Prescrizioni del Garante n. 335 del 06/06/2024

Comunicazione illecita di dati su porto d'armi dal Ministero dell'interno al datore di lavoro

Il Garante ha esaminato il reclamo di un dipendente del Ministero delle infrastrutture e dei trasporti, in servizio presso l'Ufficio della Motorizzazione Civile di Livorno, nei confronti della Questura di Livorno per la comunicazione al datore di lavoro di informazioni relative al porto d'armi, alla detenzione di armi e a circostanze connesse a un accertamento medico-legale. Il procedimento è stato avviato ai sensi dell'art. 77 GDPR e si è concluso con un ammonimento per trattamento illecito.

Fatti e origine del procedimento

L'istruttoria ha preso le mosse da una richiesta della dirigente dell'UMC di Livorno alla Questura, con cui si domandava se il dipendente fosse titolare di licenza di porto d'armi e se avesse ricevuto provvedimenti o diffide in materia. La Questura ha risposto comunicando che l'interessato era titolare di licenza per uso tiro a volo, deteneva tre armi da fuoco, era stato invitato a visita medico-collegiale per la verifica dei requisiti psicofisici e aveva poi ceduto le armi a un'armeria e restituito la licenza.

Trattamenti esaminati

Il trattamento contestato consiste nella comunicazione di dati personali dal Ministero dell'interno, tramite la Questura di Livorno, al Ministero delle infrastrutture e dei trasporti, quale datore di lavoro del reclamante. Le informazioni trasmesse comprendevano:

• titolarità della licenza di porto d'armi per uso tiro a volo, rilasciata il 4 settembre 2019;
• detenzione di tre armi da fuoco regolarmente denunciate;
• invito a sottoporsi a visita medico-collegiale presso la USL per l'accertamento dei requisiti psicofisici previsti dal decreto del Ministero della sanità del 28 aprile 1998;
• cessione definitiva delle armi a un'armeria e riconsegna della licenza alla Questura.

Difese dell'amministrazione e argomentazioni prospettate

La Questura ha sostenuto che la richiesta dell'UMC fosse giustificata dall'esigenza di tutela del dipendente e della collettività, richiamando anche il fatto che il reclamante avrebbe parlato del porto d'armi in ambito lavorativo e che nel contenzioso per mobbing erano stati prodotti certificati medici indicativi di una condizione psicopatologica. Ha inoltre richiamato l'art. 13, comma 3, del d.P.R. 15/2018 e la presunta necessità di collaborazione istituzionale.

Valutazioni del Garante sulla base giuridica

L'Autorità ha ribadito che le pubbliche amministrazioni possono trattare dati personali solo se il trattamento è necessario per adempiere un obbligo legale o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, secondo gli artt. 6 GDPR e 2-ter del Codice privacy, nel testo applicabile al tempo dei fatti. La comunicazione di dati personali da parte di soggetti pubblici è ammessa solo se prevista da una norma di legge o, nei casi previsti dalla legge, da regolamento.

Nel caso concreto non è stata indicata alcuna disposizione che legittimasse la comunicazione al datore di lavoro. Il Garante ha inoltre escluso che la generica tutela della sicurezza pubblica potesse fondare la trasmissione, poiché tale finalità compete alle autorità specificamente preposte e non al datore di lavoro. La Questura aveva già attivato i propri poteri di accertamento e revisione dei titoli abilitativi, sicché non vi era necessità di informare l'UMC.

Esclusione delle eccezioni difensive

L'Autorità ha respinto l'argomento secondo cui i dati sarebbero già stati conosciuti dal datore di lavoro: dagli atti risultava infatti che la dirigente dell'UMC aveva proprio chiesto di conoscere se il dipendente fosse in possesso della licenza e se vi fossero stati provvedimenti o diffide, segno che tali informazioni non erano acquisite formalmente. È stata altresì esclusa la rilevanza della circostanza che l'interessato avesse condiviso tali informazioni con alcuni colleghi: ciò non integra diffusione né rende i dati "manifestamente pubblici", e non autorizza comunque la comunicazione al datore di lavoro in assenza di idonea base giuridica. Il Garante ha richiamato anche il quadro speciale del rapporto di lavoro, incluso l'art. 113 del Codice privacy.

Violazioni accertate

Il trattamento è stato ritenuto illecito per violazione dei principi di:

• liceità, correttezza e trasparenza, ex art. 5, par. 1, lett. a), GDPR;
• base giuridica del trattamento, ex art. 6 GDPR;
• comunicazione di dati da parte di soggetti pubblici, ex art. 2-ter del Codice privacy, nel testo anteriore alle modifiche del d.l. 139/2021.

Qualificazione della violazione e criteri sanzionatori

Pur dichiarando l'illiceità del trattamento, il Garante ha ritenuto che ricorressero elementi tali da qualificare il caso come violazione minore ai sensi dell'art. 83, par. 2, GDPR e del considerando 148, nonché delle linee guida WP29 sulle sanzioni amministrative pecuniarie. In particolare, sono stati considerati:

• il coinvolgimento di un solo interessato;
• la circolazione dei dati limitata alla dirigente dell'UMC che aveva formulato la specifica richiesta;
• la natura colposa della condotta;
• l'assenza di specifiche ripercussioni per l'interessato;
• la cooperazione prestata dal Ministero nel corso dell'istruttoria;
• l'assenza di precedenti violazioni pertinenti;
• il fatto che la violazione avesse riguardato una singola articolazione interna del titolare.

Provvedimento finale

In esito al procedimento, il Garante ha:

• dichiarato l'illiceità del trattamento effettuato dalla Questura di Livorno;
• ammonito il Ministero dell'interno ai sensi dell'art. 58, par. 2, lett. b), GDPR;
• escluso l'adozione di ulteriori misure correttive, poiché la condotta aveva già esaurito i propri effetti;
• rilevato i presupposti di cui all'art. 17 del regolamento n. 1/2019.

Rimedi giurisdizionali

Contro il provvedimento è possibile proporre ricorso all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all'estero.