Source: https://olympus.uniurb.it/index.php?option=com_content&view=article&id=20389:priv443_13&catid=6&Itemid=137
Timestamp: 2020-03-29 06:05:18+00:00
Document Index: 91520470

Matched Legal Cases: ['art. 142', 'art. 41', 'art. 41', 'art. 7', 'art. 4', 'art. 22', 'art. 20', 'art. 112', 'art. 20', 'art. 11', 'art. 11', 'art. 20', 'art. 22', 'art. 22', 'art. 112', 'art. 162']

Garante per la protezione dei dati personali, Provvedimento 10 ottobre 2013, n. 443 - Comunicazione a terzi di dati riguardanti i dipendenti di una Regione
Comunicazione a terzi di dati riguardanti i dipendenti di una Regione - 10 ottobre 2013
n. 443 del 10 ottobre 2013
VISTO il reclamo del 19 settembre 2012, presentato ai sensi dell´art. 142 del Codice dal Sindacato autonomo del Corpo forestale sardo nell´interesse di XY e KW, dipendenti della Regione Autonoma della Sardegna e appartenenti al Corpo forestale e di vigilanza ambientale (C.F.V.A.) della Regione, concernente il trattamento di dati relativi alla salute dei reclamanti e di altri lavoratori;
VISTE le "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico", adottate con provvedimento del 14 giugno 2007 (pubblicato nella G.U. n. 161 del 13 luglio 2007 e in www.garanteprivacy.it, doc. web n. 1417809);
1. Con reclamo del 19 settembre 2012, XY e KW, appartenenti al Corpo forestale e di vigilanza ambientale (C.F.V.A.) della Regione Autonoma della Sardegna, hanno lamentato la violazione della disciplina in materia di protezione dei dati personali con riguardo all´inoltro, in data 20 luglio 2012, da parte del responsabile del Settore affari generali, gestione del personale e risorse finanziarie del Corpo ad una pluralità di destinatari – segnatamente a "tutte le Stazioni Forestali ricomprese nella giurisdizione dello Stir" (Servizio territoriale ispettorato ripartimentale) di Sassari, alla Base Logistico Navale di Porto Torres nonché "all´indirizzo email personale di diversi dipendenti alcuni dei quali interessati dalle visite specialistiche" – di una comunicazione elettronica riguardante 32 dipendenti, tra i quali i reclamanti medesimi. A detta comunicazione, trasmessa anche ai superiori gerarchici degli interessati, era allegata una tabella recante i nominativi dei menzionati 32 lavoratori (tutti appartenenti allo Stir di Sassari) che, su richiesta del medico competente, a seguito della visita medica periodica (effettuata ai fini dell´accertamento dello stato di salute ed idoneità alle mansioni, ai sensi dell´art. 41, comma 2, lett. b), d.lg. n. 81/2008), avrebbero dovuto sottoporsi ad ulteriori accertamenti sanitari. Detta tabella riportava, per ciascuno dei dipendenti, il numero di matricola, la data di nascita e il Servizio di appartenenza nonché "l´indicazione, per ciascuno, delle ulteriori visite ed esami richiesti [quali, ad esempio, esame spirometrico, glicemia, esame delle urine, emoglobina glicata, visita cardiologica, CDT, etc.] e, per alcuni, della data e del luogo in cui effettuarli" (cfr. reclamo p. 2 e all. n. 7, cit., nonché all. n. 11 nota del Corpo forestale del 14 marzo 2013).
Con successiva comunicazione del 23 luglio 2012, inviata però via fax, il direttore dello Stir avrebbe nuovamente trasmesso la medesima documentazione ai comandanti delle Stazioni forestali aventi in servizio i dipendenti interessati dalle visite mediche.
2.1. Nel riscontro fornito dal Corpo forestale alla richiesta di informazioni formulata dall´Ufficio, con la nota del 14 marzo 2013 è stato dichiarato che:
a. nel corso dell´anno 2012 gli accertamenti sanitari ai sensi dell´art. 41, comma 2, d.lg. n. 81/2008 sono stati effettuati in convenzione con la ditta aggiudicataria del servizio (la Sintesi s.p.a.);
b. "l´invio del personale agli accertamenti sanitari comporta […] la comunicazione […] ai soggetti direttamente interessati nonché a tutti coloro che hanno nell´organizzazione del lavoro funzioni di gestione del personale";
c. con particolare riferimento agli episodi oggetto di reclamo, lo Stir avrebbe "provveduto a consegnare in busta chiusa ai dipendenti gli esiti degli accertamenti sanitari […] e al comandante il giudizio d´idoneità del dipendente" al fine di consentire che, nella predisposizione dei servizi, delle turnazioni e dell´organizzazione del lavoro, si potesse tenere conto dei diversi giudizi di idoneità rilasciati per ciascun dipendente (giudizi che, secondo quanto dichiarato, riportano le seguenti diciture: "idoneo" – "parzialmente idoneo" – "idoneo con limitazioni" –"inidoneo").
2.2. Con specifico riferimento all´episodio oggetto del reclamo, il titolare del trattamento ha quindi evidenziato il peculiare contesto entro il quale le comunicazioni oggetto di reclamo hanno avuto luogo, rimarcando esigenze di tempestività nella predisposizione dell´assetto organizzativo nel periodo estivo – considerato che dal 1° giugno al 15 ottobre vige in Sardegna lo "stato di grave pericolosità di incendi" (cfr. Delibera Giunta regionale n. 27/53 del 19 giugno 2012) – e sottolineando la necessità di avvalersi del personale oggetto del reclamo il cui giudizio di idoneità veniva a scadere (per i più) lo stesso 20 luglio 2012.
In questa cornice, la "tardività dell´invio del calendario delle visite mediche" a cura della società aggiudicataria del servizio e la circostanza che nel pomeriggio di venerdì 20 luglio 2012 "anche l´ufficio del protocollo fosse chiuso" avrebbero indotto il Comandante responsabile dello Stir, solo in servizio, ad "avvisare informalmente il personale indicato nell´elenco e i responsabili delle strutture interessate" al fine di "organizzare le sostituzioni per garantire il servizio antincendio"; tanto in conformità al Contratto integrativo di lavoro per il corpo forestale (all. n. 8 alla nota del 14 marzo 2013, all´art. 7), in base al quale i responsabili delle stazioni predispongono i turni di servizio ed i riposi del personale per la settimana successiva, entro il venerdì di ogni settimana.
2.3. Nel ribadire nelle proprie controdeduzioni il contenuto del reclamo e nel riportarsi alle doglianze ivi già rappresentate, i reclamanti hanno altresì dichiarato che (cfr. nota del 29 marzo 2013):
a. "l´esigenza di celerità […] invocata dall´amministrazione […] avrebbe ben potuto essere soddisfatta attraverso strumenti diversi, rispettosi dei diritti e della dignità dei reclamanti";
b. in particolare, l´amministrazione avrebbe potuto contattare ciascuno degli interessati al proprio telefono personale come, stando a quanto dichiarato, avvenuto in precedenti occasioni, atteso che i numeri di telefono del personale "sono a disposizione delle Sale Operative dei Servizi Ispettorati Ripartimentali per qualunque necessità o emergenza";
c. in ogni caso non appare giustificato l´invio della mail "anche alla casella di posta elettronica istituzionale di Stazioni forestali non aventi personale in servizio interessato dalle visite specialistiche [senza avere] "almeno cura di oscurare il tipo di esame prescritto".
3.1. In via preliminare deve rilevarsi che nel caso di specie risultano aver formato oggetto di comunicazione dati personali riferibili ai reclamanti (nonché ai restanti dipendenti indicati nella menzionata tabella) rientranti nel novero dei dati sensibili – ed in particolare dati idonei a rivelare lo stato di salute degli interessati –, così come definiti all´art. 4, comma 1, lett. d), del Codice, considerato che non solo si è data comunicazione ad una pluralità di destinatari della necessità, rispetto a ciascuno dei lavoratori, di ulteriori accertamenti clinici conseguenti alla visita periodica prevista dalla disciplina di settore, ma si sono altresì puntualmente indicati gli accertamenti che avrebbero riguardato ciascuno degli interessati dai quali è possibile inferire informazioni idonee a rivelarne lo stato di salute (in merito alla nozione di dato relativo alle condizioni di salute cfr. Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, punto 6.3; Provv.ti 27 giugno 2013, n. 315, doc. web n. 2576686; 3 febbraio 2009, doc. web 1597590; 7 luglio 2004, docc. web n. 1068839 e 1068917; v. anche Cass., 1° agosto 2013, n. 18980).
3.2. Come noto, la disciplina di protezione dei dati personali prevede, in linea generale, che il trattamento dei dati sensibili – da effettuarsi comunque "secondo modalità volte a prevenire violazioni dei diritti, delle libertà fondamentali e della dignità dell´interessato" (art. 22, comma 1, del Codice) –, possa essere effettuato da parte dei soggetti pubblici solo "se autorizzato da espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati e di operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite" (art. 20, comma 1, del Codice).
Per quanto rileva nel caso di specie:
a. il legislatore ha individuato la richiesta "finalità di rilevante interesse pubblico" nell´ambito della gestione dei rapporti di lavoro, con particolare riferimento all´adempimento di "specifici obblighi o […] compiti previsti dalla normativa in materia di igiene e sicurezza del lavoro" (cfr. art. 112, comma 2, lett. e), del Codice) tra i quali, sono annoverate le operazioni di trattamento idonee a porre in essere misure necessarie per la tutela dell´ "integrità psico-fisica dei lavoratori" come previsto, in dettaglio, dalla disciplina di settore in materia di igiene e sicurezza dei luoghi di lavoro (cfr. artt. 25 e 41 ss. d.lg. n. 81/2008);
b. ai sensi dell´art. 20, comma 2, del Codice, inoltre, i tipi di dati sensibili e di operazioni eseguibili finalizzati al trattamento dei dati personali nell´ambito della Regione Sarda, di cui il Corpo forestale e di vigilanza ambientale (corpo tecnico con funzioni di polizia, per la tutela dell´ambiente naturale, istituito con la legge regionale 5 novembre 1985, n. 26) è struttura operativa (nell´ambito dell´Assessorato della Difesa dell´Ambiente della Regione Sardegna) sono stati individuati nell´Allegato A, scheda n. 2 (concernente l´instaurazione e gestione del rapporto di lavoro del personale) del Regolamento n. 1 del 26 luglio 2007 (Regolamento per il trattamento dei dati sensibili e giudiziari).
3.3. Tuttavia, per le modalità comunicative utilizzate sopra descritte, il trattamento dei dati dei dipendenti (e tra questi i reclamanti) – legittimamente effettuato dal Corpo limitatamente alle richiamate finalità concernenti la sicurezza sul luogo di lavoro − risulta essere in violazione degli artt. 11, comma 1, lett. a) e 20, commi 1 e 2 del Codice (per profili analoghi quanto alle modalità comunicative utilizzate, cfr. Provv. 2 marzo 2011, doc. web n. 1802433).
La tipologia degli accertamenti medici richiesti per i reclamanti (e per ciascuno degli altri interessati) nell´ambito del procedimento per il rilascio del giudizio di idoneità alla mansione specifica non può infatti, legittimamente essere resa nota a terzi (art. 11, comma 1, lett. a), del Codice), né invero alcuna necessità al riguardo sussisteva per definire il procedimento concernente ciascuno degli interessati (art. 11, comma 1, lett. d), del Codice).
Invero, i lavoratori destinatari della comunicazione oggetto di reclamo convocati per gli accertamenti ulteriori non avevano titolo alcuno per venire a conoscenza degli (ulteriori) accertamenti clinici disposti in capo ai colleghi; tantomeno sussistevano ragioni per mettere i lavoratori reciprocamente a conoscenza anche della specifica natura degli accertamenti prescritti.
Né, peraltro, la comunicazione di tali circostanze (concernenti l´effettuazione di accertamenti ulteriori e la loro natura) è prevista da norma di legge o dal menzionato regolamento n. 1 del 2007, come richiesto invece dall´art. 20 commi 1 e 2, del Codice.
A ciò si aggiunga che pure l´avvenuta trasmissione della tabella nominativa dei soggetti convocati a tutti superiori si pone in violazione del principio di indispensabilità, atteso che sarebbe stato sufficiente mettere a parte questi ultimi del solo termine fissato per lo svolgimento degli accertamenti del personale di diretta collaborazione (tanto al fine di consentire il tempestivo approntamento dei servizi, in conformità al principio di indispensabilità: cfr. art. 22, comma 3, del Codice), senza peraltro indicare la natura degli accertamenti medesimi.
Diversamente da quanto accaduto, sarebbe stato quindi rispettoso del diritto alla dignità, riservatezza e alla protezione dei dati di ciascuno degli interessati provvedere a comunicazioni individualizzate, avvalendosi di canali comunicativi individuali per avvisare gli interessati– come sarebbe accaduto in passato, secondo quanto rappresentato dai reclamanti –.
3.4. Peraltro, la necessità di particolari cautele nel trattamento di dati concernenti le condizioni di salute (desumibile anche dall´art. 22, comma 7, del Codice), è stata da tempo evidenziata dal Garante anche nelle richiamate Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, precisandosi che le amministrazioni devono "utilizzare forme di comunicazione individualizzata con il lavoratore, adottando le misure più opportune per prevenire la conoscibilità ingiustificata di dati personali, in particolare se sensibili, da parte di soggetti diversi dal destinatario […] (ad esempio, inoltrando le comunicazioni in plico chiuso o spillato; invitando l´interessato a ritirare personalmente la documentazione presso l´ufficio competente; ricorrendo a comunicazioni telematiche individuali)" (punto 5.3 non diversamente il punto 5.5 delle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro privati doc. web n. 1364939, cit.) ed "adottare maggiori cautele se le informazioni personali sono idonee a rivelare profili particolarmente delicati della vita privata dei propri dipendenti".
Nella stessa sede, l´Autorità ha ribadito che, con specifico riguardo alla gestione del rapporto di lavoro, "devono ritenersi in linea generale lecite le comunicazioni a terzi di informazioni di carattere sensibile relative ad uno o più dipendenti, quando esse siano realmente indispensabili per perseguire le finalità di rilevante interesse pubblico connesse […] alla gestione di rapporti di lavoro da parte di soggetti pubblici di cui all´art. 112 del Codice", condizione che non ricorre nel caso di specie rispetto alla segnalata comunicazione a terzi (cfr. par 5.1 Linee guida cit.; v. pure par. 8.1).
4. Ritenuta illecita per le ragioni illustrate la comunicazione dei dati sensibili riferiti ai reclamanti e agli altri dipendenti interessati, deve prescriversi al Corpo forestale e di vigilanza ambientale (C.F.V.A.) della Regione Autonoma della Sardegna, ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, di adottare opportune misure, idonee a conformare il trattamento dei dati personali, con particolare riferimento ai dati trattati per finalità di gestione del rapporto di lavoro, specie se di natura sensibile, alla disciplina di protezione dei dati personali, anche alla luce delle indicazioni già formulate in via generale nelle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico.
5. L´Autorità si riserva di valutare, con separato procedimento, gli estremi per la contestazione della violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice.
ritenuta illecita la comunicazione di dati sensibili riferiti ai reclamanti nonché agli altri dipendenti interessati descritta in narrativa, prescrive al Corpo forestale e di vigilanza ambientale (C.F.V.A.) della Regione Autonoma della Sardegna, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, di adottare opportune misure, idonee a conformare il trattamento dei dati personali nell´ambito della gestione del rapporto di lavoro alla disciplina di protezione dei dati personali, anche alla luce delle indicazioni già fornite in via generale nelle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico.