Diritti interna

Doveri interna

ricerca avanzata

Pubblicazione sul sito istituzionale di una università di dati personali riguardanti il personale - 30 luglio 2015 [4278610]

[doc. web n. 4278610]

Pubblicazione sul sito istituzionale di una università di dati personali riguardanti il personale - 30 luglio 2015

Registro dei provvedimenti
n. 457 del 30 luglio 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

ESAMINATE le numerose segnalazioni pervenute e le notizie apparse sulla stampa nazionale e locale;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito "Codice");

VISTE le indicazioni fornite dal Garante con il Provvedimento n. 243 del 15 maggio 2014, recante Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati (in www.garanteprivacy.it, doc. web n. 3134436);

VISTE le Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico del 14 giugno 2007 (pubblicate in G.U. 13 luglio 2007, n. 161, doc. web n. 1417809);

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

PREMESSO

1. Sono pervenute segnalazioni, riscontrate anche da notizie di stampa, con le quali è stata lamentata, tra gli altri profili, la persistente pubblicazione (sin dal 10 ottobre 2014) sul sito istituzionale dell´Università degli studi "G. D´Annunzio" di Chieti e Pescara  (all´interno della sezione "amministrazione trasparente") di un documento denominato "Il fondo accessorio di Ateneo, altri fondi e il loro utilizzo" che riporta "l´elenco somme erogate a vario titolo al personale tecnico-amministrativo nel periodo 2001-2013" nonché "i nominativi dei beneficiari" individuati tra il personale tecnico-amministrativo dell´Ateneo e il dettaglio degli importi che in tale documento si asserisce siano stati percepiti "in maniera non dovuta".

Secondo quanto rappresentato e documentato dalle segnalazioni pervenute, peraltro, la messa a disposizione sul web del documento in esame sarebbe stata preceduta, in data 6 ottobre 2014, dall´invio da parte del Direttore generale dell´Ateneo di una mail indirizzata al personale (sia docente che tecnico amministrativo), recante in allegato un file denominato "analisi utilizzo fondo accessorio 2001-2013". Il documento dava conto degli importi degli emolumenti erogati a singoli dipendenti dell´area tecnico amministrativa (nominalmente individuati) "in maniera non dovuta" a fronte di ritenute irregolarità, pur se, tuttavia, si manifestava l´intenzione di voler "verificare, prima di iniziare azioni di recupero, i "titoli" che possono legittimare il loro percepimento"(cfr. pp. 7- 10, doc. cit., nonché segnalazioni in atti).

2.1. Nel dare riscontro alla richiesta di informazioni formulata dall´Ufficio (e reiterata anche ai sensi dell´art. 157 del Codice) l´Ateneo, in qualità di titolare del trattamento (art. 28 del Codice), ha dichiarato che, stante la mancata costituzione del fondo per le progressioni economiche e per la produttività collettiva ed individuale di cui all´art. 67 del CCNL del 9.08.2000 ("Contratto collettivo nazionale di lavoro del personale del comparto Università-quadriennio normativo 1998-2001, biennio economico 1998-1999)"  "le modalità seguite all´epoca dall´Ateneo per erogare le diverse tipologie di trattamento accessorio al personale dipendente, non ha [nno] consentito il controllo sulla compatibilità dei costi della contrattazione collettiva integrativa con i vincoli di bilancio" (cfr. p.p. 1-2 nota 22 maggio 2015, in atti).

L´Ateneo ha altresì dichiarato che "la concessione dell´extra salario al personale tecnico ed amministrativo senza accordo sindacale e-principalmente-senza la necessaria copertura di un fondo accessorio (poiché del tutto assente) appare del tutto illegittima"(cfr. p. 2 nota cit.); tanto, tenuto conto delle "criticità evidenziate dal Collegio" dei revisori contabili con verbale del 30.6. 2014 (già rilevate anche dal Servizio Ispettivo di Finanza Pubblica (S.I.Fi.P.) con relazione del 30.4.2014), nonché, in particolare, tenuto conto del rapporto del Ministero dell´Economia e delle Finanze alla Corte dei Conti che denuncerebbe, stando a quanto rappresentato, la circostanza che "in Ateneo si erogano salari accessori senza il relativo fondo, con ciò chiaramente individuando responsabilità erariali" (cfr. p. 2 nota cit.).

Tanto premesso l´Ateneo ha rappresentato che "le erogazioni retributive (intese in senso lato) effettuate al personale tecnico ed amministrativo devono necessariamente ricadere nell´ipotesi di cui all´art. 4., comma 4, lett. i) del […] CCNL" che prevede il diritto all´informazione successiva in favore delle organizzazioni sindacali con specifico riguardo anche a "nominativi del personale utilizzato in attività e progetti retribuiti con finanziamenti provenienti dalle medesime attività e progetti o con risorse della contrattazione integrativa". Alla luce di tale quadro normativo, il Direttore generale avrebbe, dunque, inviato "una mail informativa al personale dipendente, docente e non docente, con lo scopo di trovare una soluzione alla problematica dei compensi" allegando altresì un file "nel quale i dipendenti dell´Ateneo venivano resi edotti, in maniera aggregata, sulle cifre e sull´ammontare del fondo sul salario accessorio per il periodo 2001-2013 privo di copertura" che riportava anche "i nominativi di coloro ai quali erano state corrisposte maggiori somme rispetto a quelle dovute" (cfr. p.3 nota cit.).

2.2. Con riguardo al documento pubblicato invece sul sito istituzionale dell´Ateneo, L´Università ha infine precisato "di aver effettuato tutti gli adempimenti del caso previsti dalla normativa, finalizzata al rispetto degli obblighi imposti" (cfr. p. 4 nota cit.), in particolare,  dalla disciplina sulla trasparenza  (previsti dal d.lg. 14 marzo 2013, n. 33, Riordino della disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni), elencando "i nominativi dei dipendenti ai quali è stata corrisposta una maggior somma, con l´indicazione del totale corrisposto in eccesso  con la specifica delle voci dei subtotali. La pubblicazione ha riguardato, quindi, un documento riepilogativo contenente dati in forma aggregata proprio per consentire agli interessati di prendere visione degli atti contabili dell´amministrazione" (cfr. p. 4 nota cit.).

In tal modo l´Ateneo avrebbe provveduto, "in ossequio alla trasparenza [...] a rendere accessibile e fruibile a qualsiasi interessato, dati che sono diretti a "favorire forme diffuse di controllo […] sull´utilizzo delle risorse pubbliche", in base all´obbligo in capo alle pubbliche amministrazioni di pubblicare " […] "a)  i  costi  contabilizzati,  evidenziando  quelli  effettivamente sostenuti e quelli imputati al personale per ogni servizio erogato  e il relativo andamento nel tempo" (cfr. art. 32, comma 2 lett. a), d. lgs. n. 33/2013 - Obblighi di pubblicazione concernenti i servizi erogati).

Ritenuto infine di aver osservato i principi di liceità, necessità, proporzionalità e pertinenza e non eccedenza stabiliti dalla disciplina di protezione dei dati personali, l´Ateneo ha altresì precisato che "non sono stati rilevati dati da oscurare dato che le informazioni di carattere personale non ledono la privacy dei singoli interessati"(cfr. p. 5 nota cit.).

Le ragioni della perdurante pubblicazione on line risiederebbero, secondo l´Ateneo, nel fatto che "ad oggi non è ancora scaduto il termine di 5 anni" stabilito dalla disciplina sulla trasparenza "né […] appaiono raggiunti gli scopi per i quali essi sono stati resi pubblici e gli atti hanno prodotto i loro effetti" (cfr. p. 5 nota cit.).

3.1. Il presente provvedimento ha ad oggetto il profilo della messa a disposizione di terzi mediante comunicazione di posta elettronica e pubblicazione on line di dati personali dei dipendenti dell´Università, non essendo allo stato presenti in atti elementi sufficienti che consentano di valutare gli altri aspetti pure oggetto di segnalazione e rispetto ai quali il Garante si riserva una verifica anche alla luce degli elementi che integreranno la documentazione già pervenuta a questa Autorità.

3.2. In generale, si osserva che, in base alla disciplina di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali, in attuazione delle direttive comunitarie nn. 95/46/Ce e 2002/58/Ce) il datore di lavoro pubblico può trattare i dati personali dei lavoratori nei limiti in cui ciò sia necessario per la corretta gestione del rapporto di lavoro, nel rispetto delle previsioni che riguardano le proprie funzioni istituzionali e disciplinano il rapporto di lavoro, contenute in leggi, regolamenti, contratti e in accordi collettivi, ponendo in essere operazioni di trattamento proporzionate alle finalità perseguite (artt. 3, 11 e 18 del Codice). Più specificamente, la comunicazione e la diffusione (art. 4, comma 1, lett. m) ed l) del Codice) di dati personali (art. 4, comma 1, lett. b) del Codice) da parte di un soggetto pubblico a privati sono operazioni di trattamento che possono essere lecitamente effettuate nel rispetto del principio di pertinenza e non eccedenza (art. 11, comma 1, lett. d) ed e) del Codice), quando tali operazioni siano previste da una idonea base normativa (artt. 11, comma 1, lett. a) e 19, comma 3, del Codice).

3.3. Alla luce di tale quadro, nel prendere atto che, in base ad alcune disposizioni contenute nei contratti collettivi applicabili per i singoli comparti dell´amministrazione, determinate informazioni in materia di gestione del rapporto di lavoro possono essere oggetto di specifici diritti di informazione (preventiva o successiva) in favore delle parti sindacali, si rappresenta che solo ove il contratto collettivo applicabile preveda espressamente che l´informazione sindacale abbia ad oggetto anche dati nominativi del personale è possibile porre in essere operazioni di trattamento che consentano di assolvere ai menzionati obblighi di informativa in favore delle parti sindacali (cfr., Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, adottate con Provv. del 14 giugno 2007, pubblicate sulla G.U. 13.7.2007, n. 161, doc. web n. 1417809, in particolare, punto 5.2.). Nei restanti casi, in assenza di tale specifica previsione−impregiudicate le altre forme di conoscibilità degli atti amministrativi, nei limiti e con le modalità stabilite dalla disciplina di settore (artt. 22 ss., legge 7 agosto 1990, n. 241) e sulla base di valutazioni che restano rimesse all´amministrazione che detiene i documenti, a loro volta sindacabili secondo le modalità stabilite dalla specifica disciplina di settore− è consentita "solamente la comunicazione in forma anonima" (cfr. sul punto, Provv. 20 dicembre 2012, n. 431, doc. web n. 2288474 e Provv. 18 luglio 2013, n. 358, doc. web n. 2578201 che, con riguardo a specifici casi, hanno confermato le indicazioni già fornite in via generale con le menzionate Linee guida).

3.4. Tanto premesso e con specifico riguardo al caso in esame, se da un lato, alcune disposizioni contenute nei contratti collettivi applicabili al comparto Università prevedono che determinate informazioni, anche consistenti in dati personali secondo al definizione del Codice (cfr. art. 4, comma 1, lett. b) del Codice), siano oggetto di specifici diritti di informazione (preventiva o successiva) in favore delle parti sindacali (in particolare, art. 6, comma 4, lett. i) CCNL−"Contratto collettivo nazionale di lavoro del personale del comparto Università − quadriennio normativo 2006-2009, biennio economico 2006-2007" consente infatti una informativa successiva alle parti sindacali sui "nominativi del personale utilizzato in attività e progetti retribuiti con finanziamenti provenienti dalle medesime e attività e progetti o con risorse della contrattazione integrativa"), tuttavia dal quadro normativo di riferimento non risulta, allo stato, alcuna specifica fonte normativa o negoziale che preveda espressamente la comunicazione ai soggetti sindacali, ovvero al restante personale in servizio, dello specifico ammontare dei compensi accessori erogati individualmente ai dipendenti, salva in ogni caso l´informativa sindacale sui "principi e criteri di erogazione dei trattamenti accessori" (cfr. art. 6, comma 6, CCN, cit.).

3.5. Sotto tale profilo, pertanto le modalità comunicative utilizzate (inoltro a tutto il personale dell´Ateneo di una mail recante in allegato un documento che riportava i nominativi e le somme percepite, asseritamente in modo indebito, da ciascun dipendente) hanno dato luogo ad un trattamento dei dati personali in violazione degli artt. 11, comma 1 lett. a), 19, comma 3 del Codice (per profili analoghi quanto alle modalità comunicative utilizzate, cfr. già Provv. 2 marzo 2011, doc. web n. 1802433).

Impregiudicati i profili in ordine alla regolarità sul piano contabile delle erogazioni effettuate, il personale destinatario della comunicazione elettronica non aveva titolo alcuno per venire a conoscenza dell´ammontare delle somme percepite dai colleghi dell´area amministrativa contabile, né invero alcuna necessità e pertinenza al riguardo sussisteva nel riportare altresì valutazioni in ordine all´eventuale illiceità delle erogazioni (artt. 3 e 11, comma 1, lett. d) del Codice).

Diversamente da quanto accaduto, sarebbe stato quindi rispettoso del diritto alla dignità, riservatezza e alla protezione dei dati di ciascuno degli interessati provvedere a comunicazioni individualizzate, avvalendosi di canali comunicativi individuali.

Alla luce delle considerazioni che precedono, deve pertanto essere vietata all´Università degli studi "G. D´Annunzio" di Chieti e Pescara ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice, l´ulteriore comunicazione al personale docente e non docente, con le modalità comunicative utilizzate nei termini suesposti, dei dati personali sopra indicati riferiti al personale amministrativo contabile.

4.1. Con riferimento alla persistente pubblicazione dei dati personali sopra menzionati nella sezione amministrazione trasparente, tramite il sito web istituzionale, si osserva che il d.lg. 14 marzo 2013, n. 33 prevede la pubblicazione obbligatoria da parte delle pubbliche amministrazioni dell´"ammontare complessivo dei premi collegati alla performance stanziati e l´ammontare dei premi effettivamente distribuiti" nonché "l´entità del premio mediamente conseguibile dal personale […], i dati relativi alla distribuzione del trattamento accessorio, in forma aggregata" (art. 20, commi 1 e 2, d.lg. n. 33/2013).

La finalità di trasparenza perseguita mediante tale previsione, al fine di dare evidenza dei livelli di selettività e premialità "nella distribuzione dei premi e degli incentivi" al personale, trova effettività, per espressa scelta del legislatore, attraverso la pubblicazione dei menzionati valori "in forma aggregata" e non nominativa.

Stesso ragionamento vale con riguardo agli obblighi di pubblicazione concernenti i servizi erogati stabiliti dall´art 32 del d.lg. n. 33/2013, disposizione pure invocata dall´Ateneo, ma che nel prevedere la pubblicazione dei "costi contabilizzati, evidenziando […] quelli imputati al personale per ogni servizio erogato" (art. 32, comma 2, lett. a), cit.) non presuppone la pubblicazione del nominativo del singolo lavoratore adibito ad un determinato servizio, né la specifica spesa sostenuta in suo favore.

4.2. Stante quindi la mancata previsione dell´obbligo di pubblicazione di tale tipologia di dati personali tra le ipotesi puntualmente elencate dal legislatore nel capo II del citato decreto legislativo o in altra specifica norma in materia di trasparenza, non trova applicazione al caso di specie il regime di conoscibilità stabilito dalla normativa sulla trasparenza, ivi compresa la specifica previsione concernente l´arco temporale quinquennale di permanenza sul web (di cui all´art. 8, comma 3, del d.lg. 33/2013; sul punto, cfr. introduzione, parte I, punto I e parte  II, Linee guida cit.).

4.3. Tanto premesso, nel ribadire che l´adempimento ad un obbligo di pubblicazione online di informazioni che comporti una diffusione di dati personali deve avvenire contemperando le esigenze di pubblicità con i diritti e le libertà fondamentali, nonché la dignità degli interessati (art. 2 del Codice), si ritiene che la perdurante pubblicazione dei nominativi riferiti più di cento lavoratori e delle somme accessorie ad essi individualmente erogate, determina una illecita diffusione di dati personali in quanto effettuata in assenza di idonea base normativa (artt. 11, comma 1, lett. a) e 19, comma 3, del Codice).

4.4. Alla luce delle considerazioni che precedono, deve pertanto essere vietato all´Università degli studi  "G. D´Annunzio" di Chieti e Pescara ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d) del Codice, di diffondere ulteriormente in Internet, tramite il sito web istituzionale, i dati personali sopra indicati contenuti riferiti al personale amministrativo contabile.

Si prescrive, inoltre, ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, di conformare la pubblicazione di atti e documenti in Internet alle disposizioni contenute nel Codice in materia di protezione dei dati personali tenendo presente le indicazioni contenute nelle menzionate Linee guida e rispettando, in particolare, il principio in base al quale la diffusione di dati personali è lecita quando prevista da una norma di legge o di regolamento (artt. 11, comma 1, lett. a) e 19, comma 3, del Codice).

Si ricorda, al riguardo, che l´inosservanza del provvedimento del Garante di prescrizione di misure necessarie determina l´applicazione in sede amministrativa, in ogni caso, della sanzione di cui all´art. 162, comma 2-ter, del Codice.

4.5. Resta salva la possibilità di procedere alla pubblicazione facoltativa di documenti ulteriori rispetto a quelli espressamente indicati dalla disciplina di settore in materia e sempre che tale pubblicazione sia effettuata per esclusive finalità di trasparenza, procedendo alla pubblicazione solo dopo aver provveduto alla anonimizzazione dei dati personali eventualmente presenti (art. 4, comma 3, del d.lgs. n. 33/2013, nonché, parte I, punto 3, Linee guida cit.).

Pertanto il sopra menzionato documento denominato "Il fondo accessorio di Ateneo, altri fondi e il loro utilizzo", potrà eventualmente essere reso disponibile all´interno della apposita sezione denominata "Amministrazione trasparente", solo dopo aver proceduto a tale indispensabile opera di anonimizzazione, tenendo presente le indicazioni che il Garante ha fornito nelle Linee guida (cfr., parte I, punto 3).

5. L´Autorità si riserva di valutare, con separato procedimento, gli estremi per la contestazione della violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice.

TUTTO CIÒ PREMESSO IL GARANTE

nei confronti della Università degli studi  "G. D´Annunzio" di Chieti e Pescara, ritenuta illecita per  violazione degli artt. 3 e 11, comma 1, lett. a) e d), nonché 19, comma 3 del Codice, nei termini indicati in motivazione, l´avvenuta comunicazione al personale docente e non docente nonché la diffusione dei dati nominativi riferiti al personale dell´area amministrativo-contabile delle somme accessorie da essi individualmente percepiti,

1. vieta, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice, l´ulteriore comunicazione al personale docente e non docente, con le modalità comunicative utilizzate nei termini di cui in premessa, nonché l´ulteriore diffusione in Internet, mediante il proprio sito web istituzionale, dei dati personali sopra indicati;

2. prescrive, ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, di conformare la pubblicazione di atti e documenti in Internet alle disposizioni contenute nel Codice in materia di protezione dei dati personali tenendo presente le indicazioni contenute nelle Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati, rispettando, in particolare, il principio in base al quale la diffusione di dati personali è lecita quando prevista da una norma di legge o di regolamento (artt. 11, comma 1, lett. a) e 19, comma 3, del Codice);

3. chiede, ai sensi dell´art. 157 del Codice, di dare comunicazione al Garante, entro sessanta giorni dalla data di ricezione del presente provvedimento, delle misure adottate per conformarsi alle prescrizioni impartite con il presente provvedimento. Il mancato riscontro alla presente richiesta è punito con la sanzione amministrativa di cui all´art. 164 del Codice.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 30 luglio 2015

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia