g-docweb-display Portlet

Provvedimento dell'11 novembre 2021 [9725874]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9725874]

Provvedimento dell'11 novembre 2021

Registro dei provvedimenti
n. 398 dell'11 novembre 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l’avv. Guido Scorza e il dott. Agostino Ghiglia, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati, di seguito: “Regolamento”);

VISTO il decreto legislativo 30 giugno 2003, n.196, recante il Codice in materia di protezione dei dati personali, integrato con le modifiche introdotte dal decreto legislativo 10 agosto 2018, n. 101 (di seguito: “Codice”);

VISTO Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali (di seguito: “Regolamento 1/2019);

ESAMINATO il reclamo presentato dal signor XX, relativo ad un presunto trattamento illecito dei suoi dati personali effettuato dalla Questura di XX;

Esaminate le informazioni fornite dalle parti;

Vista la restante documentazione in atti;

Viste le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell´ufficio del Garante per la protezione dei dati personali;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

Il signor XX ha presentato reclamo al Garante, ai sensi dell’art. 77 del Regolamento e degli artt. 141 e segg. Codice,  sostenendo che “Da diversi anni la Questura di XX, presso la quale lavoro come dipendente civile, procede in modo del tutto arbitrario ad effettuare sorveglianze e controlli a mio carico, sostanziandosi tale illegale attività nelle intercettazioni delle mie comunicazioni personali, in voce e dati, in pedinamenti e nei controlli dei colloqui intrattenuti con terzi soggetti. Di tutto questo è stato formato un fascicolo personale aperto a mio nome (si veda la allegata lettera prot. 23820 del 17.12.2018) in totale violazione dell'art. 8 della legge 300/70 […]”.

Il reclamante ha riferito, per quanto qui rileva, di avere presentato una richiesta di accesso al presunto fascicolo alla Questura di XX, che gli comunicava formalmente “nulla risulta agli atti d’Ufficio”.

Non soddisfatto dal riscontro ricevuto, il reclamante ribadiva le sue richieste alla Questura e presentava, altresì, ricorso alla Commissione per l’accesso ai documenti amministrativi, che lo respingeva per tardività ed anche per la attestata inesistenza dei documenti oggetto dell’istanza di accesso.

Il reclamante ha lamentato che nella nota difensiva trasmessa alla Commissione per l’accesso ai documenti amministrativi, il Questore, dopo aver rappresentato che gli atti oggetto della richiesta di accesso non risultavano esistenti, ha ulteriormente fornito informazioni personali a lui riferite, ritenute anche di natura sensibile, testualmente dichiarando che “Giova precisare che il nominato in oggetto già da qualche anno è stato autore di due bizzarre missive indirizzate al Presidente della Provincia di XX, per le quali non è stato, all'epoca, interessato il medico competente di questo ufficio […] in data 31 dicembre u.s. si presentava, presso questi Uffici, il titolare della Agenzia XX, con sede in XX rappresentando di aver ricevuto una raccomandata da parte del sig. XX relativa all'accesso ai dati personali, In esercizio dei diritti di cui agli artt.15 e seguenti del Regolamento UE 2016/679, presumibilmente trattati da quella agenzia […] Si rappresenta, pertanto, come il dipendente, pur svolgendo gli incarichi d'ufficio affidatigli con ordinaria diligenza e mantenendo un contegno serio e riservato, in occasione di interlocuzioni con lo scrivente, relativamente alle istanze sopracitate, è apparso essere sempre reticente e pretestuoso, al punto da far insorgere nell’interlocutore dubbi sulla fondatezza delle sue richieste. Si fa riserva, comunque, di interessare eventualmente al riguardo il medico competente ai sensi del D. Lgs. 81/2008.”.

Il signor XX ha lamentato che il trattamento dei suoi dati personali effettuato con la trasmissione della predetta nota sia avvenuto, per i dati ritenuti eccedenti, in violazione degli artt. 5, 6, 7 e 9 del Regolamento.

Questa Autorità ha chiesto al Questore di XX pro tempore di indicare i motivi specifici per i quali, in aggiunta alla dichiarata inesistenza agli atti dell’ufficio di quanto richiesto dal reclamante, ha ritenuto di aggiungere nel riscontro alla Commissione per l’accesso le ulteriori dichiarazioni suindicate.

Il Questore di XX pro tempore ha fornito il riscontro richiesto, dichiarando, per quanto qui rileva, che “Nel fornire la memoria difensiva alla predetta Commissione e, comunque, nell'ottica di una corretta gestione dei dati e di collaborazione con la medesima Commissione nonché allo scopo di tutelare l'interesse del dipendente, lo scrivente, al fine unicamente di assicurare una più ampia valutazione dei fatti, rappresentava quanto disponibile al fascicolo del dipendente, senza per questo voler illegittimamente divulgare dati attinenti la sfera personale del sig. XX.”.

Poiché le motivazioni di tale trattamento indicate dal Questore di XX sono apparse inconferenti rispetto alle condizioni che rendono lecito il trattamento dei dati personali, questa Autorità ha comunicato alle parti l’avvio del procedimento per l’adozione dei provvedimenti di cui agli articoli 58, paragrafo 2, e 83 del Regolamento,  ai sensi degli articoli 77 e segg. del Regolamento, dell’art. 166 del Codice e degli articoli 12 e segg. del Regolamento 1/2019, per accertare se il trattamento dei dati personali in argomento era stato effettuato in violazione delle disposizioni di cui agli artt. 5 (per avere il titolare trattato dati del reclamante non pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono stati originariamente trattati), 6 (per avere il titolare effettuato il trattamento dei dati del reclamante in assenza delle condizioni di liceità previsti da detta disposizione) e 9 del ripetuto Regolamento (per avere il titolare effettuato il trattamento sopra descritto dei dati del reclamante, in assenza dei casi legittimanti di cui al comma 2 del medesimo articolo).

Il Questore pro tempore, subentrato al precedente nelle more di questo procedimento, ha presentato memoria difensiva, nella quale ha rappresentato quanto segue:

“preso atto di quanto comunicato dal Questore protempore dott. XX con la nota trasmessa a codesto organo collegiale in data 17 luglio 2019, emerge che lo stesso forniva una memoria difensiva alla Commissione per l'accesso ai documenti amministrativi con la quale rappresentava quanto disponibile al fascicolo personale del dipendente, nel convincimento di non divulgare dati attinenti alla sfera personale del Sig. XX. Dall'analisi del carteggio agli atti, a parere di chi scrive, nei documenti a firma del  Questore protempore, si rinvengono affermazioni attraverso le quali viene sì espresso un giudizio, fondato o meno che sia, senza però che vi sia lesività della privacy. In sostanza, non si ritiene vi sia stata diffusione di alcun dato personale bensì sono state espresse valutazioni soggettive, non mediche, sul soggetto.”.

OSSERVA

Le informazioni di cui il reclamante lamenta l’illegittima ostensione alla Commissione per l’accesso ai documenti amministrativi da parte del Questore di XX consistono, come indicato nelle premesse, nel contenuto degli scambi epistolari intervenuti tra il reclamante ed il titolare dell’Agenzia investigativa e nella  palesata riserva di valutare l’opportunità di interessare il medico competente circa la condotta del signor XX.

Ai sensi dell’art. 4, paragrafo 1, n. 1), del Regolamento, costituisce dato personale “qualsiasi informazione riguardante una persona fisica identificata o identificabile”.

Appare, pertanto che costituiscano dati personali sia l’informazione relativa ai rapporti intervenuti tra il reclamante e l’Agenzia investigativa, sia la valutazione, palesata dal Questore, della opportunità “di interessare eventualmente al riguardo il medico competente”, valutazione che sottende un giudizio sulla sussistenza di condizioni personali del XX (indicato, nella nota del Questore alla Commissione per l’accesso, quale “autore di due bizzarre missive indirizzate al Presidente della Provincia di XX, per le quali non è stato, all'epoca, interessato il medico competente”), tali da consigliare di fare accertare il suo stato di salute psicofisico.

Atteso che la comunicazione di tali dati personali costituisce trattamento, ai sensi dell’art. 4, paragrafo 1, n. 2), del Regolamento, si pone la questione della sua conformità alle disposizioni rilevanti in materia di protezione dei dati personali.

Come sopra accennato, il trattamento dei dati personali di terzi è ammesso quando ricorra una delle condizioni indicate dall’art. 6 del Regolamento.

Il Questore di XX ha dichiarato di avere riportato nella memoria difensiva trasmessa alla Commissione per l’accesso i dati personali sopra richiamati, “nell'ottica di una corretta gestione dei dati e di collaborazione con la medesima Commissione nonché allo scopo di tutelare l'interesse del dipendente […] al fine unicamente di assicurare una più ampia valutazione dei fatti […] senza per questo voler illegittimamente divulgare dati attinenti alla sfera personale del sig. XX”.

Tali motivazioni, anche alla luce degli ulteriori elementi acquisiti nel corso del presente procedimento,  appaiono inconferenti rispetto alle condizioni che rendono lecito il trattamento dei dati personali, enumerati nell'art. 6, comma 1, del Regolamento.

In particolare, tale trattamento: non si basa sul consenso dell'interessato (lett. a); non risulta necessario all'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali adottate su richiesta dello stesso (lett. b ); non risulta necessario per adempiere ad un obbligo legale al quale è soggetto il titolare del trattamento (lett. c ); non risulta necessario per la salvaguardia degli interessi vitali dell'interessato o di un'altra persona fisica (lett. d); non risulta necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento (lett. e); non risulta necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi prevalenti sugli interessi o i diritti e le libertà fondamentali dell'interessato (lett. f).

Occorre, in particolare, considerare che la comunicazione alla Commissione per l'accesso ai documenti amministrativi dei dati personali del reclamante, ulteriori rispetto a quelli relativi alla loro esistenza ed agli eventuali motivi che ostano al loro accesso, appare eccedente, essendo unicamente rilevante ed esaustivo, per la decisione che la Commissione era chiamata ad adottare, la circostanza dell'inesistenza dei documenti di cui il reclamante chiedeva l'ostensione, come ha riconosciuto la Commissione stessa. Gli elementi ulteriori a questo appaiono non solo non necessari per le esigenze sottese alla partecipazione al procedimento su diritto di accesso, ma persino non pertinenti rispetto alle finalità del trattamento, in violazione di quanto disposto dall'art. 5 del Regolamento. In sostanza, le comunicazioni in parola, in quanto relative non alle questioni sottoposte alla competenza della Commissione per l’accesso, ma, senza effettivo nesso con queste, solo alla persona dell'interessato, non rientrano in quel margine di libertà di elaborare la propria tesi che va riconosciuto a chi è parte di un procedimento amministrativo giustiziale, quale quello davanti alla Commissione per l'accesso. Non si comprende, infine, in quale guisa i dati del reclamante che sono stati comunicati alla Commissione per l’accesso, obiettivamente screditanti il reclamante, sarebbero stati funzionali "allo scopo di tutelare l'interesse del dipendente", come sostenuto dal Questore.

Risulta, pertanto, l’illiceità del trattamento dei dati personali del signor XX effettuato dalla Questura di XX, consistente nell’avere il Questore comunicato alla Commissione per l’accesso ai documenti amministrativi dati personali del reclamante non pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento, in violazione dell’art. 5 del Regolamento ed in assenza delle condizioni legittimanti il trattamento dei dati personali di cui all’art. 6.

Sulla base dei criteri indicati dall’art. 83 del Regolamento, considerando che la condotta ha esaurito i suoi effetti, che i destinatari della comunicazione si riducono alla sola Commissione per l’accesso, che non risultano a carico del titolare del trattamento precedenti violazioni pertinenti e che il titolare non ha tratto alcun vantaggio economico dal trattamento, si ritiene che nel caso di specie non ricorrono i presupposti per infliggere una sanzione amministrativa pecuniaria di cui all’art. 58, par. 2, lett. i) del Regolamento.

Essendo comunque stata accertata l’illiceità del trattamento di dati personali, si ritiene di dover ammonire, ai sensi degli artt. 58, par. 2, lett. b) del Regolamento, la Questura di XX per aver violato gli artt. 5, par. 1, lett. c) e l’art. 6 del Regolamento.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara l’illiceità del trattamento di dati personali effettuato e, per l’effetto, ammonisce, ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, la Questura di XX, per la violazione dell’art. 5, paragrafo 1, lettera c), del Regolamento, non essendo i dati personali oggetto di trattamento pertinenti e limitati alle finalità del trattamento stesso, e per la violazione dell’art. 6 del Regolamento, essendo stato effettuato un trattamento di dati personali in mancanza delle condizioni di liceità stabilite dal predetto articolo, nei termini di cui in motivazione.

Ai sensi dell’art. 78 del Regolamento, dell’art. 152 del Codice e dell’art. 10 del d. lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione, in via alternativa, al tribunale del luogo in cui il titolare del trattamento risiede o ha sede ovvero al tribunale del luogo di residenza dell'interessato, entro trenta giorni dalla data di comunicazione del provvedimento ovvero entro sessanta giorni se il ricorrente risiede all'estero.

Roma, 11 novembre 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei