Ordinanza ingiunzione o revoca n. 101 del 27/02/2025

Comune di Sciacca - diffusione di dati personali e dati sulla salute di un dipendente della Polizia locale

Il provvedimento riguarda il Comune di Sciacca, destinatario di un reclamo presentato da un dipendente del Corpo di Polizia locale. L’istruttoria ha avuto origine dalla gestione di una segnalazione interna relativa a criticità di sicurezza sul lavoro e si è conclusa con l’accertamento dell’illecita comunicazione di dati personali, anche relativi alla salute, a soggetti non autorizzati e con l’irrogazione di una sanzione amministrativa pecuniaria.

Origine del reclamo e fatti esaminati

Il reclamante, dipendente comunale in servizio presso la Polizia locale, ha lamentato che una nota redatta dal dirigente responsabile, avente ad oggetto una segnalazione ex art. 20 d.lgs. 81/2008, contenesse dati personali sensibili e venisse inviata, per conoscenza, anche al Sindaco, al Segretario generale e all’Assessore delegato alla Polizia municipale. Secondo quanto rappresentato, la medesima nota sarebbe stata inoltre portata a conoscenza di tutto il personale del Comando mediante affissione all’albo/bacheca interna.

Attività istruttoria e riscontri del Comune

Nel corso dell’istruttoria il Comune ha confermato che la nota di riscontro alla segnalazione del dipendente era stata indirizzata non solo all’interessato, ma anche ai vertici amministrativi dell’ente e che la questione era stata resa nota agli appartenenti al Comando di Polizia municipale tramite affissione in bacheca interna. Il Comune ha anche rappresentato che la bacheca era stata successivamente chiusa o rimossa e che erano state adottate misure per evitare il ripetersi di analoghe situazioni, tra cui la rimozione di tutte le bacheche del Comando, con esclusione di quelle sindacali.

Trattamento contestato e dati coinvolti

La nota oggetto del reclamo conteneva, oltre al contenuto della segnalazione, elementi ulteriori e non necessari rispetto alla questione di sicurezza sul lavoro, tra cui:

• il riferimento al fatto che il dipendente stesse fruendo di taluni benefici previsti dalla legge;
• l’indicazione che fosse rimasto assente dal servizio per un infortunio;
• osservazioni e giudizi del dirigente sulla complessiva condotta del reclamante.

L’Autorità ha ritenuto che la comunicazione di tali informazioni, specie quelle relative allo stato di salute, integrasse un trattamento di dati personali non necessario e illecito, perché reso conoscibile a soggetti privi di legittimazione al trattamento.

Qualificazione dei dati relativi alla salute

Il Garante ha ribadito il proprio consolidato orientamento secondo cui rientrano nei dati relativi alla salute anche le informazioni sull’assenza dal lavoro per malattia o infortunio, anche se non accompagnate dalla diagnosi. Ha richiamato al riguardo precedenti provvedimenti, le linee guida in materia di trattamento dei dati dei lavoratori in ambito pubblico e la giurisprudenza nazionale ed europea che interpreta in senso ampio la nozione di dati relativi alla salute.

Diffusione tramite bacheca interna

Un ulteriore profilo critico ha riguardato l’affissione della nota nella bacheca del Comando di Polizia locale, consultabile da tutto il personale. Il Garante ha ricordato che nei luoghi di lavoro non è lecito rendere disponibili a tutti i lavoratori dati personali concernenti salute, sfera privata o rapporto di lavoro. Nel caso concreto, la bacheca ha determinato la conoscibilità della nota da parte dell’intero personale del Comando, con conseguente diffusione illecita delle informazioni.

Violazioni accertate

L’Autorità ha dichiarato l’illiceità del trattamento per violazione di:

• art. 5, par. 1, lett. a), GDPR, in relazione ai principi di liceità e correttezza;
• art. 6 GDPR, per mancanza di una base giuridica adeguata;
• art. 9, par. 2, lett. b), GDPR, in materia di trattamento di categorie particolari di dati nel contesto del diritto del lavoro e della sicurezza sociale;
• art. 2-ter del Codice privacy.

Il Garante ha ritenuto che la questione di sicurezza sul lavoro avrebbe potuto essere trattata e portata all’attenzione dei vertici e del personale senza riferimenti nominativi e senza dettagli sulla situazione personale e sanitaria del dipendente.

Valutazione sulle misure correttive

Poiché la condotta aveva esaurito i propri effetti e il Comune aveva già adottato iniziative interne per rimuovere le bacheche, il Garante ha ritenuto che non vi fossero i presupposti per ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione amministrativa pecuniaria

In applicazione dell’art. 83 GDPR, il Garante ha considerato che la violazione derivava da un’unica condotta e che, trattandosi di violazioni rientranti nell’art. 83, par. 5, l’importo massimo astrattamente applicabile era quello previsto da tale disposizione. Ai fini della quantificazione concreta ha valutato:

• il numero limitato degli interessati coinvolti, pari a uno;
• la breve durata dell’affissione;
• la natura colposa della violazione;
• il fatto che i dati sanitari non riguardassero condizioni gravi;
• la presenza di giudizi e valutazioni potenzialmente lesivi della reputazione del dipendente;
• la dimensione del Comune;
• la cooperazione con l’Autorità;
• l’assenza di precedenti violazioni pertinenti.

All’esito, la sanzione è stata determinata in euro 2.500.

Ordinanza ingiunzione, pubblicazione e ricorso

Il Garante ha ordinato al Comune di pagare la sanzione pecuniaria di euro 2.500, precisando la facoltà di definizione agevolata ex art. 166, comma 8, Codice privacy, mediante pagamento entro 30 giorni della metà della sanzione. È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito web del Garante, nonché la pubblicazione del provvedimento e l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.