Prescrizioni del Garante n. 268 del 24/04/2024

Ministero della Giustizia – DAP: trattamento illecito di dati sulla vita sessuale e sull’orientamento sessuale nel procedimento disciplinare di un dipendente

Il Garante ha esaminato il reclamo di un dipendente del Ministero della Giustizia – Dipartimento dell’Amministrazione penitenziaria, relativo all’acquisizione e all’uso, in sede disciplinare, di dati e immagini reperiti online e riferiti alla sua vita sessuale e al suo orientamento sessuale. Il trattamento è stato ricondotto a una segnalazione interna e successiva trasmissione all’ufficio disciplina, con avvio del procedimento disciplinare poi archiviato.

Origine del reclamo e ricostruzione dei fatti

Il reclamante ha contestato che l’amministrazione avesse effettuato una indagine sul sito di incontri, acquisendo immagini dell’annuncio, foto, pseudonimo, età e recapiti telefonici. In base alla documentazione agli atti, il procedimento disciplinare venne avviato per una condotta ritenuta disciplinarmente rilevante, ma già nella fase di contestazione emergeva che i fatti non erano stati posti in essere durante l’orario di servizio. Successivamente, il Ministero archiviò il procedimento, affermando che la condotta non afferiva all’attività di servizio e non aveva arrecato danni al prestigio dell’amministrazione.

Attività istruttoria e difese del titolare

Nel corso dell’istruttoria, il Ministero ha riferito che la documentazione era stata trasmessa in doppia busta chiusa, non riprodotta né protocollata informaticamente, e custodita presso l’ufficio competente. Ha sostenuto di avere agito in ottemperanza all’art. 55-sexies del d.lgs. 165/2001, che impone di segnalare condotte passibili di sanzione disciplinare, e ha affermato che i dati erano stati tratti da una bacheca online aperta e quindi consultabile da chiunque.

Il Ministero ha inoltre sostenuto, anche in audizione, che il comportamento poteva apparire poco consono e potenzialmente rilevante sotto il profilo disciplinare o persino penale, e che la gestione dei dati era avvenuta solo da parte di personale autorizzato e istruito alla riservatezza.

Quadro normativo richiamato dal Garante

L’Autorità ha ricordato che, nel contesto lavorativo, il datore di lavoro può trattare dati personali dei dipendenti, anche particolari, solo se il trattamento è necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico, nel rispetto degli artt. 6, 9 e 88 GDPR e delle norme nazionali di settore.

Per i dati relativi a vita sessuale e orientamento sessuale, il trattamento è in linea generale vietato, salvo le eccezioni di cui all’art. 9, par. 2, GDPR. Nel rapporto di lavoro, inoltre, operano i limiti specifici dell’art. 113 del Codice privacy, che richiama l’art. 8 della l. 300/1970 e l’art. 10 del d.lgs. 276/2003, vietando l’acquisizione e il trattamento di informazioni su fatti non rilevanti ai fini della valutazione dell’attitudine professionale.

Valutazione di illiceità del trattamento

Il Garante ha accertato che il Ministero aveva trattato dati personali del reclamante relativi a un annuncio di prestazioni sessuali e alle correlate immagini, dati che rientrano nella categoria delle informazioni sulla vita sessuale e sull’orientamento sessuale. Tali dati erano stati acquisiti dalla struttura penitenziaria, trasmessi all’ufficio centrale e utilizzati per avviare il procedimento disciplinare.

L’Autorità ha ritenuto non pertinente il richiamo all’obbligatorietà dell’azione disciplinare, osservando che l’ordinamento disciplina in modo tassativo le infrazioni e le sanzioni e che, nel caso concreto, era stata la stessa amministrazione a rilevare sin da subito la natura privata della condotta e la sua estraneità all’orario di lavoro. Non è stata ritenuta sufficiente, ai fini della liceità, neppure la circostanza che l’annuncio fosse stato pubblicato dall’interessato su un sito accessibile al pubblico: la diffusione online non consente infatti un uso indiscriminato dei dati da parte del datore di lavoro per finalità diverse da quelle per cui sono stati resi pubblici.

Il Garante ha richiamato anche il principio di inutilizzabilità dei dati trattati in violazione della disciplina privacy, rilevando che l’amministrazione, una volta venuta a conoscenza delle informazioni sulla sfera sessuale del dipendente, avrebbe dovuto astenersi dal trattarle.

Circostanze attenuanti e quantificazione della risposta dell’Autorità

Pur accertando l’illiceità del trattamento, il Garante ha considerato una serie di circostanze attenuanti ai fini della misura da adottare:

• il trattamento riguardava un solo interessato;
• l’amministrazione aveva inizialmente errato nella valutazione della rilevanza dei fatti;
• erano state adottate cautele per limitare la circolazione della documentazione;
• il procedimento disciplinare era stato poi archiviato;
• non risultavano ripercussioni disciplinari per il reclamante;
• non vi erano precedenti violazioni del titolare;
• il Ministero aveva cooperato con l’Autorità.

Alla luce di tali elementi e del fatto che la condotta aveva ormai esaurito i suoi effetti, il Garante ha ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza ulteriori misure correttive.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dal Ministero della Giustizia – Dipartimento dell’Amministrazione penitenziaria;
• ammonito il Ministero per la violazione degli artt. 5, par. 1, lett. a), 6, 9 e 88 GDPR, nonché degli artt. 2-ter, 2-sexies e 113 del Codice privacy, in relazione all’art. 8 l. 300/1970 e all’art. 10 d.lgs. 276/2003;
• rilevato la sussistenza dei presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

È stato infine ricordato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro i termini di legge.