Diritti interna

Diritti - Come tutelare i tuoi dati

Doveri interna

Doveri - Come trattare correttamente i dati

Search Form Portlet

ricerca avanzata

g-docweb-display Portlet

Comunicazione a terzi di dati sensibili riguardanti un lavoratore - 10 ottobre 2013 [2753605]

[doc. web n. 2753605]

Comunicazione a terzi di dati sensibili riguardanti un lavoratore - 10 ottobre 2013

Registro dei provvedimenti
n. 442 del 10 ottobre 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito "Codice");

VISTA la segnalazione del 13 aprile 2013 presentata da XY concernente il trattamento di dati personali a sé riferiti effettuato dall´Azienda sanitaria provinciale (Asp) di Caltanissetta;

VISTE le "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico", adottate con provvedimento del 14 giugno 2007 (pubblicato nella G.U. 13 luglio 2007, n. 161 e in www.garanteprivacy.it, doc. web n. 1417809);

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

PREMESSO

1.1. XY, dipendente dell´Azienda sanitaria provinciale (Asp) di Caltanissetta, ha lamentato l´illecita comunicazione di dati personali, ritenuti avere natura sensibile, a sé riferiti concernenti l´esistenza di un procedimento che lo riguarda relativo al riconoscimento della causa di servizio per patologie di cui è affetto. Tale comunicazione sarebbe avvenuta mediante la trasmissione da parte dell´Asp di Caltanissetta di una nota di sollecito (prot. n. KW del HJ) al Comitato di verifica per le cause di servizio riguardante dieci dipendenti (e tra questi il segnalante), indicati nominativamente nel sollecito, ai quali tutti la medesima nota sarebbe stata inviata per conoscenza.

Ciascuno dei dieci interessati sarebbe stato indebitamente reso edotto così dell´esistenza di procedimenti amministrativi riguardanti, oltre che la propria persona, gli altri nove lavoratori e, al contempo, messo a conoscenza di dati concernenti le condizioni di salute di ciascuno di questi.

1.2. A fronte della richiesta d´informazioni formulata dall´Ufficio nei confronti dell´Asp, il rappresentante di quest´ultima ha dichiarato che (cfr. nota 29 aprile 2013):

a. "sia le copie delle istanze tendenti ad ottenere l´attribuzione dell´equo indennizzo, che le copie della documentazione integrativa, sono state rimesse solo al predetto Comitato di verifica, e non anche ai dipendenti elencati" nella lettera oggetto di segnalazione;

b. i dati trascritti in quest´ultima nota "(cognome e nome del dipendente che aveva prodotto l´istanza per il riconoscimento dell´equo indennizzo) – non rientrando in nessuna delle fattispecie previste dal comma 4 dell´art. 7 del d.l.vo n. 196 del 2003 – non [sono] stati trattati in violazione" della disciplina di protezione dei dati personali;

c.  la comunicazione oggetto di segnalazione sarebbe poi conforme agli artt. 18, comma 2 e 19, comma 1 del Codice, atteso che la stessa "è stata rivolta [dall´Asp] ad un soggetto pubblico, e non ad un soggetto privato, ed è stata attuata solo ed esclusivamente per fini istituzionali".

1.3. Nel ribadire il contenuto della segnalazione e nel riportarsi alle doglianze ivi già rappresentate, l´interessato nelle proprie controdeduzioni (cfr. nota dell´11 maggio 2013) ha dichiarato altresì che:

a. il procedimento di riconoscimento di una infermità da causa di servizio, regolato dal d.P.R. 29 ottobre 2001, n. 461, presuppone "l´accertamento di una patologia stabilizzata da cui deriva una menomazione ascrivibile a una categoria di compenso, effettuato dalla Commissione medica territorialmente competente" il cui verbale (unitamente alla documentazione pertinente) viene rimesso al Comitato di verifica al fine dell´accertamento "dei nessi di causalità fra l´attività di servizio espletata dall´interessato e la patologia già riconosciuta";

b."l´informazione che un dato soggetto ha un giudizio pendente presso il comitato di verifica per le cause di servizio equivale all´informazione che detto soggetto ha già avuto riconosciuta una menomazione ascrivibile a una categoria prevista dal d.P.R. 29 ottobre 2001, n. 461, perché solo in questa fattispecie viene richiesto il parere del Comitato di verifica, che riguarda non il riconoscimento di una patologia, adempimento già espletato dalla Commissione medica, bensì l´accertamento del nesso di causalità fra una menomazione stabilizzata, cioè un´invalidità permanente, e le attività di servizio dell´interessato";

c. con la comunicazione oggetto di segnalazione, pertanto, l´Asp "ha consentito a tutti i destinatari di venire reciprocamente a conoscenza, in modo indebito, del fatto che ognuno ha avuto già riconosciuta una menomazione da parte della Commissione medica", in violazione "dei principi di pertinenza e non eccedenza" sì che, se l´Asp "avesse inviato le richieste di chiarimenti al Comitato […] indicando, di volta in volta, un solo destinatario per conoscenza, e non già l´intero elenco degli interessati, non sarebbe stato possibile per ciascuno di essi, essere edotto sullo stato di salute degli altri soggetti".

2. In via preliminare deve rilevarsi che nel caso di specie risultano aver formato oggetto di comunicazione dati personali riferibili al segnalante (nonché ai restanti nove dipendenti della Asp) rientranti nel novero dei dati sensibili – ed in particolare dati idonei a rivelare lo stato di salute degli interessati –, così come definiti all´art. 4, comma 1, lett. d), del Codice (nello stesso senso, con riferimento alla diffusione di determinazioni aventi ad oggetto la liquidazione di indennizzi per patologie contratte per causa di servizio, cfr. Provv. 22 novembre 2012, n. 362, doc. web n. 2194472).

Come correttamente evidenziato dal segnalante, la circostanza della pendenza di un procedimento avanti al Comitato di verifica per le cause di servizio presuppone accertato, secondo le modalità previste dalla legge (e salvo il potere del Comitato medesimo di richiedere supplementi degli accertamenti sanitari ai sensi dell´art. 11, comma 4, d.P.R. n. 461/2001), che il lavoratore abbia subito lesioni o contratto infermità o subito aggravamenti di infermità o lesioni preesistenti (cfr. art. 2, d.P.R. n. 461/2001) sulla cui riconducibilità a cause di servizio il Comitato è tenuto ad esprimersi (cfr. art. 11, comma 1, d.P.R. n. 461/2001).

La menzione di procedimenti per il riconoscimento della dipendenza di infermità da causa di servizio facenti capo ai lavoratori indicati nel sollecito oggetto di segnalazione comporta quindi, pur non essendo state esplicitate nel medesimo la specifica patologia relativa a ciascuno, una comunicazione di dati comunque suscettibile di "rivelare lo stato di salute" degli interessati ai sensi dell´art. 4, comma 1, lett. d), del Codice (in merito alla nozione di dato relativo alle condizioni di salute cfr. Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, punto 6.3; Provv.ti 27 giugno 2013, n. 315, doc. web n. 2576686; 3 febbraio 2009, doc. web 1597590; 7 luglio 2004, docc. web n. 1068839 e 1068917; v. anche Cass., 1° agosto 2013, n. 18980).

3.1. Come noto, quanto al trattamento dei dati sensibili – da effettuarsi comunque "secondo modalità volte a prevenire violazioni dei diritti, delle libertà fondamentali e della dignità dell´interessato" (art. 22, comma 1, del Codice) –, la disciplina di protezione dei dati personali prevede, in linea generale, che esso possa essere effettuato da parte dei soggetti pubblici solo "se autorizzato da espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati e di operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite" (art. 20, comma 1, del Codice).

Per quanto rileva nel caso di specie:

a. il legislatore ha individuato la richiesta "finalità di rilevante interesse pubblico" nell´ambito della gestione dei rapporti di lavoro, con particolare riferimento allo svolgimento di attività dirette ad adempiere ad obblighi connessi alla definizione dello stato giuridico ed economico dei lavoratori, tra i quali va ricompreso anche "il riconoscimento della causa di servizio o dell´equo indennizzo"(cfr. art. 112, comma 2, lett. d), del Codice);

b. ai sensi dell´art. 20, comma 2, del Codice, inoltre, i tipi di dati sensibili e di operazioni eseguibili finalizzati al trattamento dei dati personali nell´ambito del procedimento di verifica delle condizioni per il riconoscimento della causa di servizio (con espresso riferimento alla comunicazione alla Commissione medica e al Comitato di verifica) sono stati individuati presso la Regione Siciliana nella Scheda n. 2 (concernente l´instaurazione e gestione del rapporto di lavoro del personale inserito anche presso le aziende sanitarie) del decreto presidenziale 28 febbraio 2007 (Revoca del decreto presidenziale 15 maggio 2006 ed approvazione delle disposizioni per il trattamento dei dati sensibili e giudiziari ai sensi degli artt. 20 e 21 del decreto legislativo 30 giugno 2003, n. 196).

3.2. Tuttavia, per le sopra descritte modalità di trasmissione del sollecito, il trattamento dei dati dei dipendenti (e tra questi il segnalante) – legittimamente effettuato dall´Asp limitatamente all´istruttoria del procedimento regolato dal d.P.R. n. 461/2001, con l´adozione delle garanzie ivi previste (sulle quali questa Autorità ha reso il proprio parere il 3 maggio 2001, doc. web n. 1076053) − risulta essere stato effettuato in violazione degli artt. 11, comma 1, lett. a) e 20, commi 1 e 2, del Codice.

La pendenza dei procedimenti per il riconoscimento della causa di servizio non poteva infatti, né invero alcuna necessità al riguardo sussisteva, legittimamente essere resa nota a terzi, come avvenuto nel caso di specie mediante il sollecito oggetto di segnalazione inviato ad altri dipendenti della stessa Asp. Questi ultimi, infatti, non avevano titolo alcuno per venire a conoscenza dell´esistenza del procedimento di riconoscimento delle infermità da causa di servizio dei colleghi (e, indirettamente, delle loro condizioni di salute) né tale comunicazione è comunque prevista da norma di legge o dal suddetto regolamento per il trattamento dei dati sensibili e giudiziari, come invece richiesto rispettivamente dall´art. 20, commi 1 e 2, del Codice (cfr. la menzionata Scheda n. 2).

A ciò va aggiunto che la lamentata comunicazione di dati personali, resa possibile dalle descritte modalità di trasmissione del sollecito (idonee a rendere tutti i relativi destinatari reciprocamente edotti dello stato di malattia dei colleghi), non risulta essere avvenuta in conformità all´art. 22, comma 3, del Codice, non essendo la stessa indispensabile ai fini della tempestiva definizione del procedimento concernente ciascuno degli interessati.

Sarebbe stato invece rispettoso del diritto alla riservatezza e alla protezione dei dati del segnalante (e di ciascuno degli altri interessati) – situazioni giuridiche soggettive le cui esigenze di tutela emergono in più luoghi della disciplina di settore qui considerata (cfr. artt. 4 e 13, d.P.R. n. 461/2001) –, oltre che di agevole realizzazione, provvedere a comunicazioni individualizzate, trattando separatamente i solleciti per ciascun procedimento, ovvero, pur riepilogando per ragioni di speditezza ed economicità in un´unica comunicazione indirizzata al Comitato di verifica i nominativi degli interessati (come accaduto), oscurare di volta in volta i nominativi diversi da quello del singolo destinatario della missiva.

3.4. Peraltro, la necessità di particolari cautele nel trattamento di dati concernenti le condizioni di salute (desumibile anche dall´art. 22, comma 7, del Codice), è stata da tempo evidenziata dal Garante anche nelle richiamate Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, precisandosi che le amministrazioni devono "utilizzare forme di comunicazione individualizzata con il lavoratore, adottando le misure più opportune per prevenire la conoscibilità ingiustificata di dati personali, in particolare se sensibili, da parte di soggetti diversi dal destinatario […] (ad esempio, inoltrando le comunicazioni in plico chiuso o spillato; invitando l´interessato a ritirare personalmente la documentazione presso l´ufficio competente; ricorrendo a comunicazioni telematiche individuali)" (punto 5.3) ed "adottare maggiori cautele se le informazioni personali sono idonee a rivelare profili particolarmente delicati della vita privata dei propri dipendenti" (quali ben possono essere quelle concernenti lo stato di salute che giustificano la presentazione all´amministrazione di appartenenza delle istanze previste dal d.P.R. n. 461/2001).

Nella stessa sede, l´Autorità ha ribadito che, con specifico riguardo alla gestione del rapporto di lavoro, "devono ritenersi in linea generale lecite le comunicazioni a terzi di informazioni di carattere sensibile relative ad uno o più dipendenti, quando esse siano realmente indispensabili per perseguire le finalità di rilevante interesse pubblico connesse […] alla gestione di rapporti di lavoro da parte di soggetti pubblici di cui all´art. 112 del Codice", condizione che non ricorre nel caso di specie rispetto alla segnalata comunicazione a terzi (cfr. par 5.1 Linee guida cit.; v. pure par. 8.1).

4. Ritenuta illecita per le ragioni illustrate la comunicazione dei dati sensibili riferiti al segnalante nonché agli altri lavoratori menzionati nel sollecito oggetto di segnalazione, deve prescriversi all´Asp Caltanissetta, ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c), del Codice, di adottare opportune misure, idonee a conformare il trattamento dei dati personali, con particolare riferimento ai dati trattati per finalità di gestione del rapporto di lavoro, specie se di natura sensibile, alla disciplina di protezione dei dati personali, anche alla luce delle indicazioni già formulate in via generale nelle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico.

5. L´Autorità si riserva di valutare, con separato procedimento, gli estremi per la contestazione della violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice.

TUTTO CIÒ PREMESSO, IL GARANTE

ritenuta illecita la comunicazione di dati sensibili riferiti al segnalante nonché agli altri lavoratori menzionati nel sollecito oggetto di segnalazione, prescrive all´Asp Caltanissetta, ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c), del Codice, di adottare opportune misure, idonee a conformare il trattamento dei dati personali nell´ambito della gestione del rapporto di lavoro alla disciplina di protezione dei dati personali, anche alla luce delle indicazioni già fornite in via generale nelle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 10 ottobre 2013

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia