Garante per la protezione
    dei dati personali


Trasmissione a terzi di dati personalidel dipendente da parte del datore di lavoro

PROVVEDIMENTO DEL 5 DICEMBRE 2013

Registro dei provvedimenti
 n. 545 del 5 dicembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTAla segnalazione presentata da XY, concernente la comunicazione di datipersonali riferiti all'interessata effettuata dal Tribunale di Barcellona Pozzodi Gotto;

VISTEle "Linee guida in materia di trattamento di dati personali di lavoratoriper finalità di gestione del rapporto di lavoro in ambito pubblico",adottate con provvedimento del 14 giugno 2007 (pubblicato nella G.U. 13 luglio2007, n. 161).

ESAMINATAla documentazione in atti;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla dott.ssa Augusta Iannini;

PREMESSO

1.XY, dipendente del Ministero della Giustizia presso il Tribunale di BarcellonaPozzo di Gotto e (al tempo dei fatti oggetto di segnalazione) in servizio aRoma presso Equitalia Giustizia S.p.A. (ai sensi dell'art. 23 bis, comma 7,d.lg. 30 marzo 2001, n. 165 e al relativo protocollo d'intesa in esecuzionedella convenzione con il Ministero della Giustizia stipulata il 23 settembre2010), ha lamentato la violazione della disciplina in materia di protezione deidati personali con riguardo alle modalità impiegate per trasmetterledocumentazione di carattere personale, sì da consentire a terzi di prendernevisione. In particolare, il dirigente amministrativo del Tribunale diBarcellona Pozzo di Gotto avrebbe indirizzato all'Ufficio del personale dellasocietà una mail (all'indirizzo di posta elettronica certificata"risorseumane@pcert.equitaliagiustizia.it", recante in oggetto"scheda valutazione anno 2010-dott.ssa XY") – il cui allegato(in formato pdf) conteneva una scheda di valutazione prodromica allavalutazione definitiva concernente la segnalante (ai fini della distribuzionedel Fondo Unico di Amministrazione per l'anno 2010)–, "con esplicitarichiesta di provvedere alla comunicazione e al rinvio con attestazionedell'avvenuta consegna" (cfr. segnalazione, p. 1); tale comportamentosarebbe stato reiterato anche in successive comunicazioni relative alprocedimento di valutazione (cfr. all. nn. 2 e 3 alla segnalazione).

Adetta della segnalante, tali modalità di trasmissione − utilizzatenonostante l'interessata avesse in uso un numero di telefonia mobile,"fornito dalla Amministrazione [] e di cui il Tribunale, segreteria delpersonale, è a conoscenza" e disponesse di un indirizzo di postaelettronica personale presso la società – si porrebbero in violazionedella disciplina di protezione dei dati personali in quanto terzi sarebberostati indebitamente resi edotti "del giudizio di valutazione professionaleespresso" (cfr. segnalazione, p. 3).

Lelamentate modalità di trasmissione sarebbero inoltre in contrasto con l'art. 14dell'accordo sindacale "per la definizione dei criteri e del procedimentoper la valutazione del personale nell'anno 2010" ai finidell'distribuzione del Fondo Unico di Amministrazione, in base al quale"nell'ambito di ciascuna unità organizzativa, all'esito del periodo divalutazione, l'Organo valutatore, prima della determinazione definitiva,comunica a ciascun dipendente la scheda di valutazione" al fine diconsentire al destinatario, nei successivi dieci giorni, di contestarne ilcontenuto (cfr. art. 14, accordo del 10 novembre 2011).

Nelcorso del procedimento l'interessata ha inoltre dichiarato che il Tribunalesarebbe stato a conoscenza dei propri recapiti personali – "indirizzodi residenza, numero telefonico-sim card convenzione Consip, indirizzo emailpersonale sito giustizia [cui la stessa sarebbe ancora "abilitata"per le comunicazioni d'ufficio], numero telefono fisso di residenza, numerotelefonico mobile privato, mai modificati, neppure a seguito della temporaneaassegnazione alla società Equitalia giustizia" – e di essere tuttora"dipendente del Ministero della giustizia con sede di servizio presso ilTribunale di Barcellona P.G. essendo semplicemente assegnata temporaneamente,ai sensi dell'art. 23 bis comma 7 d.lg. 165/2001" presso Equitalia (cfr.nota del 9 maggio 2012 nonché nota 5 giugno 2012).

2.1.Nel riscontro fornito con la nota del 26 aprile 2012 il Tribunale ha dichiaratoche:

a)l'interessata avrebbe "interrotto qualsivoglia forma di contatto" conil Tribunale, "omettendo di comunicare [] le modalità con cui potevaessere eventualmente rintracciata";

b) ovela stessa "fosse stata dotata di Pec personale, e tale Pec fosse stata aconoscenza di quest'ufficio, l'invio della documentazione elettronica con dettomezzo avrebbe fornito al mittente, prova con valenza legale, dell'avvenutoinvio e consegna di tale documentazione";

c) inbase all'accordo del 24 novembre 2011 sull'utilizzazione del fondo unico diamministrazione per l'anno 2010, le schede di valutazione devono esserecomunicate al dipendente "non oltre il 31 dicembre 2011", firmate perpresa visione dagli interessati,

d) in data 23 dicembre 2012, "in assenza [] di qualsivoglia recapitopersonale presso l'Ufficio di distacco [è stata] inviata via pec alla []amministrazione del personale di Equitalia giustizia S.p.A. la nota prot. 2489contenente in allegato la scheda di valutazione della [segnalante] perché ildetto Ufficio ne curasse la consegna alla diretta interessata";

e) indata 28 dicembre 2011 [] la società rappresentava che la segnalante"poiché assente dall'ufficio" avrebbe preso "visione dellascheda all'atto del rientro in servizio";

f)"in data 3 gennaio 2012 giungeva all'Ufficio raccomandata A/R datata 30dicembre 2011 con la quale la [segnalante] contestava la valutazione";

g) soloin data 25 gennaio 2012 a seguito di ulteriori solleciti per le vie brevi alresponsabile dell'Ufficio del personale della società, "Equitaliatrasmette via e-mail la scheda di valutazione sottoscritta dalla[segnalante]";

h) né ilmenzionato accordo sindacale, né la nota ministeriale a questo allegatapreciserebbero le modalità di trasmissione delle schede valutative;

i)Equitalia "è da equipararsi ad una pubblica amministrazione, essendocostituita con capitale pubblico e svolgendo un pubblico servizio;

j) il Tribunale si sarebbe limitato a "comunicare per il tramite della pecdell'ufficio che cura la gestione del personale [] informazioni attinentil'attività lavorativa e non la sfera personale o la vita privata";

k) iltrattamento effettuato sarebbe "avvenuto per lo svolgimento delle funzioniistituzionali" (ai sensi dell'art. 18 comma 2 del Codice), "nelrispetto del principio di necessità e di pertinenza e non eccedenza (art. 11d.lg. cit.) per le finalità e gli scopi previsti dall'accordo" nonché inconformità di quanto stabilito dall'art. 16 bis della legge 2/2009 (diconversione del d.l. n. 185/2008) secondo cui ogni amministrazione pubblicautilizza la posta elettronica certificata "con effetto equivalente, ovenecessario, alla notificazione per mezzo posta, per le comunicazioni e lenotificazioni aventi come destinatari dipendenti della stessa o di altraamministrazione pubblica".

Concomunicazione integrativa del 29 maggio 2012 il Tribunale ha precisato che:

a) Equitalia provvederebbe "alla gestione della unità lavorativa del punto divista amministrativo (articolazione dell'orario di lavoro, concessione ferie,permessi retribuiti etc.)[] espleta, pertanto, compiti propri del datore dilavoro e non di terzo";

b)l'interessata, ricevuta la scheda di valutazione "avrebbe potuto procederealla stampa cartacea della scheda di valutazione ed invio della stessa[mediante] raccomandata A/R";

c) nonavendo ricevuto "nessun recapito in Roma o indirizzo pec o email semplice,non restava [] altra scelta che l'utilizzazione della pec dell'ufficiopersonale di Equitalia Giustizia per le ulteriori comunicazioni".

2.2.Il Ministero della Giustizia, presso il quale pure sono stati acquisitielementi in relazione alla vicenda, ha dichiarato che la segnalazione concerne"dati inerenti la gestione del rapporto di lavoro, in quanto tali rimessialla competenza esclusiva del dirigente amministrativo" (cfr., artt. 17comma 1, lett. e), d.lg. n. 165/2001 e art. 2 d.lg. n. 240/2006) ritenendoaltresì, con riguardo ai trattamenti in esame, che "le articolazionicentrali e periferiche di questo Ministero, in qualità di titolare deltrattamento dei dati personali dei propri dipendenti, risultano destinatariedelle previsioni contenute nel d.m. n. 306 del 12 dicembre 2006 [] e delleLinee guida in materia di trattamento dei dati personali di lavoratori perfinalità di gestione del rapporto di lavoro in ambito pubblico [.]".

3.1.Con riguardo al caso di specie, deve in anteparte chiarirsi che, diversamenteda quanto rappresentato dal Ministero della Giustizia, è quest'ultimo a doversiritenere titolare del trattamento effettuato nel caso di specie da parte dellaDirezione amministrativa del Tribunale di Barcellona Pozzo di Gotto.

Itrattamenti in esame, ancorché materialmente effettuati dal personaleamministrativo del Tribunale (conformemente al riparto delle competenzeamministrative previsto dall'art. 2, comma 1, d.lg. n. 240/2006), fanno capo,quanto alla loro titolarità, al Ministero della Giustizia. Ciò inconsiderazione del fatto che (cfr. art. 4, comma 1, lett. f), del Codice), inattuazione della disciplina vigente, il Ministero decide le finalità deltrattamento effettuato presso ogni Ufficio giudiziario (ivi compreso quello diBarcellona Pozzo di Gotto) e le modalità del trattamento. In proposito emergedalal documentazione acquisita che "la definizione dei criteri e delprocedimento per la valutazione del personale nell'anno 2010" ai finidella distribuzione del Fua sono stati concordati dal Ministero medianteapposito accordo sindacale del 12 novembre 2010 e che con successivo accordodel 10 novembre 2011 sono state condivise le condizioni economiche concernentil'utilizzazione del Fua per il 2010.

Neltrasmettere quest'ultimo accordo agli Uffici giudiziari periferici, meriattuatori delle misure così stabilite, il Dipartimento dell'organizzazionegiudiziaria del personale e dei servizi del Ministero ha peraltro impartitoistruzioni e chiarimenti in ordine alle concrete modalità di svolgimento delprocedimento di valutazione in questione (e quindi delle conseguenti operazionidi trattamento), nonché in relazione ai criteri di commisurazione dei compensiaccessori da erogare ai dipendenti da parte degli "Organi valutatori"(cfr. comunicazione del 21 novembre 2011). Per quanto qui rileva, il Ministerotramite il menzionato Dipartimento – avvalendosi delle proprieprerogative di titolare del trattamento – ha disposto modalità e tempi ditrasmissione delle schede di valutazione da parte degli Organi valutatori aidipendenti, impartendo altresì le necessarie istruzioni circa la conservazionedelle schede presso gli organi valutatori medesimi, "omettendone l'invio[alla] Amministrazione centrale".

3.2.Tanto premesso, deve ritenersi che nel caso di specie abbia avuto luogo unacomunicazione di dati personali in violazione di legge (cfr. artt. 4, comma 1,lett. l) e 19, comma 2, del Codice e 3, comma 29, d.l. 30 settembre 2005, n.203). Il personale della direzione amministrativa del Tribunale di BarcellonaPozzo di Gotto ha infatti comunicato, senza idoneo presupposto normativo, datipersonali riferiti alla segnalante (le menzionate valutazioni riferite edirette all'interessata e che, anche in base all'art. 14 del richiamato accordosindacale devono, prima della determinazione definitiva, essere comunicate"a ciascun dipendente") alla società presso la quale la stessaprestava temporaneamente la propria attività lavorativa.

Standoa quanto emerge dagli atti, all'epoca cui si riferiscono i fatti oggetto disegnalazione, Equitalia Giustizia S.p.A. aveva ricevuto infatti l'assegnazionetemporanea dell'interessata in base al richiamato art. 23 bis, comma 7, d.lg.n. 165/2001 e non aveva titolo per venire a conoscenza di valutazioni espresse,peraltro con riferimento all'arco temporale in cui la segnalante prestava lapropria attività lavorativa presso il Tribunale (l'anno 2010), dall'organovalutatore competente (cfr. art. 14 dell'accordo, cit.).

Ladirezione amministrativa (tramite il proprio personale debitamente incaricato(ai sensi dell'art. 30 del Codice) avrebbe dovuto piuttosto mettere adisposizione della sola interessata, mediante mezzo di trasmissione idoneo aprevenire la conoscibilità del relativo contenuto da parte di terzi, i datipersonali contenuti nella menzionata scheda di valutazione.

3.3.Al riguardo, merita altresì rilevare che il comportamento tenuto dal dalpersonale operante presso il Tribunale nella vicenda in esame si è discostatodalle indicazioni fornite dal Garante nelle Linee guida in materia ditrattamento di dati personali di lavoratori per finalità di gestione delrapporto di lavoro in ambito pubblico del 14 giugno 2007 il Garante (e già ilpunto 5.5 della Deliberazione n. 53 del 23 novembre 2006, Lineeguida in materia di trattamento di dati personali di lavoratori per finalità digestione del rapporto di lavoro alle dipendenze di datori di lavoro privati),nelle quali si è precisato che "fuori dei casi in cui forme e modalità didivulgazione di dati personali siano regolate specificamente da puntualiprevisioni [], l'amministrazione deve utilizzare forme di comunicazioneindividualizzata con il lavoratore, adottando le misure più opportune perprevenire la conoscibilità ingiustificata di dati personali [] da parte disoggetti diversi dal destinatario, ancorché incaricati di talune operazioni ditrattamento (ad esempio, inoltrando le comunicazioni in plico chiuso ospillato; invitando l'interessato a ritirare personalmente la documentazionepresso l'ufficio competente; ricorrendo a comunicazioni telematicheindividuali)" (punto 5.3).

Lacircostanza che possa sussistere in capo al mittente, come nel caso di specie,un legittimo interesse ad acquisire prova dell'avvenuta ricezione delladocumentazione inviata, non può esonerarlo dall'adottare opportune cautelevolte ad evitare che soggetti diversi dal destinatario possano apprenderne ilcontenuto senza essere a ciò legittimati, prevenendo così lesioni del dirittoalla riservatezza e alla protezione dei dati dell'interessato.

3.4.Né viene meno l'illiceità della comunicazione per il fatto che il Tribunaleabbia inviato la documentazione in questione indirizzandola (anzichéall'interessata) alla società presso la casella di posta elettronicacertificata della medesima. Non giova, al riguardo, il richiamo operato daltitolare del trattamento all'art. 16 bis, comma 6, d.l. 29 novembre 2008, n.185 (convertito in legge, con modificazioni, dall'art. 1, L. 28 gennaio 2009,n. 2) atteso che detta disposizione, nel consentire alle pubblicheamministrazioni di avvalersi della posta elettronica certificata quale canalecomunicativo con i dipendenti della medesima (e di diversa) amministrazione, fariferimento all'indirizzo di posta elettronica eventualmente ai medesimiassegnato e non, invece, a quello dell'amministrazione presso la quale glistessi prestino servizio. Ciò si desume dall'art. 47, comma 3, d.lg. 7 marzo2005, n. 82 (Codice dell'amministrazione digitale) che consente alle pubblicheamministrazioni di utilizzare "per le comunicazioni tra l'amministrazioneed i propri dipendenti la posta elettronica o altri strumenti informatici dicomunicazione nel rispetto delle norme in materia di protezione dei datipersonali e previa informativa agli interessati in merito al grado diriservatezza degli strumenti utilizzati", informativa che, peraltro, nelcaso di specie, non risulta essere stata neanche fornita all'interessata.

Peraltro,accedendo all'interpretazione fornita dal titolare del trattamento – aldi là della circostanza che un novero assai ampio di comunicazioni di naturapersonale e talora sensibile riferite ai singoli interessati potrebbe esseresoggetto ad ampia circolazione nell'ambito delle pubbliche amministrazioni –,si perverrebbe all'esito opposto voluto dalla norma che mira, come esplicitatodalla rubrica dell'art. 16 bis, ad introdurre "misure disemplificazione": semplificazioni che si ottengono consentendo l'inviodelle comunicazioni all'indirizzo di posta elettronica assegnato ai dipendentidestinatari delle stesse (non diversamente dai cittadini menzionati all'art. 16bis, comma 5) e non invece obbligando (invero irrazionalmente) leamministrazioni ad utilizzare i propri indirizzi istituzionali di postaelettronica certificata per (poi) far pervenire – secondo canalitradizionali – le comunicazioni ai diretti interessati.

Infine,anche l'art. 16 bis, comma 5, evidenzia chiaramente che la posta elettronicacertificata della quale l'amministrazione può avvalersi per inviare, senzaoneri per i destinatari e con gli effetti previsti dall'art. 48, d.lg. n.82/2005, le comunicazioni che li riguardano, è quella di singoli che, in talefattispecie, sono identificati (anziché nei dipendenti pubblici, come al comma6) nei "cittadini" che abbiano fatto richiesta di attribuzione di unacasella di posta elettronica.

4.Ritenuta quindi illecita ai sensi dell'art. 19, comma 2 del Codice, lacomunicazione di dati personali (cfr. art. 4, comma 1, lett. l) del Codice)riferiti alla segnalante, deve prescriversi al Ministero della Giustizia -Dipartimento dell'organizzazione giudiziaria del personale e dei servizi aisensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c), delCodice, di adottare opportune misure, idonee a conformare il trattamento deidati personali, con particolare riferimento ai dati trattati per finalità digestione del rapporto di lavoro, anche alla luce delle indicazioni giàformulate in via generale nelle Linee guida in materia di trattamento di datipersonali di lavoratori per finalità di gestione del rapporto di lavoro inambito pubblico.

5.L'Autorità si riserva di valutare, con separato provvedimento, gli estremi perla contestazione della violazione amministrativa prevista dall'art. 162, comma2-bis, del Codice.

TUTTO CIO' PREMESSO, IL GARANTE

ritenutaillecita la comunicazione di dati personali riferiti alla segnalante da partedel personale operante presso il Tribunale di Barcellona Pozzo di Gotto,prescrive al Ministero della Giustizia - Dipartimento dell'organizzazionegiudiziaria del personale e dei servizi, ai sensi degli artt. 143, comma 1,lett. b), 144 e 154, comma 1, lett. c), del Codice, di adottare opportunemisure, idonee a conformare il trattamento dei dati personali nell'ambito dellagestione del rapporto di lavoro alla disciplina di protezione dei datipersonali, anche alla luce delle indicazioni già fornite in via generale nelleLinee guida in materia di trattamento di dati personali di lavoratori perfinalità di gestione del rapporto di lavoro in ambito pubblico.

Ai sensidegli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 5 dicembre 2013

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia