Prescrizioni del Garante n. 336 del 06/06/2024

Ministero delle infrastrutture e dei trasporti: comunicazione e acquisizione illecita di dati sul porto d'armi e sulla salute di un dipendente

Il Garante per la protezione dei dati personali ha esaminato il reclamo presentato da un dipendente del Ministero delle infrastrutture e dei trasporti, in servizio presso un UMC, relativo alla circolazione di dati sanitari e di informazioni sulla titolarità del porto d'armi nell'ambito di una controversia di lavoro per presunto mobbing. Il procedimento trae origine dalle iniziative assunte dalla dirigente dell'ufficio nei confronti della Prefettura e della Questura di Livorno, nonché dalle successive acquisizioni di informazioni da quest'ultima.

Origine del reclamo e fatti esaminati

Il reclamante aveva depositato in giudizio documentazione medica contenente dati sulla propria salute nel contesto di un ricorso ex art. 414 c.p.c. contro il Ministero per presunto mobbing. Successivamente, la Questura di Livorno lo aveva invitato a visita medica collegiale per verificare il possesso dei requisiti psicofisici necessari al mantenimento della licenza di porto d'armi già detenuta per uso sportivo. In seguito ad accesso agli atti, il reclamante aveva appreso che la dirigente dell'UMC aveva inviato una richiesta alla Prefettura e alla Questura per sapere se fosse titolare di porto d'armi e se vi fossero provvedimenti o diffide, facendo riferimento anche alla controversia in corso e ai certificati medici prodotti nel giudizio civile.

Istruttoria e difese del Ministero

Nel corso dell'istruttoria, il Ministero ha sostenuto che la dirigente aveva agito per ragioni di sicurezza dei lavoratori e di tutela dell'incolumità pubblica, anche sulla base di segnalazioni interne secondo cui il dipendente avrebbe mostrato interesse per le armi e dichiarato di possedere una licenza di porto d'armi. Il Ministero ha inoltre affermato che la richiesta alla Questura era necessaria per verificare una possibile incoerenza tra la documentazione medica prodotta in giudizio e la certificazione sanitaria alla base del rilascio del porto d'armi, ipotizzando possibili profili di falso. In audizione, ha ribadito il rischio percepito per colleghi e utenti e ha richiamato giurisprudenza sull'obbligo datoriale di proteggere l'integrità psico-fisica dei dipendenti.

Quadro normativo richiamato dal Garante

L'Autorità ha ricordato che il datore di lavoro pubblico può trattare dati dei lavoratori, compresi quelli appartenenti a categorie particolari, solo in presenza di una base giuridica adeguata: obbligo legale o compito di interesse pubblico, nel rispetto degli artt. 6, 9 e 88 GDPR, nonché delle norme nazionali specifiche. In ambito lavorativo, il trattamento deve inoltre rispettare l'art. 113 del Codice privacy, che impedisce al datore di lavoro di acquisire o trattare fatti non rilevanti ai fini della valutazione dell'attitudine professionale, richiamando anche l'art. 8 dello Statuto dei lavoratori.

Comunicazione alla Prefettura e alla Questura di Livorno

Il Garante ha ritenuto che la dirigente dell'UMC avesse comunicato ai destinatari dati personali del reclamante non necessari rispetto alla finalità dichiarata, includendo l'esistenza del contenzioso per mobbing e la diagnosi ricavata dai certificati medici. Il Ministero non ha indicato una norma di legge che legittimasse tale comunicazione e non ha dimostrato una base giuridica idonea. L'Autorità ha escluso che potesse rilevare l'argomento della presunta pubblicità dei dati in udienza, evidenziando che la loro conoscenza da parte dei presenti non equivale a "diffusione" ai sensi del Codice, né consente di invocare il trattamento di dati resi manifestamente pubblici dall'interessato.

Acquisizione di dati dalla Questura e trattamento di informazioni extra lavorative

Il Garante ha poi esaminato la successiva acquisizione, da parte dell'UMC, di informazioni sulla titolarità della licenza di porto d'armi, sul possesso di armi e sulle conseguenze della segnalazione inviata alla Questura. Anche in questo caso è stata esclusa una base normativa idonea. L'Autorità ha sottolineato che tali informazioni erano estranee al rapporto di lavoro e non rilevanti ai fini della valutazione dell'attitudine professionale del dipendente; inoltre, le disposizioni in materia di salute e sicurezza sul lavoro non prevedono trattamenti di questo tipo. È stato richiamato anche l'art. 153 del TULPS, che attribuisce ai professionisti sanitari, e non al datore di lavoro, l'obbligo di effettuare determinate segnalazioni alle autorità di pubblica sicurezza.

Valutazioni conclusive sulle violazioni

L'Autorità ha concluso che sia la comunicazione dei dati sanitari alla Prefettura e alla Questura, sia l'acquisizione e il trattamento delle informazioni sul porto d'armi e sulla detenzione di armi, sono avvenuti in modo non conforme ai principi di liceità, correttezza e trasparenza e in assenza di base giuridica. Sono stati pertanto ravvisati gli artt. 5, par. 1, lett. a), 6, 9 e 88, par. 2, GDPR, nonché gli artt. 2-ter, 2-sexies e 113 del Codice privacy, nel testo applicabile ratione temporis.

Valutazione della gravità e risposta sanzionatoria

Nel quantificare la risposta dell'Autorità, il Garante ha considerato che la violazione riguardava un solo interessato, che la condotta era stata colposa e posta in essere in buona fede, che non vi erano ripercussioni lavorative specifiche documentate, che la comunicazione era avvenuta con protocollo riservato e che il Ministero aveva collaborato nel procedimento. Ha inoltre evidenziato l'assenza di precedenti pertinenti e il fatto che la condotta coinvolgeva una specifica articolazione interna dell'amministrazione. Per tali ragioni, ha qualificato il caso come "violazione minore" ai sensi dell'art. 83, par. 2, GDPR e del considerando 148.

Dispositivo

Il Garante ha quindi:

• dichiarato l'illiceità del trattamento effettuato dal Ministero delle infrastrutture e dei trasporti;
• ammonito il Ministero ai sensi dell'art. 58, par. 2, lett. b), GDPR;
• escluso l'adozione di ulteriori misure correttive, ritenendo che la condotta avesse ormai esaurito i suoi effetti.

Il provvedimento è stato adottato il 6 giugno 2024. Resta ferma la possibilità di ricorso all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.