Diritti interna

Diritti - Come tutelare i tuoi dati

Doveri interna

Doveri - Come trattare correttamente i dati

Search Form Portlet

ricerca avanzata

g-docweb-display Portlet

Trasmissione a terzi di dati personali del dipendente da parte del datore di lavoro - 5 dicembre 2013 [2894559]

[doc. web n. 2894559]

Trasmissione a terzi di dati personali del dipendente da parte del datore di lavoro - 5 dicembre 2013

Registro dei provvedimenti
n. 545 del 5 dicembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito "Codice");

VISTA la segnalazione presentata da XY, concernente la comunicazione di dati personali riferiti all´interessata effettuata dal Tribunale di Barcellona Pozzo di Gotto;

VISTE le "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico", adottate con provvedimento del 14 giugno 2007 (pubblicato nella G.U. 13 luglio 2007, n. 161) in www.garanteprivacy.it, doc. web n. 1417809;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

PREMESSO

1. XY, dipendente del Ministero della Giustizia presso il Tribunale di Barcellona Pozzo di Gotto e (al tempo dei fatti oggetto di segnalazione) in servizio a Roma presso Equitalia Giustizia S.p.A. (ai sensi dell´art. 23 bis, comma 7, d.lg. 30 marzo 2001, n. 165 e al relativo protocollo d´intesa in esecuzione della convenzione con il Ministero della Giustizia stipulata il 23 settembre 2010), ha lamentato la violazione della disciplina in materia di protezione dei dati personali con riguardo alle modalità impiegate per trasmetterle documentazione di carattere personale, sì da consentire a terzi di prenderne visione. In particolare, il dirigente amministrativo del Tribunale di Barcellona Pozzo di Gotto avrebbe indirizzato all´Ufficio del personale della società una mail (all´indirizzo di posta elettronica certificata "risorseumane@pcert.equitaliagiustizia.it", recante in oggetto "scheda valutazione anno 2010-dott.ssa XY") – il cui allegato (in formato pdf) conteneva una scheda di valutazione prodromica alla valutazione definitiva concernente la segnalante (ai fini della distribuzione del Fondo Unico di Amministrazione per l´anno 2010)–, "con esplicita richiesta di provvedere alla comunicazione e al rinvio con attestazione dell´avvenuta consegna" (cfr. segnalazione, p. 1); tale comportamento sarebbe stato reiterato anche in successive comunicazioni relative al procedimento di valutazione (cfr. all. nn. 2 e 3 alla segnalazione).

A detta della segnalante, tali modalità di trasmissione − utilizzate nonostante l´interessata avesse in uso un numero di telefonia mobile, "fornito dalla Amministrazione […] e di cui il Tribunale, segreteria del personale, è a conoscenza" e disponesse di un indirizzo di posta elettronica personale presso la società – si porrebbero in violazione della disciplina di protezione dei dati personali in quanto terzi sarebbero stati indebitamente resi edotti "del giudizio di valutazione professionale espresso" (cfr. segnalazione, p. 3).

Le lamentate modalità di trasmissione sarebbero inoltre in contrasto con l´art. 14 dell´accordo sindacale "per la definizione dei criteri e del procedimento per la valutazione del personale nell´anno 2010" ai fini dell´distribuzione del Fondo Unico di Amministrazione, in base al quale "nell´ambito di ciascuna unità organizzativa, all´esito del periodo di valutazione, l´Organo valutatore, prima della determinazione definitiva, comunica a ciascun dipendente la scheda di valutazione" al fine di consentire al destinatario, nei successivi dieci giorni, di contestarne il contenuto (cfr. art. 14, accordo del 10 novembre 2011).

Nel corso del procedimento l´interessata ha inoltre dichiarato che il Tribunale sarebbe stato a conoscenza dei propri recapiti personali – "indirizzo di residenza, numero telefonico-sim card convenzione Consip, indirizzo email personale sito giustizia [cui la stessa sarebbe ancora "abilitata" per le comunicazioni d´ufficio], numero telefono fisso di residenza, numero telefonico mobile privato, mai modificati, neppure a seguito della temporanea assegnazione alla società Equitalia giustizia" – e di essere tuttora "dipendente del Ministero della giustizia con sede di servizio presso il Tribunale di Barcellona P.G. essendo semplicemente assegnata temporaneamente, ai sensi dell´art. 23 bis comma 7 d.lg. 165/2001" presso Equitalia (cfr. nota del 9 maggio 2012 nonché nota 5 giugno 2012).

2.1. Nel riscontro fornito con la nota del 26 aprile 2012 il Tribunale ha dichiarato che:

a) l´interessata avrebbe "interrotto qualsivoglia forma di contatto" con il Tribunale, "omettendo di comunicare […] le modalità con cui poteva essere eventualmente rintracciata";

b) ove la stessa "fosse stata dotata di Pec personale, e tale Pec fosse stata a conoscenza di quest´ufficio, l´invio della documentazione elettronica con detto mezzo avrebbe fornito al mittente, prova con valenza legale, dell´avvenuto invio e consegna di tale documentazione";

c) in base all´accordo del 24 novembre 2011 sull´utilizzazione del fondo unico di amministrazione per l´anno 2010, le schede di valutazione devono essere comunicate al dipendente "non oltre il 31 dicembre 2011", firmate per presa visione dagli interessati,

d)  in data 23 dicembre 2012, "in assenza […] di qualsivoglia recapito personale presso l´Ufficio di distacco [è stata] inviata via pec alla […] amministrazione del personale di Equitalia giustizia S.p.A. la nota prot. 2489 contenente in allegato la scheda di valutazione della [segnalante] perché il detto Ufficio ne curasse la consegna alla diretta interessata";

e) in data 28 dicembre 2011 […] la società rappresentava che la segnalante "poiché assente dall´ufficio" avrebbe preso "visione della scheda all´atto del rientro in servizio";

f) "in data 3 gennaio 2012 giungeva all´Ufficio raccomandata A/R datata 30 dicembre 2011 con la quale la [segnalante] contestava la valutazione";

g) solo in data 25 gennaio 2012 a seguito di ulteriori solleciti per le vie brevi al responsabile dell´Ufficio del personale della società, "Equitalia trasmette via e-mail la scheda di valutazione sottoscritta dalla [segnalante]";

h) né il menzionato accordo sindacale, né la nota ministeriale a questo allegata preciserebbero le modalità di trasmissione delle schede valutative;

i) Equitalia "è da equipararsi ad una pubblica amministrazione, essendo costituita con capitale pubblico e svolgendo un pubblico servizio;

j)  il Tribunale si sarebbe limitato a "comunicare per il tramite della pec dell´ufficio che cura la gestione del personale […] informazioni attinenti l´attività lavorativa e non la sfera personale o la vita privata";

k) il trattamento effettuato sarebbe "avvenuto per lo svolgimento delle funzioni istituzionali" (ai sensi dell´art. 18 comma 2 del Codice), "nel rispetto del principio di necessità e di pertinenza e non eccedenza (art. 11 d.lg. cit.) per le finalità e gli scopi previsti dall´accordo" nonché in conformità di quanto stabilito dall´art. 16 bis della legge 2/2009 (di conversione del d.l. n. 185/2008) secondo cui ogni amministrazione pubblica utilizza la posta elettronica certificata "con effetto equivalente, ove necessario, alla notificazione per mezzo posta, per le comunicazioni e le notificazioni aventi come destinatari dipendenti della stessa o di altra amministrazione pubblica".

Con comunicazione integrativa del 29 maggio 2012 il Tribunale ha precisato che:

a)  Equitalia provvederebbe "alla gestione della unità lavorativa del punto di vista amministrativo (articolazione dell´orario di lavoro, concessione ferie, permessi retribuiti etc.)[…] espleta, pertanto, compiti propri del datore di lavoro e non di terzo";

b) l´interessata, ricevuta la scheda di valutazione "avrebbe potuto procedere alla stampa cartacea della scheda di valutazione ed invio della stessa [mediante] raccomandata A/R";

c) non avendo ricevuto "nessun recapito in Roma o indirizzo pec o email semplice, non restava […] altra scelta che l´utilizzazione della pec dell´ufficio personale di Equitalia Giustizia per le ulteriori comunicazioni".

2.2. Il Ministero della Giustizia, presso il quale pure sono stati acquisiti elementi in relazione alla vicenda, ha dichiarato che la segnalazione concerne "dati inerenti la gestione del rapporto di lavoro, in quanto tali rimessi alla competenza esclusiva del dirigente amministrativo" (cfr., artt. 17 comma 1, lett. e), d.lg. n. 165/2001 e art. 2 d.lg. n. 240/2006) ritenendo altresì, con riguardo ai trattamenti in esame, che "le articolazioni centrali e periferiche di questo Ministero, in qualità di titolare del trattamento dei dati personali dei propri dipendenti, risultano destinatarie delle previsioni contenute nel d.m. n. 306 del 12 dicembre 2006 […] e delle Linee guida in materia di trattamento dei dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico [….]".

3.1. Con riguardo al caso di specie, deve in anteparte chiarirsi che, diversamente da quanto rappresentato dal Ministero della Giustizia, è quest´ultimo a doversi ritenere titolare del trattamento effettuato nel caso di specie da parte della Direzione amministrativa del Tribunale di Barcellona Pozzo di Gotto.

I trattamenti in esame, ancorché materialmente effettuati dal personale amministrativo del Tribunale (conformemente al riparto delle competenze amministrative previsto dall´art. 2, comma 1, d.lg. n. 240/2006), fanno capo, quanto alla loro titolarità, al Ministero della Giustizia. Ciò in considerazione del fatto che (cfr. art. 4, comma 1, lett. f), del Codice), in attuazione della disciplina vigente, il Ministero decide le finalità del trattamento effettuato presso ogni Ufficio giudiziario (ivi compreso quello di Barcellona Pozzo di Gotto) e le modalità del trattamento. In proposito emerge dalal documentazione acquisita che "la definizione dei criteri e del procedimento per la valutazione del personale nell´anno 2010" ai fini della distribuzione del Fua sono stati concordati dal Ministero mediante apposito accordo sindacale del 12 novembre 2010 e che con successivo accordo del 10 novembre 2011 sono state condivise le condizioni economiche concernenti l´utilizzazione del Fua per il 2010.

Nel trasmettere quest´ultimo accordo agli Uffici giudiziari periferici, meri attuatori delle misure così stabilite, il Dipartimento dell´organizzazione giudiziaria del personale e dei servizi del Ministero ha peraltro impartito istruzioni e chiarimenti in ordine alle concrete modalità di svolgimento del procedimento di valutazione in questione (e quindi delle conseguenti operazioni di trattamento), nonché in relazione ai criteri di commisurazione dei compensi accessori da erogare ai dipendenti da parte degli "Organi valutatori" (cfr. comunicazione del 21 novembre 2011). Per quanto qui rileva, il Ministero tramite il menzionato Dipartimento – avvalendosi delle proprie prerogative di titolare del trattamento – ha disposto modalità e tempi di trasmissione delle schede di valutazione da parte degli Organi valutatori ai dipendenti, impartendo altresì le necessarie istruzioni circa la conservazione delle schede presso gli organi valutatori medesimi, "omettendone l´invio [alla] Amministrazione centrale".

3.2. Tanto premesso, deve ritenersi che nel caso di specie abbia avuto luogo una comunicazione di dati personali in violazione di legge (cfr. artt. 4, comma 1, lett. l) e 19, comma 2, del Codice e 3, comma 29, d.l. 30 settembre 2005, n. 203). Il personale della direzione amministrativa del Tribunale di Barcellona Pozzo di Gotto ha infatti comunicato, senza idoneo presupposto normativo, dati personali riferiti alla segnalante (le menzionate valutazioni riferite e dirette all´interessata e che, anche in base all´art. 14 del richiamato accordo sindacale devono, prima della determinazione definitiva, essere comunicate "a ciascun dipendente") alla società presso la quale la stessa prestava temporaneamente la propria attività lavorativa.

Stando a quanto emerge dagli atti, all´epoca cui si riferiscono i fatti oggetto di segnalazione, Equitalia Giustizia S.p.A. aveva ricevuto infatti l´assegnazione temporanea dell´interessata in base al richiamato art. 23 bis, comma 7, d.lg. n. 165/2001 e non aveva titolo per venire a conoscenza di valutazioni espresse, peraltro con riferimento all´arco temporale in cui la segnalante prestava la propria attività lavorativa presso il Tribunale (l´anno 2010), dall´organo valutatore competente (cfr. art. 14 dell´accordo, cit.).

La direzione amministrativa (tramite il proprio personale debitamente incaricato (ai sensi dell´art. 30 del Codice) avrebbe dovuto piuttosto mettere a disposizione della sola interessata, mediante mezzo di trasmissione idoneo a prevenire la conoscibilità del relativo contenuto da parte di terzi, i dati personali contenuti nella menzionata scheda di valutazione.

3.3. Al riguardo, merita altresì rilevare che il comportamento tenuto dal dal personale operante presso il Tribunale nella vicenda in esame si è discostato dalle indicazioni fornite dal Garante nelle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico del 14 giugno 2007 il Garante (e già il punto 5.5 della Deliberazione n. 53 del 23 novembre 2006, doc. web n. 1364939, Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati), nelle quali si è precisato che "fuori dei casi in cui forme e modalità di divulgazione di dati personali siano regolate specificamente da puntuali previsioni […], l´amministrazione deve utilizzare forme di comunicazione individualizzata con il lavoratore, adottando le misure più opportune per prevenire la conoscibilità ingiustificata di dati personali […] da parte di soggetti diversi dal destinatario, ancorché incaricati di talune operazioni di trattamento (ad esempio, inoltrando le comunicazioni in plico chiuso o spillato; invitando l´interessato a ritirare personalmente la documentazione presso l´ufficio competente; ricorrendo a comunicazioni telematiche individuali)" (punto 5.3).

La circostanza che possa sussistere in capo al mittente, come nel caso di specie, un legittimo interesse ad acquisire prova dell´avvenuta ricezione della documentazione inviata, non può esonerarlo dall´adottare opportune cautele volte ad evitare che soggetti diversi dal destinatario possano apprenderne il contenuto senza essere a ciò legittimati, prevenendo così lesioni del diritto alla riservatezza e alla protezione dei dati dell´interessato.

3.4. Né viene meno l´illiceità della comunicazione per il fatto che il Tribunale abbia inviato la documentazione in questione indirizzandola (anziché all´interessata) alla società presso la casella di posta elettronica certificata della medesima. Non giova, al riguardo, il richiamo operato dal titolare del trattamento all´art. 16 bis, comma 6, d.l. 29 novembre 2008, n. 185 (convertito in legge, con modificazioni, dall´art. 1, L. 28 gennaio 2009, n. 2) atteso che detta disposizione, nel consentire alle pubbliche amministrazioni di avvalersi della posta elettronica certificata quale canale comunicativo con i dipendenti della medesima (e di diversa) amministrazione, fa riferimento all´indirizzo di posta elettronica eventualmente ai medesimi assegnato e non, invece, a quello dell´amministrazione presso la quale gli stessi prestino servizio. Ciò si desume dall´art. 47, comma 3, d.lg. 7 marzo 2005, n. 82 (Codice dell´amministrazione digitale) che consente alle pubbliche amministrazioni di utilizzare "per le comunicazioni tra l´amministrazione ed i propri dipendenti la posta elettronica o altri strumenti informatici di comunicazione nel rispetto delle norme in materia di protezione dei dati personali e previa informativa agli interessati in merito al grado di riservatezza degli strumenti utilizzati", informativa che, peraltro, nel caso di specie, non risulta essere stata neanche fornita all´interessata.

Peraltro, accedendo all´interpretazione fornita dal titolare del trattamento – al di là della circostanza che un novero assai ampio di comunicazioni di natura personale e talora sensibile riferite ai singoli interessati potrebbe essere soggetto ad ampia circolazione nell´ambito delle pubbliche amministrazioni –, si perverrebbe all´esito opposto voluto dalla norma che mira, come esplicitato dalla rubrica dell´art. 16 bis, ad introdurre "misure di semplificazione": semplificazioni che si ottengono consentendo l´invio delle comunicazioni all´indirizzo di posta elettronica assegnato ai dipendenti destinatari delle stesse (non diversamente dai cittadini menzionati all´art. 16 bis, comma 5) e non invece obbligando (invero irrazionalmente) le amministrazioni ad utilizzare i propri indirizzi istituzionali di posta elettronica certificata per (poi) far pervenire – secondo canali tradizionali – le comunicazioni ai diretti interessati.

Infine, anche l´art. 16 bis, comma 5, evidenzia chiaramente che la posta elettronica certificata della quale l´amministrazione può avvalersi per inviare, senza oneri per i destinatari e con gli effetti previsti dall´art. 48, d.lg. n. 82/2005, le comunicazioni che li riguardano, è quella di singoli che, in tale fattispecie, sono identificati (anziché nei dipendenti pubblici, come al comma 6) nei "cittadini" che abbiano fatto richiesta di attribuzione di una casella di posta elettronica.

4. Ritenuta quindi illecita ai sensi dell´art. 19, comma 2 del Codice, la comunicazione di dati personali (cfr. art. 4, comma 1, lett. l) del Codice) riferiti alla segnalante, deve prescriversi al Ministero della Giustizia - Dipartimento dell´organizzazione giudiziaria del personale e dei servizi ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c), del Codice, di adottare opportune misure, idonee a conformare il trattamento dei dati personali, con particolare riferimento ai dati trattati per finalità di gestione del rapporto di lavoro, anche alla luce delle indicazioni già formulate in via generale nelle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico.

5. L´Autorità si riserva di valutare, con separato provvedimento, gli estremi per la contestazione della violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice.

TUTTO CIÒ PREMESSO, IL GARANTE

ritenuta illecita la comunicazione di dati personali riferiti alla segnalante da parte del personale operante presso il Tribunale di Barcellona Pozzo di Gotto, prescrive al Ministero della Giustizia - Dipartimento dell´organizzazione giudiziaria del personale e dei servizi, ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c), del Codice, di adottare opportune misure, idonee a conformare il trattamento dei dati personali nell´ambito della gestione del rapporto di lavoro alla disciplina di protezione dei dati personali, anche alla luce delle indicazioni già fornite in via generale nelle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 5 dicembre 2013

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia