Source: https://dataprotection.org/web/guest/home/docweb/-/docweb-display/docweb/2578588
Timestamp: 2020-05-31 02:59:00+00:00
Document Index: 14316307

Matched Legal Cases: ['art. 4', 'art. 32', 'art. 3', 'art. 15', 'art. 11', 'art. 15', 'art. 162']

Pubblicazione sul sito web di un'Azienda per i servizi sanitari di una... - Garante Privacy
2578588
Lavoro , Pubblicazioni online , Licenziamento
[doc. web n. 2578588]
Pubblicazione sul sito web di un´Azienda per i servizi sanitari di una determinazione di recesso del contratto individuale di lavoro - 1 agosto 2013
n. 382 del 1° agosto 2013
ESAMINATA la segnalazione di XY;
VISTE le Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web del 2 marzo 2011 (pubblicate in G.U. n. 64 del 19 marzo 2011 e disponibili in www.garanteprivacy.it, doc. web n. 1793203);
1.1. XY ha lamentato la pubblicazione sul sito web dell´Azienda per i servizi sanitari n. 2 ´´Isontina´´ di Gorizia della determinazione del direttore generale n. KW, con la quale veniva assunta la determinazione di recedere dal contratto individuale di lavoro con il segnalante, dipendente in prova presso l´azienda medesima con funzioni di "collaboratore professionale sanitario-infermiere". Tale provvedimento, rimasto visibile in internet "per quindici giorni dal HH fino al ZZ", a detta del segnalante conteneva nella parte motiva "gravi valutazioni professionali" che lo riguardano (cfr. segnalazione del 28 dicembre 2011, cit.), in particolare la "relazione sull´operato del dipendente decorsa la prima metà del periodo di prova" contenente una valutazione complessivamente negativa sull´operato del medesimo (cfr. determinazione n. HJ, p. 1).
1.2. Nel dare riscontro alla richiesta di informazioni formulata dall´Ufficio, con nota del 30 agosto 2012 l´azienda ha dichiarato che la diffusione dei dati in questione per il tramite del sito web istituzionale risulta regolata dalla legislazione della Regione Friuli Venezia Giulia. In merito, l´art. 4 comma 1, L.R. 21 luglio 1992, n. 21, stabilisce che "tutte le deliberazioni dei Direttori generali delle aziende sanitarie regionali sono pubblicate entro sette giorni dalla data di adozione, mediante affissione all´albo, per quindici giorni consecutivi, salvo specifiche disposizioni di legge". La più recente normativa ha stabilito che "gli obblighi di pubblicazione di atti e provvedimenti amministrativi aventi effetto di pubblicità legale si intendono assolti con la pubblicazione nei propri siti informatici da parte delle amministrazioni e degli enti pubblici obbligati" (art. 32, l. 18 giugno 2009, n. 69).
Con specifico riguardo al caso in esame, l´azienda ha altresì dichiarato che "l´atto deliberativo è stato pubblicato per 15 giorni […] e successivamente tolto dal sito informatico restando come unica traccia nell´archivio informatico del sito consultabile dall´utenza solo l´oggetto del provvedimento" (nota del 30 agosto 2012).
Quanto al contenuto dell´atto, al fine di giustificare l´articolato contenuto del provvedimento oggetto di pubblicazione, l´azienda ha invocato il generale principio secondo cui "ogni provvedimento amministrativo […] deve essere motivato" (art. 3, l. n. 241/1990) e la norma contrattuale secondo cui "il recesso dell´amministrazione debba essere motivato" (art. 15 del CCNL del Comparto sanità del 1° settembre 1995).
1.3. A seguito delle verifiche effettuate è altresì emerso che nella sezione "albo aziendale on line" del sito web dell´Azienda, sono reperibili nella sezione "archivio" solo gli atti "la cui adozione è antecedente al KJ". Infatti alla determinazione n. KW è possibile risalire tuttora attraverso l´apposito motore di ricerca dell´albo aziendale on line: inserendo gli estremi identificativi dell´interessato si apre una schermata (denominata "dettaglio dell´atto") nella quale il testo integrale del provvedimento non è più visibile ma ne viene riportato l´"oggetto" con espressa indicazione del nominativo del segnalante ("sig. XY, JJ, in servizio a tempo indeterminato. Risoluzione dal rapporto di lavoro decorsa la metà del periodo di prova"; cfr. documentazione in atti).
2. Con riguardo ai profili oggetto di segnalazione (cfr. par. 1.1) deve rilevarsi che, seppur per l´esclusivo arco temporale consentito dalla legge, la determinazione aziendale è stata diffusa sul web nella versione integrale, riportante l´espressa indicazione sia degli estremi identificativi del segnalante che delle ragioni poste a fondamento della risoluzione del contratto di lavoro. In merito, nelle Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico del 14 giugno 2007 il Garante ha precisato che "in presenza di disposizioni legislative o regolamentari che prevedono forme di pubblicazione obbligatoria delle deliberazioni adottate dall´amministrazione o degli atti conclusivi di taluni procedimenti amministrativi occorre […] valutare con attenzione le stesse tecniche di redazione dei provvedimenti e delle deliberazioni in materia di organizzazione del personale. Nel rispetto dell´obbligo di adeguata motivazione degli atti amministrativi vanno pertanto selezionate le informazioni da diffondere alla luce dei princìpi di pertinenza e indispensabilità rispetto alle finalità perseguite dai singoli provvedimenti […]" (punto 6.3).
Alla luce delle considerazioni che precedono, pertanto, la pubblicazione sul sito web dell´Azienda per quindici giorni del testo integrale del provvedimento, riportante "in chiaro" l´identità del dipendente, è stata effettuata in violazione dei principi di pertinenza, e non eccedenza nel trattamento dei dati personali (art. 11, comma 1, lett. d) del Codice; nello stesso senso ha argomentato, confermando una decisione dell´Autorità, Cass. civ., Sez. I, 20 luglio 2012, n. 12726 – confermando Provv. Garante 9 dicembre 2003, doc. web n. 1054649 – che ha ritenuto illecita la diffusione da parte di un comune delle generalità di un proprio dipendente nell´avviso pubblico di convocazione del consiglio comunale nel quale avrebbe formato oggetto di discussione una procedura esecutiva che lo riguardava).
3.1. Come evidenziato al par. 1.3., peraltro, nel caso di specie persiste la diffusione di dati personali riferiti all´interessato, a rilevante distanza di tempo dall´adozione del provvedimento (e dalla sua pubblicazione) senza che risultino giustificate dal titolare del trattamento le ragioni per le quali la menzionata diffusione di dati personali debba prolungarsi (potenzialmente) sine die.
La circostanza della persistente reperibilità tramite il sito istituzionale dell´Azienda di dati personali dell´interessato, segnatamente la conservazione nell´archivio dell´albo aziendale online (anch´esso accessibile via web) del riferimento al provvedimento con gli elementi identificativi del segnalante e del numero dell´atto determina, per il periodo eccedente i 15 giorni previsti dalla disciplina di settore, una diffusione illecita di dati personali (artt. 11, comma 1, lett. a) e 19 comma 3 del Codice).
Anche a questo proposito, nelle Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web, ha chiarito che ai fini della verifica della liceità delle modalità di pubblicazione online di atti e documenti contenenti dati personali, "nelle ipotesi in cui specifiche disposizioni di settore individuino determinati periodi di tempo per la pubblicazione di atti e provvedimenti amministrativi […] i soggetti pubblici sono tenuti ad assicurare il rispetto dei limiti temporali previsti, rendendoli accessibili sul proprio sito web durante il circoscritto ambito temporale individuato dalle disposizioni normative di riferimento, anche per garantire il diritto all´oblio degli interessati" e che, "trascorsi i […] periodi di tempo specificatamente individuati, determinate notizie, documenti o sezioni del sito devono essere rimossi dal web o privati degli elementi identificativi degli interessati ovvero, in alternativa, laddove l´ulteriore diffusione dei dati sia volta a soddisfare esigenze di carattere storico-cronologico, gli stessi vanno sottratti all´azione dei comuni motori di ricerca, ad esempio, inserendoli in un´area di archivio consultabile solo a partire dal sito stesso o in un´area ad accesso riservato" (cfr. par. 5.2, richiamato dal par. 6.B; cfr. anche Provv. n. 73 del 23 febbraio 2012, doc. web n. 1876679).
3.2. Salve eventuali pretese risarcitorie del segnalante, da far valere avanti alla competente autorità giudiziaria (art. 15 del Codice), deve pertanto essere vietato al titolare del trattamento, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d) del Codice, di diffondere ulteriormente in Internet, mediante il sito web istituzionale, i dati personali riferiti al segnalante oggetto di segnalazione.
4. L´Autorità si riserva di valutare, con separato provvedimento, gli estremi per la contestazione della violazione amministrativa prevista dall´art. 162, comma 2-bis, del Codice.
5. In caso d´inosservanza del presente provvedimento, si renderanno applicabili le sanzioni (rispettivamente penale e amministrativa) di cui agli artt. 170 e 162, comma 2-ter del Codice.
nei confronti dell´Azienda per i servizi sanitari n. 2 ´´Isontina´´ di Gorizia:
a) dichiara illecito il trattamento dei dati nei termini indicati in motivazione essendo stato effettuato in violazione degli artt. 11, comma 1, lett. a) e d) nonché 19 comma 3 del Codice;
b) vieta, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d) del Codice, di diffondere ulteriormente in Internet, mediante il sito web istituzionale, i dati personali riferiti al segnalante oggetto di segnalazione.
Ai sensi degli artt. 152 del Codice e 10, d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.