Ordinanza ingiunzione o revoca n. 606 del 26/09/2024

Comune di Verona: comunicazione illecita di dati di un dipendente, anche relativi alla salute

Il Garante ha esaminato il trattamento effettuato dal Comune di Verona nell’ambito del rapporto di lavoro di un dipendente, a seguito di reclamo ex art. 77 GDPR. Il caso riguarda una comunicazione interna via e-mail che, oltre a coinvolgere il reclamante, è stata inoltrata a un indirizzo del magazzino economale contenente riferimenti alle sue patologie e alla possibile applicazione di benefici connessi alla legge n. 104/1992.

Origine del reclamo e contenuto della comunicazione

Il reclamante ha lamentato che, dopo aver chiesto una nuova mascherina FFP2, la risposta dell’ufficio abbia aggiunto per conoscenza la casella interna del magazzino economale. Nella comunicazione venivano richiamate le sue "ben note patologie" e si precisava che non vi fossero disposizioni particolari per chi è tutelato dalla legge n. 104/1992. L’elemento rilevante, per l’Autorità, non è stato solo il contenuto testuale della e-mail, ma soprattutto la sua diffusione a soggetti interni non legittimati a conoscere tali informazioni.

Istruttoria e difese del Comune

Il Comune ha sostenuto che la casella magazzinoeconomato fosse una casella interna, accessibile solo a personale autorizzato, e che la comunicazione fosse stata inviata per ragioni organizzative e gestionali, in un contesto emergenziale legato al Covid-19. Ha inoltre rappresentato che l’episodio sarebbe stato isolato, frutto di un errore, e che il personale coinvolto era stato richiamato dal DPO/RPD sulle corrette modalità di trattamento. Secondo il Comune, il riferimento alla legge 104 non costituiva un disvelamento diretto di un beneficio riconosciuto al reclamante.

Valutazioni del Garante sulla base giuridica e sulla comunicazione dei dati

L’Autorità ha ricordato che, nel settore pubblico e nel contesto del rapporto di lavoro, il trattamento dei dati personali, anche di categorie particolari, è lecito solo se necessario per specifici obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri, oppure per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri. Per la comunicazione di dati da parte di soggetti pubblici, è richiesta una previsione normativa espressa. Il Garante ha ribadito che i dati dei dipendenti non possono essere resi conoscibili a soggetti interni che, per ruolo e funzioni, non siano autorizzati a trattarli.

Dati relativi alla salute e riferimenti alla legge 104

L’Autorità ha qualificato come dati relativi alla salute sia il richiamo alle patologie del dipendente, sia il riferimento, anche indiretto, a benefici previsti dalla legge n. 104/1992, in quanto idoneo a far desumere informazioni sullo stato di salute. È stato ritenuto non decisivo il fatto che il Comune avesse negato un riferimento diretto a una concessione concreta di benefici, perché il semplice collegamento a quella disciplina, insieme al richiamo alle patologie, integrava comunque una comunicazione illecita di dati sanitari.

Violazioni accertate

Il Garante ha quindi dichiarato l’illiceità del trattamento per violazione di:

• art. 5 GDPR, sotto il profilo di liceità, correttezza, trasparenza e minimizzazione;
• art. 6 GDPR, per assenza di idonea base giuridica;
• art. 9, par. 2, lett. b), GDPR, in relazione al trattamento di categorie particolari di dati nel contesto lavorativo;
• art. 2-ter del Codice privacy, nella versione applicabile ratione temporis.

Sanzione amministrativa e criteri di quantificazione

Poiché la violazione discendeva da un’unica condotta, è stato applicato l’art. 83, par. 3, GDPR. Il Garante ha considerato la limitata platea degli interessati, la natura colposa dell’illecito, la collaborazione del titolare, l’assenza di precedenti specifici e le difficoltà organizzative connesse al periodo emergenziale Covid-19. In ragione di tali elementi, la sanzione pecuniaria è stata fissata in euro 10.000, ritenuta proporzionata, effettiva e dissuasiva.

Misure ulteriori e pubblicazione

L’Autorità ha rilevato che la condotta aveva esaurito i suoi effetti e che non ricorrevano i presupposti per ulteriori misure correttive ex art. 58, par. 2, GDPR. Ha tuttavia disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e la pubblicazione del provvedimento. È stata inoltre prevista l’annotazione nel registro interno dell’Autorità.

Ricorsi

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni per i residenti all’estero.