Ordinanza ingiunzione o revoca n. 223 del 01/06/2023

Comune di Napoli: comunicazione illecita via email delle schede di valutazione di ex dipendenti

Il provvedimento riguarda il Comune di Napoli e trae origine da un reclamo presentato da un’ex dipendente ai sensi dell’art. 77 GDPR. L’Autorità ha esaminato l’invio, tramite un’unica email, delle schede di valutazione dell’ultimo anno di servizio e della graduatoria con i punteggi a tre ex dipendenti, circostanza che ha reso reciprocamente conoscibili i rispettivi dati personali.

Fatti e origine del procedimento

La reclamante ha rappresentato che, dopo la cessazione del rapporto di lavoro, il Comune aveva inviato a lei e ad altri due ex colleghi una email contenente:

• la scheda di valutazione delle performance;
• la graduatoria con il punteggio ottenuto.

Il Comune, nell’istruttoria, ha ammesso che l’invio era stato effettuato con un errore umano, consistente nell’accorpamento delle schede di tre soggetti nella stessa mail. Ha altresì evidenziato che i destinatari erano tutti dipendenti cessati dal servizio e che l’ufficio operava in quel periodo con organico ridotto e nel contesto dell’emergenza da COVID-19.

Inquadramento normativo richiamato dal Garante

L’Autorità ha richiamato il quadro applicabile ai trattamenti effettuati da soggetti pubblici in ambito lavorativo, ricordando che i dati personali possono essere trattati quando ciò sia necessario:

• per la gestione del rapporto di lavoro;
• per adempiere obblighi di legge o di diritto dell’Unione;
• per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri.

Sono stati richiamati, in particolare:

• art. 5, par. 1, lett. a) e c), GDPR;
• art. 6, par. 1, lett. c) ed e), GDPR;
• art. 9, par. 2, lett. b) e g), GDPR;
• artt. 2-ter e 2-sexies del Codice privacy;
• art. 88 GDPR.

Il Garante ha inoltre ribadito che, per i soggetti pubblici, la comunicazione di dati personali a terzi è consentita solo se prevista da una norma di legge o, nei casi previsti dalla legge, da regolamento.

Illiceità della comunicazione delle schede di valutazione

L’Autorità ha ritenuto che l’invio con un’unica email delle schede di valutazione e della graduatoria a tre ex dipendenti abbia determinato una comunicazione di dati personali a soggetti non legittimati a conoscerli, anche in considerazione del fatto che i destinatari non facevano più parte dell’organizzazione del titolare.

Il Garante ha richiamato il proprio orientamento consolidato secondo cui i dati personali dei dipendenti trattati per finalità di gestione del rapporto di lavoro non possono, di regola, essere portati a conoscenza di soggetti diversi da coloro che siano parte del rapporto o comunque autorizzati al trattamento in ragione delle mansioni svolte.

Sono stati richiamati anche precedenti specifici in materia di schede valutative dei dipendenti, nei quali era già stata affermata l’illiceità della comunicazione a terzi in assenza di un idoneo presupposto normativo.

Violazioni accertate

Il Garante ha concluso che il Comune, pur trattandosi di un errore materiale, ha effettuato una comunicazione di dati personali:

• in assenza di base giuridica;
• in violazione del principio di liceità, correttezza e trasparenza;
• in violazione del principio di minimizzazione;
• in violazione degli artt. 5, par. 1, lett. a), e 6 GDPR;
• in violazione dell’art. 2-ter del Codice privacy, nel testo vigente al momento dei fatti.

Le dichiarazioni difensive dell’ente, pur considerate, non sono state ritenute idonee a giustificare la condotta né a determinare l’archiviazione del procedimento.

Sanzione, criteri di quantificazione e pubblicazione

Il Garante ha ritenuto applicabile la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, GDPR, nonché dell’art. 166 del Codice.

Nella quantificazione della sanzione sono stati considerati, tra gli altri elementi ex art. 83, par. 2, GDPR:

• la natura delle informazioni divulgate, relative alla valutazione dell’attività lavorativa, con elevata aspettativa di riservatezza;
• la possibilità di incidere anche sulla reputazione degli interessati dopo la cessazione del rapporto;
• la dimensione del Comune, quale amministrazione di grandi dimensioni;
• il numero limitato di interessati coinvolti, pari a tre;
• l’isolamento dell’episodio e la sua riconducibilità a errore umano;
• l’assenza di dati particolari ex art. 9 GDPR;
• il contesto organizzativo segnato dall’emergenza pandemica e dalla ridotta dotazione organica dell’ufficio;
• le misure organizzative già dichiarate dall’ente;
• la collaborazione prestata nel corso dell’istruttoria;
• l’assenza di precedenti violazioni analoghe.

All’esito, è stata irrogata una sanzione di euro 3.000. Il Garante ha inoltre disposto la pubblicazione del provvedimento sul proprio sito, ritenendo ricorrenti i presupposti previsti dall’art. 166, comma 7, del Codice e dall’art. 17 del Regolamento n. 1/2019.

Dispositivo e rimedi

Nel dispositivo, il Garante:

• ha dichiarato l’illiceità del trattamento effettuato dal Comune di Napoli;
• ha ordinato il pagamento della sanzione amministrativa pecuniaria di euro 3.000;
• ha ricordato la possibilità di definizione agevolata mediante pagamento di un importo pari alla metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• ha ingiunto, in mancanza di definizione, il pagamento della somma entro 30 giorni dalla notificazione;
• ha disposto la pubblicazione del provvedimento sul sito web del Garante.

È stato infine indicato il rimedio giurisdizionale esperibile davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.