In sintesi
Il Garante Privacy ha sanzionato il Comune di San Genesio e Uniti con 2.000 euro per aver comunicato a un altro ente l'appartenenza sindacale di un ex dipendente senza avere una ragione legale valida. Il Comune aveva erroneamente pensato che l'altro ente conoscesse già l'informazione. Questa decisione sottolinea che anche le pubbliche amministrazioni devono essere molto attente a non condividere dati personali, soprattutto quelli sensibili come l'appartenenza a un sindacato, a meno che non ci sia una legge che lo permetta esplicitamente.
Cosa fare
- Verificate sempre se avete una ragione legale valida (come una legge specifica) prima di condividere dati personali, specialmente quelli sensibili, con altri enti o persone.
- Controllate bene le vostre procedure interne su come gestite i dati dei dipendenti, soprattutto quando passano da un ente all'altro.
- Assicuratevi che il vostro personale sia formato per capire quali dati si possono e quali non si possono comunicare.
Cosa evitare
- Non date per scontato che un altro ente conosca già certi dati o che questa presunta conoscenza giustifichi la loro condivisione.
- Non comunicate dati sensibili (come l'appartenenza sindacale o informazioni sulla salute) se non avete un permesso chiaro dalla legge o dall'interessato.
- Non confondete i dati gestiti in un rapporto di lavoro con quelli di un altro rapporto, anche se la persona è la stessa.
Contesto
Un ex dipendente del Comune di San Genesio e Uniti (il "Comune") ha presentato un reclamo al Garante Privacy. La reclamante lamentava che il Comune, in risposta a una sua richiesta di nulla osta per mobilità volontaria verso un altro Ente (l'"Ente di Destinazione"), aveva comunicato a quest'ultimo dati personali appartenenti a categorie particolari, in particolare la sua appartenenza sindacale. Il reclamo indicava anche la comunicazione delle generalità, dell'indirizzo e-mail e del sindacato del rappresentante sindacale che aveva agito per conto della reclamante. Il Comune ha giustificato la comunicazione affermando che tra i due Enti vi era un rapporto convenzionale per l'utilizzo delle prestazioni lavorative della reclamante e che l'Ente di Destinazione era già autorizzato al trattamento dei suoi dati per adempimenti fiscali, previdenziali e retributivi. Il Comune sosteneva anche di aver ritenuto, in buona fede, che l'Ente di Destinazione fosse già a conoscenza delle informazioni trasmesse, anche perché la reclamante svolgeva già un'attività lavorativa (extra orario) presso di esso e l'Ente di Destinazione richiedeva la trasmissione del fascicolo personale della dipendente. Il Comune ha qualificato la comunicazione come un'anticipazione non intenzionale e scusabile, priva di effetti concreti e circoscritta a soggetti istituzionali.
La decisione
Il Garante ha rilevato che il Comune di San Genesio e Uniti ha effettuato un trattamento di dati personali, inclusi quelli appartenenti a categorie particolari (appartenenza sindacale) della reclamante e del rappresentante sindacale, senza una valida base giuridica e in violazione dei principi di liceità, correttezza e trasparenza. La difesa del Comune, basata sulla presunta conoscenza da parte dell'Ente di Destinazione dei dati e sulla preesistenza di un rapporto lavorativo con la reclamante, non è stata ritenuta sufficiente. Il Garante ha sottolineato che i rapporti di lavoro con i due Enti erano distinti e che la richiesta di nulla osta era stata inviata in modo riservato solo al Comune. La procedura di mobilità non era ancora perfezionata al momento della comunicazione. Il trattamento illecito è consistito nell'invio di una nota contenente dati sensibili anche all'Ente di Destinazione, che non era tra i destinatari della richiesta originale. A fronte di tale violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter e 2-sexies del Codice, il Garante ha ordinato al Comune il pagamento di una sanzione amministrativa pecuniaria di 2.000 euro. È stata considerata la natura episodica e colposa della violazione, il numero limitato di interessati (due), la dimensione modesta del Comune e la sua cooperazione, nonché l'assenza di precedenti violazioni pertinenti. Non sono state imposte ulteriori misure correttive, in quanto la condotta aveva esaurito i suoi effetti. È stata disposta la pubblicazione del provvedimento sul sito del Garante.
Articoli GDPR violati
| Articolo | Descrizione | Rilevanza |
|---|---|---|
|
5 par.1 lett.a GDPR |
Principio di liceità, correttezza e trasparenza del trattamento dei dati personali. | il trattamento dei dati personali, inclusi quelli di categoria particolare, non era lecito, corretto né trasparente in quanto privo di una valida base giuridica per la comunicazione a terzi. |
|
6 GDPR |
Condizioni di liceità del trattamento, che richiede una base giuridica specifica. | il comune ha comunicato dati personali senza una delle basi giuridiche previste dall'articolo 6 del gdpr, non essendo il trattamento necessario per obblighi legali o compiti di interesse pubblico in relazione all'ente di destinazione. |
|
9 GDPR |
Divieto di trattamento di categorie particolari di dati personali, salvo eccezioni specifiche. | la comunicazione di dati sull'appartenenza sindacale, una categoria particolare di dati, è avvenuta in assenza delle specifiche condizioni di liceità previste dall'articolo 9 del gdpr, in particolare per quanto riguarda il diritto del lavoro e l'interesse pubblico. |
|
2-ter Codice Privacy |
Base giuridica per il trattamento di dati personali da parte di soggetti pubblici. | il comune, in quanto soggetto pubblico, ha trattato dati personali senza una base giuridica appropriata prevista dal diritto nazionale o dell'unione, in particolare per la comunicazione a un altro ente pubblico. |
|
2-sexies Codice Privacy |
Specifiche condizioni di trattamento per categorie particolari di dati da parte di soggetti pubblici. | il comune ha trattato dati di categoria particolare (appartenenza sindacale) senza che ricorressero le specifiche condizioni o le garanzie adeguate previste dal codice privacy per i soggetti pubblici. |
Sanzione
Il Garante ha ordinato al Comune di San Genesio ed Uniti il pagamento di una sanzione amministrativa pecuniaria di 2.000 euro per la violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nonché 2-ter e 2-sexies del Codice. La sanzione è stata quantificata tenendo conto di vari fattori, tra cui la natura episodica della violazione che ha riguardato due soli interessati, il carattere colposo della condotta del Comune (erroneamente convinto della conoscenza dei dati da parte dell'Ente di Destinazione), e il fatto che la violazione ha coinvolto dati di categoria particolare (appartenenza sindacale). Sono state considerate attenuanti le dimensioni modeste del Comune, l'assenza di precedenti violazioni pertinenti e la cooperazione offerta durante l'istruttoria, inclusa l'adozione di corsi di formazione per il personale per evitare futuri episodi. La sanzione è stata ritenuta effettiva, proporzionata e dissuasiva. È stata inoltre disposta la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante.
Termini: entro 30 giorni dalla notificazione del presente provvedimento; facoltà di definire la controversia mediante pagamento, entro 30 giorni, di un importo pari alla metà della sanzione comminata
Implicazioni pratiche
Questo provvedimento ribadisce l'importanza per le pubbliche amministrazioni di adottare un approccio rigoroso nella gestione e comunicazione dei dati personali, specialmente quando si tratta di categorie particolari come l'appartenenza sindacale. Anche in contesti di collaborazione tra enti pubblici o di mobilità del personale, ogni comunicazione di dati deve essere basata su un fondamento giuridico valido, non su presunzioni di conoscenza o rapporti preesistenti tra le parti. L'errore scusabile dovuto a una convinzione errata non esime il titolare della responsabilità. Le pubbliche amministrazioni devono essere consapevoli che la documentazione legata al personale, inclusa quella relativa ai rapporti sindacali, è soggetta a specifiche norme e limitazioni per la sua divulgazione a terzi. È essenziale che la base giuridica per il trattamento sia verificata per ogni finalità e per ogni destinatario dei dati. La formazione del personale sulla normativa privacy è un elemento attenuante ma non risolutivo se mancano procedure chiare e una corretta valutazione dei rischi.
Azioni da fare
- Verificare la base giuridica per ogni comunicazione di dati personali a terzi, inclusi altri enti pubblici
- Rivedere le procedure interne relative alla gestione dei fascicoli del personale e alla mobilità
- Implementare procedure chiare per la gestione delle richieste degli interessati, assicurando che le comunicazioni avvengano solo con destinatari autorizzati e su base giuridica valida
- Formare il personale sulle regole di liceità del trattamento, in particolare per i dati di categoria particolare
- Mantenere distinte le basi giuridiche e le finalità di trattamento tra diversi rapporti di lavoro o enti, anche se coinvolgono lo stesso interessato
Errori da evitare
- Assumere che un terzo ente sia già a conoscenza di dati personali o che la conoscenza renda lecito il trattamento
- Comunicare dati personali senza una specifica base giuridica chiara e documentata
- Non distinguere tra rapporti di lavoro diversi o tra enti diversi, anche se connessi o in procinto di trasferimento di personale
- Conservare o divulgare dati di categoria particolare oltre quanto strettamente necessario o consentito dalla legge
Domande di self-assessment
- La nostra amministrazione ha procedure formalizzate per la comunicazione di dati del personale ad altri enti?
- Qual è la base giuridica specifica per la comunicazione di dati di categoria particolare in contesti di mobilità o collaborazione inter-ente?
- Il nostro personale è adeguatamente formato sulla corretta gestione e comunicazione dei dati sensibili?
- Valutiamo caso per caso la necessità e la liceità di ogni divulgazione di dati personali a terzi?
- Le nostre informative privacy coprono chiaramente le finalità e i destinatari di ogni tipo di trattamento dati, inclusa la comunicazione a terzi?
Riferimenti
Linee guida EDPB: Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR del 24 maggio 2023
Normativa nazionale: D.Lgs. 196/2003 · l. 24 novembre 1981, n. 689 · D.Lgs. 267/00 · d.lgs. n. 150/2011 · art. 166 Codice Privacy · art. 2-ter Codice Privacy · art. 2-sexies Codice Privacy
Note
Il provvedimento evidenzia come anche un 'errore scusabile' o una 'buona fede' del titolare non possano costituire una deroga alla necessità di una valida base giuridica per il trattamento, specialmente per dati di categoria particolare. Il Garante ha inoltre riconosciuto come attenuanti le dimensioni modeste dell'ente pubblico e la sua cooperazione.