Legislazione e Giurisprudenza, Generalità, varie -  Tonutti Stefania - 2014-11-17

PROCEDIMENTO DISCIPLINARE:QUANDO LA P.A. VIOLA LA PRIVACY DEL DIPENDENTE (Cass. Civ. 21107/2014) S. TONUTTI

Responsabilità civile e privacy

Trattamento dei dati sensibili, da parte di una P.A.,  inerenti lo stato di salute e la vita sessuale di un dipendente ai fini di un procedimento disciplinare, confermato il provvedimento del Garante Privacy

Cass. Civile n. 21107/2014

I fatti: A seguito di una comunicazione anonima con cui si segnalava l'esercizio dell'attività di escort da parte di un dipendente della Provincia del Verbano Cusio Ossola, l'Amministrazione aveva proceduto a verifica mediante accesso ai siti web indicati, successivamente aveva promosso un procedimento disciplinare nei confronti del dipendente (d'ora innanzi denominato anche XX), e, il 28 settembre 2011, costui veniva destituito per aver inserito su alcuni siti internet annunci contenenti offerte di prestazioni sessuali a pagamento, in danno dell'immagine della Provincia.

XX ricorreva allora al Garante per la protezione dei dati personali opponendosi al trattamento dei dati personali in questione, chiedendone la cancellazione e rilevando che gli stessi, in quanto relativi alla propria vita sessuale, non potevano essere trattati dall'Amministrazione per il predetto procedimento disciplinare.

L'ente resistente rispondeva  di non poter dar corso alla richiesta di cancellazione fino alla conclusione definitiva del procedimento disciplinare in questione e di ritenere lecito il trattamento dei dati relativi alla vita sessuale del dipendente alla luce del Regolamento per il trattamento dei dati sensibili e giudiziari da effettuarsi presso l'Amministrazione provinciale ("Regolamento per i trattamenti dei dati sensibili e giudiziari da effettuarsi presso l'Amministrazione provinciale" adottato  con deliberazione del Consiglio Provinciale n. 78/2005).

L'Autorità Garante rispondeva con provvedimento n. 468 del 6 dicembre 2011 [doc. web n. 1872753, reperibile sul sito del Garante], con il quale faceva divieto alla ricorrente (Provincia) di trattare ulteriormente le informazioni relative alla vita sessuale di XX(ai sensi dell'art. 150, comma 2, del d.lgs. 196/2003)

Nel provvedimento in questione si legge anche che  «l'ente non si sarebbe limitato ad acquisire i dati che lo riguardano (tra cui alcune foto dello stesso e informazioni relative alle sue abitudini sessuali) dai siti web indicati nella comunicazione anonima, ma avrebbe utilizzato, sui motori di ricerca, il nome utente relativo al suo account su Skype, rinvenendo così anche il suo profilo sul portale WQ ["il più famoso ed utilizzato social-network GLBT (Gay-Lesbo-Bisexual-Transgender)" dove lo stesso aveva creato "un proprio spazio (...) per potersi relazionare con altre persone, a scopo di amicizia, incontro e relazione", senza lo scopo di "offrire pratiche sessuali a pagamento" ed acquisendo dallo stesso ulteriori dati che lo riguardano (e, tra essi, l'indicazione della professione svolta dallo stesso)».

La Provincia del Verbano Cusio Ossola si rivolgeva allora al Tribunale di di Verbania, il quale, con sentenza 13 giugno 2012 accoglieva il ricorso proposto avverso il provvedimento del Garante, escludendo che la raccolta delle informazioni in rete potesse essere lesiva dei principi di cui al d.lgs. 196/2003, ed osservando che la raccolta dei dati era finalizzata all'acquisizione di prove per un trattamento disciplinare, e non già ad acquisire invece dati sensibili e /o elementi relativi all'orientamento sessuale del dipendente.

Avverso tale sentenza il Garante proponeva ricorso per Cassazione, con 5 motivi d'impugnazione:

1) Dagli atti di causa risultava che la Provincia aveva raccolto in rete informazioni poi utilizzate in un procedimento disciplinare, e quindi, data la situazione particolare,  vi è sicuramente stato un trattamento dei dati riguardanti la vita sessuale.

2 e 3) Il Tribunale, affermando che tale caso  non rientrava nell'ambito di applicazione della protezione dei dati personali, errava, in quanto, ai sensi dell'art. 4 del d.lgs. 196/2003, per trattamento dei dati s'intende qualsiasi operazione concernente raccolta, registrazione, organizzazione , conservazione, consultazione e utilizzo di informazioni.

4) «l'esclusione della configurabilità di un trattamento di dati sensibili ha indotto il Tribunale a negare l'applicabilità della tutela rafforzata prevista dalla predetta disposizione in considerazione della particolare natura di tali dati, che investono la parte più intima della persona nella sua corporeità e nelle sue convinzioni psicologiche più riservate»

5) deduceva  la violazione dell'art. 20, commi 1 e 2, del d.lgs. n. 196/2003 : «1. Il trattamento dei dati sensibili da parte di soggetti pubblici è consentito solo se autorizzato da espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati e di operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite. 2. Nei casi in cui una disposizione di legge specifica la finalità di rilevante interesse pubblico, ma non i tipi di dati sensibili e di operazioni eseguibili, il trattamento è consentito solo in riferimento ai tipi di dati e di operazioni identificati e resi pubblici a cura dei soggetti che ne effettuano il trattamento, in relazione alle specifiche finalità perseguite nei singoli casi [...]»

Nel caso di specie, inoltre, in base al regolamento provinciale sopra menzionato (nello specifico lo schema tipo, predisposto dall'Upi-Unione delle Province d'Italia  sul quale il Garante ha espresso parere favorevole),  l'utilizzazione di dati personali per l'adozione di provvedimenti disciplinari nei confronti di un dipendente consente il trattamento dei dati sensibili soltanto in caso di rettifica di attribuzione di sesso.

Cosa afferma la Corte:

L'art. 18 del d.lgs. n. 196/ 2003  stabilisce, al comma 2, il principio generale secondo cui il  trattamento è consentito soltanto per lo svolgimento delle funzioni istituzionali dell'ente, precisando al comma 3 che nel trattare i dati il soggetto pubblico deve rispettare i presupposti e i limiti stabiliti dal medesimo codice, anche in relazione alla diversa natura dei dati, nonché dalla legge e dai regolamenti. Con particolare riferimento ai dati sensibili, comprendenti tra l'altro quelli idonei a rivelare lo stato di salute e la vita sessuale dell'interessato (art. 4, comma 1, lett. e), i predetti limiti sono stabiliti dall'art. 20, il quale consente il trattamento solo se autorizzato da un'espressa disposizione di legge, in cui devono essere specificati i tipi di dati che possono essere trattati ed i tipi di operazioni eseguibili, nonché le finalità di rilevante interesse pubblico perseguite.

La Corte ha inoltre «affermato il principio secondo cui il trattamento dei dati sensibili, la cui legittimità è ancorata in linea generale alla contestuale presenza del consenso scritto dell'interessato ed all'autorizzazione del Garante per la protezione dei dati personali, è consentito, da parte dei soggetti pubblici, anche in difetto del predetto consenso e della predetta autorizzazione, a condizione che sussistano a) una rilevante finalità d'interesse pubblico, b) un'espressa disposizione di legge autorizzatoria e c) una specificazione legislativa dei tipi di dati trattabili e delle operazioni eseguibili.»

Prosegue inoltre sostenendo che l'esigenza difensiva della Provincia  non può ritenere legittimo qualsiasi trattamento dei dati, risultando altrimenti elusi i principi generali di proporzionalità, necessità, pertinenza e non eccedenza allo scopo della raccolta e del trattamento, stabiliti dall'art. 11 del d.lgs. n. 196 /2003.

Si rileva anche che l'immissione di alcuni dei propri dati personali in rete, pur lasciando presumere la volontà dell'interessato di permetterne l'utilizzazione per gli scopi per cui gli stessi sono stati resi pubblici, non consente tuttavia di ritenere che quel consenso sia stato implicitamente prestato anche in funzione di qualsiasi altro trattamento.

In conclusione, la Corte conclude affermando che non risulta che l'ente resistente fosse legittimato a trattare i dati personali relativi alla vita sessuale del ricorrente per le finalità di gestione del rapporto di lavoro, quindi accoglie il ricorso, cassa la sentenza impugnata, e, decidendo nel merito, rigetta la domanda proposta dalla Provincia del Verbano Cusio Ossola



Autore

immagine A3M

Visite, contatti P&D

Nel mese di agosto 2020 Persona & Danno ha registrato oltre 241.000 visite.

Articoli correlati