Prescrizioni del Garante n. 4 del 16/01/2025

Ministero dell'interno - comunicazione indebita di dati personali tra dipendenti

Il Garante ha esaminato il trattamento svolto dal Ministero dell'interno - Dipartimento della Pubblica Sicurezza - Polizia di Stato in occasione del riscontro a istanze di ricollocamento e contestuale assegno familiare presentate da alcuni dipendenti. Il procedimento nasce da un reclamo di una dipendente, che lamentava la comunicazione ai colleghi del proprio nominativo e dell'esito negativo della domanda.

Fatto e origine del procedimento

La reclamante, dipendente della Polizia di Stato, ha segnalato che una nota di riscontro alla propria istanza riportava in intestazione anche i nominativi di altri due dipendenti che avevano presentato analoghe richieste. In tal modo, ciascun destinatario è venuto a conoscenza non solo dell'esistenza delle istanze altrui, ma anche del loro mancato accoglimento.

Nel corso dell'istruttoria il Ministero ha spiegato che la vicenda si collocava nel periodo emergenziale Covid-19, caratterizzato da forti criticità organizzative, elevato carico amministrativo, assenze del personale e necessità di gestire numerosi adempimenti connessi alla normativa di emergenza. Ha qualificato l'errore come una mera distrazione nella notificazione di un provvedimento collettivo, non oscurato correttamente.

Trattamento esaminato e quadro normativo

Il trattamento riguardava dati personali dei dipendenti nel contesto del rapporto di lavoro pubblico. Il Garante ha richiamato i principi e le basi giuridiche rilevanti per il datore di lavoro pubblico:

• art. 5, par. 1, lett. a) e c), GDPR, in tema di liceità, correttezza, trasparenza e minimizzazione;
• art. 6 GDPR e art. 2-ter del Codice privacy, quanto alla base giuridica del trattamento da parte di pubbliche amministrazioni;
• art. 25, par. 2, GDPR, sul principio di protezione dei dati fin dalla progettazione e per impostazione predefinita;
• art. 2-quaterdecies del Codice e norme sugli autorizzati al trattamento, per limitare l'accesso ai dati ai soli soggetti che ne abbiano necessità.

È stato inoltre ricordato che, nel contesto lavorativo pubblico, le comunicazioni ai dipendenti devono di regola essere individualizzate e adottare misure idonee a prevenire la conoscibilità ingiustificata dei dati da parte di terzi o di altri dipendenti non autorizzati, anche secondo le linee guida del 14 giugno 2007 sul trattamento dei dati dei lavoratori nella PA.

Valutazione del Garante

L'Autorità ha ritenuto che, pur non contenendo la nota informazioni sulle ragioni delle istanze né dati particolari o sanitari, la sua trasmissione congiunta a più destinatari non autorizzati abbia reso conoscibili dati personali afferenti al rapporto di lavoro, in particolare:

• la presentazione dell'istanza di ricollocamento e contestuale assegno familiare;
• il mancato accoglimento dell'istanza.

Secondo il Garante, il Ministero avrebbe dovuto utilizzare comunicazioni telematiche individualizzate o comunque adottare modalità tali da evitare il rischio di reciproca conoscenza tra i destinatari, anziché predisporre un'unica nota per più interessati e limitarsi all'oscuramento dei nominativi.

La condotta è stata quindi qualificata come trattamento illecito per violazione degli artt. 5, par. 1, lett. a), e 6 GDPR e dell'art. 2-ter del Codice privacy.

Elementi attenuanti e qualificazione come violazione minore

Pur confermando l'illiceità, il Garante ha valorizzato diversi elementi attenuanti ai fini della concreta valutazione della vicenda:

• numero limitato di interessati coinvolti, pari a tre;
• assenza di dati appartenenti a categorie particolari;
• mancanza di evidenze di danni specifici subiti dagli interessati;
• errore occasionale dovuto a mera distrazione;
• buona cooperazione del Ministero con l'Autorità;
• assenza di precedenti violazioni pertinenti;
• contesto organizzativo eccezionale legato all'emergenza Covid-19.

Alla luce di tali elementi, il caso è stato considerato una "violazione minore" ai sensi del considerando 148 e dell'art. 83, par. 2, GDPR, con richiamo alle linee guida WP 253 sulle sanzioni amministrative pecuniarie.

Provvedimenti adottati

Il Garante ha ritenuto sufficiente un ammonimento nei confronti del Ministero, ai sensi dell'art. 58, par. 2, lett. b), GDPR. Ha escluso l'adozione di ulteriori misure correttive, osservando che la condotta aveva ormai esaurito i suoi effetti.

È stata inoltre disposta la pubblicazione del provvedimento sul sito internet dell'Autorità ai sensi dell'art. 154-bis, comma 3, del Codice e dell'art. 37 del Regolamento del Garante n. 1/2019. Il provvedimento è impugnabile davanti all'autorità giudiziaria ordinaria nei termini di legge.