Ordinanza ingiunzione o revoca n. 496 del 26/10/2023

Regione Lombardia - pubblicazione online illecita di dati personali di lavoratori e dati sulla salute

Il provvedimento riguarda Regione Lombardia, destinataria di un’ordinanza ingiunzione per la pubblicazione sul proprio sito istituzionale di una delibera di Giunta e del relativo contratto di compravendita di partecipazioni sociali, con allegati contenenti dati personali di numerosi lavoratori di società operanti nel trasporto pubblico locale. L’istruttoria è stata avviata a seguito di segnalazione sindacale e ha riguardato una diffusione online protrattasi per un periodo significativo.

Origine del procedimento e contenuto dei documenti pubblicati

Dalla segnalazione e dagli atti acquisiti è emerso che, accedendo ai documenti pubblicati sul sito regionale, era possibile reperire elenchi nominativi di dipendenti con informazioni sul rapporto di lavoro, mansioni, qualifica, anzianità di servizio, retribuzione annua lorda, indennità, premi e contenziosi pendenti. In un caso erano presenti anche elementi idonei a far desumere informazioni sullo stato di salute dell’interessato.

Attività istruttoria e difese della Regione

La Regione ha riferito che la pubblicazione era avvenuta per adempiere a obblighi di trasparenza previsti dall’art. 22, comma 1, lett. d-bis, del d.lgs. 33/2013 e ha sostenuto che i dati riguardassero una transazione tra persone giuridiche, non il trattamento dei dati dei propri dipendenti. Ha inoltre richiamato il contesto emergenziale pandemico, la difficoltà organizzativa del periodo, la complessità dell’operazione e l’immediata rimozione dei documenti una volta emersa la criticità. Sono stati anche rappresentati il sistema interno di governance privacy, la presenza del DPO, la formazione del personale e l’avvio di ulteriori analisi sulla piattaforma di pubblicazione.

Quadro normativo richiamato dal Garante

L’Autorità ha richiamato i principi di liceità, minimizzazione, correttezza e responsabilizzazione del trattamento di cui all’art. 5 GDPR, nonché le basi giuridiche per il trattamento da parte di soggetti pubblici ex art. 6, par. 1, lett. c) ed e), e art. 6, par. 3, GDPR, recepite dall’art. 2-ter del Codice privacy. Per i dati relativi alla salute, il Garante ha richiamato l’art. 9 GDPR, l’art. 2-septies del Codice e il divieto di diffusione previsto dal comma 8 di tale articolo.

Valutazione sulla non applicabilità dell’art. 22 d.lgs. 33/2013

Il Garante ha escluso che l’art. 22, comma 1, lett. d-bis, del d.lgs. 33/2013 giustificasse la diffusione dei dati personali contenuti negli allegati. La disposizione, infatti, prevede la pubblicazione dei provvedimenti relativi a partecipazioni pubbliche, ma non autorizza la diffusione di dati individuali dei lavoratori, quali dati identificativi, inquadramento, retribuzione o contenziosi pendenti. La pubblicazione integrale degli allegati è stata quindi considerata priva di base giuridica idonea.

Dati sulla salute e divieto di diffusione

L’Autorità ha ritenuto che il riferimento a un contenzioso relativo al risarcimento di danni alla salute del lavoratore integrasse dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR. Tali dati, secondo il Codice privacy, non possono essere diffusi. Il Garante ha richiamato anche precedenti provvedimenti in materia e le proprie Linee guida del 15 maggio 2014 sulla pubblicità e trasparenza sul web.

Esito del procedimento e sanzione

Il Garante ha dichiarato l’illiceità del trattamento effettuato da Regione Lombardia per violazione degli artt. 5, 6, par. 1, lett. c) ed e), e 9 GDPR, nonché degli artt. 2-ter e 2-septies, comma 8, del Codice. Ha rilevato che, pur essendo stati i documenti rimossi e pur essendo cessata la condotta, ciò non escludeva la violazione già consumata. Considerati la delicatezza dei dati, l’ampiezza della diffusione, la durata della pubblicazione e i precedenti pertinenti, ha irrogato una sanzione amministrativa pecuniaria di 20.000 euro.

Misure accessorie e tutela giurisdizionale

In aggiunta alla sanzione, il Garante ha disposto la pubblicazione del provvedimento sul proprio sito web ai sensi dell’art. 166, comma 7, del Codice. È stato inoltre indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge.