Il Garante della Privacy ha sanzionato la condotta di una Polizia Locale il quale comandante, ricevuta una lettera anonima relativa ad un vigile, assieme ad un verbale di una commissione pari opportunità, ha proceduto a una specie di “consultazione” degli operatori della Polizia Locale, rivelando il nome dell’interessato. Un NO che pesa non poco.
Le osservazione del Garante
Con il relativo Provvedimento a carico del Comune, quale Titolare, l’Autorità ha premesso che si possono gestire i dati personali dei dipendenti solo se il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, inclusi specifici obblighi o compiti previsti dalla legge per finalità di gestione del rapporto di lavoro, oppure per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri.
Invece, secondo il Garante, nella disamina delle normative di riferimento prospettate dal Comune, inclusi gli accertamenti per eventuali provvedimenti disciplinari, non sono risultate esistere norme che abbiano giustificato la comunicazione del nome dell’interessato, oggetto dell’anonimo che, tra l’altro, lo stesso Comune ha definito come probabilmente non veritiero.
Peraltro, il Collegio del Garante ha osservato che il datore di lavoro è sempre tenuto ad applicare il principio di minimizzazione dei dati personali trattati, eliminando “ogni occasione di superflua conoscibilità dei dati personali dei lavoratori, adottando cautele particolari per evitare l’indebita circolazione di informazioni personali, non solo verso l’esterno, ma anche all’interno dei contesti lavorativi”.
Le conseguenze
Nel prosieguo, l’Autorità ha proseguito osservando che “i colleghi del reclamante, destinatari dell’e-mail del Comandante, sono venuti a conoscenza dei dati personali dell’interessato, pur non potendo essere considerate persone autorizzate a conoscere tali dati in ragione del proprio specifico incarico”.
Così la conclusione: “Ciò ha … comportato una comunicazione di dati personali dal Comune a terzi (art. 4, n. 10), del Regolamento) in assenza di un’idonea base giuridica“.
A latere, il Garante ha anche rilevato come non fosse pervenuta alcuna formale comunicazione del Responsabile della Protezione dei Dati personali del Comune, come sarebbe d’obbligo.
La sanzione
In conseguenza, il Comune è stato sanzionato per per aver effettuato un trattamento di dati personali, in assenza di un idoneo presupposto normativo, e per non avere comunicato formalmente il nominativo del DPO, per l’importo di € 10.000,00.
