g-docweb-display Portlet

Ordinanza ingiunzione nei confronti del Ministero della Difesa - 28 aprile 2022 [9776406]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9776406]

Ordinanza ingiunzione nei confronti del Ministero della Difesa - 28 aprile 2022

Registro dei provvedimenti
n. 146 del 28 aprile 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, un dipendente del Ministero della Difesa (di seguito, il “Ministero”) ha rappresentato che:

in data XX, a seguito di una prova concorsuale interna, sarebbe stato redatto un verbale, cui sarebbe stata allegata copia di un’email inviata dalla Direzione Generale del Personale Militare (PERSOMIL) alla Commissione del concorso, contenente una richiesta di accertamenti medico legali, con l’indicazione della diagnosi e la convocazione a una visita medica;

il Battaglione SDI Sud avrebbe inoltrato, dalla propria casella di posta istituzionale, un’email della Cancelleria del Tribunale Militare di Napoli, contenente un atto integrale di opposizione proposto dal Pubblico Ministero, relativo a una sentenza penale militare emessa nei confronti del reclamante, a un militare che, stando a quanto sostenuto dal reclamante, non aveva titolo per conoscere tali informazioni.

2. L’attività istruttoria.

In risposta a una richiesta d’informazioni formulata dal Garante (prot. n. XX del XX), il Ministero, con nota prot. n. XX del XX, ha fornito la documentazione prodotta dalle proprie diverse articolazioni coinvolte nel caso, e le rispettive dichiarazioni, al fine di ricostruire la vicenda che ha interessato il reclamante, dichiarando, in particolare, che:

“per quanto concerne l’attività di competenza della 1^ Divisione, a seguito di presentazione da parte del reclamante di “domanda di partecipazione al concorso interno straordinario, per titoli ed esami, per il reclutamento, tra gli altri, di Marescialli della Marina Militare, indetto con Decreto n. 31/ID del 14 dicembre 2018 […] [l’interessato] veniva convocato a sostenere la prova scritta in data XX”;

“precedentemente a tale data, il suo Comando di appartenenza, la Compagnia SDI di Brindisi, in sede di istruttoria della sua domanda di partecipazione relativamente alla verifica dei requisiti di partecipazione al sopra citato concorso, trasmetteva alla 1^ Divisione documentazione dalla quale risultava che lo stesso era temporaneamente non idoneo al servizio militare incondizionato e che era stato convocato a visita per l’accertamento della prescritta idoneità presso la Commissione Medica Ospedaliera (CMO) di Taranto il giorno XX”;

“il giorno XX [il reclamante] si presentava a sostenere la prova scritta in abiti civili e non in uniforme di servizio, così come invece previsto dal bando di concorso. Il Presidente della commissione esaminatrice chiedeva informazioni sul comportamento da tenere in merito al [PERSOMIL], che, tramite e-mail, autorizzava l’interessato a sostenere la citata prova scritta con riserva dell’accertamento dell’idoneità al servizio militare incondizionato, così come previsto dal bando di concorso”;

“a tale e-mail veniva allegata la richiesta di accertamenti medico-legali alla competente CMO, proveniente dal Comando di appartenenza del [reclamante], che non conteneva alcuna diagnosi, e la convocazione a visita medica per il XX”.

Con nota del XX (prot. n. X), l’Ufficio, sulla base degli elementi acquisiti, delle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Ministero, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1, lett. a), 6, 9 e 10 del Regolamento, nonché 2-ter, 2-sexies e 2-octies del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), il Ministero ha presentato la propria memoria difensiva, dichiarando, in particolare, in relazione al primo profilo di reclamo, che:

“per quanto concerne [PERSOMIL], non sembra essere avvenuta alcuna comunicazione e/o diffusione di dati personali a soggetti non autorizzati in quanto i membri della commissione esaminatrice di concorso possono considerarsi, sulla base delle prescrizioni del bando di concorso, quali organi della medesima Articolazione della Difesa”;

“nella comunicazione verso il Presidente della Commissione di concorso [sono stati indicati] gli estremi di una sentenza del G.A. al fine di integrare la motivazione della decisione di ammettere a concorso l'interessato […;] tale comunicazione è avvenuta verso soggetti autorizzati e conteneva unicamente il numero della sentenza del G.A. e non esplicite informazioni di carattere sanitario. Pertanto, gli allegati dell'e-mail in argomento, solo indirettamente, avrebbero potuto comportare l’astratta conoscibilità di dati sanitari dell'interessato contenuti nella sentenza stessa”;

“[…] tale sentenza risulta pubblicata sul sito della Giustizia, con l’oscuramento delle generalità del ricorrente e con i dati sanitari in chiaro. Ciò, nonostante il G.A. abbia esplicitamente ordinato alla cancelleria, nel dispositivo della sentenza, di oscurare oltre alle generalità anche qualsiasi dato idoneo a rilevare lo stato di salute delle parti o di persone comunque ivi citate”;

la comunicazione è stata effettuata “nei confronti del Presidente e di un Membro della Commissione esaminatrice/Comitato di vigilanza che risultavano “autorizzati”, ai sensi dell'articolo 15, comma 2, dei relativo bando di concorso, in ragione del ruolo da essi svolti e dei compiti loro attribuiti; in presenza della ravvisata sussistenza di idonea base giuridica legittimante la comunicazione stessa, in ossequio alla normativa vigente in materia di reclutamento del personale militare e, in particolare, di quella prevista dall'articolo 1055 del D.P.R, n. 90/2010 [, che] costituisce la base  giuridica della comunicazione dei dati personali anche relativi allo stato di salute del Reclamante, [prevedendo il trattamento di dati personali, anche relativi a categorie particolari,] in relazione alla rilevante finalità di interesse pubblico dell'instaurazione del rapporto di impiego/servizio”;

"i componenti della Commissione esaminatrice e del Comitato di Vigilanza […] agiscono per l'espletamento dell’incarico ricevuto sotto l'autorità diretta di PERSOMIL e, in tale qualità, non sono stati considerati “terzi”;

“la comunicazione comprensiva dei dati relativi allo stato di salute, sia pure “in via indiretta e per relationem”, si è resa necessaria per consentire l'ammissione con riserva del Reclamante il quale, in difetto, sarebbe stato escluso dal concorso e sottoposto a sanzione disciplinare, come espressamente previsto dall'articolo 7, comma 5, del predetto bando;

“il citato bando […] prevedeva che i candidati dovessero presentarsi per sostenere la prova d'esame in uniforme, ma il Reclamante - in attesa di essere sottoposto a visita di idoneità/non idoneità al servizio militare incondizionato da parte della competente Commissione Medica - si era presentalo in abiti civili; tale circostanza dava luogo a un evento del tutto imprevisto e mai accaduto in passato che, tuttavia, esigeva immediata soluzione da parte di PERSOMIL”;

"la decisione, nell’urgenza di provvedere, doveva necessariamente contemperare  l'interesse pubblico volto ad assicurare la piena legittimità della procedura selettiva, con quello privato del candidato Reclamante e degli altri concorrenti”;

“l'ammissione con riserva, in quanto provvedimento di natura cautelare e derogatoria rispetto alle prescrizioni del bando, richiedeva quindi un'adeguata motivazione, in termini di presupposti di fatto/di diritta e, in tale contesto, la email del XX - unitamente alla documentazione a essa allegata contenente i riferimenti alla Sentenza del TAR XX n. XX del XX, nonché la convocazione a visita medica - era finalizzata proprio a dimostrare che si stava agendo in esecuzione di giudicato”;

“l'esecuzione di giudicato, infatti, costituiva l'elemento indispensabile del paradigma motivazionale del provvedimento di ammissione in deroga, che la Commissione esaminatrice/Comitato di Vigilanza ha dovuto necessariamente acquisire per giustificare l'ammissione al concorso del candidato presentatosi in abiti civili (Reclamante). Detto iter procedimentale veniva, poi, recepito nel Verbale n. 9 della Commissione esaminatrice”;

“solo a fronte di un impianto motivazionale così articolato è stato possibile coniugare il favor partecipationis con i principi di buon andamento dell’agire amministrativo, di imparzialità e di trasparenza dell’intera procedura selettiva […]”;

“si è trattato […] di un caso del tutto isolato che non ha avuto precedenti nell'ambito della massiva attività di reclutamento del personale militare. A titolo esemplificativo, si consideri che nel 2018 […] PERSOMIL ha emanato 50 bandi di concorso, per un totale di 29.730 posti, con 242.783 domande presentate e 19.743 candidati dichiarati vincitori”;

“la predetta email del XX è da contestualizzare anche nell’urgenza di definire la situazione, come risulta dall’ora d'invio della stessa alle ore 07.06 (orario del tutto “irrituale” nell'ambito degli uffici pubblici) a dimostrazione, da un lato, dell’assoluta urgenza di provvedere e, dall'altro, del senso di elevata responsabilità dimostrata […]”;

“trattandosi di un caso del tutto isolato, che non ha avuto precedenti nell'ambito del reclutamento “massivo” del personale militare sopra descritto, mancava una “buona prassi” alla quale fare riferimento”;

pertanto “la condotta tenuta […] dovrebbe essere del tutto esente da profili di dolo o di colpa grave”;

“la competente Divisione ha provveduto a oscurare, dall’allegato al Verbale n. 9 custodito agli atti in originale, i riferimenti alla Sentenza del TAR XX n. XX, in modo da impedirne l'eventuale ulteriore comunicazione”;

“per evitare il ripetersi del fatto in argomento, sia pure avente carattere eccezionale, PERSOMIL provvederà alla revisione delle procedure interne relative all'ammissione/non ammissione dei candidati che, per qualunque ragione, siano temporaneamente privi dei requisiti previsti dal bando di concorso. Tale revisione sarà effettuata in modo da prevedere che tutta la documentazione sottostante il singolo processo decisionale resti all'interno della Direzione Generale e sia custodita agli atti del relativo procedimento, con espresso divieto di comunicazione. Parimenti, saranno fomite apposite indicazioni alle Commissioni esaminatrici/Comitati di Vigilanza, finalizzate alla verbalizzazione delle operazioni di ammissione/non ammissione sulla base del solo assenso/diniego di PERSOMIL, senza riferimenti diretti/indiretti ai dati sensibili dei candidati”.

In relazione al secondo profilo di reclamo, il Ministero, con la predetta nota, ha dichiarato, in particolare, che:

l’addetto alla Segreteria Comando del BTG SDI SUD, su richiesta della Cancelleria del Tribunale Militare di Napoli, ha inoltrato alla Compagnia SDI Brindisi un messaggio di posta elettronica certificata, avente ad oggetto la notifica di atti giudiziari relativi al reclamante;

“in data XX [tale addetto], avendo recepito l’importanza della comunicazione che riguardava dati giudiziari, pur essendo libero dal servizio, si prodigava a verificare dal PC personale la posta elettronica istituzionale (PEI) e procedeva ad inoltrare la missiva tramite PEI, inserendo erroneamente trai destinatari il 1° Lgt [cognome del militare] in forza al Quartier Generale della B.M.S.M., il quale, non avendo alcun motivo per ricevere tale comunicazione, provvedeva ad informare il mittente dell'errato invio”;

“[…] la medesima e-mail, erroneamente inviata, è stata estesa in conoscenza all’interessato. Tale comportamento evidenza la buona fede e, nel contempo, la trasparenza con cui hanno operato i soggetti a vario titolo autorizzati dallo [Stato Maggiore della Difesa] a trattare la posta elettronica istituzionale nell’ambito della Brigata Marina San Marco”;

“l'invio della comunicazione è avvenuto per errore e senza alcuna volontarietà. L'inserimento del 1° Lgt. [cognome del militare] nella lista di distribuzione deve essere ricondotta alla c.d. “funzione predittiva” di Qutlook, in quanto il nominativo del 1° [cognome del militare] era fra destinatari più frequenti di mail, avendo egli prestato servizio presso la Compagnia SDI Brindisi fino a pochi mesi prima”;

“l'evento riguarda […] dati […] contenuti in un atto giudiziario, ossia un atto di opposizione proposto dal P.M. relativo a una sentenza penale riguardante il reclamante”;

“l'errore è stato oggetto di apposita “Inchiesta interna” che ha fatto emergere le cause dell'accaduto e dalla quale sono scaturite precise raccomandazioni [al personale che tratta dati personali]”.

In occasione dell’audizione, richiesta dal Ministero ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX, il Ministero ha sostanzialmente confermato e ribadito gli argomenti già in dettaglio esposti nella propria memoria difensiva.

3. Esito dell’attività istruttoria.

In base alla disciplina di protezione dei dati personali, i soggetti pubblici, nell’ambito del contesto lavorativo, possono trattare i dati personali degli interessati, anche relativi a categorie particolari, se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4 e 88 del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, parr. 1, lett. e), 2 e 3, e art. 9, par. 2, lett. g), del Regolamento; artt. 2-ter e 2-sexies del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di comunicazione di dati personali a terzi, da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (cfr. art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139; nel caso in cui i dati oggetto di comunicazione appartengano a categorie particolari, v. artt. 9 del Regolamento e 2-sexies del Codice).

Con specifico riguardo al trattamento dei dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza, si evidenzia che esso può avvenire soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati (art. 10 del Regolamento), ovvero solo qualora il trattamento sia autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento (art. 2-octies, commi 1 e 5, del Codice).

Il titolare del trattamento è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

In tale quadro, come affermato in molte occasioni dal Garante, i dati personali dei dipendenti, trattati per finalità di gestione del rapporto di lavoro, non possono, di regola, essere messi a conoscenza di soggetti diversi da coloro che sono parte dello specifico rapporto di lavoro (cfr. definizioni di “dato personale” e “interessato”, contenuta nell’art. 4, par. 1, n. 1), del Regolamento), ovvero di coloro che - anche tenuto conto della definizione di “terzo”, contenuta nell’art. 4, par. 1, n. 10), del Regolamento - non siano legittimati a trattarli, in ragione delle mansioni assegnate e delle scelte organizzative del titolare del trattamento. Ciò in quanto  la messa a disposizione dei dati a soggetti che, ancorché facenti parte dell’organizzazione del titolare del trattamento, non possono essere considerati “autorizzati” al trattamento (cfr. artt. 4, n. 10, 28, par 3, lett. b), 29 e 32, par. 4, del Regolamento, nonché art. 2-quaterdecies del Codice), in ragione del ruolo da essi svolto e delle funzioni esercitate all’interno di detta organizzazione, può dare luogo a una comunicazione di dati personali in assenza di base giuridica (cfr. punti 2, 4, 5.1 e 5.3 delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, del 14 giugno 2007, pubblicate in G.U. 13 luglio 2007, n. 161, e in www.garanteprivacy.it, doc. web n. 1417809).

Ciò premesso, con riguardo al primo profilo di reclamo, si osserva che il Presidente ed il membro della Commissione esaminatrice della procedura concorsuale di cui trattasi, che sono venuti a conoscenza di dati personali del reclamante (estremi di una sentenza del TAR relativa a vicende connesse al rapporto di lavoro, contenente anche dati relativi alla salute; richiesta di accertamenti medico-legali; convocazione dell’interessato ad una visita medica), non potevano considerarsi quali soggetti autorizzati al trattamento degli stessi. Più precisamente, sebbene, infatti, tali soggetti, in virtù del ruolo da essi ricoperto e delle funzioni da essi svolte in base alla disciplina di settore richiamata dal Ministero, debbano certamente poter trattare i dati personali dei partecipati alle procedure concorsuali al fine di poter gestire e portare a conclusione le stesse, essi non possono, invece, considerarsi autorizzati a trattare, come nel caso di specie, i dati personali dei partecipanti alla procedura concorsuale che non siano necessari e pertinenti ai fini dello svolgimento della stessa.

D’altra parte, per soddisfare la legittima esigenza, rappresentata dal Ministero, di formalizzare la decisione assunta, in via d’urgenza, in merito all’ammissione con riserva dell’interessato a partecipare alla prova concorsuale in questione, sarebbe stato sufficiente adottare un atto interno alla Direzione Generale del Personale Militare, comunicando alla Commissione esaminatrice/Comitato di garanzia soltanto il contenuto dispositivo di tale atto (ovvero l’ammissione con riserva), senza rendere noti i motivi sottesi alla decisione e i dati personali dell’interessato non necessari. A tal riguardo, si prende favorevolmente atto del fatto che il Ministero, a fronte di quanto emerso nel corso dell’istruttoria, facendo propria tale impostazione, ha adottato nuove procedure per gestire simili situazioni che si dovessero presentare in futuro.

Con riguardo, invece, al secondo profilo di reclamo, risulta accertato dalle dichiarazioni rese dal Ministero che, a causa dell’errata compilazione del campo “destinatari” di un messaggio di posta elettronica, taluni dati personali del reclamante, anche relativi a condanne penali e reati (cfr. art. 10 del Regolamento), siano stati erroneamente portati a conoscenza di un soggetto che non poteva considerarsi autorizzato a trattare gli stessi.

La messa a disposizione dei dati personali del reclamante, anche relativi alla salute, nonché a condanne penali e reati, a soggetti non autorizzati al trattamento, ha, pertanto, dato luogo, in entrambi gli episodi, a una comunicazione di dati personali a soggetti terzi, in assenza di un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6, 9 e 10 del Regolamento, nonché 2-ter, 2-sexies e 2-octies del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Ministero, per aver comunicato a terzi dati personali del reclamante, anche relativi alla salute, nonché a condanne penali e a reati, in violazione degli artt. 5, par. 1, lett. a), 6, 9 e 10 del Regolamento, nonché 2-ter, 2-sexies e 2-octies del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

In tale quadro, considerate le assicurazioni fornite dal titolare, non ricorrono i presupposti per l’adozione di misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stato considerato che la rilevata condotta ha avuto ad oggetto il trattamento di dati personali particolarmente delicati, come quelli relativi allo stato di salute, nonché a condanne penali e reati.

Di contro, si è tenuto favorevolmente in considerazione che la messa a disposizione dei dati personali del reclamante ad alcuni membri della Commissione esaminatrice nel contesto di una procedura concorsuale è stata effettuata dal Ministero al solo fine di motivare l’ammissione con riserva a una prova concorsuale, che doveva essere adottata tempestivamente nell’interesse del reclamante; si è trattato di un caso del tutto isolato; i dati personali relativi alle patologie del reclamante non erano direttamente riportati in chiaro nella predetta documentazione, ma erano potenzialmente ricavabili solo indirettamente, attraverso la sentenza del TAR, in cui, peraltro, i dati relativi alla salute, come disposto dall’Autorità giudiziaria, non avrebbero dovuto figurare (cfr. art. 52, commi 1,  2, 3 e 4, del Codice); la messa a disposizione di dati personali del reclamante, anche relativi a condanne penali e reati, a un soggetto non autorizzato al trattamento è dipesa da un mero errore umano. Non risultano, inoltre, precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento, adottati nei confronti del medesimo titolare, che possano considerarsi precedenti specifici “relativamente allo stesso oggetto” (art. 83, par. 2, lett. i) del Regolamento) rispetto alla condotta in esame. Il titolare del trattamento ha, infine, prestato piena collaborazione all’Autorità nel corso dell’istruttoria e ha fornito assicurazioni in merito alle modalità con cui, in futuro, saranno gestiti casi simili a quelli oggetto di reclamo, adeguando, a tal fine, le proprie procedure interne.

Tenuto conto che il trattamento dei dati personali in questione è avvenuto nel contesto lavorativo e ha riguardato dati personali particolarmente delicati, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Ministero della Difesa, per violazione degli artt. 5, par. 1, lett. a), 6, 9 e 10 del Regolamento, nonché 2-ter, 2-sexies e 2-octies del Codice, nei termini di cui in motivazione;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Ministero della Difesa, con sede in Via XX Settembre, 8 - 00187 Roma (RM), C.F. 80234710582, di pagare la somma di euro 10.000 (diecimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Ministero della Difesa, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 10.000 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice (v. art. 16 del Regolamento del Garante n. 1/2019);

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento (v. art. 17 del Regolamento del Garante n. 1/2019).

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 28 aprile 2022

IL VICEPRESIDENTE
Cerrina Feroni

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei