Garante per la protezione
    dei dati personali


Trattamento di dati personali idonei arivelare lo stato di salute

PROVVEDIMENTO DEL 18 DICEMBRE 2013

Registro dei provvedimenti
 n. 589 del 18 dicembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTAla segnalazione del 24 febbraio 2013 presentata da XY concernente iltrattamento di dati personali a sé riferiti effettuato dall'Azienda sanitariaprovinciale (Asp) di Reggio Calabria;

VISTEle "Linee guida in materia di trattamento di dati personali di lavoratoriper finalità di gestione del rapporto di lavoro in ambito pubblico",adottate con provvedimento del 14 giugno 2007 (pubblicato nella G.U. 13 luglio2007, n. 161);

ESAMINATAla documentazione in atti;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREil dott. Antonello Soro;

PREMESSO

1.1.XY, dipendente (collocato a riposo) dell'Azienda sanitaria provinciale (Asp) diReggio Calabria, ha lamentato l'illecita comunicazione di dati personali dinatura sensibile a sé riferiti – concernenti l'esistenza di una pregressapatologia grave – a seguito della presentazione di una istanza per lapermanenza in servizio fino al compimento del 67° anno di età. Ciò sarebbeavvenuto con l'invio di una nota (prot. n. KW del XX) da parte del medicoresponsabile del Poliambulatorio Specialistico di KJ (presso il quale ilsegnalante prestava servizio) indirizzata al Direttore della Strutturacomplessa del personale della Asp che avrebbe determinato un trattamento didati sensibili riferiti al segnalante ritenuto "non pertinente edeccedente rispetto alla finalità perseguita, nonché del tutto illecito sotto ilprofilo dell'ambito di comunicazione dei dati in questione. Ciò si evidenzia inmodo ancor più netto ove si pensi che [Š] allo stato attuale, il sottoscrittonon [è] affetto dalla menzionata patologia".

1.2.Più precisamente il segnalante lamenta la comunicazione da parte dellaresponsabile del poliambulatorio (nella menzionata nota del XX) di una sua"invalidità del 60% ed una esenzione per malattia «Soggetto affetto dapatologia neoplastica maligna e da tumore di comportamento incerto»".

Oltrea ciò la responsabile, nella menzionata missiva, ha pure rappresentato che ildipendente:

€"nell'ultimo triennio [Š] non ha usufruito di assenze prolungate permalattia";

€ non ha"contenziosi con l'Azienda";

€ non èstato destinatario di provvedimenti disciplinari né risulta essere statorinviato a giudizio per reati contro la pubblica amministrazione;

€ non"ha avuto valutazioni negative da alcun collegio istituzionalepreposto" (cfr. allegato alla segnalazione del 24.2.2013).

1.3.A seguito delle richieste d'informazioni formulate dall'Ufficio, ilrappresentante dell'azienda sanitaria (direttore dell'ufficio Gestione RisorseUmane), con nota dell'8 aprile 2013, ha dichiarato che:

a."con nota prot. KK del HH [l]'Ufficio del personale periferico di JK hainoltrato una richiesta al Dirigente del poliambulatorio di KJ, relativa allapermanenza in servizio fino al 67° anno di età [Š] chiedendo una serie diinformazioni necessarie per le attività istituzionali";

b. atale richiesta è stata data risposta da parte del "medico responsabile delPoliambulatorio di KJ [Š] con nota prot. KW del YY";

c. lanota di riscontro "è stata inviata via fax direttamente alla sedeperiferica dell'ufficio personale di JK [Š] senza che la stessa avesse [Š] icaratteri della riservatezza o l'indicazione «Contiene dati sensibili –Decreto Legislativo 196/2003»";

d.quanto al contenuto, la nota medesima consisteva in un "documentopropedeutico al non accoglimento della richiesta di mantenimento in servizio e,quindi, al consequenziale atto di collocamento a riposo" del segnalante;

e.conclusivamente, le "informazioni contenute nella nota sono [Š] daritenersi necessarie, essenziali, pertinenti ed indispensabili, perl'adempimento di legge cui era preposto il settore di JK che ha effettuato [Š]la richiesta".

1.4.In base a quanto comunicato dall'azienda sanitaria nelle note successivamentepervenute, anche in risposta alla richiesta di integrazione degli elementiforniti formulata dall'Ufficio, è altresì emerso che:

a. la"referente aziendale privacy" dell'Asp, con nota del 22 maggio 2013,ha dichiarato di ritenere che nei confronti del segnalante fosse stata"violata [Š] la privacy di tipo sanitario";

b. ladirezione generale Asp, con nota del 12 giugno 2013, ha invece ribadito laritenuta legittimità del trattamento di dati personali.

1.5.Il segnalante, nel ribadire le proprie ragioni, ha allegato ulterioredocumentazione e in particolare:

a. copiadella lettera (prot. n. KK del JJ, già richiesta all'Asp che non avevaprovveduto a trasmetterla all'Autorità) inviata dal Direttore della strutturacomplessa del personale al dirigente del Poliambulatorio di KJ nella quale –con riferimento all'istanza di mantenimento in servizio fino al 67° anno di età– si chiede di comunicare se il richiedente: 1) avesse "limitazionilavorative che riducono l'attività istituzionale del profilo professionale cui[il] dipendente [è assegnato] (es. L. 104, invalidità o similare)"; 2)avesse usufruito di "una o più prolungate assenze per malattia nell'ultimotriennio, fatta eccezione per ricoveri ospedalieri o infortuni sullavoro"; 3) risultasse destinatario di provvedimenti disciplinari, dieventuali "rinvii a giudizio per reati penali control'amministrazione", di valutazioni negative formulate da "alcuncollegio istituzionale preposto" nonché avesse contenziosi con l'Azienda;4) fosse, relativamente al "carico di lavoro assegnato[gli]", in unacondizione tale da poter "dimostrare l'impossibilità, nell'immediatezza,di poterlo sostituire";

b. copia del certificato redatto dal medico competente dell'Asp in data 30 maggio2013 che attesta l'idoneità alla mansione del segnalante.

2.1.Risulta dagli atti del procedimento (e dalla esigua documentazione fornita afronte di tre richieste di informazioni, di cui una ex art. 157 del Codice,avanzate dall'Autorità) che l'Azienda sanitaria provinciale di Reggio Calabria –la quale, ai sensi e per gli effetti previsti dal Codice, deve ritenersititolare del trattamento dei dati personali dei propri dipendenti (cfr. art. 4,comma 1, lett. f) e 28 del Codice) – abbia trattato i dati personali delsegnalante, anche di natura sensibile (in quanto riferiti alla sua condizionedi salute: cfr. art. 4, comma 1, lett. d), del Codice), nell'ambito di unoscambio di corrispondenza intercorso tra due articolazioni della medesimaAzienda (in particolare tra la direzione del personale della strutturacomplessa di JK e il poliambulatorio specialistico ove il segnalante prestavaservizio).

2.2.Al fine di valutare la complessiva liceità dei trattamenti dei dati personaliriferiti al segnalante effettuati dall'Asp di Reggio Calabria, devepreliminarmente rilevarsi che i soggetti pubblici possono trattare datisensibili solo "se autorizzat[i] da espressa disposizione di legge nellaquale sono specificati i tipi di dati che possono essere trattati e dioperazioni eseguibili e le finalità di rilevante interesse pubblicoperseguite" (art. 20, comma 1, del Codice) e sempre che il trattamentoavvenga "secondo modalità volte a prevenire violazioni dei diritti, dellelibertà fondamentali e della dignità dell'interessato" (art. 22, comma 1,del Codice).

Nelcaso in esame, il procedimento avviato dal segnalante con l'istanza dipermanenza in servizio fino al compimento del 67° anno di età, risultadisciplinato dal primo comma dell'art. 16, d.lg. 30 dicembre 1992, n. 503("Norme per il riordinamento del sistema previdenziale dei lavoratoriprivati e pubblici, a norma dell'articolo 3 della L. 23 ottobre 1992, n.421") – come risultante dalle modifiche che lo hanno interessato –in base al quale "è in facoltà dei dipendenti civili dello Stato e deglienti pubblici non economici di permanere in servizio [Š] per un periodo massimodi un biennio oltre i limiti di età per il collocamento a riposo per essiprevisti. In tal caso è data facoltà all'amministrazione, in base alle proprieesigenze organizzative e funzionali, di trattenere in servizio il dipendente inrelazione alla particolare esperienza professionale acquisita dal dipendente indeterminati o specifici ambiti ed in funzione dell'efficiente andamento deiservizi".

Lavigente normativa di settore non prevede, quindi, ai fini della prosecuzionedel rapporto, alcun trattamento di dati idonei a rivelare le condizioni disalute del dipendente – e tantomeno consente la puntuale indicazionedella diagnosi di patologie eventualmente contratte in costanza del rapporto dilavoro –, essendo invece richiesta in capo all'interessato, ricorrendoesigenze organizzative dell'amministrazione in vista dell'efficiente andamentodei servizi, la sola sussistenza della "particolare esperienzaprofessionale acquisita [Š] in determinati o specifici ambiti" (in talsenso cfr. anche la circolare n. 10 del 2008 della Presidenza del Consiglio deiMinistri che, con riferimento al contenuto della valutazione discrezionaleeffettuata dall'amministrazione a seguito della presentazione della domanda dipermanenza in servizio, ha specificato: "La valutazione deve tener contodi alcune condizioni oggettive: le esigenze organizzative e funzionalidell'Amministrazione, la particolare esperienza professionale acquisita dalrichiedente in determinati o specifici ambiti e l'efficiente andamento deiservizi. In proposito, è opportuno che ciascuna Amministrazione adottipreventivamente dei criteri generali per regolare i trattenimenti in servizio,tenendo conto delle proprie peculiarità, in modo da evitare condottecontraddittorie o incoerenti"; v. già, analogamente, la precedentecircolare n. 5 del 2004 della Presidenza del Consiglio dei Ministri –Dipartimento della Funzione pubblica).

Iltrattamento dei dati sanitari riferiti al segnalante (peraltro sollecitatodalla menzionata comunicazione del 24.10.2013: cfr. punto 1.5.), comprensividella specifica patologia e del grado di disabilità contratte dallo stesso,risulta pertanto essere avvenuto in violazione degli artt. 11, comma 1, lett.a) e 20, comma 1, del Codice (cfr., nello stesso senso, Provv. 10 ottobre 2013, n. 442).

2.3.Inoltre, l'espressa indicazione dell'esistenza di una grave patologia in capoall'interessato – la cui persistenza è stata peraltro negata dalsegnalante (che ha altresì allegato documentazione attestante la propriaidoneità alla mansione: cfr. par. 1.5) – oltre ad essere anzi tuttolesiva della dignità dell'interessato (art. 2, comma 1, del Codice), non eraindispensabile né pertinente rispetto alla legittima finalità perseguitadall'amministrazione in base al quadro normativo esistente, risultandoeccedente – allo scopo di valutare la domanda di permanenza in servizionella prospettiva dell'"efficiente andamento dei servizi" – iltrattamento di informazioni diverse dalla capacità professionaledell'interessato (art. 22, comma 3 nonché art. 11, comma 1, lett. d), delCodice; cfr., nello stesso senso, Provv. 27 giugno 2013, n. 315; intermini generali, v. Provv. 14 giugno 2007, Linee guida in materia ditrattamento di dati personali di lavoratori per finalità di gestione delrapporto di lavoro in ambito pubblico, par.8.1: "Il datore di lavoro pubblico deve osservare cautele particolarianche per il trattamento dei dati sensibili (artt. 4, comma 1, lett. d), 20 e112 del Codice) e, segnatamente, di quelli idonei a rivelare lo stato disalute. Nel trattamento di queste informazioni l'amministrazione deverispettare anzitutto i princìpi di necessità e di indispensabilità, valutandospecificamente il rapporto tra i dati sensibili e gli adempimenti derivanti dacompiti e obblighi di volta in volta previsti dalla legge (artt. 20 e 22 delCodice)").

2.4.Ritenuto illecito per le ragioni suesposte il descritto trattamento di datipersonali idonei a rivelare lo stato di salute del segnalante, effettuato dallaAsp in violazione degli artt. 11, comma 1, lett. a) e d), 20, comma 1 e 22,comma 3 del Codice, prescrive all'azienda sanitaria provinciale di ReggioCalabria, ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1,lett. c) del Codice, di adottare opportune misure, idonee a conformare iltrattamento dei dati personali, con particolare riferimento ai dati trattatiper finalità di gestione del rapporto di lavoro, specie se di natura sensibile,alla disciplina di protezione dei dati personali, anche alla luce delleindicazioni già formulate in via generale nelle citate Linee guida in materiadi trattamento di dati personali di lavoratori per finalità di gestione delrapporto di lavoro in ambito pubblico.

3.Rilevato, inoltre, che nella corrispondenza intrattenuta con l'Autorità sonostate fornite da uffici diversi della medesima Azienda informazioni incompletee valutazioni aventi contenuto divergente rispetto al trattamento oggetto disegnalazione (cfr. par. 1.4), si prescrive al titolare del trattamento, qualemisura opportuna, che vengano rivalutate le soluzioni organizzative esistentiallo scopo di assicurare effettività nell'attuazione della disciplina diprotezione dei dati personali, identificando altresì, vista la presenza dellafigura del "referente aziendale privacy", le funzioni competenti adinterloquire con l'autorità di controllo.

4.L'Autorità si riserva di valutare, con separato procedimento, gli estremi perla contestazione della violazione amministrativa prevista dall'art. 162, comma2-bis, del Codice in relazione alla violazione dell'art. 20 del Codice.

TUTTO CIO' PREMESSO, IL GARANTE

ritenutoillecito il trattamento dei dati sensibili riferiti al segnalante nei terminidi cui in motivazione, prescrive all'Azienda sanitaria provinciale di ReggioCalabria, ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1,lett. c), del Codice, di adottare opportune misure, idonee a:

1.conformare il trattamento dei dati personali nell'ambito della gestione delrapporto di lavoro alla disciplina di protezione dei dati personali, anche allaluce delle indicazioni già fornite in via generale nelle Linee guida in materiadi trattamento di dati personali di lavoratori per finalità di gestione delrapporto di lavoro in ambito pubblico (par. 2.4);

2. rivalutarele soluzioni organizzative esistenti allo scopo di assicurare effettivitànell'attuazione della disciplina di protezione dei dati personali,identificando altresì le funzioni competenti ad interloquire con l'autorità dicontrollo (par. 3).

Ai sensidegli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 18 dicembre 2013

Il presidente
Soro

Il relatore
Soro

Il segretario generale
Busia