Ordinanza ingiunzione o revoca n. 420 del 15/12/2022

Comune di Bracciano - pubblicazione di determina con dati personali e sanitari di un’ex dipendente

Il Garante ha esaminato il reclamo di una ex dipendente del Comune di Bracciano relativo alla pubblicazione sull’Albo pretorio online di una determina di presa d’atto delle dimissioni e di rinuncia al preavviso. Nell’atto erano presenti elementi identificativi della lavoratrice e riferimenti al suo stato di salute, ritenuti idonei a integrare una diffusione illecita di dati personali e di dati relativi alla salute.

Fatti e origine del procedimento

La reclamante ha contestato che la determina pubblicata sul sito istituzionale richiamasse espressamente il suo stato di salute, collegandolo alla rinuncia al preavviso, pur identificandola tramite iniziali del nome e cognome, numero di matricola e indicazione dell’incarico svolto presso il Comune. Il provvedimento era stato pubblicato per il tempo minimo previsto sull’Albo pretorio online.

Difese dell’amministrazione

Il Comune ha sostenuto che la pubblicazione fosse obbligatoria ai sensi del d.lgs. 33/2013 e della disciplina interna sull’Albo pretorio, invocando esigenze di trasparenza e di integrazione dell’efficacia dell’atto. Ha inoltre affermato di aver limitato al minimo i dati pubblicati, di non aver diffuso informazioni sulla terapia farmacologica e di aver riportato soltanto la motivazione fornita dalla dipendente a fondamento delle dimissioni e della richiesta di esonero dal preavviso.

Quadro normativo richiamato

Il Garante ha richiamato i principi generali del GDPR, in particolare gli artt. 5, 6 e 9, nonché l’art. 88 in materia di trattamento nel contesto lavorativo. Ha inoltre richiamato l’art. 2-ter del Codice privacy, nel testo applicabile ratione temporis, che consente la diffusione solo nei casi previsti da una norma di legge o di regolamento, e l’art. 2-septies, comma 8, che vieta la diffusione dei dati relativi alla salute. È stato ricordato anche il principio di responsabilizzazione e quello di minimizzazione.

Valutazione sulla identificabilità dell’interessata

Secondo l’Autorità, l’uso delle sole iniziali non era sufficiente a rendere anonima la persona interessata, perché nel contesto concreto vi erano ulteriori elementi idonei a renderla identificabile: ruolo ricoperto, genere, numero di matricola e ristrette dimensioni dell’ambiente lavorativo. Ne consegue che le informazioni contenute nell’atto dovevano considerarsi dati personali ai sensi dell’art. 4, par. 1, n. 1, GDPR.

Qualificazione come dati relativi alla salute

Il Garante ha ribadito che anche l’indicazione dell’assenza per malattia o di circostanze che rivelino uno stato di salute alterato rientra nella nozione di dato relativo alla salute, anche se non viene indicata una diagnosi specifica. Nel caso esaminato, il riferimento al fatto che la rinuncia al preavviso fosse finalizzata a non aggravare lo stato invalidante e la terapia farmacologica in corso è stato considerato una diffusione di dati sanitari.

Inidoneità del richiamo alla trasparenza amministrativa

L’Autorità ha ritenuto inconferente il richiamo del Comune al d.lgs. 33/2013, poiché la pubblicazione è avvenuta nell’Albo pretorio e non in una sezione di amministrazione trasparente. In ogni caso, il Garante ha chiarito che un regime di pubblicità non può derogare automaticamente alle regole in materia di protezione dei dati personali, soprattutto quando siano coinvolti dati sulla salute.

Motivazione dell’atto e inutilità della pubblicazione integrale

Secondo il Garante, la necessità di motivare adeguatamente il provvedimento non giustificava la pubblicazione integrale online. L’atto poteva restare agli atti dell’amministrazione ed essere accessibile, nei limiti di legge, solo ai soggetti legittimati. Inoltre, il Comune non ha dimostrato l’esistenza di una norma che imponesse la pubblicazione della determina come requisito di efficacia.

Esito del procedimento e sanzione

L’Autorità ha dichiarato l’illiceità del trattamento e ha ritenuto applicabile la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR, in combinato con l’art. 166 del Codice privacy. Considerati la delicatezza dei dati, il fatto che la condotta era circoscritta a un singolo caso, la durata della pubblicazione per 15 giorni, la collaborazione dell’ente e l’assenza di precedenti specifici, la sanzione è stata quantificata in 6.000 euro.

Misure accessorie e rimedi

Il Garante ha disposto la pubblicazione del provvedimento sul proprio sito istituzionale ai sensi dell’art. 166, comma 7, del Codice. È stata inoltre prevista l’annotazione nel registro interno delle violazioni. Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria nei termini di legge, con la possibilità per il contravventore di definire la controversia mediante pagamento in misura ridotta entro 30 giorni.