Ordinanza ingiunzione o revoca n. 70 del 13/02/2025

Azienda ULSS 9 Scaligera: diffusione indebita di un provvedimento disciplinare tramite protocollo informatico

Il provvedimento riguarda l’Azienda ULSS n. 9 Scaligera e trae origine dal reclamo di un dipendente che lamentava la conoscibilità, da parte di più colleghi, del provvedimento disciplinare a suo carico attraverso il sistema di protocollo informatico. L’Autorità ha accertato una comunicazione di dati personali a soggetti non specificamente autorizzati, in assenza di idonea base giuridica, e ha applicato una sanzione amministrativa pecuniaria.

Origine del reclamo e fatti contestati

Il reclamante, dipendente dell’Azienda sanitaria, ha segnalato che il provvedimento conclusivo del procedimento disciplinare era stato comunicato tramite protocollo all’ufficio Risorse Umane e all’ufficio di appartenenza, con modalità che lo rendevano conoscibile a numerosi dipendenti. Dalle verifiche è emerso che:

• nell’oggetto del protocollo erano stati inseriti dati personali dell’interessato per errore materiale;
• il provvedimento era stato allegato al protocollo, seppure non integralmente;
• la limitazione dell’accesso, inizialmente disposta dopo la segnalazione, non risultava più operativa a causa di un ulteriore errore materiale del gestore del sistema.

Posizione dell’Azienda e misure adottate

L’Azienda ha sostenuto che la protocollazione del provvedimento disciplinare avveniva in base al DPR 445/2000, al manuale di gestione del protocollo informatico e al regolamento aziendale sui procedimenti disciplinari. Ha inoltre rappresentato di aver:

• limitato l’accessibilità al documento protocollato all’Ufficio Procedimenti Disciplinari;
• avviato un audit interno;
• richiamato i soggetti autorizzati al rispetto del principio di minimizzazione, soprattutto nell’oggetto del protocollo;
• avviato la revisione dell’albero del protocollo e delle modalità di assegnazione;
• riorganizzato l’accesso ai protocolli della UOS Formazione;
• aggiornato le istruzioni operative sui procedimenti disciplinari;
• rafforzato la formazione del personale e valutato l’adozione di un nuovo software di protocollo.

Quadro normativo richiamato

Il Garante ha richiamato la disciplina applicabile ai trattamenti effettuati da soggetti pubblici nell’ambito del rapporto di lavoro, evidenziando che il trattamento dei dati dei dipendenti è lecito solo se necessario per obblighi di legge o per l’esecuzione di un compito di interesse pubblico, nel rispetto dei principi di cui all’art. 5 GDPR e con trattamento da parte di personale autorizzato e istruito.

Sul punto è stato ricordato che, anche nei sistemi di gestione documentale e protocollo informatico, devono essere adottate misure tecniche e organizzative idonee a evitare la conoscibilità ingiustificata dei dati personali da parte di personale non autorizzato, con particolare riguardo ai documenti relativi a procedimenti disciplinari e al rapporto di lavoro.

Valutazione dell’illiceità del trattamento

L’Autorità ha ritenuto che, nonostante le misure successivamente adottate, il provvedimento disciplinare sia stato reso visibile, tramite il protocollo, non solo al personale addetto alle funzioni competenti, ma anche a soggetti terzi non specificamente autorizzati, compresi dipendenti dell’ufficio di appartenenza del reclamante. Tale messa a disposizione ha integrato una comunicazione di dati personali in assenza di base giuridica, in violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice privacy.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha escluso l’archiviazione e ha considerato la violazione riconducibile a un’unica condotta. Ai fini della sanzione ex art. 83 GDPR, ha valorizzato:

• la natura e durata limitate della violazione, riferita a un solo lavoratore;
• il fatto che l’evento sia dipeso da errore materiale nella gestione del protocollo;
• la particolare delicatezza dei dati coinvolti, relativi a un procedimento disciplinare;
• la buona cooperazione dell’Azienda con l’Autorità;
• la presenza di precedenti violazioni in diverso contesto;
• il contesto organizzativo complesso del periodo emergenziale Covid-19.

Alla luce di tali elementi, la sanzione è stata determinata in euro 4.000, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dall’Azienda ULSS n. 9 Scaligera per violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice;
• ordinato il pagamento della sanzione di euro 4.000, con facoltà di definizione agevolata entro 30 giorni mediante pagamento della metà della sanzione;
• ingiunto il pagamento entro 30 giorni dalla notificazione, in mancanza di definizione della controversia;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione nel registro interno.

Rimedi

Avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.