Ordinanza ingiunzione o revoca n. 125 del 13/04/2023

Azienda Ospedaliera Universitaria di Cagliari: pubblicazione illecita di dati su procedimento disciplinare e progressioni economiche

Il Garante ha esaminato la diffusione sul sito istituzionale dell’Azienda Ospedaliera Universitaria di Cagliari di due atti: una deliberazione relativa alla conclusione di un procedimento disciplinare nei confronti di una dipendente e una deliberazione con allegata graduatoria delle progressioni economiche orizzontali 2018 del personale. Il procedimento è stato avviato a seguito di reclamo dell’interessata.

Fatti e attività istruttoria

La reclamante ha contestato la pubblicazione all’albo pretorio online di un provvedimento disciplinare nel quale comparivano iniziali del nome e cognome, numero di matricola e inquadramento contrattuale. Dalla documentazione è emerso anche che l’Azienda aveva pubblicato una deliberazione con i relativi allegati contenenti dati personali di molti dipendenti, tra cui la reclamante, relativi alla graduatoria delle progressioni economiche orizzontali per il 2018.

Nel corso dell’istruttoria, l’Azienda ha sostenuto che la pubblicazione fosse dovuta in forza:

• dell’art. 10 della l.r. Sardegna 7 novembre 2012, n. 21, sulla pubblicità degli atti delle aziende sanitarie;
• dell’art. 1, commi 15 e 16, della l. n. 190/2012;
• dell’art. 19 del d.lgs. n. 33/2013;
• del regolamento aziendale sui procedimenti disciplinari;
• delle previsioni del CCNL Comparto Sanità e delle norme sul rapporto di lavoro pubblico.

L’Azienda ha inoltre affermato di avere rispettato il principio di minimizzazione, di avere poi rimosso gli atti e di aver avviato un riassetto delle procedure di pubblicazione online, anche con il supporto del DPO.

Quadro normativo richiamato dal Garante

Il Garante ha ricordato che i soggetti pubblici possono trattare i dati personali dei lavoratori quando il trattamento è necessario per la gestione del rapporto di lavoro e per adempiere obblighi di legge o compiti di interesse pubblico, ai sensi degli artt. 6 e 9 GDPR e dell’art. 2-ter del Codice privacy, nel testo applicabile al caso. Ha ribadito che la diffusione di dati personali, compresa la pubblicazione online, è ammessa solo se prevista da una specifica norma di legge o, nei casi previsti, di regolamento.

Sono stati richiamati anche i principi di cui all’art. 5, par. 1, lett. a) e c), GDPR, in particolare:

• liceità, correttezza e trasparenza;
• minimizzazione dei dati.

Valutazione sulla pubblicazione del procedimento disciplinare

Secondo il Garante, l’art. 10 della l.r. n. 21/2012 prevede la pubblicazione degli atti delle aziende sanitarie, ma non costituisce di per sé una base giuridica sufficiente a legittimare la diffusione online di dati personali relativi a un procedimento disciplinare. Né l’art. 55-bis del d.lgs. n. 165/2001 prevede la pubblicazione degli atti disciplinari: al contrario, disciplina le comunicazioni con il dipendente e con l’Ispettorato per la funzione pubblica, prevedendo in quest’ultimo caso l’uso di un codice identificativo per tutelare la riservatezza.

L’Autorità ha rilevato che l’uso delle sole iniziali non bastava ad anonimizzare l’interessata, poiché i dati erano associati al numero di matricola e all’inquadramento contrattuale; inoltre, il numero di matricola era già stato pubblicato in precedenza insieme al nominativo per esteso. Il Garante ha richiamato le proprie linee guida del 2007 sul trattamento dei dati dei lavoratori nel pubblico impiego, secondo cui le sole iniziali sono inidonee ad anonimizzare gli atti pubblicati online quando permangono ulteriori elementi identificativi.

Valutazione sulla graduatoria delle progressioni economiche orizzontali

Quanto alla deliberazione con la graduatoria delle progressioni economiche orizzontali 2018, il Garante ha escluso che le norme sulla trasparenza e sulla pubblicazione dei procedimenti amministrativi potessero giustificare la diffusione online dei dati pubblicati nel caso concreto. In particolare:

• l’art. 1, commi 15 e 16, della l. n. 190/2012 è stato ritenuto riferibile alla trasparenza sui siti istituzionali ma non idoneo a legittimare la diffusione dei dati della graduatoria in questione;
• l’art. 19 del d.lgs. n. 33/2013 è stato considerato applicabile ai bandi di concorso per il reclutamento e alle graduatorie finali di tali procedure, non alle progressioni economiche interne;
• le progressioni economiche orizzontali sono state distinte dalle progressioni verticali di cui all’art. 24 del d.lgs. n. 150/2009.

È stato anche osservato che la deliberazione non risultava pubblicata nella sezione "Amministrazione trasparente", circostanza che confermava come la pubblicazione non fosse stata effettuata per le finalità di trasparenza invocate dall’Azienda.

Illiceità del trattamento e violazioni accertate

Il Garante ha concluso che la diffusione online dei dati personali della reclamante e degli altri dipendenti era avvenuta in assenza di una base giuridica idonea e in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione.

Sono state quindi contestate e confermate le violazioni di:

• art. 5, par. 1, lett. a) e c), GDPR;
• art. 6 GDPR;
• art. 2-ter del Codice privacy, nel testo anteriore alle modifiche introdotte dal d.l. n. 139/2021.

Il Garante ha precisato che, poiché la diffusione era cessata, non vi erano i presupposti per ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione amministrativa e pubblicazione del provvedimento

Ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR e dell’art. 166 del Codice privacy, il Garante ha irrogato all’Azienda Ospedaliera Universitaria di Cagliari una sanzione amministrativa pecuniaria di euro 8.000. Nella determinazione dell’importo sono stati considerati, in particolare:

• la natura dei dati diffusi, riferiti a vicende del rapporto di lavoro;
• la durata della pubblicazione, protrattasi per circa tre anni;
• la pubblicazione di dati relativi a una dipendente e a centinaia di altri lavoratori;
• la precedente attività di indirizzo del Garante in materia di pubblicità e trasparenza;
• l’assenza di categorie particolari di dati personali;
• l’assenza di indicizzazione sui motori di ricerca generalisti;
• la rimozione degli atti e l’adozione di misure organizzative e tecniche con il supporto del DPO;
• l’assenza di precedenti pertinenti a carico del titolare.

Il provvedimento dispone inoltre la pubblicazione sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy. È stata richiamata anche la facoltà di definizione agevolata con pagamento della metà della sanzione entro 30 giorni, nonché il termine di 30 giorni per il pagamento integrale in caso di mancata definizione della controversia.

Implicazioni operative

Il provvedimento conferma che, anche nell’ambito della pubblicità legale e della trasparenza amministrativa, le pubbliche amministrazioni devono verificare puntualmente la base giuridica della diffusione online e applicare in modo rigoroso il principio di minimizzazione. In presenza di atti disciplinari o di graduatorie interne del personale, la pubblicazione integrale o parziale con elementi identificativi può risultare illecita se non sorretta da una norma espressa e specifica, e se non vengono adottate tecniche di anonimizzazione effettive, come l’oscuramento completo dei nominativi e degli altri dati che consentano l’identificazione.