Prescrizioni del Garante n. 796 del 19/12/2024

Mater Olbia S.p.a. – comunicazione illecita di dati sulla fruizione dei permessi ex legge 104/1992 a una collega

Il provvedimento riguarda il trattamento di dati personali di una dipendente nell’ambito del rapporto di lavoro presso Mater Olbia S.p.a., a seguito di reclamo presentato per la divulgazione, via e-mail, dell’informazione relativa alla fruizione dei permessi/agevolazioni ex legge n. 104/1992. L’Autorità è intervenuta all’esito dell’istruttoria, qualificando la collega destinataria come soggetto terzo rispetto al trattamento.

Origine del procedimento

Il reclamo è stato presentato il 14 agosto 2023. La dipendente ha riferito che, l’11 agosto 2022, il responsabile aveva inviato una nota e-mail alla reclamante e a una collega per la pianificazione delle presenze nel periodo estivo, con un espresso riferimento alla fruizione dei benefici di cui alla legge 5 febbraio 1992, n. 104.

Attività istruttoria e difese del titolare

Nel corso dell’istruttoria la società ha sostenuto che:

• la comunicazione era stata inviata per redistribuire le presenze e garantire la copertura dell’ufficio;
• il riferimento alla legge 104/1992 era stato condiviso con un solo soggetto terzo, già a conoscenza dell’informazione;
• la reclamante avrebbe a sua volta condiviso informazioni analoghe con la collega;
• l’episodio sarebbe stato isolato e non si sarebbe ripetuto;
• non vi sarebbe stato un danno effettivo per l’interessata;
• la condotta del responsabile sarebbe dipesa da familiarità nei rapporti tra colleghi e non sarebbe ascrivibile a dolo o colpa del titolare;
• dopo l’episodio, la direzione avrebbe contattato la dipendente, sensibilizzato il responsabile e avviato un percorso formativo GDPR.

In audizione, la società ha inoltre rappresentato che la struttura era composta da soli due dipendenti e che avrebbe inviato una comunicazione a tutto il personale per prevenire analoghe violazioni.

Quadro normativo richiamato

Il Garante ha ricordato che, in ambito lavorativo, il datore di lavoro può trattare dati personali anche appartenenti a categorie particolari solo nei casi in cui ciò sia necessario per la gestione del rapporto di lavoro e per gli obblighi di legge, nel rispetto dei principi del GDPR e del Codice privacy. Sono stati richiamati, in particolare:

• gli artt. 5 e 25 GDPR;
• gli artt. 6, par. 1, lett. c) ed e), 9, par. 2, lett. b), 4, 88 GDPR;
• gli artt. 2-ter, 2-sexies e 2-quaterdecies del Codice privacy;
• le regole sulla necessità che il trattamento sia affidato solo a soggetti autorizzati.

L’Autorità ha inoltre richiamato le proprie linee guida del 14 giugno 2007 sul trattamento dei dati dei lavoratori e il provvedimento n. 146 del 5 giugno 2019 sulle prescrizioni relative ai dati particolari, secondo cui, quando si comunicano presenze e assenze ai colleghi, non devono essere esplicitate le causali da cui sia possibile desumere dati particolari, neppure mediante acronimi o sigle.

Valutazione del Garante sulla violazione

Secondo il Garante, il responsabile ha fatto esplicito riferimento alla fruizione da parte della dipendente delle agevolazioni della legge 104/1992, trasmettendo tale informazione anche a una collega che non aveva necessità di conoscerla per ragioni di servizio.

L’Autorità ha chiarito che il mero richiamo alla legge 104/1992 può rivelare informazioni sullo stato di salute di una persona, poiché tale normativa è notoriamente collegata a benefici e garanzie per persone con disabilità o loro familiari. Ha quindi escluso che la possibile conoscenza informale della circostanza da parte della collega o la presenza di un clima di familiarità tra i dipendenti escludessero la responsabilità del titolare.

È stato ribadito che le esigenze organizzative e di copertura del servizio non possono giustificare la comunicazione ai colleghi delle specifiche causali di assenza, quando esse consentano di inferire dati particolari.

Esito del procedimento e qualificazione della condotta

Il Garante ha ritenuto accertata la violazione degli artt. 5, par. 1, lett. a), 6 e 9, par. 2, lett. b), GDPR e dell’art. 2-ter del Codice privacy, qualificando la condotta come comunicazione illecita di dati personali a un soggetto terzo privo di necessità di conoscerli.

Pur confermando l’illiceità del trattamento, l’Autorità ha valutato il caso come violazione minore, valorizzando:

• il fatto che la comunicazione sia stata indirizzata a una sola persona;
• il coinvolgimento di un solo interessato;
• il contesto relazionale caratterizzato da familiarità;
• la natura isolata dell’episodio;
• l’assenza di precedenti violazioni o provvedimenti analoghi;
• la cooperazione del titolare durante l’istruttoria;
• le misure spontaneamente annunciate o adottate per prevenire recidive.

Provvedimenti adottati

In conclusione, il Garante ha:

• dichiarato l’illiceità del trattamento effettuato da Mater Olbia S.p.a.;
• ammonito la società ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• escluso ulteriori misure correttive, ritenendo esauriti gli effetti della condotta;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità.

Non è stata irrogata una sanzione pecuniaria, poiché la risposta dell’Autorità è stata limitata all’ammonimento, in considerazione della complessiva tenuità del caso e dei criteri di cui all’art. 83, par. 2, GDPR e al cons. 148.