Garante per la protezione
    dei dati personali


Lavoro: comunicazione di dati relativialle valutazioni personali e alle sanzioni disciplinari

PROVVEDIMENTO DEL 3 OTTOBRE 2013

Registro dei provvedimenti
n. 431 del 3 ottobre 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTOil reclamo del 14 marzo 2013 presentato da XY, concernente il trattamento didati personali riferiti all'interessata effettuato dall'Autorità portuale diBrindisi;

VISTEle "Linee guida in materia di trattamento di dati personali di lavoratoriper finalità di gestione del rapporto di lavoro in ambito pubblico",adottate con provvedimento del 14 giugno 2007 (pubblicato nella G.U. 13 luglio2007, n. 161);

ESAMINATAla documentazione in atti;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla dott.ssa Augusta Iannini;

PREMESSO

1.1.Con reclamo del 14 marzo 2013, XY, dipendente dell'Autorità portuale diBrindisi, ha lamentato la consegna ai propri colleghi di una copia di unprocesso verbale concernente il raggiungimento degli obiettivi oggetto dicontrattazione collettiva, contenente altresì, per quanto la riguarda, notevalutative e l'attestazione di due sanzioni disciplinari irrogatele. Ciòsarebbe avvenuto in occasione della consegna al personale delle busta paganelle quali venivano altresì liquidati gli "importi legati alriconoscimento di premi di produttività".

L'accadutorisulterebbe comprovato, a detta della segnalante, dalle sottoscrizioni apposteper ricevuta dalla "maggior parte dei dipendenti che prima dellareclamante avevano [] ricevuto la busta paga unitamente al [menzionato]processo verbale". In ragione dell'asserita consegna di detto verbale atutto il personale dell'Autorità portuale si sarebbe pertanto determinata un'indebitacircolazione nel contesto lavorativo dell'informazione concernente le inerziecontestatele e le due sanzioni disciplinari irrogatele, con pregiudizio per lastessa.

1.2.Al fine di verificare la liceità del trattamento di dati personali effettuatoed acquisire elementi idonei ad accertare la conformità alla disciplina diprotezione dei dati personali del trattamento oggetto della segnalazione,l'Ufficio ha formulato una richiesta d'informazioni nei confronti dellaAutorità portuale, la quale ha dichiarato che:

a. idati concernenti l'irrogazione delle sanzioni disciplinari riferite allareclamante sono necessari al fine di verificare gli obiettivi raggiunti e,quindi, pervenire alla quantificazione del premio di produzione in conformitàalla contrattazione collettiva di secondo livello;

b. dellaverifica degli obiettivi, in relazione al personale operante presso l'Autoritàportuale, si è dato conto nell'ambito del processo verbale redatto nella sedutadel 31 gennaio 2013;

c.nell'ambito dei procedimenti disciplinari l'Ente avrebbe "sempre garantitoil trattamento riservato dei dati personali adoperando forme di notificasigillate in busta chiusa e notificate con apposita relata per il tramitedell'ufficio personale e protocollo a ciò preposto";

d."la lamentata violazione del dato personale (due sanzioni disciplinariirrogate), presuntivamente realizzatasi perché conosciuta dai terzi, ovverodagli altri dipendenti che hanno ricevuto copia del verbale redatto daidirigenti, non sussiste perché l'Ente non ha svelato alcun dettaglio riferibilealla tipologia ed alle motivazioni dei provvedimenti disciplinari adottati,essendosi limitato a citare numericamente le "due sanzioni disciplinariirrogate". Tale dato, infatti, rende di per sé applicabile la decurtazionedell'emolumento legato alla produttività dei dipendenti";

e. lastessa ricorrente avrebbe reso noto nel contesto lavorativo l'esistenza deiprocedimenti disciplinari che l'hanno interessata "facendo acquisireufficialmente al protocollo dell'Ente, senza cautele di riservatezza [] notepersonali e difensive", essendo noto ai dipendenti "che l'accesso alprotocollo informatico è esteso a più soggetti, e non solo all'addetto allaprotocollazione". Al riguardo, la reclamante "ben avrebbe potutoconsegnare le proprie memorie e difese in busta chiusa al segretario generale oal dirigente del personale, evitando il passaggio "pubblico" delprotocollo";

f.l'art. 20, d.lg. 14 marzo 2013, n. 33, avrebbe, peraltro, incrementatonotevolmente gli obblighi di pubblicità anche in relazione ai premi dirisultato.

1.3.Nella nota di replica fatta pervenire dalla reclamante per il tramite delproprio legale, nel ribadire le ragioni di violazione della disciplina diprotezione dei dati personali, si contesta la non pertinenza, rispetto ai fattilamentati, del rispetto da parte dell'Autorità portuale delle modalità dicontestazione delle violazioni nel corso del procedimento disciplinare comepure la non rilevanza, nel caso di specie, della disciplina contenuta nell'art.20, d.lg. n. 33/2013.

2.1.Con riguardo ai fatti oggetto del reclamo – segnatamente in relazionealla non contestata consegna ai dipendenti dell'Autorità portuale delmenzionato verbale contenente informazioni riferite (anche) alla reclamante–, ritenuta applicabile la disciplina di protezione dei dati personali,deve ritenersi che abbia avuto luogo una comunicazione di dati personali inviolazione di legge (cfr. artt. 11, comma 1, lett. a) e 19, comma 3, delCodice) nonché secondo modalità non conformi al principio di pertinenza e noneccedenza nel trattamento dei dati (art. 11, comma 1, lett. d), del Codice).

Ancorchénon possa revocarsi in dubbio che l'Autorità portuale nel legittimoperseguimento della propria attività istituzionale debba tener conto delle eventualisanzioni disciplinari comminate al personale in sede di commisurazione delpremio di risultato, ciò non comporta che delle misure disciplinari adottatedebba essere data notizia a soggetti diversi dall'interessata in assenza di unaspecifica norma di legge o di regolamento che legittimi tale comunicazione (lacui sussistenza nel caso di specie non è stata peraltro neanche dedotta).

Nérileva, a tal fine, che siano state osservate nel corso del procedimentodisciplinare le garanzie procedimentali dettate dalla legge (che l'Autoritàportuale ha dichiarato di aver rigorosamente rispettato nei confronti dellareclamante).

2.2.Anche il richiamo all'art. 20, d.lg. n. 33/2013 deve ritenersi non pertinente,non solo perché tale previsione normativa non trovava applicazione al tempo incui i fatti oggetto del reclamo si sono verificati, ma anche considerato che,dal punto di vista contenutistico, la disposizione fa riferimento a formeaggregate (e non individualizzate) di pubblicazione dei dati riferiti ai premidi risultato erogati dalle amministrazioni.

2.3.Non diversamente, merita rilevare che già nelle "Linee guida in materia ditrattamento di dati personali di lavoratori per finalità di gestione delrapporto di lavoro in ambito pubblico" del 14 giugno 2007 il Garante haprecisato che "fuori dei casi in cui forme e modalità di divulgazione didati personali siano regolate specificamente da puntuali previsioni [],l'amministrazione deve utilizzare forme di comunicazione individualizzata conil lavoratore, adottando le misure più opportune per prevenire la conoscibilitàingiustificata di dati personali [] da parte di soggetti diversi daldestinatario, ancorché incaricati di talune operazioni di trattamento (adesempio, inoltrando le comunicazioni in plico chiuso o spillato; invitandol'interessato a ritirare personalmente la documentazione presso l'ufficiocompetente; ricorrendo a comunicazioni telematiche individuali)" (punto5.3).

2.4.Non merita infine accoglimento l'argomento, sollevato dall'Autorità portuale,concernente l'asserita partecipazione delle proprie vicende personali da partedella stessa reclamante attraverso l'avvenuta consegna al protocollo dell'Ente(in luogo del ricorso a modalità trasmissive alternative) delle proprie memoriedifensive a fronte delle contestazioni disciplinari indirizzatele, atteso chenon può ritenersi che mediante il deposito di scritti difensivi nell'ambito delprocedimento disciplinare (regolato secondo una rigida scansione temporale:cfr. art. 55 bis, comma 4, d.lg. 30 marzo 2001, n. 165) al personale incaricatodella protocollazione (peraltro tenuto al segreto d'ufficio) al fine di farrisultare la certa e tempestiva consegna di tale documentazione, la reclamanteabbia per ciò solo comunicato indiscriminatamente  vicende personali atutti i colleghi (sulla necessità di una corretto trattamento dei datipersonali anche attraverso il servizio di protocollo, cfr. Provv. 11 ottobre 2012, n. 280).

3.Ritenuta quindi illecita ai sensi degli artt. 11, comma 1), lett. a) e d) e 19,comma 3, del Codice, per le ragioni illustrate, la comunicazione di datipersonali riferiti alla reclamante in occasione della liquidazione del premiodi risultato ai dipendenti, segnatamente quelli concernenti le valutazionipersonali unitamente all'avvenuta irrogazione di due sanzioni disciplinari,deve essere prescritto all'Autorità portuale di adottare, in occasione dianaloghe operazioni di trattamento, forme di comunicazione individualizzata coni lavoratori circa vicende che li riguardano (conformemente a quanto previstonelle Linee guida in materia di trattamento di dati personali di lavoratori perfinalità di gestione del rapporto di lavoro in ambito pubblico), al fine diprevenire la conoscibilità ingiustificata di dati personali da parte disoggetti (nel caso di specie, colleghi) diversi dal destinatario.

4.L'Autorità si riserva di valutare, con separato procedimento, gli estremi perla contestazione della violazione amministrativa prevista dall'art. 162, comma2-bis, del Codice.

5.In caso d'inosservanza del presente provvedimento, si renderà applicabile lasanzione amministrativa di cui all'art. 162, comma 2-ter del Codice.

TUTTO CIO' PREMESSO, IL GARANTE

neiconfronti dell'Autorità portuale di Brindisi:

1. aisensi dell'art. 154, comma 1, lett.  b), del Codice, dichiara illecita aisensi degli artt. 11, comma 1), lett. a) e d) e 19, comma 3, del Codice lacomunicazione di dati personali riferiti alla reclamante, segnatamente quelliconcernenti le valutazioni personali unitamente all'avvenuta irrogazione di duesanzioni disciplinari, secondo le modalità descritte in narrativa in occasionedella liquidazione del premio di risultato ai dipendenti;

2.prescrive, ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett.c), del Codice, quale misura necessaria, di adottare, in occasione di analogheoperazioni di trattamento, forme di comunicazione individualizzata con ilavoratori circa vicende che li riguardano, al fine di prevenire laconoscibilità ingiustificata di dati personali da parte di soggetti diversi daldestinatario.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 3 ottobre 2013

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia