Garante per la protezione
    dei dati personali


Pubblicazione sul sito web diun'Azienda per i servizi sanitari di una determinazione di recesso del contrattoindividuale di lavoro

PROVVEDIMENTO DEL 1 AGOSTO 2013

Registro dei provvedimenti
n. 382 del 1 agosto 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

ESAMINATAla segnalazione di XY;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTEle Linee guida in materia di trattamento di dati personali contenuti anche inatti e documenti amministrativi, effettuato da soggetti pubblici per finalitàdi pubblicazione e diffusione sul web del 2 marzo 2011 (pubblicate in G.U. n.64 del 19 marzo 2011);

VISTEle Linee guida in materia di trattamento di dati personali di lavoratori perfinalità di gestione del rapporto di lavoro in ambito pubblico del 14 giugno2007 (pubblicate in G.U. 13 luglio 2007, n. 161);

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla prof.ssa Licia Califano;

PREMESSO

1.1.XY ha lamentato la pubblicazione sul sito web dell'Azienda per i servizisanitari n. 2 ''Isontina'' di Gorizia della determinazione del direttoregenerale n. KW, con la quale veniva assunta la determinazione di recedere dalcontratto individuale di lavoro con il segnalante, dipendente in prova pressol'azienda medesima con funzioni di "collaboratore professionalesanitario-infermiere". Tale provvedimento, rimasto visibile in internet"per quindici giorni dal HH fino al ZZ", a detta del segnalanteconteneva nella parte motiva "gravi valutazioni professionali" che loriguardano (cfr. segnalazione del 28 dicembre 2011, cit.), in particolare la"relazione sull'operato del dipendente decorsa la prima metà del periododi prova" contenente una valutazione complessivamente negativasull'operato del medesimo (cfr. determinazione n. HJ, p. 1).

1.2.Nel dare riscontro alla richiesta di informazioni formulata dall'Ufficio, connota del 30 agosto 2012 l'azienda ha dichiarato che la diffusione dei dati inquestione per il tramite del sito web istituzionale risulta regolata dallalegislazione della Regione Friuli Venezia Giulia. In merito, l'art. 4 comma 1,L.R. 21 luglio 1992, n. 21, stabilisce che "tutte le deliberazioni deiDirettori generali delle aziende sanitarie regionali sono pubblicate entro settegiorni dalla data di adozione, mediante affissione all'albo, per quindicigiorni consecutivi, salvo specifiche disposizioni di legge". La piùrecente normativa ha stabilito che "gli obblighi di pubblicazione di attie provvedimenti amministrativi aventi effetto di pubblicità legale si intendonoassolti con la pubblicazione nei propri siti informatici da parte delleamministrazioni e degli enti pubblici obbligati" (art. 32, l. 18 giugno2009, n. 69).

Conspecifico riguardo al caso in esame, l'azienda ha altresì dichiarato che"l'atto deliberativo è stato pubblicato per 15 giorni [] esuccessivamente tolto dal sito informatico restando come unica traccianell'archivio informatico del sito consultabile dall'utenza solo l'oggetto delprovvedimento" (nota del 30 agosto 2012).

Quantoal contenuto dell'atto, al fine di giustificare l'articolato contenuto delprovvedimento oggetto di pubblicazione, l'azienda ha invocato il generaleprincipio secondo cui "ogni provvedimento amministrativo [] deve esseremotivato" (art. 3, l. n. 241/1990) e la norma contrattuale secondo cui"il recesso dell'amministrazione debba essere motivato" (art. 15 delCCNL del Comparto sanità del 1 settembre 1995).

1.3.A seguito delle verifiche effettuate è altresì emerso che nella sezione"albo aziendale on line" del sito web dell'Azienda, sono reperibilinella sezione "archivio" solo gli atti "la cui adozione èantecedente al KJ". Infatti alla determinazione n. KW è possibile risaliretuttora attraverso l'apposito motore di ricerca dell'albo aziendale on line:inserendo gli estremi identificativi dell'interessato si apre una schermata(denominata "dettaglio dell'atto") nella quale il testo integrale delprovvedimento non è più visibile ma ne viene riportato l'"oggetto"con espressa indicazione del nominativo del segnalante ("sig. XY, JJ, inservizio a tempo indeterminato. Risoluzione dal rapporto di lavoro decorsa lametà del periodo di prova"; cfr. documentazione in atti).

2.Con riguardo ai profili oggetto di segnalazione (cfr. par. 1.1) deve rilevarsiche, seppur per l'esclusivo arco temporale consentito dalla legge, ladeterminazione aziendale è stata diffusa sul web nella versione integrale,riportante l'espressa indicazione sia degli estremi identificativi delsegnalante che delle ragioni poste a fondamento della risoluzione del contrattodi lavoro. In merito, nelle Linee guida in materia di trattamento di datipersonali di lavoratori per finalità di gestione del rapporto di lavoro inambito pubblico del 14 giugno 2007 il Garante  ha precisato che "inpresenza di disposizioni legislative o regolamentari che prevedono forme dipubblicazione obbligatoria delle deliberazioni adottate dall'amministrazione odegli atti conclusivi di taluni procedimenti amministrativi occorre []valutare con attenzione le stesse tecniche di redazione dei provvedimenti edelle deliberazioni in materia di organizzazione del personale. Nel rispettodell'obbligo di adeguata motivazione degli atti amministrativi vanno pertantoselezionate le informazioni da diffondere alla luce dei princìpi di pertinenzae indispensabilità rispetto alle finalità perseguite dai singoli provvedimenti[]" (punto 6.3).

Allaluce delle considerazioni che precedono, pertanto, la pubblicazione sul sitoweb dell'Azienda per quindici giorni del testo integrale del provvedimento,riportante "in chiaro" l'identità del dipendente, è stata effettuatain violazione dei principi di pertinenza, e non eccedenza nel trattamento deidati personali (art. 11, comma 1, lett. d) del Codice; nello stesso senso haargomentato, confermando una decisione dell'Autorità, Cass. civ., Sez. I, 20luglio 2012, n. 12726 – confermando Provv. Garante 9 dicembre 2003, che ha ritenuto illecita la diffusione daparte di un comune delle generalità di un proprio dipendente nell'avvisopubblico di convocazione del consiglio comunale nel quale avrebbe formatooggetto di discussione una procedura esecutiva che lo riguardava).

3.1.Come evidenziato al par. 1.3., peraltro, nel caso di specie persiste ladiffusione di dati personali riferiti all'interessato, a rilevante distanza ditempo dall'adozione del provvedimento (e dalla sua pubblicazione) senza cherisultino giustificate dal titolare del trattamento le ragioni per le quali lamenzionata diffusione di dati personali debba prolungarsi (potenzialmente) sinedie.

Lacircostanza della persistente reperibilità tramite il sito istituzionaledell'Azienda di dati personali dell'interessato, segnatamente la conservazionenell'archivio dell'albo aziendale online (anch'esso accessibile via web) delriferimento al provvedimento con gli elementi identificativi del segnalante edel numero dell'atto determina, per il periodo eccedente i 15 giorni previstidalla disciplina di settore, una diffusione illecita di dati personali (artt.11, comma 1, lett. a) e 19 comma 3 del Codice).

Anchea questo proposito, nelle Linee guida in materia di trattamento di datipersonali contenuti anche in atti e documenti amministrativi, effettuato dasoggetti pubblici per finalità di pubblicazione e diffusione sul web, hachiarito che ai fini della verifica della liceità delle modalità dipubblicazione online di atti e documenti contenenti dati personali, "nelleipotesi in cui specifiche disposizioni di settore individuino determinatiperiodi di tempo per la pubblicazione di atti e provvedimenti amministrativi []i soggetti pubblici sono tenuti ad assicurare il rispetto dei limiti temporaliprevisti, rendendoli accessibili sul proprio sito web durante il circoscrittoambito temporale individuato dalle disposizioni normative di riferimento, ancheper garantire il diritto all'oblio degli interessati" e che,"trascorsi i [] periodi di tempo specificatamente individuati, determinatenotizie, documenti o sezioni del sito devono essere rimossi dal web o privatidegli elementi identificativi degli interessati ovvero, in alternativa, laddovel'ulteriore diffusione dei dati sia volta a soddisfare esigenze di caratterestorico-cronologico, gli stessi vanno sottratti all'azione dei comuni motori diricerca, ad esempio, inserendoli in un'area di archivio consultabile solo apartire dal sito stesso o in un'area ad accesso riservato" (cfr. par. 5.2,richiamato dal par. 6.B; cfr. anche Provv. n. 73 del 23 febbraio 2012).

3.2.Salve eventuali pretese risarcitorie del segnalante, da far valere avanti allacompetente autorità giudiziaria (art. 15 del Codice), deve pertanto esserevietato al titolare del trattamento, ai sensi degli artt. 143, comma 1, lett.c), 144 e 154, comma 1, lett. d) del Codice, di diffondere ulteriormente inInternet, mediante il sito web istituzionale, i dati personali riferiti alsegnalante oggetto di segnalazione.

4.L'Autorità si riserva di valutare, con separato provvedimento, gli estremi perla contestazione della violazione amministrativa prevista dall'art. 162, comma2-bis, del Codice.

5.In caso d'inosservanza del presente provvedimento, si renderanno applicabili lesanzioni (rispettivamente penale e amministrativa) di cui agli artt. 170 e 162,comma 2-ter del Codice.

TUTTO CIO' PREMESSO IL GARANTE

neiconfronti dell'Azienda per i servizi sanitari n. 2 ''Isontina'' di Gorizia:

a)  dichiaraillecito il trattamento dei dati nei termini indicati in motivazione essendostato effettuato in violazione degli artt. 11, comma 1, lett. a) e d) nonché 19comma 3 del Codice;

b)        vieta,ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d) delCodice, di diffondere ulteriormente in Internet, mediante il sito webistituzionale, i dati personali riferiti al segnalante oggetto di segnalazione.

Aisensi degli artt. 152 del Codice e 10, d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 1 agosto 2013

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia