Registro dei provvedimenti
n. 276 del 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il ricorso pervenuto al Garante il 16 maggio 2012 nei confronti dell'Azienda Ospedaliera di Padova, con il quale XY, dirigente medico operante in regime di convenzione presso la struttura complessa di KW della predetta Azienda Ospedaliera, nel contestare le modalità dell'avvenuta consegna del "Documento di Valutazione area dirigenza medica e sanitaria"  (non custodito in busta) da parte del personale di segreteria,  ha ribadito le richieste (già avanzate con interpello preventivo) volte ad avere conferma dell'esistenza di dati personali che la riguardano e ad ottenere la loro comunicazione in forma intelligibile, con specifico riferimento ai dati contenuti nel predetto Documento di Valutazione (DIV), a conoscere le modalità del loro trattamento, gli estremi identificativi del titolare e del responsabile del trattamento medesimo, nonché l'ambito di comunicazione dei dati stessi; rilevato che la ricorrente, ritenendo illecito il trattamento in questione - poiché la predetta scheda di valutazione le sarebbe stata consegnata "aperta", senza l'utilizzo di una busta, per il tramite di personale di segreteria anche non formalmente assegnato alla struttura complessa di KW presso la quale l'interessata svolge la propria attività – ha contestato tale trattamento opponendosi alla sua futura reiterazione;

VISTI gli ulteriori atti d'ufficio e, in particolare, la nota del 23 maggio 2012 con la quale questa Autorità, ai sensi dell'art. 149, comma 1 del Codice, ha invitato il titolare del trattamento a fornire riscontro alle richieste dell'interessata, nonché l'ulteriore nota dell'11 luglio 2012 con cui, ai sensi dell'art. 149, comma 7 del Codice, è stato prorogato il termine per la decisione sul ricorso;

VISTE le note datate 15 e 18 giugno 2012, nonché l'ulteriore nota del 4 luglio 2012, con le quali l'Azienda Ospedaliera resistente ha sostenuto che "sentiti i competenti uffici aziendali, non emerge alcuna violazione di legge, dato che le valutazioni sono state compiute dal direttore responsabile della struttura complessa cui era stata assegnata una password personale per l'accesso alle DIV e la consegna avvenuta tramite busta chiusa a mani del personale di segreteria"; alla medesima nota la resistente ha allegato copia della lettera del 5 dicembre 2011 (non indirizzata all'interessata) nella quale il direttore responsabile della struttura complessa di KW rappresentava al direttore generale dell'azienda ospedaliera che le schede di valutazione individuale, dopo essere state dallo stesso compilate, "sono state affidate in cartella chiusa alla segreteria per la consegna al personale dirigente" e che "il personale di segreteria, rispettivamente delle strutture complesse di HJ e di KW, ha quindi provveduto alla loro distribuzione, singolarmente ad ogni dirigente per la presa visione e la firma"; nelle medesime note è stato altresì chiarito che, per quanto attiene l'ambito di comunicazione dei dati personali della ricorrente, "l'invio delle schede non configura comunicazione di dati personali ma solo trattamento interno da incaricato a incaricato" e che "i dipendenti amministrativi delle strutture complesse di HJ e di KW e quelli della segreteria del personale, cui vanno fatte pervenire le schede, nella loro qualità di "incaricati del trattamento", sono "obbligati al rispetto della tutela della riservatezza dei dati personali il cui trattamento avviene solo per consentire l'adempimento dei compiti istituzionali della struttura in cui il personale opera";

VISTE le note pervenute il 21 luglio 2012 e il 12 settembre 2012 con le quali la ricorrente, nel sottolineare come nelle memorie della controparte si faccia riferimento a missive alla stessa non indirizzate e di cui pertanto non conosce il contenuto, ha affermato che l'azienda resistente ha indicato "una serie di persone quali incaricati del trattamento, inserendo tra questi anche dipendenti amministrativi della struttura complessa di HJ", struttura alla quale l'interessata non appartiene e il cui personale amministrativo non avrebbe dovuto conoscere il contenuto del proprio DIV; nella medesima nota la ricorrente ha peraltro evidenziato che il responsabile della propria struttura complessa, oltre a non avere precisato se l'inserimento dei dati sia stato effettuato da lui stesso o invece soltanto "sotto la sua cura", non ha fornito chiarimenti in ordine alle modalità di conservazione e di comunicazione all'interessata della scheda DIV;

VISTA la nota pervenuta via fax il 13 settembre 2012 con la quale l'azienda ospedaliera resistente, nel fornire riscontro alle diverse istanze della ricorrente, ha inviato alla stessa copia delle note di cui aveva lamentato la mancata conoscenza ed ha aggiunto che "per quanto concerne il personale di segreteria che – in qualità di incaricato – ha provveduto alla consegna delle schede DIV ed al loro invio materiale al D.I. del Personale, il prof. (…) ha spiegato il funzionamento integrato delle segreterie delle S.C. KW e HJ, illustrando i motivi pratici che lo hanno indotto – essendo responsabile di ambedue le strutture – ad intraprendere un cammino di integrazione";

VISTA la nota pervenuta via e-mail il 22 settembre 2012 con la quale la ricorrente, oltre a manifestare perplessità in ordine al "funzionamento integrato delle due segreterie" e quindi all'avvenuta conoscenza del contenuto della propria scheda di valutazione da parte di persone non formalmente assegnate alla struttura complessa di KW alla quale la stessa appartiene, ha ribadito di avere ricevuto il proprio DIV "a mano e contenuto in una cartellina insieme ad altri e ben visibile";

RILEVATO che dai riscontri pervenuti nel corso dell'istruttoria è emerso che il documento di valutazione oggetto del presente ricorso è stato compilato dal responsabile della struttura di KW e successivamente affidato, unitamente alle altre schede di valutazione dei dirigenti dell'area medica e sanitaria, a personale di segreteria che ha provveduto alla consegna del documento medesimo all'interessata; rilevato che il trattamento dei dati in questione da parte dei soggetti formalmente designati quali responsabile e incaricati del trattamento non risulta effettuato in modo illecito in quanto finalizzato, nell'ambito delle rispettive competenze, alla gestione di uno specifico aspetto del rapporto di lavoro in essere tra le parti; rilevato tuttavia che, dalla documentazione in atti, sono emerse dichiarazioni contrastanti sulle modalità di effettiva "circolazione" dei documenti valutativi all'interno dell'azienda ospedaliera, tali da far ritenere non sufficientemente dimostrata la piena idoneità di queste modalità ai fini della tutela della riservatezza dei dati della persona interessata. Dati che, per quanto di natura non sensibile, richiedono comunque idonee cautele protettive, specie quando attengono a valutazioni di prestazioni professionali e ad informazioni sull'attività lavorativa; ritenuto pertanto di dover accogliere il ricorso limitatamente a tale particolare aspetto del complessivo trattamento dei dati della ricorrente, rispetto al quale quest'ultima ha manifestato una sostanziale opposizione e di dover, pertanto, ordinare alla resistente,  ai sensi dell'art. 150, comma 2, del Codice, di adottare (in caso di future, analoghe operazioni di trattamento) ogni misura idonea ad assicurare la riservatezza dei dati contenuti nelle schede individuali di valutazione (es. consegna in busta chiusa o comunicazione spillata in modo da non consentire la visione, anche accidentale, da parte del personale che la consegna e di terzi non autorizzati; utilizzo di modalità telematiche che consentano l'accesso al solo interessato e diano contestualmente certezza dell'avvenuta ricezione del documento, ecc.), entro e non oltre sessanta giorni dalla ricezione del presente provvedimento, dando conferma a questa Autorità dell'adozione di tali misure;

RITENUTO invece di dover dichiarare non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del Codice in ordine alle restanti richieste, avendo il titolare del trattamento fornito, seppure solo nel corso del procedimento, un sufficiente riscontro alle stesse;

VISTI gli artt. 145 e s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

VISTE le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

TUTTO CIÒ PREMESSO IL GARANTE

a) accoglie il ricorso limitatamente all'opposizione al trattamento e ordina alla resistente,  ai sensi dell'art. 150, comma 2, del Codice, di adottare (in caso di future, analoghe operazioni di trattamento)  ogni misura idonea ad assicurare la riservatezza dei dati contenuti nelle schede individuali di valutazione, entro e non oltre sessanta giorni dalla ricezione del presente provvedimento, dando conferma a questa Autorità dell'adozione di tali misure;

b) dichiara non luogo a provvedere in ordine alle restanti richieste.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 4 ottobre 2012

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia
 

Fonte Garante Privacy