Garante della privacy: il datore di lavoro non deve rendere note la cause dell’assenza dal servizio

Il Garante della privacy, a seguito di un reclamo, si è espresso relativamente alla pubblicazione, sul sito internet di un istituto scolastico, di una circolare riguardante le ferie estive dei collaboratori scolastici, alla quale è stato allegato, un prospetto del piano ferie che riporta, in corrispondenza del nominativo di un dipendente, il riferimento alla fruizione dei benefici derivanti dalla legge 5 febbraio 1992, n. 104 e, in particolare, l’indicazione “104”.

L’istituto, nella sua memoria difensiva, ha precisato che la pubblicazione del piano ferie avviene all’interno di un’area ad accesso riservato, per la quale, ciascun lavoratore dispone di credenziali che gli consentono di prendere visione della bacheca digitale interna. Nella bacheca  vengono pubblicate le comunicazioni di valenza interna ed ogni altro documento di valore organizzativo, che viene indirizzata esclusivamente al lavoratore o alla categoria interessata dalla comunicazione stessa. L’Istituto ha, altresì, precisato che la comunicazione oggetto di segnalazione è stata effettuata per un mero errore materiale.

Il Garante ha ricordato che i dati relativi alla salute, ossia quelli “attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute”, in ragione della loro particolare delicatezza, “non possono essere diffusi” (art. 2-septies, comma 8, e art. 166, comma 2, del Codice e art. 9, paragrafi 1, 2, 4, del Regolamento), e i dati personali dei dipendenti non possono essere messi a conoscenza di soggetti diversi da coloro che sono parte del rapporto di lavoro e che non siano legittimati, in ragione delle scelte organizzative del titolare del trattamento e delle specifiche mansioni svolte, a trattare i medesimi dati, in qualità di personale autorizzato.

In particolare, con il Provvedimento n. 146 del 5 giugno 2019 -recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101, doc. web n. 9124510 – l’Autorità ha stabilito che “quando per ragioni di organizzazione del lavoro, e nell’ambito della predisposizione di turni di servizio, si proceda a mettere a disposizione a soggetti diversi dall’interessato (ad esempio, altri colleghi) dati relativi a presenze ed assenze dal servizio, il datore di lavoro non deve esplicitare, nemmeno attraverso acronimi o sigle, le causali dell’assenza dalle quali sia possibile evincere la conoscibilità di particolari categorie di dati personali (es. permessi sindacali o dati sanitari)

Sebbene, quindi, per errore, la messa a disposizione del documento in questione, contenente dati personali relativi ai giorni e alle causali di assenza dal servizio del personale scolastico, nonché  informazioni relative alla fruizione dei benefici della legge 104/1992, sia avvenuta in un’area ad accesso riservato del registro elettronico dell’Istituto – non accessibile a chiunque e tale da non determinare una diffusione di dati personali – la conoscibilità dei dati ivi contenuti è avvenuta, comunque, in favore di un numero, determinato o determinabile di soggetti, ossia tutti i colleghi della reclamante appartenenti al personale docente e non, anziché, esclusivamente a vantaggio del solo personale di segreteria autorizzato all’accesso e al trattamento di tali dati personali.

Per tali ragioni, l’Istituto ha reso, in modo ingiustificato, tutti i dipendenti edotti dei periodi e delle causali di assenza degli altri colleghi, comprensivi anche di informazioni su vicende personali e relative alla salute di taluni lavoratori e/o di loro familiari. Inoltre, considerato che tutto il personale della scuola non può essere ritenuto autorizzato a trattare i dati in questione, il trattamento effettuato dall’Istituto non può essere ritenuto conforme al quadro normativo in materia di protezione dei dati personali.  Infine, con specifico riferimento alla natura dei dati oggetto di diffusione, l’Autorità non ha ritenuto rilevante quanto dichiarato dall’Istituto scolastico circa il fatto che “non è stato divulgato il motivo che ha portato il dipendente ad avere riconosciuti i benefici ex L. 104/92. Non c’è stata quindi la pubblicazione di un dato sanitario vero e proprio ma solo di un indice da cui dedurre una certa invalidità di una persona”.

La sanzione pecuniaria amministrativa elevata dall’Autorità a carico dell’Istituto scolastico è di 4.000 euro.