Prescrizioni del Garante n. 797 del 19/12/2024

Ministero della Difesa: comunicazione illecita di dati sanitari a ex difensore e archiviazione del profilo sui flussi interni

Il provvedimento riguarda un reclamo presentato da un dipendente del Ministero della Difesa in relazione alla gestione di dati personali, anche sanitari, nell’ambito di un procedimento di riconoscimento della causa di servizio e dell’equo indennizzo. L’Autorità ha accertato un invio per errore a un avvocato che non rappresentava più l’interessato, mentre ha archiviato la contestazione relativa alla circolazione di dati tra articolazioni interne del Ministero.

Origine del reclamo e attività istruttoria

Il reclamo ex art. 77 GDPR era fondato su due doglianze principali:

• la trasmissione da parte della Direzione Generale della Previdenza Militare e della Leva (PREVIMIL) di una nota avente ad oggetto la notifica di un decreto relativo alla causa di servizio/equo indennizzo a un avvocato che non era più il difensore del reclamante;
• l’invio di una nota contenente riferimenti a una sentenza del TAR a varie articolazioni del Ministero, ritenute dal reclamante soggetti non autorizzati al trattamento.

Nel corso dell’istruttoria, il Garante ha chiesto informazioni al Ministero e ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando in via preliminare violazioni degli artt. 5, par. 1, lett. a), 6, 9 GDPR e degli artt. 2-ter e 2-sexies del Codice. Il Ministero ha depositato memorie difensive, ma non ha chiesto di essere sentito.

Fatti accertati sulla comunicazione all’avvocato

Dalle verifiche è risultato che la PREVIMIL aveva trasmesso al Battaglione Sdi Nord del 3° Reggimento San Marco e all’avvocato una nota relativa alla consegna di un decreto e dei pareri del Comitato di Verifica per le Cause di Servizio. Il decreto allegato negava il riconoscimento della causa di servizio e respingeva l’istanza di equo indennizzo.

Il Ministero ha chiarito che l’avvocato aveva in precedenza rappresentato il reclamante in giudizio davanti al TAR, ma non nel successivo grado di appello dinanzi al Consiglio di Stato, e che la comunicazione era stata inviata per mero errore. Ha anche osservato che il destinatario era comunque soggetto al segreto professionale e che parte delle informazioni era già nota al difensore per effetto del precedente contenzioso.

Valutazioni del Garante sulla liceità del trattamento

L’Autorità ha ritenuto che la comunicazione dei dati personali del reclamante, inclusi quelli relativi allo stato di salute, all’avvocato che non lo rappresentava più fosse avvenuta in modo non conforme alla disciplina privacy. Il trattamento è stato quindi qualificato come illecito per violazione:

• del principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• dell’art. 6 GDPR, per assenza di una base giuridica idonea;
• dell’art. 9 GDPR, con riferimento ai dati relativi alla salute;
• degli artt. 2-ter e 2-sexies del Codice privacy.

Il Garante ha inoltre escluso che le spiegazioni del titolare fossero sufficienti a consentire l’archiviazione, ritenendo non ricorrenti i casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Profili archiviati

Diverso l’esito per la doglianza relativa alla circolazione di dati personali tra la Compagnia SDI Brindisi, la Brigata Marina San Marco e il 3° Reggimento San Marco. Il Ministero ha rappresentato che tali articolazioni erano gerarchicamente sovraordinate e già a conoscenza della sentenza richiamata, oltre a essere legittimate a conoscere alcuni dati nell’ambito del rapporto di servizio.

Sulla base di queste precisazioni, il Garante ha concluso che non vi fosse stata comunicazione a soggetti terzi non autorizzati e ha disposto l’archiviazione di questo specifico profilo ai sensi dell’art. 14 del Regolamento del Garante n. 1/2019.

Valutazione della gravità e scelta dell’ammonimento

Nel determinare la risposta sanzionatoria, il Garante ha considerato che:

• la violazione riguardava un solo interessato;
• la comunicazione era stata circoscritta a un unico destinatario;
• il destinatario era, in ogni caso, già a conoscenza di parte dei dati trattati;
• l’evento era dipeso da un errore umano, anche in considerazione della precedente corrispondenza tra le parti;
• il Ministero aveva cooperato con l’Autorità;
• esistevano precedenti violazioni pertinenti del titolare, pur in contesti diversi.

Alla luce di tali elementi, il caso è stato qualificato come "violazione minore" ai sensi dell’art. 83, par. 2, GDPR e del considerando 148. Il Garante ha quindi ritenuto sufficiente l’ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza imporre ulteriori misure correttive.

Dispositivo finale

Il provvedimento dispone:

• la dichiarazione di illiceità del trattamento effettuato dal Ministero della Difesa;
• l’ammonimento del Ministero per la violazione degli artt. 5, par. 1, lett. a), 6 e 9 GDPR, nonché degli artt. 2-ter e 2-sexies del Codice;
• l’archiviazione del profilo relativo ai flussi interni di dati tra articolazioni del Ministero;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità.

È inoltre richiamata la possibilità di ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011.