocano anche le norme a tutela della riservatezza e della dignità dell’interessato-lavoratore, con garanzie che si traducono in limitazioni al potere direttivo, e in particolare, quelle che, fin dal 1970, vietano al datore di lavoro, pubblico e privato, di raccogliere e comunque “trattare” dati non pertinenti rispetto alla mansione svolta o informazioni “su fatti non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore” a meno che “non si tratti di caratteristiche che incidono sulle modalità di svolgimento dell’attività lavorativa o che costituiscono un requisito essenziale e determinante ai fini dello svolgimento” della stessa (cfr. combinato disposto dell’art. 8 della l. 20 maggio 1970, n. 300 e art. 10 del d.lgs. 10 settembre 2003, n. 276, richiamati dall’art. 113 del Codice, “Raccolta dati e pertinenza”).

Tale quadro - rafforzato dal radicamento a livello del Regolamento e del Codice per effetto dei richiami contenuti nell’art. 88 del Regolamento e nell’art. 113 del Codice - mira ad arginare l’acquisizione di informazioni che attengono alla vita privata del lavoratore prevenendo che fatti e notizie non rilevanti ai fini dell’esecuzione del contratto entrino nella disponibilità del datore di lavoro. Ciò al fine di minimizzare le occasioni di possibili effetti pregiudizievoli, anche indiretti, derivanti dalla mera conoscibilità di tali informazioni e indipendentemente dall’effettiva utilizzazione delle informazioni e dalla circostanza che le stesse siano riservate o di pubblico dominio (v. al riguardo, Cass. sez. I civ. 19 sett. 2016, n. 18302 che, nel confermare il provvedimento del Garante n. 308 del 21 luglio 2011, doc. web n. 1829641, proprio in relazione all’accertata violazione dell’art. 8 della l. 300/1970 e del 113 del Codice).

In tale quadro, le scelte di vita, le abitudini e le convinzioni personali non essendo, per propria natura, pertinenti rispetto all’attività lavorativa, non possono, di regola, costituire fatti o circostanze suscettibili di rilevare in ambito lavorativo, né possono normalmente costituire le ragioni da cui far derivare conseguenze diverse nei confronti del prestatore di lavoro rispetto agli altri lavoratori. Ciò salvo che tali circostanze risultino in concreto pertinenti ai fini dell’esecuzione della prestazione, tenuto conto della «natura» delle attività di cui trattasi e del «contesto» in cui vengono espletate le specifiche mansioni, con la conseguenza, sul piano della protezione dei dati, che la liceità del trattamento di informazioni afferenti alla vita privata e alle convinzioni personali del lavoratore è subordinata all'esistenza, sul piano normativo, di uno specifico requisito per lo svolgimento dell'attività lavorativa (v., in tal senso, sentenza del 17 aprile 2018, Egenberger, C-414/16, EU:C:2018:257, par. da 56 a 58, richiamata dal Garante in numerose decisioni, v. in particolare provv. n. 273 del 22 luglio 2021, doc. web n. 9683814). Anche il quadro internazionale fornisce da tempo indicazioni in merito alla circostanza che i dati raccolti dal datore di lavoro devono “essere pertinenti e non eccedenti tenuto conto del tipo di lavoro”, anche in riferimento a informazioni “condivise online con altri soggetti, segnatamente attraverso reti di socializzazione” (cfr., par. 5 della Raccomandazione CM/Rec(2015)5 del Comitato dei Ministri agli Stati Membri sul trattamento di dati personali nel contesto occupazionale del 1° aprile 2015; vedi sul punto anche Parere 2/2017 sul Trattamento dei dati sul posto di lavoro dell’8 giugno 2017 del “Gruppo di lavoro articolo 29”, spec. par.5).

Tale quadro di garanzia è stato applicato dal Garante in numerose occasioni, ad esempio anche in presenza delle rilevanti ragioni di salute pubblica e di sicurezza dei luoghi di lavoro nel periodo dell’emergenza epidemiologica da SARS-CoV-2,  ricordando che, anche in tale contesto, il datore di lavoro non era legittimato a trattare i dati personali relativi alla vita privata, in particolare, quelli relativi alle scelte in ambito vaccinale dei propri dipendenti, ma che il predetto limite non ricorreva rispetto a quelle categorie di lavoratori per le quali, stante la maggiore esposizione al contagio, il legislatore aveva stabilito che la vaccinazione costituisse uno specifico requisito professionale, ritenuto essenziale per svolgere determinate attività lavorative o mansioni (ipotesi fatta salva dal combinato disposto dei menzionati artt. 8 della l. 20 maggio 1970, n. 300, e 10 del d.lgs. 10 settembre 2003, n. 276), e lo stesso legislatore aveva disciplinato, altresì, le conseguenze sul piano disciplinare derivanti dalla carenza del predetto requisito professionale (cfr. Provv. del 13 dicembre 2021 doc. web n. 9727220 e, successivamente, Provv. del 18 febbraio 2022 e documenti di indirizzo ivi richiamati).

3.3 Illiceità del trattamento dei dati relativi alla “vita sessuale” e all’ “orientamento sessuale” del lavoratore

Nell’ambito della sfera privata della persona rientrano anche le informazioni relative alla “vita sessuale” e all’ “orientamento sessuale” dell’interessato, dati personali cui la disciplina di protezione dei dati accorda una tutela rafforzata sia sul piano generale, con riguardo a tutti i possibili contesti di trattamento (essendo espressamente considerate nel novero delle particolari categorie di dati personali di cui all’art. 9 del Regolamento, il cui trattamento è di regola vietato salvo che non ricorra un’espressa eccezione di tra quelle indicate al par. 2) sia, in particolar modo nello specifico contesto lavorativo e professionale considerati i maggiori rischi per i diritti e le libertà degli interessati e la “vulnerabilità” degli stessi nel rapporto con il titolare (cons. 43 del Regolamento; cfr. 88 del Regolamento e art. 113 del Codice).

In tale quadro, infatti, la normativa nazionale applicabile annovera la vita sessuale e l’orientamento sessuale del lavoratore o aspirante tale - proprio in quanto informazioni che, accedendo alla dimensione intima della persona, sono considerate inconferenti rispetto all’esecuzione della prestazione -  tra le informazioni cui è fatto divieto di trattamento al datore di lavoro (cfr., in particolare, art.10 del d.lgs. 10 settembre 2003, n. 276, vi sono le “convinzioni personali […i]l sesso, […]l'orientamento sessuale […]”cui fa rinvio l’art. 113 del Codice).

In merito al trattamento di dati effettuato nell'ambito di un rapporto di lavoro per l'accertamento della responsabilità disciplinare, la Corte di Cassazione ha ricordato che anche i soggetti pubblici possono trattare dati personali, anche relativi a categorie particolari di dati, a condizione che ricorra “una rilevante finalità d'interesse pubblico” prevista da “un'espressa disposizione di legge autorizzatoria” e ha precisato, con riguardo all’esercizio del potere disciplinare in ambito pubblico, che “ […] l'espressa inclusione di tale finalità tra quelle d'interesse pubblico non è di per sé sufficiente” a legittimare il trattamento dei dati relativi alla vita sessuale e all’orientamento sessuale del lavoratore; ciò in considerazione della “particolare natura dei dati sensibili, e segnatamente di quelli riguardanti la salute e la vita sessuale delle persone […] (che appartengono alla categoria dei dati c.d. supersensibili, i quali investono la parte più intima della persona, nella sua corporeità e nelle sue convinzioni psicologiche più riservate), e che esige, in ragione dei valori costituzionali posti a loro presidio (artt. 2 e 3 Cost.), una protezione rafforzata” (v., al riguardo Cass. Civ. 7 ottobre 2014, n. 21107, che ha confermato il provv. del 6 dicembre 2011 n. 468, doc. web n. 1872753 in relazione a un caso parzialmente analogo a quello in esame).
Nel sistema del Regolamento e del Codice non è quindi solo richiesto che il trattamento trovi il proprio fondamento in una base giuridica che abbia le caratteristiche richieste dalla disciplina di protezione dei dati, sia in termini di qualità della fonte, di contenuti necessari e di misure appropriate e, sia in termini di proporzionalità dell’intervento regolatorio rispetto alle finalità che si intendono perseguire (art. 6, parr. 2 e 3, lett. b), del Regolamento).  È infatti indispensabile, come ricordato, che il titolare del trattamento che operi in qualità di datore di lavoro agisca, altresì, nel pieno rispetto del quadro normativo di settore che mira a tutelare la dignità, la libertà e della sfera privata del lavoratore (cfr. 88 del Regolamento e art. 113 del Codice). Tali condizioni non ricorrono, però, nel caso di specie.

Nel corso dell’istruttoria il Ministero ha invocato, a propria difesa, l’“obbligatorietà dell’azione disciplinare prevista per l’impiego presso la P.A. sancito dall'art. 55 del D.Lgs. 165/2001” e un’asserita responsabilità per i titolari dell’azione disciplinare in caso di eventuale inerzia. Tali argomenti non possono tuttavia ritenersi pertinenti riguardo al caso di specie considerato che la tipologia delle infrazioni disciplinari e delle relative sanzioni applicabili al contesto pubblico è definita dalla legge e dai contratti collettivi applicabili (cfr. art. 55 e ss., spec. 55-quater e 55-sexies d.lgs. n. 165/2001) e che un’eventuale responsabilità omissiva in capo al personale titolare dell’azione disciplinare è prevista dalla legge, in particolare, in presenza di “valutazioni manifestamente irragionevoli di insussistenza dell'illecito in relazione a condotte aventi oggettiva e palese rilevanza disciplinare” (cfr. 55-sexies, commi 3 e 4, cit.). Al riguardo si osserva che lo stesso Ministero ha avuto modo di rilevare, fin dalle prime valutazioni compiute sui fatti in questione, la non rilevanza penale (cfr. all. n. 3 nota del XX, recante relazione di servizio e relativo carteggio) e l’estraneità del comportamento dell’interessato rispetto alla propria attività lavorativa (come risulta dalla documentazione in atti da cui si evince, ad esempio, l’orario dell’attività in rete del dipendente cfr. anche all. ti note del XX e XX). Ciononostante, pur difettando un’“oggettiva e palese rilevanza disciplinare” il procedimento è stato comunque avviato nei confronti del dipendente, utilizzando informazioni che già apparivano inconferenti rispetto al rapporto di lavoro. Tanto che, come detto, anche nell’atto di contestazione disciplinare era stato esplicitato che il comportamento non fosse “stato posto in essere durante l’orario di servizio” (cfr. contestazione disciplinare del XX, cit.), circostanza poi confermata nel provvedimento di archiviazione del procedimento disciplinare. Né per le medesime ragioni può essere ritenuto rilevante ai fini dell’esclusione delle responsabilità del titolare quanto dichiarato circa il fatto che i “principi costituzionali di buon andamento della P.A. […], al cui doveroso perseguimento è ostativa la impunita tolleranza di fenomeni di illegalità all’interno dell'apparato pubblico” […]”, essendo emersa fin da un primo esame la natura privata della vicenda e lo svolgimento di essa al difuori dell’orario e dei luoghi di lavoro. Il Ministero ha poi dichiarato, nel corso dell’istruttoria, di aver attivato il procedimento a fronte di un contegno del reclamante ritenuto “poco consono con il comportamento di un dipendente” (cfr. verbale audizione, in atti).

Non risulta, inoltre, pertinente, per giustificare il trattamento dei dati in questione mediante avvio del procedimento disciplinare, il richiamo all’art. 71 lett. p) del CCNL 16 novembre 2022 (già art. 42 lett. p) del “Contratto Collettivo Nazionale di Lavoro del Personale del Comparto Funzioni Centrali”, triennio XX) in quanto la condotta che i dipendenti pubblici devono osservare - relativamente all’“astenersi dal partecipare all'adozione di decisioni o ad attività che possano coinvolgere direttamente o indirettamente interessi finanziari o non finanziari propri, del coniuge, di conviventi, di parenti, di affini entro il secondo grado”- si riferisce a eventuali situazioni di potenziale conflitto di interessi al ricorrere delle quali il dipendente pubblico ha l’obbligo di astenersi, nell’esercizio delle proprie funzioni, dall’adottare atti che potrebbero determinare la realizzazione di un interesse contrapposto all’interesse pubblico dell’amministrazione.

In relazione a quanto poi dichiarato circa la necessità di avviare il procedimento disciplinare a fronte di “possibili profili di rilevanza anche penale” si osserva quanto segue. Le disposizioni di settore regolano il rapporto intercorrente tra procedimento disciplinare e procedimento penale (in particolare, le ipotesi di sospensione del procedimento disciplinare quando per i fatti addebitati sia stata esercitata l’azione penale) e i casi in cui ricorrono specifici obblighi di comunicazione tra gli uffici dell’amministrazione e tra questi e la competente autorità giudiziaria (art. 55-ter d.lg. n. 165/2001, nonché art. 154-ter, d.lg. n. 271/1989; sul punto, Presidenza del Consiglio dei Ministri - Circolare del 23 dicembre 2010, n. 14, Disciplina in tema di infrazioni e sanzioni disciplinari e procedimento disciplinare). Ciò, allorquando il procedimento disciplinare abbia ad oggetto, in tutto o in parte, fatti in relazione ai quali già procede l'autorità giudiziaria, circostanza che invece non ricorre nel caso di specie, essendo stato, peraltro, solo paventato dall’amministrazione un’asserita rilevanza penale del comportamento a giustificazione della censura operata sul piano disciplinare (cfr., in tema di procedimento disciplinare del pubblico dipendente, Cassazione civile sez. lav., 17 novembre 2022, n.33979; v. anche Corte appello Potenza sez. lav., 25 ottobre 2022, n.79 ). D’altra parte, appare necessario evidenziare che l’azione disciplinare nei confronti del dipendente pubblico è invece prevista dalla legge (che al riguardo prevede l’irrogazione della sanzione del licenziamento disciplinare) in presenza di una “condanna penale definitiva, in relazione alla quale è prevista l'interdizione perpetua dai pubblici uffici ovvero l'estinzione, comunque denominata, del rapporto di lavoro” (cfr. art. 54-quater, lett. f), d.lgs. 165/2001), disposizione che quindi attribuisce rilevanza sul piano disciplinare esclusivamente a quelle condanne penali definitive che, in ragione del bene giuridico offeso, abbiano disposto l’applicazione delle predette pene accessorie che incidono sul rapporto di lavoro con l’amministrazione.

Né, in conclusione, anche nella prospettiva della certezza del diritto e del principio di non discriminazione, la funzione disciplinare può essere invocata dal datore di lavoro per giustificare iniziative asseritamente connesse a possibili indagini giudiziarie o per legittimare una generale azione di prevenzione, indagine, accertamento e perseguimento di reati (che, invece, spetta alle autorità competenti) o, ancora, al fine di esercitare un preventivo controllo sull’operato dei dipendenti, tanto più se, come dichiarato nel caso di specie, si intenda estendere tale controllo ai “comportamenti relativi alla sfera extra lavorativa [sul presupposto che] devono necessariamente essere conosciuti dall’amministrazione che poi valuterà se avviare o meno l’azione disciplinare”. Sul punto, è utile richiamare la citata sentenza della Corte di Cassazione che ha messo in evidenza, in riferimento alla tutela della sfera privata del dipendente pubblico, che “il rilievo pubblicistico dei compiti affidati [al titolare] non è idoneo a giustificare la violazione della normativa vigente che intende assicurare garanzia ai diritti costituzionalmente riconosciuti ai lavoratori, in primo luogo al diritto alla riservatezza” (Cass. sez. I civ. 19 sett. 2016, n. 18302, che ha confermato il Provv. del Garante n. 308 del 21 luglio 2011, doc. web n. 1829641; cfr., anche Corte europea dei diritti dell’uomo, Antovic e Mirković v. Montenegro, application n. 70838/13 del 28.11.2017, cit.).

Il titolare del trattamento, datore di lavoro, deve sempre operare, pertanto, nell’ambito e nei limiti previsti dalla disciplina applicabile, che costituisce la base giuridica dei relativi trattamenti (artt. 5, 6, 9, par. 2, lett. b) e g) e 88 del Regolamento), evitando di porre in essere iniziative non previste dalla legge che, in talune circostanze, possono porsi in contrasto anche con le predette disposizioni nazionali che vietano al datore di lavoro di trattare informazioni non attinenti all’attività lavorativa, con possibili effetti lesivi per gli interessati nel contesto lavorativo e professionale.

Né, per le ragioni sopra esposte, la circostanza che l’interessato avesse volontariamente inserito il predetto annuncio su un sito web accessibile da chiunque può essere sufficiente a giustificare il trattamento di dati posto in essere dal Ministero. Anche sotto questo profilo “l'immissione di alcuni dei propri dati personali in rete, pur lasciando presumere la volontà dell'interessato di permetterne l'utilizzazione in vista degli obiettivi per cui gli stessi sono stati posti a disposizione del pubblico, non consente tuttavia di ritenere che quel consenso sia stato implicitamente prestato anche in funzione di qualsiasi altro trattamento. L’utilizzazione dei dati diffusi per finalità diverse da quella per cui ne è stata consentita la divulgazione costituisce d'altronde un'eventualità già presa in considerazione da questa Corte, la quale ha affermato in proposito che la tutela apprestata dal d.lgs, n. 196 del 2003 si estende anche ai dati già pubblici o pubblicati, dal momento che colui che compie operazioni di trattamento di tali informazioni può ricavare dal loro accostamento, comparazione, esame, analisi, congiunzione, rapporto od incrocio ulteriori informazioni, quindi un «valore aggiunto informativo», non estraibile dai dati isolatamente considerati, potenzialmente lesivo della dignità dell'interessato, valore sommo (tutelato dall'art. 3, primo comma, prima parte, e dell'art. 2 Cost.) a cui si ispira la legislazione in materia di trattamento dei dati personali” (cfr. Cass. Civ. 7 ottobre 2014, n. 21107, cit., nonché Cass., Sez. I, 8 agosto 2013, n, 18981).

Al riguardo, ancorché in relazione a differenti contesti (cfr., ad esempio, provv. del 12 marzo 2020, n. 56, doc. web n. 9429218; provv. n. 367 del 10 novembre 2022 doc. web n. 9835095 e provv. n. 45, 10 febbraio 2022, doc. web 9751549), il Garante ha dichiarato non conforme alla disciplina in materia di protezione dei dati la raccolta e l’utilizzo da parte di amministrazioni pubbliche di dati o informazioni personali già diffuse, o comunque reperibili, anche online, atteso che tali dati personali, pur conoscibili da chiunque, possono essere trattati e utilizzati da terzi nei limiti e al ricorrere dei presupposti delle leggi di settore applicabili e, dunque, anche nel rispetto delle disposizioni più specifiche e di maggior tutela fatte salve dall’art. 88 del Regolamento con riguardo al contesto lavorativo (cfr., da ultimo, Corte di Giustizia dell’Unione Europea, sentenza 30 marzo 2023, causa C-34/21).

Si ritiene inoltre che non possa essere ritenuta sufficiente al fine di escludere la responsabilità del titolare del trattamento, nel caso di specie, la circostanza in base alla quale il procedimento disciplinare sia stato successivamente archiviato, posto che i dati relativi alla sfera privata e sessuale del dipendente sono stati comunque utilizzati per avviare formalmente il predetto procedimento disciplinare e trattati nell’ambito dello stesso (cfr., sul punto, in particolare, provv. 13 maggio 2021, n. 190, doc. web n. 9669974).

L’aver quindi utilizzato i dati personali afferenti anche alla sfera sessuale del reclamante nell’ambito dell’esercizio delle funzioni datoriali - nell’asserita convinzione che il trattamento fosse necessario in ottemperanza all’obbligo legale e ancorché ciò sia avvenuto in presenza di accorgimenti adottati per limitare la conoscenza dei fatti ad un novero ristretto di autorizzati – non può essere considerato sufficiente a colmare il difetto di base giuridica e a superare il contrasto con le richiamate disposizioni che vietano al datore di lavoro di trattare informazioni non attinenti all’attività lavorativa (per analoghe considerazioni in relazione all’utilizzo di dati raccolti in assenza di base giuridica per l’esercizio del potere disciplinare in un diverso contesto, cfr. provv.10 novembre 2022 n. 367, doc. web n. 9835095).

Per tutto quanto sopra esposto, stante l’inutilizzabilità dei “dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati” (cfr. art. 2-decies del Codice), si ritiene pertanto che il Ministero, una volta venuto a conoscenza da parte di colleghi dell’interessato delle informazioni attinenti ad aspetti relativi alla vita sessuale e all’orientamento sessuale del dipendente, avrebbe dovuto astenersi dall’utilizzarle.

Per le ragioni sopra evidenziate si deve concludere, stante la previsione dell’art. 113 del Codice, che la acquisizione e il successivo trattamento di dati personali riconducibili anche alla “vita sessuale” e all’”orientamento sessuale” del reclamante, ancorché reperiti online in quanto previamente ivi resi disponibili dallo stesso interessato, è avvenuta in assenza di un’idonea base giuridica e in contrasto con le disposizioni nazionali che vietano al datore di lavoro di acquisire e trattare informazioni relative alla sfera privata del dipendente, in violazione degli artt. 5, par. 1 lett. a), 6, 9 e 88 del Regolamento, nonché 2-ter, 2-sexies e 113 del Codice (in relazione all’ art. 8 della l. 20 maggio 1970, n. 300 e art. 10 del d.lgs. 10 settembre 2003, n. 276).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva, stante la previsione dell’art. 113 del Codice, l’illiceità della raccolta e del successivo trattamento di dati personali effettuato dal Ministero, riconducibili anche alla “vita sessuale” e all’orientamento sessuale del reclamante, ancorché reperiti online in quanto previamente ivi resi disponibili dallo stesso interessato, in assenza di un’idonea base giuridica e in contrasto con le disposizioni nazionali che vietano al datore di lavoro di acquisire e trattare informazioni relative alla sfera privata del dipendente, in violazione degli artt. 5, par. 1 lett. a), 6, 9 e 88 del Regolamento, nonché 2-ter, 2-sexies e 113 del Codice (in relazione all’ art. 8 della l. 20 maggio 1970, n. 300 e art. 10 del d.lgs. 10 settembre 2003, n. 276).

Ciò premesso, occorre, tuttavia, tenere in considerazione taluni elementi, anche di contesto, emersi nel corso dell’istruttoria, che risultano indispensabili ai fini della valutazione in concreto dell’entità delle violazioni riscontrate e della lesività della complessiva condotta (v. cons. 148 del Regolamento).

In particolare, tenuto conto che:

- la violazione, nel caso di specie, ha riguardato i dati personali relativi a un solo interessato (cfr. art. 83, par. 2, lett. a), del Regolamento);

- la XX, ricevuta la segnalazione, ad un primo esame e per errore non ha ravvisato che la stessa avesse ad oggetto comportamenti estranei all’attività lavorativa e afferente alla sfera privata del dipendente (cfr. art. 83, par. 2, lett. b), del Regolamento); la stessa, anche per effetto del predetto errore di valutazione, ha trasmesso alla Direzione centrale la documentazione raccolta nella convinzione di dover ottemperare a un obbligo legale (art.55 sexies del d.lgs. 165/2001 e ss.);

- in tale contesto l’amministrazione, consapevole della delicatezza dei dati personali in questione, ha comunque adottato misure volte a garantire che alla documentazione relativa alla predetta segnalazione avesse accesso esclusivamente il personale ritenuto autorizzato sulla base delle scelte organizzative del titolare, assicurandone comunque una circolazione riservata (in particolare, trasmettendo il plico in busta chiusa e “indicando chiaramente nella lettera di trasmissione la seguente dicitura: “Si comunica altresì, che la documentazione trasmessa contiene cd. “dati sensibili” previsti dall'art. 9 del regolamento sulla protezione dei dati UE 2016/679”) ed evitando altresì ogni forma di riproduzione o protocollazione informatica della stessa, garantendone altresì la custodita presso l’Ufficio competente (cfr. art. 83, par. 2, lett. d), del Regolamento);

- a conclusione dell'attività istruttoria, il Ministero procedeva, prendendo atto della irrilevanza della vicenda sotto il profilo lavorativo, all’archiviazione del procedimento disciplinare a carico dell’interessato, confermando espressamente nel provvedimento di archiviazione che la condotta non era avvenuta durante l'orario di lavoro e che non vi erano elementi che potessero nuocere all’immagine dell’Amministrazione (cfr. art. 83, par. 2, lett. k), del Regolamento);

- stante quindi l’archiviazione del procedimento a proprio carico l’interessato non ha comunque subito specifiche ripercussioni sul piano disciplinare (cfr. art. 83, par. 2, lett. c), del Regolamento);

- il trattamento della predetta documentazione è avvenuto a cura esclusivamente del personale dell'Ufficio Procedimenti Disciplinari che ha dovere di assoluta riservatezza di tutti gli elementi e documentazione di cui viene in possesso per ragioni del proprio Ufficio” (cfr. art. 83, par. 2, lett. d), del Regolamento);

- non risultano precedenti violazioni commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento (art. 83, par. 2, lett. e), del Regolamento);

- il Ministero ha offerto un buon livello di cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento);

Le circostanze del caso concreto, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018 (cfr., in senso analogo, provv.to 17 maggio 2023, n. 194), consentono di ritenere sufficiente ammonire il Ministero per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 del Regolamento).

Considerato che la condotta ha ormai esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dal Ministero della Giustizia – Dipartimento dell’Amministrazione penitenziaria, in persona del legale rappresentante pro-tempore, con sede legale in Largo Luigi Daga, 2, 00164 Roma, C.F. 80252050580, per violazione degli artt. 5, par. 1 lett. a), 6, 9 e 88 del Regolamento, nonché 2-ter, 2-sexies e 113 del Codice (in relazione all’ art. 8 della l. 20 maggio 1970, n. 300 e art. 10 del d.lgs. 10 settembre 2003, n. 276);

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce il Ministero, quale titolare del trattamento in questione, per aver violato gli artt. 5, par. 1 lett. a), 6, 9 e 88 del Regolamento, nonché 2-ter, 2-sexies e 113 del Codice (in relazione all’ art. 8 della l. 20 maggio 1970, n. 300 e art. 10 del d.lgs. 10 settembre 2003, n. 276), come sopra descritto;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 24 aprile 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei