Ordinanza ingiunzione o revoca n. 84 del 23/03/2023

Comune di Pulsano - diffusione illecita online di dati personali e dati sulla salute di una dipendente

Il provvedimento riguarda il Comune di Pulsano, ritenuto responsabile della pubblicazione sul proprio sito istituzionale di decreti contenenti dati personali di una dipendente, inclusi riferimenti all'assenza per malattia e all'avvio di un procedimento disciplinare. Il caso è stato avviato a seguito di reclamo dell'interessata e definito con ordinanza ingiunzione sanzionatoria.

Origine del procedimento e fatti contestati

La dipendente del Comune ha lamentato che alcuni decreti sindacali, relativi alla sua sostituzione ad interim in qualità di titolare di posizione organizzativa, erano stati pubblicati online con contenuti idonei a rendere noti dati personali e informazioni sulla salute. In particolare, negli atti comparivano:

• il riferimento all'assenza per malattia della dipendente;
• l'indicazione della momentanea inidoneità a ricoprire l'incarico;
• il richiamo all'avvio di un procedimento disciplinare.

L'Ufficio ha accertato che i decreti erano stati pubblicati sul sito istituzionale del Comune e indicizzati dai motori di ricerca generalisti.

Attività istruttoria e difese del Comune

Avviato il procedimento ai sensi dell'art. 166, comma 5, del Codice, il Comune ha depositato memorie difensive sostenendo che la pubblicazione fosse giustificata da varie norme:

• art. 50, comma 10, e art. 109 del d.lgs. 267/2000;
• art. 14 del CCNL Comparto Funzioni locali 2016-2018;
• art. 14, comma 1, lett. a), e comma 1-quinquies, del d.lgs. 33/2013;
• art. 3 della l. 241/1990 sull'obbligo di motivazione degli atti amministrativi.

L'ente ha inoltre sostenuto che il riferimento alla parola "malattia" non integrasse un dato sulla salute ai sensi del GDPR e che il richiamo al procedimento disciplinare fosse necessario per la motivazione dell'atto.

Quadro normativo richiamato dal Garante

Il Garante ha richiamato il quadro generale applicabile ai trattamenti effettuati da soggetti pubblici nell'ambito del rapporto di lavoro:

• art. 6, par. 1, lett. c) ed e), e art. 6, par. 2, GDPR;
• art. 9, parr. 1, 2, lett. b) e g), e 4, GDPR;
• art. 5, par. 1, lett. a) e c), GDPR;
• art. 2-ter del Codice privacy, nel testo anteriore alle modifiche del d.l. 139/2021;
• art. 2-septies, comma 8, del Codice privacy.

È stato ribadito che la diffusione di dati personali è ammessa solo se prevista da una norma di legge o di regolamento e che i dati relativi alla salute non possono essere diffusi.

Valutazioni sulla natura dei dati pubblicati

L'Autorità ha ricordato il proprio orientamento costante secondo cui l'informazione sull'assenza dal servizio per malattia costituisce dato relativo alla salute, anche in assenza dell'indicazione della diagnosi. La pubblicazione dei decreti ha quindi comportato la diffusione di dati appartenenti a categorie particolari, in violazione del divieto di diffusione.

Il Garante ha inoltre osservato che nel caso concreto era stato diffuso anche un riferimento a una vicenda disciplinare della dipendente, circostanza che accentua la delicatezza del trattamento e impone una particolare attenzione al bilanciamento tra pubblicità amministrativa e tutela dei diritti fondamentali.

Insufficienza delle giustificazioni addotte dal Comune

Le disposizioni richiamate dal Comune sono state ritenute non idonee a giustificare la pubblicazione integrale dei decreti con quei contenuti. In particolare:

• il d.lgs. 267/2000 e il CCNL non impongono la diffusione online dei dati personali contenuti nei decreti;
• gli obblighi di trasparenza del d.lgs. 33/2013 non autorizzano una divulgazione indiscriminata dei dati e non derogano ai principi del GDPR;
• l'obbligo di motivazione ex art. 3 l. 241/1990 non legittima la pubblicazione in rete dell'atto nella sua interezza.

È stato inoltre precisato che anche per gli atti pubblicati all'Albo Pretorio o nella sezione Amministrazione trasparente restano fermi i limiti derivanti dalla normativa privacy e che il titolare deve applicare il principio di minimizzazione e la protezione dei dati fin dalla progettazione e per impostazione predefinita.

Esito del procedimento

Il Garante ha dichiarato l'illiceità del trattamento di dati personali effettuato dal Comune, per violazione degli artt. 5 e 6 GDPR e dell'art. 2-ter del Codice, nonché dell'art. 9 GDPR e dell'art. 2-septies, comma 8, del Codice.

Non sono state disposte misure correttive ulteriori, poiché la condotta aveva già esaurito i propri effetti e i dati erano stati rimossi subito dopo la ricezione dell'atto di avvio del procedimento.

Sanzione amministrativa e criteri di quantificazione

La violazione è stata ritenuta sanzionabile ai sensi dell'art. 83, par. 5, GDPR, applicato tramite gli artt. 58, par. 2, lett. i), e 83, par. 3, GDPR e l'art. 166, comma 2, del Codice.

Nella quantificazione della sanzione il Garante ha considerato:

• la particolare delicatezza dei dati trattati, riguardanti sia il rapporto di lavoro sia la salute;
• il fatto che la vicenda riguardasse un singolo caso;
• le ridotte dimensioni del Comune;
• la rimozione immediata dei dati dopo la notifica dell'avvio del procedimento;
• l'assenza di precedenti violazioni pertinenti o di precedenti provvedimenti correttivi.

La sanzione è stata determinata in euro 3.000, ritenuta effettiva, proporzionata e dissuasiva.

Sanzione accessoria e impugnazione

Oltre alla sanzione pecuniaria, il Garante ha disposto la pubblicazione del provvedimento sul proprio sito ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16 del Regolamento n. 1/2019.

È stato inoltre indicato che avverso il provvedimento è possibile proporre ricorso dinanzi all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all'estero.