PROVVEDIMENTO DEL 4 OTTOBRE 2012

Registro dei provvedimenti
n. 276 del 2012

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e delladott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia,segretario generale;

VISTOil ricorso pervenuto al Garante il 16 maggio 2012 nei confronti dell'AziendaOspedaliera di Padova, con il quale XY, dirigente medico operante in regime diconvenzione presso la struttura complessa di KW della predetta AziendaOspedaliera, nel contestare le modalità dell'avvenuta consegna del "Documentodi Valutazione area dirigenza medica e sanitaria"  (non custoditoin busta) da parte del personale di segreteria,  ha ribadito le richieste(già avanzate con interpello preventivo) volte ad avere conferma dell'esistenzadi dati personali che la riguardano e ad ottenere la loro comunicazione informa intelligibile, con specifico riferimento ai dati contenuti nel predettoDocumento di Valutazione (DIV), a conoscere le modalità del loro trattamento,gli estremi identificativi del titolare e del responsabile del trattamentomedesimo, nonché l'ambito di comunicazione dei dati stessi; rilevato che laricorrente, ritenendo illecito il trattamento in questione - poiché la predettascheda di valutazione le sarebbe stata consegnata "aperta", senzal'utilizzo di una busta, per il tramite di personale di segreteria anche nonformalmente assegnato alla struttura complessa di KW presso la qualel'interessata svolge la propria attività – ha contestato tale trattamentoopponendosi alla sua futura reiterazione;

VISTIgli ulteriori atti d'ufficio e, in particolare, la nota del 23 maggio 2012 conla quale questa Autorità, ai sensi dell'art. 149, comma 1 del Codice, hainvitato il titolare del trattamento a fornire riscontro alle richiestedell'interessata, nonché l'ulteriore nota dell'11 luglio 2012 con cui, ai sensidell'art. 149, comma 7 del Codice, è stato prorogato il termine per ladecisione sul ricorso;

VISTEle note datate 15 e 18 giugno 2012, nonché l'ulteriore nota del 4 luglio 2012,con le quali l'Azienda Ospedaliera resistente ha sostenuto che "sentitii competenti uffici aziendali, non emerge alcuna violazione di legge, dato chele valutazioni sono state compiute dal direttore responsabile della strutturacomplessa cui era stata assegnata una password personale per l'accesso alle DIVe la consegna avvenuta tramite busta chiusa a mani del personale disegreteria"; alla medesima nota la resistente ha allegato copia dellalettera del 5 dicembre 2011 (non indirizzata all'interessata) nella quale ildirettore responsabile della struttura complessa di KW rappresentava aldirettore generale dell'azienda ospedaliera che le schede di valutazioneindividuale, dopo essere state dallo stesso compilate, "sono stateaffidate in cartella chiusa alla segreteria per la consegna al personaledirigente" e che "il personale di segreteria, rispettivamentedelle strutture complesse di HJ e di KW, ha quindi provveduto alla lorodistribuzione, singolarmente ad ogni dirigente per la presa visione e lafirma"; nelle medesime note è stato altresì chiarito che, per quantoattiene l'ambito di comunicazione dei dati personali della ricorrente, "l'inviodelle schede non configura comunicazione di dati personali ma solo trattamentointerno da incaricato a incaricato" e che "i dipendentiamministrativi delle strutture complesse di HJ e di KW e quelli dellasegreteria del personale, cui vanno fatte pervenire le schede, nella loroqualità di "incaricati del trattamento", sono "obbligatial rispetto della tutela della riservatezza dei dati personali il cuitrattamento avviene solo per consentire l'adempimento dei compiti istituzionalidella struttura in cui il personale opera";

VISTEle note pervenute il 21 luglio 2012 e il 12 settembre 2012 con le quali laricorrente, nel sottolineare come nelle memorie della controparte si facciariferimento a missive alla stessa non indirizzate e di cui pertanto non conosceil contenuto, ha affermato che l'azienda resistente ha indicato "unaserie di persone quali incaricati del trattamento, inserendo tra questi anchedipendenti amministrativi della struttura complessa di HJ", strutturaalla quale l'interessata non appartiene e il cui personale amministrativo nonavrebbe dovuto conoscere il contenuto del proprio DIV; nella medesima nota laricorrente ha peraltro evidenziato che il responsabile della propria strutturacomplessa, oltre a non avere precisato se l'inserimento dei dati sia statoeffettuato da lui stesso o invece soltanto "sotto la sua cura",non ha fornito chiarimenti in ordine alle modalità di conservazione e dicomunicazione all'interessata della scheda DIV;

VISTAla nota pervenuta via fax il 13 settembre 2012 con la quale l'aziendaospedaliera resistente, nel fornire riscontro alle diverse istanze dellaricorrente, ha inviato alla stessa copia delle note di cui aveva lamentato lamancata conoscenza ed ha aggiunto che "per quanto concerne il personaledi segreteria che – in qualità di incaricato – ha provveduto allaconsegna delle schede DIV ed al loro invio materiale al D.I. del Personale, ilprof. (ä) ha spiegato il funzionamento integrato delle segreterie delle S.C. KWe HJ, illustrando i motivi pratici che lo hanno indotto – essendoresponsabile di ambedue le strutture – ad intraprendere un cammino diintegrazione";

VISTAla nota pervenuta via e-mail il 22 settembre 2012 con la quale la ricorrente,oltre a manifestare perplessità in ordine al "funzionamento integratodelle due segreterie" e quindi all'avvenuta conoscenza del contenutodella propria scheda di valutazione da parte di persone non formalmenteassegnate alla struttura complessa di KW alla quale la stessa appartiene, haribadito di avere ricevuto il proprio DIV "a mano e contenuto in unacartellina insieme ad altri e ben visibile";

RILEVATOche dai riscontri pervenuti nel corso dell'istruttoria è emerso che ildocumento di valutazione oggetto del presente ricorso è stato compilato dalresponsabile della struttura di KW e successivamente affidato, unitamente allealtre schede di valutazione dei dirigenti dell'area medica e sanitaria, apersonale di segreteria che ha provveduto alla consegna del documento medesimoall'interessata; rilevato che il trattamento dei dati in questione da parte deisoggetti formalmente designati quali responsabile e incaricati del trattamentonon risulta effettuato in modo illecito in quanto finalizzato, nell'ambitodelle rispettive competenze, alla gestione di uno specifico aspetto delrapporto di lavoro in essere tra le parti; rilevato tuttavia che, dalladocumentazione in atti, sono emerse dichiarazioni contrastanti sulle modalitàdi effettiva "circolazione" dei documenti valutativi all'internodell'azienda ospedaliera, tali da far ritenere non sufficientemente dimostratala piena idoneità di queste modalità ai fini della tutela della riservatezzadei dati della persona interessata. Dati che, per quanto di natura non sensibile,richiedono comunque idonee cautele protettive, specie quando attengono avalutazioni di prestazioni professionali e ad informazioni sull'attivitàlavorativa; ritenuto pertanto di dover accogliere il ricorso limitatamente atale particolare aspetto del complessivo trattamento dei dati della ricorrente,rispetto al quale quest'ultima ha manifestato una sostanziale opposizione e didover, pertanto, ordinare alla resistente,  ai sensi dell'art. 150, comma2, del Codice, di adottare (in caso di future, analoghe operazioni ditrattamento) ogni misura idonea ad assicurare la riservatezza dei daticontenuti nelle schede individuali di valutazione (es. consegna in busta chiusao comunicazione spillata in modo da non consentire la visione, ancheaccidentale, da parte del personale che la consegna e di terzi non autorizzati;utilizzo di modalità telematiche che consentano l'accesso al solo interessato ediano contestualmente certezza dell'avvenuta ricezione del documento, ecc.),entro e non oltre sessanta giorni dalla ricezione del presente provvedimento,dando conferma a questa Autorità dell'adozione di tali misure;

RITENUTOinvece di dover dichiarare non luogo a provvedere sul ricorso ai sensidell'art. 149, comma 2, del Codice in ordine alle restanti richieste, avendo iltitolare del trattamento fornito, seppure solo nel corso del procedimento, unsufficiente riscontro alle stesse;

VISTIgli artt. 145 e s. del Codice in materia di protezione dei dati personali(d.lg. 30 giugno 2003, n. 196);

VISTEle osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREla dott.ssa Augusta Iannini;

TUTTO CIO' PREMESSO IL GARANTE

a)accoglie il ricorso limitatamente all'opposizione al trattamento e ordina allaresistente,  ai sensi dell'art. 150, comma 2, del Codice, di adottare (incaso di future, analoghe operazioni di trattamento)  ogni misura idonea adassicurare la riservatezza dei dati contenuti nelle schede individuali divalutazione, entro e non oltre sessanta giorni dalla ricezione del presenteprovvedimento, dando conferma a questa Autorità dell'adozione di tali misure;

b)dichiara non luogo a provvedere in ordine alle restanti richieste.

Ai sensidegli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 4 ottobre 2012

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia