Garante per la protezione
    dei dati personali


Lavoro: comunicazione a terzi didocumentazione contenente dati sensibili

PROVVEDIMENTO DEL 27 GIUGNO 2013

Registro dei provvedimenti
n. 315 del 27 giugno 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTAla segnalazione del 29 febbraio 2012 proposta da XY concernente il trattamentodi dati personali riferiti all'interessata effettuato dall'Università degliStudi di QQ;

VISTEle "Linee guida in materia di trattamento di dati personali di lavoratoriper finalità di gestione del rapporto di lavoro in ambito pubblico",adottate con provvedimento del 14 giugno 2007 (pubblicato nella G.U. 13 luglio2007, n. 161);

ESAMINATAla documentazione in atti;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla prof.ssa Licia Califano;

PREMESSO

1.XY, professore associato presso la Facoltà di HH dell'Università degli Studi diQQ, ha lamentato la violazione della disciplina in materia di protezione deidati personali in relazione all'indebita comunicazione a terzi didocumentazione contenente dati personali a sé riferiti ritenuti avere naturasensibile.

Inparticolare, a detta della segnalante, il professore KW, docente presso diversaFacoltà dell'Ateneo, sarebbe venuto in possesso di copia di un decretorettorale (prodotto in atti), con il quale era stata disposta a favoredell'interessata la collocazione in "interdizione dal lavoro" (e,quindi, in "congedo per maternità") ai sensi dell'art. 17, comma 2,lett. a), d.lg. 26 marzo 2001, n. 151 (Testo unico delle disposizioni inmateria di tutela e sostegno della maternità e della paternità, a normadell'articolo 15 della l. 8 marzo 2000, n. 53). Copia del menzionato decretorettorale, infatti, sarebbe stata allegata dal professor KW alla richiesta diaffidamento dell'insegnamento che si sarebbe reso vacante, dallo stessopresentata "senza aspettare che il Preside, una volta verificatal'indisponibilità di colleghi interni alla Facoltà a ricoprire la vacanza,emanasse il bando di affidamento per supplenza" (cfr. segnalazione, p. 2).

2.A fronte delle richieste d'informazione formulate dall'Ufficio nei confrontidell'Università, è stato inizialmente dichiarato che del menzionato decretorettorale sarebbe stata data comunicazione al solo personale dell'Università(indicato nella menzionata comunicazione del 20 aprile u.s.) legittimato aprenderne conoscenza in ragione delle funzioni svolte nell'organizzazionedell'attività didattica e di ricerca nonché nell'ambito della gestione delrapporto di lavoro (cfr. nota 20 aprile 2012).

Aseguito di approfondimenti, effettuati dall'Ateneo anche mediante un'apposita"Commissione preposta a verificare il rispetto della vigentenormativa" (di cui si è data notizia con nota del 20 settembre 2012), èstato successivamente precisato che (cfr. comunicazione del 18 ottobre 2012):

a. latrasmissione del menzionato decreto rettorale sarebbe avvenuta nei confronti di"persone preposte, sulla base di provvedimenti formali, alle unità organizzativenel cui ambito di competenza ricadeva il trattamento stesso in relazione adadempimenti da porre in essere con riguardo all'organizzazione della didatticae della ricerca nonché alla gestione del rapporto di lavoro"; talepersonale opererebbe in base a norme regolamentari (Regolamento sul trattamentodei dati sensibili e giudiziari emanato da JX) "che individuano periscritto l'ambito del trattamento consentito" e che, con riguardo al casodi specie, "prevede la possibilità di trattamento di dati inerenti lostato di salute per esigenze di maternità da parte degli uffici [] competenti[] per finalità di gestione del rapporto di lavoro del personaledocente";

b. laFacoltà di HH e i Dipartimenti XX e YY, "pur essendo strutture autonome,costituivano il cd polo di HH" e la quasi totalità dei "docentiafferenti ai due dipartimenti erano anche incardinati nella Facoltà di HH ecomponenti, quindi, del Consiglio di Facoltà";

c. unacomunicazione sarebbe stata "inviata dalla segreteria della Facoltà di HH[] al [] direttore del Dipartimento di YY" che, a sua volta, "hacomunicato il decreto di che trattasi al prof. KW (in servizio presso la Facoltàdi ZZ ma, per affinità scientifica, afferente al Dipartimento YY) ad esclusivifini istituzionali, per provvedere alla copertura dell'insegnamento chel'assenza della prof.ssa XY avrebbe lasciato vacante";

d. tantosarebbe avvenuto "in ossequio al principio statutario che richiede aldipartimento di concorrere alle attività didattiche mettendo a disposizioneproprie risorse e in considerazione della circostanza che il prof. KW fossel'unico docente del Dipartimento afferente al medesimo settore scientificodisciplinare [della segnalante]";

e. ilprof. KW, senza attendere l'emanazione del bando di affidamento dellasupplenza, "ha inviato alla Preside della Facoltà di HH (e per conoscenzaalla Preside della Facoltà di ZZ, a cui il medesimo afferiva) la propriaistanza di affidamento di incarico didattico, allegando il d.r. n.779/2011";

f. la segreteria amministrativa della Facoltà di HH "ha trasmesso l'istanzadel prof. KW, allegando inavvertitamente il decreto in questione, a tutti icomponenti del Consiglio della Facoltà di HH in quanto la predetta istanza erastata posta dalla preside all'ordine del giorno della successiva seduta delConsiglio stesso".

3.Nel ribadire il contenuto della segnalazione e nel riportarsi alle doglianzeivi già rappresentate, l'interessata nelle proprie controdeduzioni (cfr. notadel 5 novembre 2012) ha dichiarato altresì che:

a. ilc.d. polo di HHa non è "tra le strutture preposte al trattamento [] deidati personali";

b. allaluce degli artt. 44, 48 e 52 dello Statuto dell'Università di QQ "il ruoloprimario [] nell'organizzazione della didattica [spetterebbe] alle Facoltà[mentre] un ruolo complementare [competerebbe ai] Dipartimenti";

c. altridocenti nell'ambito dell'Ateneo, afferenti al medesimo settore scientificodisciplinare e nei cui confronti il decreto rettorale non sarebbe statotrasmesso, pure avrebbero avuto interesse a conoscere la vacanzadell'insegnamento (cfr. nota del 5 novembre 2012, cit.);

d. inogni caso, di non ravvedere la "necessità di consegnare al prof. KW ildecreto rettorale nella sua interezza [] diffondendo informazioni per lasottoscritta molto delicate";

e. conriguardo a quanto dichiarato dall'Università circa il fatto che "ildocumento è stato oggetto di comunicazione interna all'amministrazione"(cfr. nota 18 ottobre 2012 cit.), non per ciò solo ciascun dipendentedell'Università potrebbe legittimamente venire a conoscenza di vicendepersonali di altri dipendenti.

4.In via preliminare deve rilevarsi che nel caso di specie risultano aver formatooggetto di trattamento dati personali riferibili alla segnalante rientranti nelnovero dei dati sensibili, così come definiti all'art. 4, comma 1, lett. d),del Codice.

Leinformazioni relative all'"interdizione dal lavoro" della segnalanteper le ragioni previste dal menzionato art. 17 comma 2, lett. a), d.lg. n.151/2001 – disposizione espressamente richiamata nel decreto rettorale –fanno infatti riferimento a "gravi complicanze della gravidanza o [a]persistenti forme morbose che si presume possano essere aggravate dallo statodi gravidanza", fattispecie in relazione alla quale i competenti ufficidella Direzione Provinciale del Lavoro e della Asl "dispongono []l'interdizione dal lavoro delle lavoratrici in stato di gravidanza fino alperiodo di astensione [c.d. obbligatoria]" (ex art. 17, comma 2, d.lg. n.151/2001; in merito alla nozione di dato concernente le condizioni di salutecfr. Provv. 14 giugno 2007, n. 23, Linee guida in materia di trattamento didati personali di lavoratori per finalità di gestione del rapporto di lavoro inambito pubblico, punto 6.3; Provv. 3 febbraio 2009; Provv.ti 7 luglio 2004e 7 luglio 2004).

5.1.I dati sensibili in questione (desumibili dal menzionato decreto rettorale),che legittimamente possono essere trattati dalle competenti funzionidell'Ateneo per la dichiarata finalità di "gestione del rapporto dilavoro" (cfr. artt. 11, comma 1, lett. a), 20, comma 1 e 112, comma 1, delCodice) – ed in relazione al quale il Regolamento dell'Universitàconcernente il trattamento dei dati sensibili e giudiziari (pubblicato inhttp://www....), nel descrivere il "flusso informativo dei dati",individua (in particolare alla scheda A), in conformità all'art. 20, comma 2,del Codice, il tipo di dati sensibili, le operazioni eseguibili nonché isoggetti che le possono porre in essere in ragione delle mansioni svolte –non potevano invece formare legittimamente oggetto di comunicazione a vantaggioterzi. In particolare, nel caso di specie, non potevano essere comunicati adaltro docente (indipendentemente dalla Facoltà di appartenenza dello stesso),non avendo questi titolo alcuno a trattarli per la menzionata finalità digestione del rapporto di lavoro (rientrante invece, come detto, nelleattribuzioni del personale amministrativo dell'Università a tal fine incaricatodel trattamento).

Aciò va aggiunto che – al di là del profilo della lamentata presentazionedella domanda di assegnazione dell'incarico di insegnamento anteriormente allaformulazione di apposito bando e prima che altri soggetti potessero venire aconoscenza di tale opportunità (aspetti che non rilevano ai fini delladisciplina di protezione dei dati personali) – la comunicazione dei datisensibili riferiti alla segnalante è altresì avvenuta in violazione delprincipio di necessità (cfr. art. 11, comma 1, lett. d) e 22, comma 3 delCodice), non essendo indispensabile ai fini dell'assegnazione dell'incaricoresosi vacante mettere terzi a conoscenza delle motivazioni, nel caso di specieinerenti alle condizioni di salute dell'interessata, sottese alla vacanzadell'insegnamento.

5.2.Per le stesse ragioni deve ritenersi illecita anche la successiva comunicazionedei medesimi dati sensibili a tutti i componenti del Consiglio di Facoltàchiamati a deliberare in ordine all'assegnazione dell'insegnamento realizzatasimettendo (nuovamente) a disposizione degli stessi il menzionato decretorettorale, riprodotto dalla segreteria di Facoltà unitamente alla domanda delprofessor KW.

5.3.La necessità di particolari cautele nel trattamento di dati concernenti lecondizioni di salute (desumibile anche dall'art. 22, comma 7, del Codice),peraltro, è stata da tempo evidenziata dal Garante anche nelle richiamate Lineeguida in materia di trattamento di dati personali di lavoratori per finalità digestione del rapporto di lavoro in ambito pubblico, precisandosi che leamministrazioni "devono adottare maggiori cautele se le informazioni personalisono idonee a rivelare profili particolarmente delicati della vita privata deipropri dipendenti" (quali ben possono essere quelle concernenti lo statodi salute). Nella stessa sede, l'Autorità ha ribadito che, con specificoriguardo alla gestione del rapporto di lavoro, l'amministrazione deveindividuare i soggetti che possono venire lecitamente a conoscenza di taliinformazioni, che devono essere in ogni caso designati incaricati oresponsabili del trattamento (artt. 29 e 30 del Codice) con la necessariaadozione di "particolari cautele anche nelle trasmissioni di informazionipersonali che possono intervenire tra i medesimi incaricati o responsabilinelle correnti attività di organizzazione e gestione del personale. In taliflussi di dati occorre evitare, in linea di principio, di fare superfluiriferimenti puntuali a particolari condizioni personali riferite a singolidipendenti, specie se riguardanti le condizioni di salute, selezionando leinformazioni di volta in volta indispensabili, pertinenti e non eccedenti(artt. 11 e 22 del Codice) [] come pure riportare tali informazioni –quale presupposto degli atti adottati – solo nei provvedimenti messi adisposizione presso gli uffici per eventuali interessati e controinteressati(limitandosi quindi a richiamarli anche nelle comunicazioni interne e indicandogli estremi o un estratto del loro contenuto)" (cfr. par 5.1 Linee guidacit.).

6.Ritenuta illecita per le ragioni illustrate la comunicazione dei dati sensibiliriferiti alla segnalante dapprima al professor KW (par. 5.1) nonché aicomponenti del Consiglio di Facoltà (par. 5.2) e riservata la verifica, conautonomo procedimento, dei presupposti per l'eventuale contestazione dellaviolazione amministrativa di cui all'art. 162, comma 2-bis del Codice, deveprescriversi all'Università degli Studi di QQ, ai sensi degli artt. 143, comma1, lett. b), 144 e 154, comma 1, lett. c), del Codice, di adottare misureidonee volte a conformare il trattamento dei dati personali, con particolareriferimento ai dati trattati per finalità di gestione del rapporto di lavoro especie se di natura sensibile, alla disciplina di protezione dei datipersonali, anche alla luce delle indicazioni già formulate in via generalenelle Linee guida in materia di trattamento di dati personali di lavoratori perfinalità di gestione del rapporto di lavoro in ambito pubblico.

TUTTO CIO' PREMESSO, IL GARANTE

ritenutaillecita la comunicazione di dati sensibili riferiti alla segnalante avvenutasecondo le modalità indicate in narrativa, prescrive all'Università degli Studidi QQ, ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett.c), del Codice, di adottare misure idonee volte a conformare il trattamento deidati personali nell'ambito della gestione del rapporto di lavoro alladisciplina di protezione dei dati personali, anche alla luce delle indicazionigià fornite in via generale nelle Linee guida in materia di trattamento di datipersonali di lavoratori per finalità di gestione del rapporto di lavoro inambito pubblico.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 27 giugno 2013

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia