Ordinanza ingiunzione o revoca n. 730 del 27/11/2024

Azienda Sanitaria Provinciale di Enna: diffusione illecita di dati dei dipendenti in Albo pretorio on-line

Il Garante ha esaminato il reclamo di una medico radiologo dell'Azienda Sanitaria Provinciale di Enna in relazione alla pubblicazione online, nella sezione "Albo pretorio", di delibere e allegati contenenti dati personali della reclamante e di altri dipendenti. Il procedimento si è concluso con l'accertamento dell'illiceità del trattamento e con l'irrogazione di una sanzione amministrativa pecuniaria.

Origine del procedimento e accertamenti istruttori

La reclamante ha segnalato che le delibere pubblicate contenevano informazioni personali relative a:

• congedi sindacali richiesti;
• mancata partecipazione a turni di guardia notturni e festivi diurni per specifiche limitazioni funzionali;
• piani di lavoro con indicazione delle assenze per malattia;
• ulteriori allegati con dati riferiti ad altri dipendenti.

L'Azienda Sanitaria ha risposto sostenendo che la pubblicazione era avvenuta per finalità di trasparenza e che gli allegati erano stati poi rimossi dal sito in via prudenziale. Ha inoltre affermato che le informazioni diffuse non rivelavano patologie specifiche né appartenenze sindacali determinate, ma solo giustificazioni organizzative relative alla carenza di risorse umane.

Quadro normativo richiamato dal Garante

L'Autorità ha richiamato la disciplina generale del GDPR e del Codice privacy, ricordando che il trattamento da parte di soggetti pubblici nel contesto lavorativo è lecito solo se necessario per la gestione del rapporto di lavoro o per l'adempimento di obblighi di legge o di compiti di interesse pubblico. In particolare, sono stati richiamati:

• artt. 5, 6, 9 e 88 GDPR;
• art. 2-ter Codice privacy;
• art. 2-septies, comma 8, Codice privacy, sul divieto di diffusione dei dati relativi alla salute;
• Provvedimento n. 146 del 5 giugno 2019 sulle prescrizioni per il trattamento di categorie particolari di dati nel contesto lavorativo.

Valutazione sulla pubblicazione dei compensi individuali

Una parte della documentazione pubblicata riportava le somme liquidate ai singoli dipendenti per prestazioni aggiuntive. Il Garante ha osservato che la normativa in materia di trasparenza non impone la pubblicazione del dettaglio analitico dei compensi individuali, ma al più dei valori aggregati. La diffusione dei compensi nominativi è stata quindi ritenuta eccedente rispetto alle finalità di pubblicità e trasparenza.

Inconferenza del richiamo all'Albo pretorio e alla motivazione degli atti

L'Azienda aveva invocato la disciplina dell'Albo pretorio telematico e l'obbligo di motivazione degli atti amministrativi. Il Garante ha chiarito che:

• la pubblicazione in Albo pretorio assolve alla pubblicità legale, ma non consente automaticamente la diffusione di dati personali;
• l'obbligo di motivazione ex art. 3 l. 241/1990 non giustifica la pubblicazione integrale online degli atti;
• gli atti restano comunque accessibili nei modi e nei limiti previsti dalla legge, senza necessità di esposizione indiscriminata sul web.

È stato inoltre richiamato il principio di accountability e di protezione dei dati fin dalla progettazione e per impostazione predefinita, con l'obbligo di limitare la pubblicazione ai soli dati necessari.

Diffusione di dati relativi alla salute

Tra le informazioni diffuse figuravano le causali di assenza per malattia, contenute nel piano di lavoro e in altri allegati. Il Garante ha ribadito che l'indicazione dell'assenza dal lavoro per malattia integra un dato relativo alla salute, anche se non viene indicata la diagnosi specifica. La diffusione di tali informazioni è stata ritenuta in contrasto con il divieto di cui all'art. 2-septies, comma 8, del Codice privacy.

Diffusione di dati relativi all'esercizio dei diritti sindacali

La documentazione pubblicata conteneva anche riferimenti a congedi sindacali e, più in generale, all'esercizio di diritti sindacali. Il Garante ha ricordato che i dati che rivelano l'appartenenza sindacale o l'esercizio di incarichi o diritti sindacali rientrano nelle categorie particolari di dati personali e possono essere trattati dal datore di lavoro solo nei casi e nei limiti previsti dalla legge e dalle prescrizioni del provvedimento n. 146/2019. La loro diffusione al pubblico è stata quindi ritenuta illecita.

Illiceità del trattamento e violazioni accertate

L'Autorità ha concluso che la pubblicazione sul sito istituzionale delle delibere, degli allegati e della documentazione ulteriore ha comportato una diffusione illecita di dati personali riferiti alla reclamante e ad altri dipendenti, in assenza di idonea base giuridica. Le violazioni accertate riguardano:

• art. 5 GDPR;
• art. 6 GDPR;
• art. 9 GDPR;
• art. 2-ter Codice privacy;
• art. 2-septies, comma 8, Codice privacy.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Poiché le violazioni derivano da un'unica condotta, il Garante ha applicato l'art. 83, par. 3, GDPR. La sanzione rientra nel perimetro dell'art. 83, par. 5, GDPR, con importo massimo teorico fino a 20.000.000 euro.

Nel determinare la sanzione concreta, l'Autorità ha considerato:

• la diffusione di dati sul sito istituzionale senza indicizzazione sui motori di ricerca;
• l'erronea convinzione dell'Azienda di adempiere a un obbligo di legge;
• la presenza di dati appartenenti a categorie particolari, inclusi dati sulla salute e sull'esercizio dei diritti sindacali;
• la gravità valutata come media;
• la presenza di precedenti violazioni analoghe;
• la buona cooperazione dell'Azienda, che ha rimosso gli atti contestati.

Alla luce di tali elementi, la sanzione è stata fissata in euro 20.000.

Dispositivo e adempimenti conseguenti

Il Garante ha:

• dichiarato l'illiceità del trattamento;
• ordinato all'Azienda Sanitaria Provinciale di Enna di pagare euro 20.000 entro trenta giorni dalla notifica;
• precisato la possibilità di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge;
• disposto la pubblicazione dell'ordinanza ingiunzione sul sito del Garante;
• disposto la pubblicazione del provvedimento sul sito dell'Autorità;
• ordinato l'annotazione nel registro interno delle violazioni e delle misure adottate.

È stato infine indicato che avverso il provvedimento è ammesso ricorso all'autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all'estero.