Prescrizioni del Garante n. 31 del 24/01/2024

Dipartimento della Funzione Pubblica - invio di email formative ai dipendenti pubblici tramite dati INPS

Il Garante ha esaminato la diffusione di una lettera del Ministro per la Pubblica Amministrazione relativa al piano "Ri-formare la PA" e alle iniziative formative collegate al PNRR. La comunicazione è stata inviata individualmente, anche a indirizzi di posta elettronica personali, utilizzando banche dati e sistemi informatici dell’INPS.

Origine del procedimento

Il procedimento è stato avviato a seguito di un reclamo ex art. 77 GDPR e di una segnalazione ex art. 144 del Codice privacy. Gli interessati lamentavano che la lettera fosse stata recapitata non agli indirizzi istituzionali delle amministrazioni di appartenenza, ma a caselle email personali, con il rischio di coinvolgere anche persone non più in servizio.

Svolgimento dell’istruttoria

Dalle informazioni raccolte presso Dipartimento e INPS è emerso che il Dipartimento aveva chiesto all’Istituto di garantire la massima diffusione dell’iniziativa, utilizzando il maggior numero possibile di canali informativi disponibili. L’INPS ha quindi ricostruito la platea dei destinatari partendo dalle denunce UNIEMENS-ListaPosPA, integrando i dati con quelli presenti nell’area myINPS e inviando il messaggio tramite il proprio dominio di posta elettronica, raggiungendo circa 1,2 milioni di soggetti.

Qualificazione soggettiva: contitolarità del trattamento

L’Autorità ha ritenuto che Dipartimento e INPS avessero determinato congiuntamente finalità e mezzi del trattamento e che, pertanto, fossero contitolari ai sensi degli artt. 4, par. 1, n. 7, e 26 GDPR. Il Dipartimento ha promosso l’iniziativa e condiviso la scelta di raggiungere i dipendenti singolarmente; l’INPS ha dato un contributo essenziale, mettendo a disposizione banche dati e strumenti tecnici e decidendo le modalità operative dell’invio.

Il Garante ha evidenziato che:

• la contitolarità non richiede necessariamente che entrambi i soggetti abbiano accesso materiale a tutti i dati;
• il grado di responsabilità può essere diverso tra i contitolari;
• non è necessario che la determinazione avvenga tramite istruzioni scritte.

Violazione dell’art. 26 GDPR

Pur configurandosi la contitolarità, non è stato stipulato alcun accordo interno tra i contitolari prima dell’avvio del trattamento, né è emersa una regolazione trasparente delle rispettive responsabilità. Per questo il Garante ha ravvisato la violazione dell’art. 26, parr. 1 e 2, GDPR.

Base giuridica, liceità e necessità del trattamento

Il Garante ha riconosciuto che la formazione dei dipendenti pubblici può costituire un compito di interesse pubblico, ma ha ritenuto che, nel caso concreto, il trattamento non fosse necessario e fosse stato effettuato con modalità eccedenti rispetto allo scopo.

In particolare, l’utilizzo di indirizzi email raccolti da INPS per finalità legate ai servizi del portale myINPS non risultava coerente con le aspettative degli utenti, che avevano fornito quei recapiti per fruire di servizi istituzionali dell’Istituto, non per ricevere comunicazioni del Ministero. Inoltre, il Garante ha osservato che la medesima finalità avrebbe potuto essere raggiunta con modalità meno invasive, ad esempio coinvolgendo le singole amministrazioni datrici di lavoro e i loro canali interni di comunicazione.

Per queste ragioni è stata ravvisata la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice privacy.

Violazione degli obblighi di trasparenza e informativa

Il Dipartimento non aveva fornito agli interessati una specifica informativa sul trattamento dei dati utilizzato per promuovere le iniziative formative del Ministero. Il Garante ha quindi rilevato anche la violazione degli artt. 5, par. 1, lett. a), 12, 13 e 14 GDPR, per mancanza di correttezza e trasparenza verso gli interessati.

Valutazione complessiva e misura adottata

Pur dichiarando l’illiceità del trattamento, il Garante ha ritenuto sufficiente un ammonimento ex art. 58, par. 2, lett. b), GDPR. La valutazione è stata influenzata da vari elementi attenuanti:

• il trattamento non riguardava dati particolari ex art. 9 GDPR;
• la violazione non è stata considerata particolarmente grave;
• non risultano danni specifici agli interessati;
• la condotta è stata ritenuta colposa e posta in essere in buona fede;
• il Dipartimento ha collaborato durante l’istruttoria;
• non risultano precedenti violazioni pertinenti;
• il caso è stato qualificato come "violazione minore" ai sensi del considerando 148 GDPR.

Il Garante ha inoltre precisato che la condotta aveva già esaurito i suoi effetti e che non vi erano i presupposti per ulteriori misure correttive.

Dispositivo

L’Autorità ha quindi:

• dichiarato l’illiceità del trattamento effettuato dalla Presidenza del Consiglio dei Ministri - Dipartimento della Funzione Pubblica, in persona del legale rappresentante pro tempore, per violazione degli artt. 5, par. 1, lett. a), 6, 12, 13, 14 e 26, parr. 1 e 2, GDPR, nonché dell’art. 2-ter del Codice;
• ammonito il Dipartimento quale titolare del trattamento;
• rilevato i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di cui agli artt. 78 GDPR, 152 del Codice privacy e 10 del d.lgs. n. 150/2011.