Prescrizioni del Garante n. 412 del 24/11/2022

Comune di Torino: inoltro illecito di email di educatori ai datori di lavoro

Il provvedimento riguarda il Comune di Torino e la comunicazione a una cooperativa, datrice di lavoro di una educatrice, del contenuto integrale di una email inviata dall’interessata all’ente. Il caso nasce da un reclamo presentato ai sensi dell’art. 77 GDPR e si colloca nella fase iniziale dell’emergenza Covid-19, in relazione ai servizi educativi per minori con disabilità sensoriali.

Fatti e origine del procedimento

La reclamante, dipendente di una cooperativa che operava per il Comune nell’ambito dei servizi educativi, aveva scritto all’Amministrazione per chiedere chiarimenti sul pagamento delle ore di lavoro non svolte a seguito della sospensione delle attività scolastiche. L’email era stata inviata anche, secondo quanto emerso, in rappresentanza di altri educatori in situazione analoga e chiedeva che le ore previste in bilancio fossero riconosciute e non fossero imposti recuperi difficili o perdita salariale.

La reclamante ha lamentato che il Comune avesse risalito alla sua identità e a quella della cooperativa datrice di lavoro, inoltrando il messaggio senza consenso e trattandolo come una contestazione nei confronti del datore di lavoro. Il Comune ha invece sostenuto che la vicenda si inseriva nel rapporto contrattuale tra la Città di Torino e le cooperative accreditate per il servizio educativo, e che le segnalazioni dei lavoratori erano pervenute nel contesto dell’emergenza pandemica.

Attività istruttoria e difese del Comune

A seguito della richiesta di informazioni dell’Ufficio, il Comune ha spiegato che le comunicazioni ricevute dagli educatori riguardavano le conseguenze dei provvedimenti emergenziali sulla sospensione o riorganizzazione dei servizi. Ha anche evidenziato che, per garantire continuità al servizio e tutelare gli aspetti salariali dei dipendenti delle cooperative, aveva contattato i fornitori iscritti al registro dei servizi educativi per disabili sensoriali.

Nella memoria difensiva, il Comune ha ribadito la propria buona fede e il carattere emergenziale dell’intervento. Ha affermato di aver ritenuto che la cooperativa fosse già a conoscenza della problematica e che l’inoltro della mail fosse una via utile per ottenere chiarimenti e rassicurazioni. Ha inoltre precisato che le comunicazioni complessivamente inoltrate riguardavano otto lavoratori e che successivamente era stata adottata una circolare operativa e avviata formazione interna sui trattamenti di dati nei servizi sociali.

Norme richiamate e valutazione del Garante

Il Garante ha richiamato gli artt. 6, par. 1, lett. c) ed e), e 6, par. 2, GDPR, sottolineando che i soggetti pubblici possono trattare dati personali solo se il trattamento è necessario per adempiere un obbligo legale o per eseguire un compito di interesse pubblico o connesso all’esercizio di pubblici poteri. Ha inoltre richiamato l’art. 2-ter del Codice privacy, nel testo vigente al momento dei fatti, evidenziando che la comunicazione di dati personali a terzi da parte di soggetti pubblici è ammessa solo se prevista da una norma di legge o, nei casi previsti, da un regolamento.

L’Autorità ha poi ribadito il rispetto dei principi di liceità, correttezza, trasparenza e minimizzazione di cui all’art. 5, par. 1, lett. a) e c), GDPR. Nel caso concreto, ha osservato che la comunicazione integrale delle email ai datori di lavoro non era necessaria, perché il Comune aveva già inviato una nota generale a tutti i fornitori nella quale rappresentava la problematica delle ore non svolte e chiedeva chiarimenti sulle modalità di recupero. Tale nota, formulata senza indicare singoli lavoratori, era sufficiente a perseguire lo scopo amministrativo dichiarato.

Illiceità della comunicazione e assenza di base giuridica

Secondo il Garante, l’inoltro delle singole email integrali ai datori di lavoro ha comportato la comunicazione di dati personali della reclamante e di altri sette lavoratori, inclusi elementi non necessari come l’indirizzo email personale e la data/ora di invio. Non risultava, inoltre, che l’interessata avesse presentato una istanza tale da giustificare l’avvio di un procedimento amministrativo tipizzato nei confronti del datore di lavoro o il coinvolgimento di quest’ultimo nell’istruttoria.

L’Autorità ha quindi concluso che il trattamento era illecito per violazione degli artt. 5, par. 1, lett. a) e 6 GDPR, nonché dell’art. 2-ter del Codice privacy, perché effettuato in assenza di una valida base giuridica e oltre quanto necessario rispetto alle finalità perseguite.

Valutazione sulla gravità e ammonimento

Pur rilevando l’illiceità, il Garante ha considerato diversi elementi attenuanti: la mancata espressa indicazione, da parte dell’interessata, del carattere confidenziale della comunicazione; l’ambiguità del testo della mail, che lasciava intendere una possibile conoscenza pregressa della questione da parte di altri soggetti; la buona fede del Comune; il contesto straordinario della fase iniziale della pandemia; l’assenza di dati appartenenti a categorie particolari ai sensi dell’art. 9 GDPR; la collaborazione del titolare nel corso dell’istruttoria; l’assenza di precedenti violazioni pertinenti.

Sulla base di tali elementi, il Garante ha qualificato il caso come "violazione minore" ai sensi del considerando 148 GDPR e ha ritenuto sufficiente l’ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR. Ha escluso l’adozione di ulteriori misure correttive, rilevando che la condotta aveva già esaurito i suoi effetti. Il provvedimento non contiene una sanzione pecuniaria, ma solo la dichiarazione di illiceità e l’ammonimento al Comune di Torino.

Esito finale

In dispositivo, il Garante:

• ha dichiarato l’illiceità del trattamento effettuato dal Comune di Torino;
• ha ammonito il Comune per la violazione degli artt. 5, par. 1, lett. a) e 6 GDPR e dell’art. 2-ter del Codice privacy;
• ha ritenuto sussistenti i presupposti dell’art. 17 del Regolamento del Garante n. 1/2019.

È stato infine indicato il rimedio giurisdizionale: ricorso all’autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione del provvedimento, ovvero sessanta giorni se il ricorrente risiede all’estero.