Garante per la protezione
    dei dati personali


Comunicazione a terzi di datiriguardanti i dipendenti di una Regione

PROVVEDIMENTO DEL 10 OTTOBRE 2013

Registro dei provvedimenti
n. 443 del 10 ottobre 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTOil reclamo del 19 settembre 2012, presentato ai sensi dell'art. 142 del Codicedal Sindacato autonomo del Corpo forestale sardo nell'interesse di XY e KW,dipendenti della Regione Autonoma della Sardegna e appartenenti al Corpoforestale e di vigilanza ambientale (C.F.V.A.) della Regione, concernente iltrattamento di dati relativi alla salute dei reclamanti e di altri lavoratori;

VISTEle "Linee guida in materia di trattamento di dati personali di lavoratoriper finalità di gestione del rapporto di lavoro in ambito pubblico",adottate con provvedimento del 14 giugno 2007 (pubblicato nella G.U. n. 161 del13 luglio 2007);

ESAMINATAla documentazione in atti;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla prof.ssa Licia Califano;

PREMESSO

1.Con reclamo del 19 settembre 2012, XY e KW, appartenenti al Corpo forestale edi vigilanza ambientale (C.F.V.A.) della Regione Autonoma della Sardegna, hannolamentato la violazione della disciplina in materia di protezione dei datipersonali con riguardo all'inoltro, in data 20 luglio 2012, da parte delresponsabile del Settore affari generali, gestione del personale e risorsefinanziarie del Corpo ad una pluralità di destinatari – segnatamente a"tutte le Stazioni Forestali ricomprese nella giurisdizione delloStir" (Servizio territoriale ispettorato ripartimentale) di Sassari, allaBase Logistico Navale di Porto Torres nonché "all'indirizzo emailpersonale di diversi dipendenti alcuni dei quali interessati dalle visitespecialistiche" – di una comunicazione elettronica riguardante 32dipendenti, tra i quali i reclamanti medesimi. A detta comunicazione, trasmessaanche ai superiori gerarchici degli interessati, era allegata una tabellarecante i nominativi dei menzionati 32 lavoratori (tutti appartenenti allo Stirdi Sassari) che, su richiesta del medico competente, a seguito della visitamedica periodica (effettuata ai fini dell'accertamento dello stato di salute edidoneità alle mansioni, ai sensi dell'art. 41, comma 2, lett. b), d.lg. n.81/2008), avrebbero dovuto sottoporsi ad ulteriori accertamenti sanitari. Dettatabella riportava, per ciascuno dei dipendenti, il numero di matricola, la datadi nascita e il Servizio di appartenenza nonché "l'indicazione, perciascuno, delle ulteriori visite ed esami richiesti [quali, ad esempio, esamespirometrico, glicemia, esame delle urine, emoglobina glicata, visitacardiologica, CDT, etc.] e, per alcuni, della data e del luogo in cuieffettuarli" (cfr. reclamo p. 2 e all. n. 7, cit., nonché all. n. 11 notadel Corpo forestale del 14 marzo 2013).

Consuccessiva comunicazione del 23 luglio 2012, inviata però via fax, il direttoredello Stir avrebbe nuovamente trasmesso la medesima documentazione aicomandanti delle Stazioni forestali aventi in servizio i dipendenti interessatidalle visite mediche.

2.1.Nel riscontro fornito dal Corpo forestale alla richiesta di informazioniformulata dall'Ufficio, con la nota del 14 marzo 2013 è stato dichiarato che:

a. nelcorso dell'anno 2012 gli accertamenti sanitari ai sensi dell'art. 41, comma 2,d.lg. n. 81/2008 sono stati effettuati in convenzione con la dittaaggiudicataria del servizio (la Sintesi s.p.a.);

b."l'invio del personale agli accertamenti sanitari comporta [] lacomunicazione [] ai soggetti direttamente interessati nonché a tutti coloroche hanno nell'organizzazione del lavoro funzioni di gestione delpersonale";

c. conparticolare riferimento agli episodi oggetto di reclamo, lo Stir avrebbe"provveduto a consegnare in busta chiusa ai dipendenti gli esiti degli accertamentisanitari [] e al comandante il giudizio d'idoneità del dipendente" alfine di consentire che, nella predisposizione dei servizi, delle turnazioni edell'organizzazione del lavoro, si potesse tenere conto dei diversi giudizi diidoneità rilasciati per ciascun dipendente (giudizi che, secondo quantodichiarato, riportano le seguenti diciture: "idoneo" –"parzialmente idoneo" – "idoneo con limitazioni" –"inidoneo").

2.2.Con specifico riferimento all'episodio oggetto del reclamo, il titolare del trattamentoha quindi evidenziato il peculiare contesto entro il quale le comunicazionioggetto di reclamo hanno avuto luogo, rimarcando esigenze di tempestività nellapredisposizione dell'assetto organizzativo nel periodo estivo –considerato che dal 1 giugno al 15 ottobre vige in Sardegna lo "stato digrave pericolosità di incendi" (cfr. Delibera Giunta regionale n. 27/53del 19 giugno 2012) – e sottolineando la necessità di avvalersi delpersonale oggetto del reclamo il cui giudizio di idoneità veniva a scadere (peri più) lo stesso 20 luglio 2012.

Inquesta cornice, la "tardività dell'invio del calendario delle visitemediche" a cura della società aggiudicataria del servizio e la circostanzache nel pomeriggio di venerdì 20 luglio 2012 "anche l'ufficio delprotocollo fosse chiuso" avrebbero indotto il Comandante responsabiledello Stir, solo in servizio, ad "avvisare informalmente il personaleindicato nell'elenco e i responsabili delle strutture interessate" al finedi "organizzare le sostituzioni per garantire il servizioantincendio"; tanto in conformità al Contratto integrativo di lavoro peril corpo forestale (all. n. 8 alla nota del 14 marzo 2013, all'art. 7), in baseal quale i responsabili delle stazioni predispongono i turni di servizio ed iriposi del personale per la settimana successiva, entro il venerdì di ognisettimana.

2.3.Nel ribadire nelle proprie controdeduzioni il contenuto del reclamo e nelriportarsi alle doglianze ivi già rappresentate, i reclamanti hanno altresìdichiarato che (cfr. nota del 29 marzo 2013):

a."l'esigenza di celerità [] invocata dall'amministrazione [] avrebbe benpotuto essere soddisfatta attraverso strumenti diversi, rispettosi dei dirittie della dignità dei reclamanti";

b. in particolare,l'amministrazione avrebbe potuto contattare ciascuno degli interessati alproprio telefono personale come, stando a quanto dichiarato, avvenuto inprecedenti occasioni, atteso che i numeri di telefono del personale "sonoa disposizione delle Sale Operative dei Servizi Ispettorati Ripartimentali perqualunque necessità o emergenza";

c. inogni caso non appare giustificato l'invio della mail "anche alla caselladi posta elettronica istituzionale di Stazioni forestali non aventi personalein servizio interessato dalle visite specialistiche [senza avere] "almenocura di oscurare il tipo di esame prescritto".

3.1.In via preliminare deve rilevarsi che nel caso di specie risultano aver formatooggetto di comunicazione dati personali riferibili ai reclamanti (nonché airestanti dipendenti indicati nella menzionata tabella) rientranti nel noverodei dati sensibili – ed in particolare dati idonei a rivelare lo stato disalute degli interessati –, così come definiti all'art. 4, comma 1, lett.d), del Codice, considerato che non solo si è data comunicazione ad unapluralità di destinatari della necessità, rispetto a ciascuno dei lavoratori,di ulteriori accertamenti clinici conseguenti alla visita periodica previstadalla disciplina di settore, ma si sono altresì puntualmente indicati gliaccertamenti che avrebbero riguardato ciascuno degli interessati dai quali èpossibile inferire informazioni idonee a rivelarne lo stato di salute (inmerito alla nozione di dato relativo alle condizioni di salute cfr. Linee guidain materia di trattamento di dati personali di lavoratori per finalità digestione del rapporto di lavoro in ambito pubblico, punto 6.3; Provv.ti 27 giugno 2013, n. 315; 3 febbraio 2009; 7 luglio 2004/1 e 7 luglio 2004/2; v. anche Cass., 1 agosto 2013.

3.2.Come noto, la disciplina di protezione dei dati personali prevede, in lineagenerale, che il trattamento dei dati sensibili – da effettuarsi comunque"secondo modalità volte a prevenire violazioni dei diritti, delle libertàfondamentali e della dignità dell'interessato" (art. 22, comma 1, delCodice) –, possa essere effettuato da parte dei soggetti pubblici solo"se autorizzato da espressa disposizione di legge nella quale sonospecificati i tipi di dati che possono essere trattati e di operazionieseguibili e le finalità di rilevante interesse pubblico perseguite" (art.20, comma 1, del Codice).

Perquanto rileva nel caso di specie:

a. illegislatore ha individuato la richiesta "finalità di rilevante interessepubblico" nell'ambito della gestione dei rapporti di lavoro, conparticolare riferimento all'adempimento di "specifici obblighi o []compiti previsti dalla normativa in materia di igiene e sicurezza dellavoro" (cfr. art. 112, comma 2, lett. e), del Codice) tra i quali, sonoannoverate le operazioni di trattamento idonee a porre in essere misure necessarieper la tutela dell' "integrità psico-fisica dei lavoratori" comeprevisto, in dettaglio, dalla disciplina di settore in materia di igiene esicurezza dei luoghi di lavoro (cfr. artt. 25 e 41 ss. d.lg. n. 81/2008);

b. aisensi dell'art. 20, comma 2, del Codice, inoltre, i tipi di dati sensibili e dioperazioni eseguibili finalizzati al trattamento dei dati personali nell'ambitodella Regione Sarda, di cui il Corpo forestale e di vigilanza ambientale (corpotecnico con funzioni di polizia, per la tutela dell'ambiente naturale,istituito con la legge regionale 5 novembre 1985, n. 26) è struttura operativa(nell'ambito dell'Assessorato della Difesa dell'Ambiente della RegioneSardegna) sono stati individuati nell'Allegato A, scheda n. 2 (concernente l'instaurazionee gestione del rapporto di lavoro del personale) del Regolamento n. 1 del 26luglio 2007 (Regolamento per il trattamento dei dati sensibili e giudiziari).

3.3.Tuttavia, per le modalità comunicative utilizzate sopra descritte, iltrattamento dei dati dei dipendenti (e tra questi i reclamanti) –legittimamente effettuato dal Corpo limitatamente alle richiamate finalitàconcernenti la sicurezza sul luogo di lavoro − risulta essere inviolazione degli artt. 11, comma 1, lett. a) e 20, commi 1 e 2 del Codice (perprofili analoghi quanto alle modalità comunicative utilizzate, cfr. Provv. 2 marzo 2011).

Latipologia degli accertamenti medici richiesti per i reclamanti (e per ciascunodegli altri interessati) nell'ambito del procedimento per il rilascio delgiudizio di idoneità alla mansione specifica non può infatti, legittimamenteessere resa nota a terzi (art. 11, comma 1, lett. a), del Codice), né inveroalcuna necessità al riguardo sussisteva per definire il procedimentoconcernente ciascuno degli interessati (art. 11, comma 1, lett. d), delCodice).

Invero,i lavoratori destinatari della comunicazione oggetto di reclamo convocati pergli accertamenti ulteriori non avevano titolo alcuno per venire a conoscenzadegli (ulteriori) accertamenti clinici disposti in capo ai colleghi; tantomenosussistevano ragioni per mettere i lavoratori reciprocamente a conoscenza anchedella specifica natura degli accertamenti prescritti.

Né,peraltro, la comunicazione di tali circostanze (concernenti l'effettuazione diaccertamenti ulteriori e la loro natura) è prevista da norma di legge o dalmenzionato regolamento n. 1 del 2007, come richiesto invece dall'art. 20 commi1 e 2, del Codice.

Aciò si aggiunga che pure l'avvenuta trasmissione della tabella nominativa deisoggetti convocati a tutti superiori si pone in violazione del principio diindispensabilità, atteso che sarebbe stato sufficiente mettere a parte questiultimi del solo termine fissato per lo svolgimento degli accertamenti delpersonale di diretta collaborazione (tanto al fine di consentire il tempestivoapprontamento dei servizi, in conformità al principio di indispensabilità: cfr.art. 22, comma 3, del Codice), senza peraltro indicare la natura degliaccertamenti medesimi.

Diversamenteda quanto accaduto, sarebbe stato quindi rispettoso del diritto alla dignità,riservatezza e alla protezione dei dati di ciascuno degli interessatiprovvedere a comunicazioni individualizzate, avvalendosi di canali comunicativiindividuali per avvisare gli interessati– come sarebbe accaduto inpassato, secondo quanto rappresentato dai reclamanti –.

3.4.Peraltro, la necessità di particolari cautele nel trattamento di daticoncernenti le condizioni di salute (desumibile anche dall'art. 22, comma 7,del Codice), è stata da tempo evidenziata dal Garante anche nelle richiamateLinee guida in materia di trattamento di dati personali di lavoratori perfinalità di gestione del rapporto di lavoro in ambito pubblico, precisandosiche le amministrazioni devono "utilizzare forme di comunicazioneindividualizzata con il lavoratore, adottando le misure più opportune perprevenire la conoscibilità ingiustificata di dati personali, in particolare sesensibili, da parte di soggetti diversi dal destinatario [] (ad esempio,inoltrando le comunicazioni in plico chiuso o spillato; invitando l'interessatoa ritirare personalmente la documentazione presso l'ufficio competente;ricorrendo a comunicazioni telematiche individuali)" (punto 5.3 nondiversamente il punto 5.5 delle Linee guida in materia di trattamento di datipersonali di lavoratori per finalità di gestione del rapporto di lavoro alledipendenze di datori di lavoro privati, cit.) ed "adottare maggiori cautele se leinformazioni personali sono idonee a rivelare profili particolarmente delicatidella vita privata dei propri dipendenti".

Nellastessa sede, l'Autorità ha ribadito che, con specifico riguardo alla gestionedel rapporto di lavoro, "devono ritenersi in linea generale lecite lecomunicazioni a terzi di informazioni di carattere sensibile relative ad uno opiù dipendenti, quando esse siano realmente indispensabili per perseguire lefinalità di rilevante interesse pubblico connesse [] alla gestione di rapportidi lavoro da parte di soggetti pubblici di cui all'art. 112 del Codice",condizione che non ricorre nel caso di specie rispetto alla segnalatacomunicazione a terzi (cfr. par 5.1 Linee guida cit.; v. pure par. 8.1).

4.Ritenuta illecita per le ragioni illustrate la comunicazione dei dati sensibiliriferiti ai reclamanti e agli altri dipendenti interessati, deve prescriversial Corpo forestale e di vigilanza ambientale (C.F.V.A.) della Regione Autonomadella Sardegna, ai sensi degli artt. 143, comma 1, lett. b), e 154, comma 1,lett. c), del Codice, di adottare opportune misure, idonee a conformare iltrattamento dei dati personali, con particolare riferimento ai dati trattatiper finalità di gestione del rapporto di lavoro, specie se di natura sensibile,alla disciplina di protezione dei dati personali, anche alla luce delleindicazioni già formulate in via generale nelle Linee guida in materia ditrattamento di dati personali di lavoratori per finalità di gestione delrapporto di lavoro in ambito pubblico.

5.L'Autorità si riserva di valutare, con separato procedimento, gli estremi perla contestazione della violazione amministrativa prevista dall'art. 162, comma2-bis, del Codice.

TUTTO CIO' PREMESSO, IL GARANTE

ritenutaillecita la comunicazione di dati sensibili riferiti ai reclamanti nonché aglialtri dipendenti interessati descritta in narrativa, prescrive al Corpoforestale e di vigilanza ambientale (C.F.V.A.) della Regione Autonoma dellaSardegna, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c),del Codice, di adottare opportune misure, idonee a conformare il trattamentodei dati personali nell'ambito della gestione del rapporto di lavoro alladisciplina di protezione dei dati personali, anche alla luce delle indicazionigià fornite in via generale nelle Linee guida in materia di trattamento di datipersonali di lavoratori per finalità di gestione del rapporto di lavoro inambito pubblico.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 10 ottobre 2013

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia