Ordinanza ingiunzione o revoca n. 420 del 28/09/2023

Ministero dell'Ambiente e della Sicurezza Energetica: pubblicazione illecita di dati dei lavoratori ex ILVA di Taranto

Il Garante per la protezione dei dati personali ha esaminato la pubblicazione, sul portale istituzionale del Ministero dedicato alle valutazioni e autorizzazioni ambientali (VIA-VAS-AIA), di documenti contenenti dati personali di lavoratori di Acciaierie d'Italia (ex ILVA) di Taranto. Il procedimento è stato avviato a seguito di una segnalazione sindacale e di notizie di stampa.

Origine del procedimento e fatti contestati

Dagli atti è emerso che, nell'ambito della documentazione relativa a controlli e diffide in materia di autorizzazione integrata ambientale, era stato pubblicato un file denominato "Lista C5" contenente elenchi di dispositivi di protezione individuale, con associati nominativi di dipendenti e numeri di matricola. Per una parte degli interessati, il documento riportava anche l'indicazione di occhiali "graduati".

Il Ministero ha riferito che la pubblicazione rientrava negli obblighi di trasparenza previsti dal d.lgs. 152/2006 per i procedimenti AIA, evidenziando che:

• ISPRA svolge le visite ispettive e trasmette gli esiti all'autorità competente;
• il Ministero pubblica sul portale VAS-VIA-AIA le relazioni e gli esiti dei controlli;
• il documento era stato rimosso appena il fatto era emerso da fonti di stampa;
• la visibilità effettiva sarebbe durata 16 giorni, con quattro download complessivi.

Quadro normativo richiamato

Il Garante ha richiamato i principi del GDPR e del Codice privacy applicabili ai soggetti pubblici:

• art. 6, par. 1, lett. c) ed e), e par. 3 GDPR, nonché art. 2-ter del Codice, per la necessità di una base giuridica prevista dal diritto dell'Unione o nazionale;
• art. 9, par. 2, lett. g) GDPR e art. 2-sexies del Codice per i trattamenti di categorie particolari di dati;
• art. 2-septies, comma 8, del Codice, che vieta la diffusione dei dati relativi alla salute.

Ha inoltre ricordato che la disciplina ambientale consente la pubblicazione degli esiti dei controlli e delle relazioni ispettive, ma non autorizza automaticamente la diffusione online di dati personali non necessari rispetto alle finalità perseguite.

Valutazioni del Garante sulla presenza di dati personali e dati sanitari

L'Autorità ha ritenuto che i dati pubblicati consentissero l'identificazione di numerosi lavoratori, poiché nel file erano presenti nominativi, cognomi e, in diversi casi, numeri di matricola. Ha ritenuto non decisiva la tesi difensiva secondo cui il contesto lavorativo molto ampio avrebbe reso impossibile l'identificazione, osservando che i dati erano comunque associati tra loro in modo sufficiente a rendere i lavoratori identificabili.

Inoltre, l'indicazione di occhiali graduati è stata considerata un dato idoneo a rivelare indirettamente informazioni sullo stato di salute, in quanto espressione di una riduzione della capacità visiva. Per tale ragione, la diffusione di tali dati è stata ritenuta vietata.

Violazioni accertate

Il Garante ha concluso che il Ministero ha effettuato una diffusione illecita di dati personali, in assenza di base giuridica e in violazione dei principi di:

• liceità e correttezza;
• minimizzazione dei dati;
• limitazione della finalità;
• divieto di diffusione dei dati relativi alla salute.

Le norme violate sono state individuate negli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. c) ed e), e 9 GDPR, nonché negli artt. 2-ter, 2-sexies e 2-septies, comma 8, del Codice.

Esito del procedimento, sanzione e pubblicazione

Pur prendendo atto della rimozione tempestiva dei dati e delle misure organizzative avviate dal Ministero, il Garante ha ritenuto il trattamento illecito e non ha disposto ulteriori misure correttive, poiché la condotta aveva già esaurito i propri effetti.

Ai sensi dell'art. 83, par. 5, GDPR, e degli artt. 58, par. 2, lett. i), 83, par. 3 GDPR e 166 del Codice, il Garante ha applicato:

• una sanzione amministrativa pecuniaria di euro 5.000;
• la sanzione accessoria della pubblicazione del provvedimento sul sito del Garante.

Nel quantificare la sanzione sono stati considerati, tra l'altro, la delicatezza dei dati coinvolti, la numerosità degli interessati, la brevità della pubblicazione, l'intervento spontaneo del Ministero per rimuovere i dati, la collaborazione dimostrata e l'assenza di precedenti specifici.