Prescrizioni del Garante n. 32 del 24/01/2024

INPS: invio di email istituzionali ai dipendenti pubblici per iniziative formative della PA

Il provvedimento riguarda l'invio, da parte di INPS, di una lettera del Ministro per la Pubblica Amministrazione relativa al piano strategico "Ri-formare la PA" e alle iniziative formative connesse. La comunicazione è stata inoltrata su base individuale a una platea ampia di dipendenti pubblici utilizzando dati provenienti da UNIEMENS-ListaPosPA e da MyINPS.

Origine del procedimento e fatti contestati

Il Garante è intervenuto a seguito di un reclamo presentato ai sensi dell'art. 77 GDPR e di una segnalazione ex art. 144 Codice privacy. Gli interessati lamentavano che la lettera fosse stata inviata non agli indirizzi istituzionali delle amministrazioni di appartenenza, ma anche a indirizzi personali, e che tra i destinatari vi fossero persino soggetti non più in servizio, come pensionati.

Dalle informazioni acquisite è emerso che la comunicazione è stata inoltrata dall'indirizzo "Dipartimento della Funzione Pubblica - formazionePA@inps.it", riconducibile al dominio di posta elettronica dell'INPS. L'invio ha riguardato circa 1,2 milioni di destinatari.

Istruttoria e posizioni delle parti

Il Dipartimento della funzione pubblica ha riferito di avere chiesto a INPS di collaborare per la massima diffusione dell'iniziativa, senza impartire indicazioni specifiche sul canale informativo o sui dati da trattare. Ha inoltre sostenuto di non aver assunto un ruolo ai fini privacy e di non aver ricevuto dati personali dai destinatari.

INPS ha invece spiegato di aver desunto lo status di dipendente pubblico dalle denunce retributive UNIEMENS-ListaPosPA e di aver integrato tali dati con i recapiti email forniti dagli utenti nella sezione "myINPS", per poi inviare la comunicazione tramite i propri mail server. Ha qualificato il trattamento come funzionale anche alle proprie finalità istituzionali, collegandolo alla formazione e ai servizi "Valore PA".

Qualificazione giuridica: contitolarità del trattamento

Il Garante ha ricostruito il rapporto tra Dipartimento e INPS alla luce degli artt. 4, par. 1, n. 7, e 26 GDPR, richiamando anche le linee guida EDPB 07/2020 e la giurisprudenza della Corte di giustizia. Ha ritenuto che i due soggetti abbiano determinato congiuntamente finalità e mezzi del trattamento, in quanto il Dipartimento ha promosso l'iniziativa e INPS ha messo a disposizione banche dati e infrastrutture tecniche per l'invio individuale.

Secondo l'Autorità, il trattamento non sarebbe stato possibile senza la partecipazione di entrambe le parti e ciascuna ha esercitato un'influenza decisiva sull'attuazione dell'operazione. Tuttavia, non è stato stipulato alcun accordo interno di contitolarità, né è stato messo a disposizione degli interessati il contenuto essenziale dell'accordo: da qui la violazione dell'art. 26, parr. 1 e 2, GDPR.

Violazione del principio di limitazione della finalità e della base giuridica

L'Autorità ha ritenuto che INPS abbia utilizzato, per una nuova finalità, gli indirizzi di posta elettronica raccolti per consentire l'accesso e la fruizione dei servizi di MyINPS. Tali recapiti erano stati forniti dagli utenti, non necessariamente in quanto dipendenti pubblici, ma come cittadini o fruitori dei servizi dell'Istituto.

Il Garante ha sottolineato che il portale MyINPS censisce una pluralità eterogenea di utenti e che gli interessati non potevano attendersi di ricevere, su quei recapiti, comunicazioni promozionali relative a iniziative formative del Ministero per la Pubblica Amministrazione. L'uso dei dati è stato pertanto ritenuto non coerente con le finalità originarie e non necessario rispetto allo scopo perseguito.

L'Autorità ha osservato che l'obiettivo avrebbe potuto essere raggiunto con modalità meno invasive, ad esempio tramite le amministrazioni datrici di lavoro, senza ricorrere a un trattamento centralizzato di dati personali mediante indirizzi privati o comunque non istituzionali. Ha quindi ravvisato la violazione degli artt. 5, par. 1, lett. a) e b), 6 GDPR e 2-ter Codice privacy.

Mancata informativa specifica e violazione della trasparenza

Il Garante ha rilevato che non è stata fornita agli interessati una informativa specifica per questo trattamento, né per i dati raccolti presso gli utenti tramite MyINPS, né per quelli acquisiti dalle denunce UNIEMENS-ListaPosPA presso soggetti terzi. Le informative generali presenti sul sito e nell'area riservata sono state considerate troppo generiche per soddisfare gli obblighi di trasparenza di cui agli artt. 12, 13 e 14 GDPR.

Secondo l'Autorità, le formule secondo cui gli utenti possono ricevere comunicazioni relative a servizi di interesse non bastano a informare dello specifico invio della lettera ministeriale e del trattamento connesso alla promozione di opportunità formative di soggetti terzi.

Valutazione finale, ammonimento e assenza di ulteriori misure

Il Garante ha dichiarato l'illiceità del trattamento e, tenuto conto del contesto, ha ritenuto sufficiente l'ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR. In particolare, ha valorizzato:

• l'assenza di dati appartenenti a categorie particolari;
• la natura istituzionale della comunicazione e la sua finalità di interesse collettivo;
• l'assenza di un danno specifico per gli interessati;
• il carattere isolato e colposo della violazione;
• la collaborazione di INPS nel corso dell'istruttoria;
• la qualificazione del caso come "violazione minore" ai sensi del considerando 148 GDPR.

L'Autorità ha inoltre ritenuto che, poiché la condotta aveva esaurito i suoi effetti, non vi fossero i presupposti per ulteriori misure correttive. Il provvedimento richiama infine la possibilità di ricorso dinanzi all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.