Il rapporto di lavoro rappresenta uno degli ambiti nei quali il principio di minimizzazione del trattamento dei dati personali assume la sua massima rilevanza. Le informazioni relative ai procedimenti disciplinari, alle valutazioni della performance o, più in generale, alla carriera del dipendente possono circolare esclusivamente tra i soggetti che, per ragioni istituzionali e organizzative, abbiano un’effettiva necessità di conoscerle.
È questo il principio ribadito dal Garante per la protezione dei dati personali con un recente provvedimento che ha riguardato la Regione Autonoma della Sardegna, sanzionata con una multa di 3.000 euro per avere comunicato, per errore, dati personali relativi alla valutazione professionale di una dipendente all’amministrazione presso la quale la stessa aveva appena preso servizio.
I fatti
La vicenda trae origine dal reclamo di una dipendente regionale.
Le contestazioni riguardavano due distinti episodi:
- la diffusione interna della comunicazione relativa ad una sanzione disciplinare;
- l’invio della risposta ad un’istanza di accesso agli atti, comprensiva della scheda di valutazione della performance, alla PEC dell’amministrazione presso la quale la dipendente era stata recentemente trasferita.
Il Garante ha distinto nettamente le due situazioni.
Quando la circolazione interna dei dati è lecita
Sul primo punto il reclamo è stato respinto.
L’istruttoria ha infatti dimostrato che la nota disciplinare era stata trasmessa esclusivamente a dirigenti, uffici del personale, servizi finanziari e funzionari che, in base all’organizzazione regionale, erano chiamati ad adottare gli atti conseguenti alla sanzione, agli effetti economici e alla valutazione della dirigente interessata.
Il principio affermato è molto importante.
Non ogni comunicazione interna costituisce una violazione del GDPR.
La conoscenza dei dati è legittima quando:
- deriva dalle funzioni concretamente attribuite;
- è prevista dall’organizzazione dell’ente;
- è limitata ai soggetti autorizzati ai sensi degli artt. 29 GDPR e 2-quaterdecies del Codice Privacy.
In altre parole, il criterio non è “chi lavora nello stesso ente”, ma “chi ha realmente bisogno di conoscere quel dato per svolgere le proprie funzioni”.
L’errore che è costato la sanzione
Diversa la valutazione del secondo episodio.
Per assicurarsi che la dipendente ricevesse la documentazione richiesta, la Regione ha inviato la PEC non soltanto all’indirizzo personale dell’interessata, ma anche all’amministrazione presso cui questa aveva appena preso servizio.
In allegato era presente la scheda di valutazione della performance riferita all’attività svolta presso il precedente datore di lavoro.
Secondo il Garante, tale amministrazione era un soggetto terzo, privo di qualsiasi titolo giuridico per conoscere quelle informazioni.
La comunicazione è stata quindi ritenuta:
- priva di base giuridica;
- contraria ai principi di liceità e correttezza;
- effettuata in violazione degli artt. 5 e 6 GDPR e dell’art. 2-ter del Codice Privacy.
“Riservato personale” non basta
La Regione aveva evidenziato alcune circostanze attenuanti:
- la PEC riportava la dicitura “Riservato personale”;
- il sistema documentale dell’ente destinatario prevedeva accessi profilati;
- l’errore era stato successivamente segnalato per limitarne gli effetti.
Il Garante ha ritenuto che nessuno di questi elementi fosse sufficiente.
Una volta che i dati vengono comunicati ad un soggetto privo di legittimazione, la violazione è già consumata.
Le misure adottate successivamente possono incidere soltanto sulla quantificazione della sanzione, ma non eliminano l’illiceità del trattamento.
Un principio fondamentale: il GDPR tutela il rischio, non solo il danno
Uno dei passaggi più significativi del provvedimento riguarda il rapporto tra violazione e danno.
La Regione aveva sostenuto che la dipendente non avesse subito alcun concreto pregiudizio.
Il Garante ricorda invece che il GDPR è costruito secondo una logica di prevenzione del rischio.
Per accertare una violazione non è necessario dimostrare che l’interessato abbia subito un danno effettivo: è sufficiente che i dati siano stati comunicati senza un’idonea base giuridica.
Le indicazioni operative per le pubbliche amministrazioni
Il provvedimento offre alcune indicazioni di grande utilità pratica per tutte le amministrazioni pubbliche.
Occorre:
- limitare rigorosamente la conoscibilità dei dati del personale ai soli soggetti autorizzati;
- verificare sempre il destinatario delle comunicazioni individuali;
- utilizzare esclusivamente gli indirizzi indicati dall’interessato per la ricezione di comunicazioni personali;
- evitare di coinvolgere amministrazioni terze se non esiste una specifica disposizione normativa che lo consenta;
- adottare procedure organizzative e controlli preventivi sull’invio della corrispondenza contenente dati personali dei dipendenti.
Una lezione per DPO e uffici del personale
Questo provvedimento conferma un principio spesso sottovalutato.
La privacy nel pubblico impiego non si misura soltanto attraverso la sicurezza informatica, ma soprattutto attraverso la corretta organizzazione dei flussi documentali.
L’errore materiale del singolo operatore non elimina la responsabilità del titolare del trattamento quando dimostra l’assenza di adeguate misure organizzative.
Per questo motivo il DPO dovrebbe verificare periodicamente:
- le procedure di gestione delle comunicazioni individuali;
- i profili di autorizzazione al trattamento;
- le modalità di utilizzo della PEC e dei sistemi documentali;
- le istruzioni operative rivolte agli uffici del personale.
È proprio nella gestione quotidiana delle comunicazioni interne ed esterne che si concentra oggi una parte rilevante del rischio privacy per le pubbliche amministrazioni. Il provvedimento del Garante ricorda che la riservatezza dei dati dei lavoratori non dipende da formule come “riservato personale”, ma dalla presenza di una base giuridica, dal rispetto del principio del need to know e da un’organizzazione che impedisca, prima ancora che corregga, la circolazione indebita delle informazioni.
Lascia un commento