Vi ricordate le formiche all'Ospedale San Giovanni Bosco di Napoli ?

Giancarlo Favero · mar feb 15, 2022 4:43 pm

Ebbene i fatti riguardano la nota vicenda delle formiche e blatte che avevano invaso l'Ospedale San Giovanni Bosco di Napoli, con conseguenti provvedimenti discipinari intrapresi nei confronti dei due soggetti responsabili.
Cosa succede ? Che per eccesso di zelo l'ASL pubblica sul sito web nome e cognome dei due soggetti interessati, spiegando l'accadito ed i provvedimenti intrapresi.
Che si sia d'accordo o meno, siamo alle solite: un soggetto pubblico può diffondere dati personali solo ove consentito da una norma di legge o, nei casi previsti dalla legge, di regolamento (art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).
Poiché in questo caso la norma di legge norma esiste, all'ASL Napoli 1 Centro è stata comminata una sanzione di 6.000,00 Euro.

Anche qui la domanda sorge spontanea: ma le ASL ce l'hanno un DPO ? E se questo DPO esiste, ha una conoscenza della normativa superiore a quella che potrebbe avere un boscimano del Kalahari o un criceto lobotomizzato sottoposto a sedazione ? Perché ragazzi, questo discorso che i soggetti pubblici possono diffondere dati personali solo ove consentito da una norma di legge o do regolamento, lo sanno anche i muri e lo insegnano tra un po' anche alle elementari e sono nozioni assolutamente di base della protezione dei dati personali. Ma tant'è.

Di seguito trovate il testo integrale del provvedimento, consultabile anche al seguente link:

https://www.garanteprivacy.it/web/guest ... eb/9745807

Grazie e buona lettura, Giancarlo Favero

Ordinanza ingiunzione nei confronti di A.S.L. Napoli 1 Centro - 13 gennaio 2022

Registro dei provvedimenti
n. 7 del 13 gennaio 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione.

Con reclamo del XX, presentato ai sensi dell’art. 77 del Regolamento, il reclamante, dirigente sanitario in servizio presso l’A.S.L. Napoli 1 Centro (di seguito, l’”Azienda”), ha lamentato la pubblicazione sul sito web istituzionale dell’Azienda di un comunicato stampa, contenente propri dati personali relativi al rapporto di lavoro e all’adozione di provvedimenti disciplinari nei propri confronti.

In particolare, è stato lamentato che nella sezione “Notizie ed Eventi” del sito web istituzionale dell’Azienda è stato pubblicato un comunicato stampa del XX, avente il seguente oggetto: “Caso formiche al San Giovanni Bosco e assegnazione di lavori in somma urgenza, concluso il processo disciplinare a carico dei dipendenti [nome e cognome del reclamante] e [nome e cognome di un altro dipendente dell’Azienda]. Per entrambi comminata la sanzione della sospensione dal servizio con privazione dello stipendio”.

Tale circostanza è stata accertata dall’Ufficio del Garante (cfr. relazione di servizio del XX, in atti).

2. L’attività istruttoria.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Azienda, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni dell’artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. c) ed e), parr. 2 e 3, lett. b) del Regolamento, e 2-ter, commi 1 e 3, del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo), invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX, l’Azienda, per il tramite del proprio avvocato, ha presentato la propria memoria difensiva, dichiarando, in particolare, che:

“le informazioni personali relative al reclamante si riferiscono all'assunzione nei suoi confronti di un provvedimento disciplinare nell'ambito del caso che ha avuto vasta eco mediatica su tutto il territorio nazionale relativo all'infestazione di formiche presso il P.O. San Giovanni Bosco di Napoli e l'illegittima assegnazione di lavori in massima urgenza”;

“il clamore […] provocato dalla diffusione della notizia […] spingeva […] tutte le autorità competenti a fare chiarezza sull’accaduto e gli organi di stampa a seguire […] le evoluzioni della vicenda”;

"il giorno […] dicembre 2018, su “La Repubblica Napoli”, veniva pubblicata un’intervista rilasciata dal [reclamante] dal titolo “[nome e cognome del reclamante] – Formiche e incuria ma io non sono un capro espiatorio”, con una sua foto in primo piano […] [rilasciava talune dichiarazioni in merito ai fatti occorsi];

“il giorno XX, i maggiori quotidiani annunciavano la rimozione del [reclamante] dall’incarico di Direttore Sanitario del P.O San Giovanni Bosco, stabilita dal nuovo Commissario [dell’Azienda] (vedasi articolo tratto da il “Corriere del Mezzogiorno” dal titolo “Primo atto di […]: rimosso il direttore sanitario dell’ospedale delle formiche” […]). Nell’articolo pubblicato su il “Mattino” si legge: “[nome e cognome del reclamante] non passa la graticola delle formiche […]” (articolo del 15 febbraio dal titolo “Formiche e blatte cambiano i direttori di due ospedali – Ospedali nel caos cambiano i vertici” […])”;

“il XX, l’A.S.L. Napoli 1 Centro, con disposizione n. 31, irrogava al [reclamante] \la sanzione disciplinare della sospensione dal servizio e dalla retribuzione […]”

“non appena ricevuta la comunicazione di avvio del procedimento sanzionatorio, l’[Azienda] ha subito proceduto alla rimozione del comunicato stampa del XX. Invero […] già nel primo pomeriggio del XX il comunicato stampa risultava rimosso”;

“alla data del XX, la notizia relativa al reclamante si presentava sul sito istituzionale, nella Sezione “Eventi e Notizie”, alla diciottesima pagina e non era, perciò, di facile reperibilità”;

“la stessa notizia, poi, risultava aver ricevuto, dalla data del XX, un totale di 269 visualizzazioni, che è un numero esiguo ove si consideri l’utenza dell’[Azienda]”;

“la decisione dell’[Azienda] è stata assunta a valle di un’articolata vicenda che ha avuto una vasta eco mediatica e che ha coinvolto direttamente il [reclamante], il quale è stato più volte interpellato [dalla stampa]”;

“l’[Azienda], […] [in relazione] ai gravissimi fatti accertati, si è […] sentita in dovere di dare un messaggio importante di legalità dopo che erano state lese la sua immagine e la sua dignità, e, ancor più, era stato coinvolto il primario diritto alla salute dei pazienti […] [, ritenendo] di dover fornire ogni utile informazione sulle azioni intraprese, in primis, ai pazienti, i cui diritti sono stati […] lesi”;

“rilevanti motivi di interesse pubblico sono, dunque, alla base della decisione dell’Azienda di pubblicare [il comunicato stampa in questione] […] [, essendo, pertanto, stata] rispetta[ta] la condizione stabilita dalla stessa previsione contenuta all’art. 6, lett. e), del Regolamento UE 679/16 […] [, in quanto l’Azienda] ha mirato a perseguire finalità di pubblico interesse connesse alla tutela del primario diritto alla salute e del principio di legalità”.

In occasione dell’audizione, richiesta dall’Azienda ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX (verbale prot. n. XX del XX), l’Azienda ha, inoltre, dichiarato, in particolare, che:

“la spiacevole vicenda che ha coinvolto alcuni pazienti dell’ospedale ha avuto ampia eco sulla stampa nazionale ed ha avuto implicazioni anche sul piano giudiziario, essendoci stati anche interventi da parte del governo, volti a chiarire i fatti occorsi. La vicenda oggetto di reclamo deve quindi inquadrarsi in questo specifico contesto”;

“lo stesso reclamante aveva rilasciato interviste a note testate di stampa, prendendo posizione in merito ai fatti occorsi, rendendo la vicenda di pubblico dominio. Conseguentemente, anche il comunicato dell’ASL è stato emesso per dare seguito alle dichiarazioni dell’interessato e per informare la collettività, già edotta dei fatti, in merito agli sviluppi della vicenda e dei provvedimenti assunti a rimedio del gravissimo episodio”;

“l’interessato non ha in ogni caso subito alcun pregiudizio per effetto della pubblicazione del comunicato stampa in questione”;

“in data XX, il reclamante, che è ancora in servizio presso l’Azienda, ha inviato una nota alla stessa, affermando che a seguito dell’intervenuto chiarimento fornito dall’Azienda, egli ritiene non più sussistenti le ragioni per le quali aveva al tempo proposto reclamo al Garante, auspicando l’archiviazione del procedimento”.

3. Esito dell’attività istruttoria.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, nell’ambito del contesto lavorativo, possono trattare i dati personali degli interessati, anche relativi a categorie particolari, se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalla legge o dal diritto dell’Unione o dello Stati membri (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4 e 88 del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, parr. 1, lett. e), 2 e 3, e art. 9, par. 2, lett. g), del Regolamento; art. 2-ter del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di diffusione di dati personali (come la pubblicazione su Internet), da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (cfr. art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

Il titolare del trattamento è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione dei dati”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

In tale quadro, si osserva, che la circostanza che il reclamante avesse rilasciato dichiarazioni alla stampa in merito ai medesimi fatti cui si riferiscono i provvedimenti disciplinari adottati a proprio carico non può giustificare la diffusione dei dati personali del reclamante stesso sul sito web istituzionale dell’Azienda. Come sopra evidenziato, i soggetti pubblici possono, infatti, diffondere dati personali solo ove consentito da una norma di legge o, nei casi previsti dalla legge, di regolamento (art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), a nulla rilevando che i medesimi dati siano già stati diffusi altrove, anche dallo stesso interessato, per altre finalità (cfr. provv. 2 luglio 2020, n. 118, doc. web n. 9440025). In ogni caso, le dichiarazioni rese dal reclamante alla stampa (2018) sono antecedenti alla data in cui sono stati adottati i provvedimenti disciplinari nei propri confronti (XX) e, pertanto, la pubblicazione del comunicato stampa ha comportato la diffusione di dati personali in parte diversi da quelli relativi alle dichiarazioni riportate dalla stampa.

Né rileva quanto affermato dall’Azienda in merito alla circostanza che la pubblicazione del comunicato stampa in questione sia stata posta in essere in ragione della generica esigenza, rappresentata nelle dichiarazioni agli atti, di perseguire finalità di pubblico interesse connesse alla tutela del diritto alla salute e della legalità, essendo il trattamento – per quanto sopra detto – privo di un’idonea base giuridica (cfr., in particolare, provv. 25 febbraio 2021, n. 68, doc. web n. 9567429 e i precedenti provvedimenti in esso richiamati).

La diffusione sul sito web istituzionale dell’Azienda di dati personali del reclamante e di un altro lavoratore in servizio presso la stessa, relativi a vicende connesse al rapporto di lavoro e a provvedimenti disciplinari adottati a carico degli interessati, è avvenuta, pertanto, dal XX al XX, in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di un’idonea base giuridica, in violazione degli artt. 5 e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si rappresenta, altresì, che per la determinazione della norma applicabile, sotto il profilo temporale, deve essere richiamato in particolare il principio di legalità di cui all’art. 1, comma 2, della l. n. 689/1981 che sancisce come «le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e nei tempi in esse considerati». Ciò determina l’obbligo di prendere in considerazione le disposizioni vigenti al momento della commessa violazione, che nel caso in esame – data la natura permanente dell’illecito contestato – deve essere individuato all’atto di cessazione della condotta illecita, verificatasi successivamente alla data del 25 maggio 2018 in cui il Regolamento è divenuto applicabile e il d.lgs. 10 agosto 2018, n. 101 è entrato in vigore. Dagli atti dell’istruttoria è, infatti, emerso che la diffusione dei dati personali degli interessati è cessata in data XX.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Azienda per aver diffuso dati personali del reclamante e di un altro lavoratore in violazione degli artt. 5 e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo e art. 166, comma 2, del Codice.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che la diffusione dei dati personali degli interessati è cessata, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stato considerato che la rilevata condotta ha avuto ad oggetto la diffusione di dati personali attinenti a vicende connesse al rapporto di lavoro, nonostante le numerose indicazioni rese dal Garante a tutti i soggetti pubblici sin dal 2014 con le “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico" (provv. n. 23 del 14 giugno 2007, doc. web n. 1417809). Si è tenuto, altresì, conto del considerevole lasso di tempo in cui i dati personali degli interessati sono stati oggetto di diffusione (dal XX al XX).

Di contro, si è tenuto favorevolmente in considerazione che la violazione non ha riguardato categorie particolari di dati personali e che ha coinvolto solo due interessati. Il titolare si è poi prontamente attivato per rimuovere i dati oggetto di reclamo non appena ha avuto contezza della violazione, prestando piena collaborazione nel corso dell’istruttoria. Ai fini della valutazione del livello di danno subito dagli interessati, è stato, inoltre, considerato che, sebbene il reclamante non abbia formalmente ritirato il proprio reclamo, l’Azienda ha dato conto, nel corso dell’istruttoria, del fatto che, a seguito dei chiarimenti fornitigli, il reclamante ha auspicato l’archiviazione del procedimento (cfr. nota prot. XX del XX, depositata agli atti dall’Azienda). Non risultano, inoltre, precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 6.000 (seimila) per la violazione degli artt. 5 e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto del considerevole lasso temporale durante il quale i predetti dati sono stati reperibili in rete, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dall’Azienda per violazione degli artt. 5 e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), nei termini di cui in motivazione;

ORDINA

all’A.S.L. Napoli 1 Centro, in persona del legale rappresentante pro-tempore, con sede legale in Via Comunale del Principe, 13/a - 80145 Napoli, C.F. 06328131211, di pagare la somma di euro 6.000 (seimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

alla predetta Azienda, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 6.000 (seimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 13 gennaio 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei