Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2501216
Timestamp: 2020-07-02 13:42:03+00:00
Document Index: 71845905

Matched Legal Cases: ['art. 168', 'art. 55', 'art. 7', 'art. 55', 'art. 55', 'art. 30', 'art. 30', 'art. 30', 'art. 55', 'art. 23', 'art. 12', 'art. 30']

Notifica di comunicazioni concernenti un procedimento disciplinare - 8... - Garante Privacy
[doc. web n. 2501216]
Notifica di comunicazioni concernenti un procedimento disciplinare - 8 maggio 2013
n. 232 dell´8 maggio 2013
VISTA la segnalazione del 13 marzo 2012 presentata da XY, concernente il trattamento di dati personali riferiti all´interessato effettuato dalla Regione Campania;
1.1. Con segnalazione del 13 marzo 2012 XY, già dipendente della Regione Campania, ha lamentato le modalità seguite dall´Amministrazione nel notificargli comunicazioni concernenti un procedimento disciplinare che lo ha interessato.
Più precisamente, il dirigente del settore sovraordinato al servizio cui era preposto il segnalante (entrambi facenti capo all´area generale di coordinamento 1) notificava a mano a quest´ultimo (con nota n. 0726462 del 27.9.2011) comunicazioni concernenti il procedimento disciplinare che lo riguardavano (la nota prot. n. 729263 del 23.9.2011 unitamente alle note prot. 719086 del 23.92011 e prot. n. 721468 del 26.9.2011). Tanto, su richiesta dei responsabili di altra unità organizzativa (facente capo all´area generale di coordinamento 7) presso la quale si era incardinato il procedimento disciplinare (cfr. nota di richiesta della notifica a mani dell´interessato prot. 0722840 del 26.9.2011).
Tali comunicazioni, a detta del segnalante, gli sarebbero state notificate "in busta aperta" (circostanza ribadita nelle successive comunicazioni del 1° giugno 2012 e del 13 settembre 2012) e ciò avrebbe determinato un´indebita circolazione dell´informazione concernente l´esistenza del procedimento disciplinare nel contesto lavorativo con pregiudizio per l´interessato.
1.2. Al fine di verificare la liceità del trattamento di dati personali effettuato ed acquisire elementi idonei ad accertare la conformità alla disciplina di protezione dei dati personali dei trattamenti oggetto della segnalazione, l´Ufficio ha formulato richieste d´informazioni nei confronti della Regione (per una delle quali, pur risultando regolarmente ricevuta, è stata presentata denuncia di smarrimento: cfr. denuncia allegata alla nota del 4.12.2012) e, a seguito di un primo riscontro (fornito con nota del 18 maggio 2012), ha curato l´acquisizione di ulteriori elementi in loco nei giorni 20 e 21 novembre 2012 mediante accertamenti delegati alla Guardia di finanza. In tale circostanza:
a. i responsabili dell´istruttoria concernente il procedimento disciplinare hanno dichiarato che le comunicazioni in questione, concernenti l´integrazione del contraddittorio in relazione all´audizione di un teste nell´ambito del procedimento disciplinare già pendente (senza indicazione dei fatti contestati all´interessato), sono state trasmesse in busta chiusa dal settore competente a curare l´istruttoria al responsabile del settore da cui dipendeva il segnalante affinché questi effettuasse la notificazione a mani del medesimo (cfr. verbale 20.11.202, p. 3 e 4);
b. l´addetta al recapito della corrispondenza per il settore che ha curato l´istruttoria del provvedimento disciplinare ha dichiarato di aver provveduto a trasmettere "in busta chiusa" le note sopra menzionate al responsabile del settore da cui dipende il segnalante e che "è sua prassi costante recapitare gli atti del proprio settore sempre in busta chiusa, anche quando si tratta di atti non riservati" (cfr. verbale 21.11.2012, p. 4);
c. la dirigente del segnalante, incaricata della notifica a mano delle menzionate comunicazioni (nonché di trasmettere copia delle stesse controfirmate dal segnalante per presa visione, circostanza che risulta avvenuta: cfr. nota n. 0726462 in atti), ha dichiarato di non ricordare se la busta contenente le note allegate "fosse aperta o chiusa" (cfr. verbale 21.11.2012, p. 3); la stessa, peraltro, ha precisato (allegando pertinente documentazione: cfr. all. 4, verb. 21.11.2012) che "nella qualità di dirigente responsabile del settore dal quale dipendeva [il segnalante era] al corrente del procedimento disciplinare in corso e dei motivi che ne erano alla base". Tanto perché, "nel caso l´addebito da contestare fosse stato di lieve entità", la stessa avrebbe dovuto "avviare il procedimento disciplinare".
1.3. Nel corso degli accertamenti è stato altresì richiesto se in relazione al personale che ha curato, a vario titolo, gli adempimenti connessi alla trattazione del procedimento disciplinare e alla notifica degli atti, avesse trovato attuazione la disciplina concernente gli incaricati e, se del caso, i responsabili del trattamento ai sensi, rispettivamente, degli artt. 30 e 29 del Codice. In proposito è emerso che:
a. con la delibera n. 2127 del 30.12.2005 ("Approvazione organigramma privacy della Regione Campania") e con la successiva circolare assessorile n. 610/SP del 6.3.2006 è stato tracciato un quadro generale di riferimento per quanto attiene l´esercizio dei poteri/doveri dell´amministrazione regionale nel suo complesso quale titolare del trattamento, predisponendo altresì apposita modulistica standard finalizzata alla designazione di responsabili e incaricati dei trattamenti. Con tali atti è stato altresì delegato, ratione materiae, l´esercizio della titolarità del trattamento per ciascuna delle aree generali di coordinamento (di seguito AGC) in cui si articola l´Amministrazione (cfr. verbale 21.11.2012, all. 1). In capo alle figure apicali di ciascuna AGC è stato altresì rimesso il compito di designare gli incaricati del trattamento, ed eventualmente i responsabili, in conformità alla disciplina prevista dagli artt. 29 e 30 del Codice (cfr. verbale 21.11.2012, p. 2 s.), come peraltro risulta dalla menzionata circolare assessorile del 2006 nella quale si invitavano "i dirigenti delle aree generali di coordinamento della Regione Campania a provvedere alla nomina, necessaria per un legittimo trattamento dei dati, dei responsabili e degli incaricati";
b. la struttura organizzativa dell´amministrazione regionale si caratterizza per complessità, considerata la sua articolazione in 21 aree generali di coordinamento poste al vertice di 120 settori (questi ultimi ulteriormente ripartiti in uffici) (cfr, nota 4.12.2012);
c. in relazione ai fatti oggetto di segnalazione e alla luce degli elementi acquisiti, solo parte del personale coinvolto nel procedimento disciplinare (appartenente all´AGC 7) è risultato espressamente designato responsabile ovvero incaricato del trattamento (secondo le modalità prefigurate dalla delibera n. 2127, vale a dire) mediante singoli atti contenenti l´indicazione degli ambiti del trattamento a ciascuno riservato unitamente alle istruzioni relative al corrispondente trattamento (cfr. verbale 21.11.2012, p. 2 e all. 0);
d. le modalità di designazione degli incaricati appena descritte (al punto b) non hanno trovato attuazione, invece, né in relazione al superiore gerarchico del segnalante ‒ per il quale una formale (e più ampia) designazione (quale responsabile del trattamento) è stata effettuata, successivamente ai fatti di cui si tratta, in data 19.12.2011 (cfr. atto di designazione allegato alla comunicazione diretta all´Autorità del 4.12.2012) – né con riguardo al personale operante nell´unità organizzativa responsabile dell´istruttoria del procedimento disciplinare. A quest´ultimo proposito, infatti, nella menzionata comunicazione all´Autorità del 4.12.2012 i rappresentanti della Regione hanno dichiarato che "agli atti non risultano ulteriori esplicite designazioni […] tanto con riferimento alla qualità di responsabile quanto a quella di incaricati del trattamento dei dati" precisando tuttavia che "con specifico riguardo al procedimento disciplinare, le scriventi – nella rispettiva qualità di dirigente del settore e di dirigente del servizio 01 «Amministrazione del personale e procedimenti disciplinari» – hanno di volta in volta provveduto a garantire il rispetto del diritto alla protezione dei dati personali […] in conformità alle disposizioni del […] Codice";
e. anche per la responsabile del "Servizio monitoraggio e attuazione delle semplificazioni amministrative – Rapporti con l´Urp – Attività generali in materia di trattamento dei dati e diritto d´accesso" non è risultato possibile appurare l´effettiva implementazione della menzionata Delibera in ambito regionale, atteso che, secondo quanto dichiarato, alla stessa "non […] è dato sapere se e come ogni AGC si sia organizzata perché il mio è un servizio di supporto tecnico, senza alcun potere di controllo" (verbale 21.11.2012, p. 2).
2.1. Con riguardo ai fatti oggetto di segnalazione – segnatamente in relazione alle modalità di notificazione delle menzionate note concernenti un procedimento disciplinare attivato nei confronti del segnalante –, ritenuta applicabile la disciplina di protezione dei dati personali, alla luce delle dichiarazioni rese all´Autorità nel corso del procedimento – della cui veridicità si può essere chiamati a rispondere ai sensi dell´art. 168 del Codice ("Falsità nelle dichiarazioni e notificazioni al Garante") – deve rilevarsi che, nel caso di specie, non risulta comprovato che le note oggetto di contestazione siano state trasmesse in busta aperta al dirigente incaricato della loro notifica al segnalante, né che (comunque) altri dipendenti ne abbiano appreso il contenuto in violazione della disciplina di protezione dei dati.
In particolare, il superiore gerarchico delegato ad effettuare la notificazione era già stato posto legittimamente a conoscenza dell´esistenza del procedimento disciplinare (come dichiarato nel verbale del 21.11.2012 e confermato dalla nota del 13.7.2011, prot. 0551040, all. 4 al verbale medesimo) in base alla disciplina di settore (art. 55 bis, comma 4, d.lg. 30 marzo 2001, n. 165) oltre che conformemente alla disciplina regionale in materia (cfr. Deliberazione n. 1826 del 18 dicembre 2009 – Disposizioni attuative del decreto legislativo n. 150 del 27.10.2009 in materia di amministrazione del personale e procedimento disciplinare, unitamente alle previsioni contenute nell´art. 7 del CCNL del personale dirigente del comparto Regioni e Autonomie locali- Area II).
2.2. Peraltro, in relazione alla notificazione di atti nell´ambito di un procedimento disciplinare l´ordinamento – contemperando così l´esigenza di speditezza del procedimento e di certezza quanto alla circostanza dell´avvenuta notificazione della comunicazione all´interessato con la necessità di assicurare la riservatezza del lavoratore –espressamente prevede come legittima la consegna "a mano" (cfr. art. 55 bis, comma 5, d.lg. n. 165/2001). La legge precisa poi che per le comunicazioni successive alla contestazione dell´addebito – ipotesi che ricorre nel caso in esame – "il dipendente può indicare, altresì, un numero di fax, di cui egli o il suo procuratore abbia la disponibilità" (cfr. secondo periodo dell´art. 55 bis, comma 5, d.lg. n. 165/2001). Nel caso di specie, tuttavia, il segnalante non risulta essersi avvalso di tale facoltà, sì che legittimamente la notifica poteva essere effettuata a mani del segnalante.
3.1. Con riguardo infine al profilo concernente l´osservanza dell´art. 30 del Codice in capo ai soggetti che, a vario titolo, hanno trattato dati personali concernenti il segnalante nell´ambito del procedimento disciplinare, in base agli elementi acquisiti deve rilevarsi che, ancorché la Regione avesse posto in essere atti funzionali alla corretta applicazione della disciplina di protezione dei dati personali con riguardo alle modalità di designazione degli incaricati (cfr. par. 1.3.a), impartendo disposizioni alle figure apicali in cui si articola l´amministrazione regionale affinché il processo (con le modalità prefissate) raggiungesse "a cascata" tutti coloro i quali, in ragione delle mansioni attribuite, trattano dati personali in ambito regionale, ciò non risulta essere avvenuto con eguale tempestività presso tutte le AGC. In particolare, nell´accertamento dei fatti connessi alla segnalazione in esame, è risultato che parte del personale che ha trattato i dati riferiti al segnalante non sia stato designato quale incaricato del trattamento con atto individuale, né che allo stesso siano state impartite apposite istruzioni (come per altri accaduto); tali adempimenti sarebbero stati effettuati, nelle forme previste dall´art. 30, comma 2, prima parte, del Codice solo a seguito degli accertamenti effettuati in loco dalla Guardia di finanza (cfr. par. 1.3.d).
3.2. Nondimeno, nel caso di specie, pur in assenza di una formale designazione degli incaricati, può ritenersi che per gli stessi siano soddisfatti i requisiti richiesti dall´art. 30, comma 2, secondo periodo del Codice, atteso che (in conformità alla previsione contenuta nell´art. 55 bis, comma 4, d.lg. n. 165/2001) dalla menzionata Deliberazione n. 1826 del 18 dicembre 2009 emergono univocamente le attribuzioni del personale del "Servizio amministrazione del personale – Procedimenti in materia disciplinare" (incardinato nel "Settore stato giuridico ed inquadramento") nell´espletamento dei propri compiti istituzionali, riguardanti (tra l´altro) la trattazione del procedimento oggetto di segnalazione (e, correlativamente, i personali dati a tal fine necessari).
Analoga competenza, ricorrendone le condizioni, è altresì attribuita alla dirigente del settore cui il dipendente è assegnato (cfr. Deliberazione n. 1826 del 18 dicembre 2009); ad essa, peraltro, spettano altresì compiti connessi all´organizzazione interna delle strutture operative cui è preposta e alla vigilanza e al controllo circa l´andamento generale degli uffici nonché, più in generale, le attribuzioni connesse alla cura dell´interesse generale dell´amministrazione (cfr. art. 23, l.r. Campania 23 maggio 1984, n. 27 richiamato dall´art. 12, l. Campania 25 agosto 1989, n. 15).
3.3. Non risultando provato in atti, tuttavia, che a detto personale siano state altresì impartite le necessarie istruzioni ai sensi dell´art. 30, comma 1, del Codice, questa Autorità si riserva la valutazione, con separato procedimento, della sussistenza di violazioni amministrative.
4. Al di là del caso oggetto di segnalazione, peraltro, gli accertamenti effettuati hanno evidenziato – con riguardo alla tempestiva ed integrale attuazione delle misure organizzative necessarie ad assicurare la corretta implementazione della disciplina di protezione dei dati personali e il costante monitoraggio nel tempo dell´adeguatezza delle medesime – la sussistenza di tempistiche e modalità attuative della disciplina differenziate tra i diversi centri di responsabilità (rappresentati anzitutto dalle AGC). Ciò nonostante l´impulso originariamente dato con la delibera n. 2127 del 30.12.2005 ("Approvazione organigramma privacy della Regione Campania") e l´istituzione di un apposito Servizio, denominato "Attività generale in materia di trattamento dati e diritto d´accesso – Rapporti con l´URP" (con la deliberazione G.R. 1637 del 20 agosto 2004).
Atteso il difetto di coordinamento comunque emerso tra le diverse AGC in ordine all´omogenea attuazione delle programmate scelte organizzative, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, si prescrive pertanto alla Regione Campania, quale misura opportuna, che vengano rivalutate le soluzioni organizzative esistenti (cfr. in particolare par. 1.3.e) anche alla luce delle determinazioni già adottate dalla Regione nella menzionata delibera 30 dicembre 2005 allo scopo di assicurare maggiore effettività nell´attuazione della disciplina di protezione dei dati personali (al di là degli adempimenti contingenti) – eventualmente secondo il modello del c.d. data protection officer ("responsabile della protezione dei dati"), attualmente in discussione in sede Ue nella Proposta di regolamento generale sulla protezione dei dati –, con particolare riguardo all´attività di coordinamento tra le molteplici unità organizzative (peraltro gerarchicamente ordinate: cfr. punto 1.3.b) presenti all´interno dell´Amministrazione.
1. dichiara infondata la segnalazione;
2. prescrive alla Regione Campania, ai sensi degli artt. 144, 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, quale misura opportuna, di rivalutare le soluzioni volte ad assicurare maggiore effettività nell´attuazione della disciplina di protezione dei dati personali, con particolare riguardo:
a. alla designazione degli incaricati;
b. al coordinamento tra le molteplici unità organizzative presenti all´interno dell´Amministrazione.