[doc. web n. 2909040]

Trattamento di dati personali idonei a rivelare lo stato di salute - 18 dicembre 2013

Registro dei provvedimenti
n. 589 del 18 dicembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito "Codice");

VISTA la segnalazione del 24 febbraio 2013 presentata da XY concernente il trattamento di dati personali a sé riferiti effettuato dall´Azienda sanitaria provinciale (Asp) di Reggio Calabria;

VISTE le "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico", adottate con provvedimento del 14 giugno 2007 (pubblicato nella G.U. 13 luglio 2007, n. 161 e in www.garanteprivacy.it, doc. web n. 1417809);

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Antonello Soro;

PREMESSO

1.1. XY, dipendente (collocato a riposo) dell´Azienda sanitaria provinciale (Asp) di Reggio Calabria, ha lamentato l´illecita comunicazione di dati personali di natura sensibile a sé riferiti – concernenti l´esistenza di una pregressa patologia grave – a seguito della presentazione di una istanza per la permanenza in servizio fino al compimento del 67° anno di età. Ciò sarebbe avvenuto con l´invio di una nota (prot. n. KW del XX) da parte del medico responsabile del Poliambulatorio Specialistico di KJ (presso il quale il segnalante prestava servizio) indirizzata al Direttore della Struttura complessa del personale della Asp che avrebbe determinato un trattamento di dati sensibili riferiti al segnalante ritenuto "non pertinente ed eccedente rispetto alla finalità perseguita, nonché del tutto illecito sotto il profilo dell´ambito di comunicazione dei dati in questione. Ciò si evidenzia in modo ancor più netto ove si pensi che […] allo stato attuale, il sottoscritto non [è] affetto dalla menzionata patologia".

1.2. Più precisamente il segnalante lamenta la comunicazione da parte della responsabile del poliambulatorio (nella menzionata nota del XX) di una sua "invalidità del 60% ed una esenzione per malattia «Soggetto affetto da patologia neoplastica maligna e da tumore di comportamento incerto»".

Oltre a ciò la responsabile, nella menzionata missiva, ha pure rappresentato che il dipendente:

• "nell´ultimo triennio […] non ha usufruito di assenze prolungate per malattia";

• non ha "contenziosi con l´Azienda";

• non è stato destinatario di provvedimenti disciplinari né risulta essere stato rinviato a giudizio per reati contro la pubblica amministrazione;

• non "ha avuto valutazioni negative da alcun collegio istituzionale preposto" (cfr. allegato alla segnalazione del 24.2.2013).

1.3. A seguito delle richieste d´informazioni formulate dall´Ufficio, il rappresentante dell´azienda sanitaria (direttore dell´ufficio Gestione Risorse Umane), con nota dell´8 aprile 2013, ha dichiarato che:

a. "con nota prot. KK del HH [l]´Ufficio del personale periferico di JK ha inoltrato una richiesta al Dirigente del poliambulatorio di KJ, relativa alla permanenza in servizio fino al 67° anno di età […] chiedendo una serie di informazioni necessarie per le attività istituzionali";

b. a tale richiesta è stata data risposta da parte del "medico responsabile del Poliambulatorio di KJ […] con nota prot. KW del YY";

c. la nota di riscontro "è stata inviata via fax direttamente alla sede periferica dell´ufficio personale di JK […] senza che la stessa avesse […] i caratteri della riservatezza o l´indicazione «Contiene dati sensibili – Decreto Legislativo 196/2003»";

d. quanto al contenuto, la nota medesima consisteva in un "documento propedeutico al non accoglimento della richiesta di mantenimento in servizio e, quindi, al consequenziale atto di collocamento a riposo" del segnalante;

e. conclusivamente, le "informazioni contenute nella nota sono […] da ritenersi necessarie, essenziali, pertinenti ed indispensabili, per l´adempimento di legge cui era preposto il settore di JK che ha effettuato […] la richiesta".

1.4. In base a quanto comunicato dall´azienda sanitaria nelle note successivamente pervenute, anche in risposta alla richiesta di integrazione degli elementi forniti formulata dall´Ufficio, è altresì emerso che:

a. la "referente aziendale privacy" dell´Asp, con nota del 22 maggio 2013, ha dichiarato di ritenere che nei confronti del segnalante fosse stata "violata […] la privacy di tipo sanitario";

b. la direzione generale Asp, con nota del 12 giugno 2013, ha invece ribadito la ritenuta legittimità del trattamento di dati personali.

1.5. Il segnalante, nel ribadire le proprie ragioni, ha allegato ulteriore documentazione e in particolare:

a. copia della lettera (prot. n. KK del JJ, già richiesta all´Asp che non aveva provveduto a trasmetterla all´Autorità) inviata dal Direttore della struttura complessa del personale al dirigente del Poliambulatorio di KJ nella quale – con riferimento all´istanza di mantenimento in servizio fino al 67° anno di età – si chiede di comunicare se il richiedente: 1) avesse "limitazioni lavorative che riducono l´attività istituzionale del profilo professionale cui [il] dipendente [è assegnato] (es. L. 104, invalidità o similare)"; 2) avesse usufruito di "una o più prolungate assenze per malattia nell´ultimo triennio, fatta eccezione per ricoveri ospedalieri o infortuni sul lavoro"; 3) risultasse destinatario di provvedimenti disciplinari, di eventuali "rinvii a giudizio per reati penali contro l´amministrazione", di valutazioni negative formulate da "alcun collegio istituzionale preposto" nonché avesse contenziosi con l´Azienda; 4) fosse, relativamente al "carico di lavoro assegnato[gli]", in una condizione tale da poter "dimostrare l´impossibilità, nell´immediatezza, di poterlo sostituire";

b.  copia del certificato redatto dal medico competente dell´Asp in data 30 maggio 2013 che attesta l´idoneità alla mansione del segnalante.

2.1. Risulta dagli atti del procedimento (e dalla esigua documentazione fornita a fronte di tre richieste di informazioni, di cui una ex art. 157 del Codice, avanzate dall´Autorità) che l´Azienda sanitaria provinciale di Reggio Calabria – la quale, ai sensi e per gli effetti previsti dal Codice, deve ritenersi titolare del trattamento dei dati personali dei propri dipendenti (cfr. art. 4, comma 1, lett. f) e 28 del Codice) – abbia trattato i dati personali del segnalante, anche di natura sensibile (in quanto riferiti alla sua condizione di salute: cfr. art. 4, comma 1, lett. d), del Codice), nell´ambito di uno scambio di corrispondenza intercorso tra due articolazioni della medesima Azienda (in particolare tra la direzione del personale della struttura complessa di JK e il poliambulatorio specialistico ove il segnalante prestava servizio).

2.2. Al fine di valutare la complessiva liceità dei trattamenti dei dati personali riferiti al segnalante effettuati dall´Asp di Reggio Calabria, deve preliminarmente rilevarsi che i soggetti pubblici possono trattare dati sensibili solo "se autorizzat[i] da espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati e di operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite" (art. 20, comma 1, del Codice) e sempre che il trattamento avvenga "secondo modalità volte a prevenire violazioni dei diritti, delle libertà fondamentali e della dignità dell´interessato" (art. 22, comma 1, del Codice).

Nel caso in esame, il procedimento avviato dal segnalante con l´istanza di permanenza in servizio fino al compimento del 67° anno di età, risulta disciplinato dal primo comma dell´art. 16, d.lg. 30 dicembre 1992, n. 503 ("Norme per il riordinamento del sistema previdenziale dei lavoratori privati e pubblici, a norma dell´articolo 3 della L. 23 ottobre 1992, n. 421") – come risultante dalle modifiche che lo hanno interessato – in base al quale "è in facoltà dei dipendenti civili dello Stato e degli enti pubblici non economici di permanere in servizio […] per un periodo massimo di un biennio oltre i limiti di età per il collocamento a riposo per essi previsti. In tal caso è data facoltà all´amministrazione, in base alle proprie esigenze organizzative e funzionali, di trattenere in servizio il dipendente in relazione alla particolare esperienza professionale acquisita dal dipendente in determinati o specifici ambiti ed in funzione dell´efficiente andamento dei servizi".

La vigente normativa di settore non prevede, quindi, ai fini della prosecuzione del rapporto, alcun trattamento di dati idonei a rivelare le condizioni di salute del dipendente – e tantomeno consente la puntuale indicazione della diagnosi di patologie eventualmente contratte in costanza del rapporto di lavoro –, essendo invece richiesta in capo all´interessato, ricorrendo esigenze organizzative dell´amministrazione in vista dell´efficiente andamento dei servizi, la sola sussistenza della "particolare esperienza professionale acquisita […] in determinati o specifici ambiti" (in tal senso cfr. anche la circolare n. 10 del 2008 della Presidenza del Consiglio dei Ministri che, con riferimento al contenuto della valutazione discrezionale effettuata dall´amministrazione a seguito della presentazione della domanda di permanenza in servizio, ha specificato: "La valutazione deve tener conto di alcune condizioni oggettive: le esigenze organizzative e funzionali dell´Amministrazione, la particolare esperienza professionale acquisita dal richiedente in determinati o specifici ambiti e l´efficiente andamento dei servizi. In proposito, è opportuno che ciascuna Amministrazione adotti preventivamente dei criteri generali per regolare i trattenimenti in servizio, tenendo conto delle proprie peculiarità, in modo da evitare condotte contraddittorie o incoerenti"; v. già, analogamente, la precedente circolare n. 5 del 2004 della Presidenza del Consiglio dei Ministri – Dipartimento della Funzione pubblica).

Il trattamento dei dati sanitari riferiti al segnalante (peraltro sollecitato dalla menzionata comunicazione del 24.10.2013: cfr. punto 1.5.), comprensivi della specifica patologia e del grado di disabilità contratte dallo stesso, risulta pertanto essere avvenuto in violazione degli artt. 11, comma 1, lett. a) e 20, comma 1, del Codice (cfr., nello stesso senso, Provv. 10 ottobre 2013, n. 442, doc. web n. 2753605).

2.3. Inoltre, l´espressa indicazione dell´esistenza di una grave patologia in capo all´interessato – la cui persistenza è stata peraltro negata dal segnalante (che ha altresì allegato documentazione attestante la propria idoneità alla mansione: cfr. par. 1.5) – oltre ad essere anzi tutto lesiva della dignità dell´interessato (art. 2, comma 1, del Codice), non era indispensabile né pertinente rispetto alla legittima finalità perseguita dall´amministrazione in base al quadro normativo esistente, risultando eccedente – allo scopo di valutare la domanda di permanenza in servizio nella prospettiva dell´"efficiente andamento dei servizi" – il trattamento di informazioni diverse dalla capacità professionale dell´interessato (art. 22, comma 3 nonché art. 11, comma 1, lett. d), del Codice; cfr., nello stesso senso, Provv. 27 giugno 2013, n. 315, doc. web n. 2576686; in termini generali, v. Provv. 14 giugno 2007, Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, doc. web n. 1417809, par. 8.1: "Il datore di lavoro pubblico deve osservare cautele particolari anche per il trattamento dei dati sensibili (artt. 4, comma 1, lett. d), 20 e 112 del Codice) e, segnatamente, di quelli idonei a rivelare lo stato di salute. Nel trattamento di queste informazioni l´amministrazione deve rispettare anzitutto i princìpi di necessità e di indispensabilità, valutando specificamente il rapporto tra i dati sensibili e gli adempimenti derivanti da compiti e obblighi di volta in volta previsti dalla legge (artt. 20 e 22 del Codice)").

2.4. Ritenuto illecito per le ragioni suesposte il descritto trattamento di dati personali idonei a rivelare lo stato di salute del segnalante, effettuato dalla Asp in violazione degli artt. 11, comma 1, lett. a) e d), 20, comma 1 e 22, comma 3 del Codice, prescrive all´azienda sanitaria provinciale di Reggio Calabria, ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c) del Codice, di adottare opportune misure, idonee a conformare il trattamento dei dati personali, con particolare riferimento ai dati trattati per finalità di gestione del rapporto di lavoro, specie se di natura sensibile, alla disciplina di protezione dei dati personali, anche alla luce delle indicazioni già formulate in via generale nelle citate Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico.

3. Rilevato, inoltre, che nella corrispondenza intrattenuta con l´Autorità sono state fornite da uffici diversi della medesima Azienda informazioni incomplete e valutazioni aventi contenuto divergente rispetto al trattamento oggetto di segnalazione (cfr. par. 1.4), si prescrive al titolare del trattamento, quale misura opportuna, che vengano rivalutate le soluzioni organizzative esistenti allo scopo di assicurare effettività nell´attuazione della disciplina di protezione dei dati personali, identificando altresì, vista la presenza della figura del "referente aziendale privacy", le funzioni competenti ad interloquire con l´autorità di controllo.

4. L´Autorità si riserva di valutare, con separato procedimento, gli estremi per la contestazione della violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice in relazione alla violazione dell´art. 20 del Codice.

TUTTO CIÒ PREMESSO, IL GARANTE

ritenuto illecito il trattamento dei dati sensibili riferiti al segnalante nei termini di cui in motivazione, prescrive all´Azienda sanitaria provinciale di Reggio Calabria, ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c), del Codice, di adottare opportune misure, idonee a:

1. conformare il trattamento dei dati personali nell´ambito della gestione del rapporto di lavoro alla disciplina di protezione dei dati personali, anche alla luce delle indicazioni già fornite in via generale nelle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico (par. 2.4);

2. rivalutare le soluzioni organizzative esistenti allo scopo di assicurare effettività nell´attuazione della disciplina di protezione dei dati personali, identificando altresì le funzioni competenti ad interloquire con l´autorità di controllo (par. 3).

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 18 dicembre 2013

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia