IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Garante per la protezione dei dati personali (di seguito Garante) ha definito, con provvedimento n. 507 del 1° ottobre 2015, il procedimento amministrativo relativo ad una segnalazione presentata dal Garante delle persone sottoposte a misure restrittive della libertà personale relativa ad un trattamento di dati sensibili delle detenute presso il carcere di Firenze- Sollicciano, effettuato per finalità disciplinari dalla Direzione del carcere a seguito della morte di una detenuta per assunzione di una overdose di sostanze stupefacenti. Con tale provvedimento, il Garante ha dichiarato illecito il trattamento suddetto sia “in quanto non è stata fornita alle interessate alcuna informativa circa la finalità disciplinare del trattamento medesimo, come prescrive l’art. 13 del Codice” (d. lgs. n. 196/2003 recante il Codice in materia di protezione dei dati personali, d’ora in avanti “Codice”) sia “per la mancata previsione di tale tipo di trattamento di dati sensibili (dei detenuti per finalità disciplinari) nelle fonti di riferimento, ai sensi di quanto prescrive l’art. 20, comma 2, del Codice” sia “perché neppure risulta agli atti l’autorizzazione dell’autorità giudiziaria, ai sensi degli artt. 116 e segg. c.p.p., da considerare con riferimento all’art. 11 del Codice”. Il Garante ha così disposto, ai sensi degli artt. 143 lett. c) e 154, comma 1, lett. d) del Codice, nei confronti del Ministero della Giustizia, Dipartimento dell’Amministrazione Penitenziaria - Casa circondariale di Firenze, il divieto di ogni eventuale ulteriore trattamento per finalità disciplinari dei campioni biologici prelevati alle detenute e dei relativi referti di analisi;

VISTO il ricorso proposto dal Ministero della Giustizia avverso il citato provvedimento, ai sensi degli artt. 152 del Codice e 10 del d. lgs. n. 150/2011, dinanzi al Tribunale di Firenze, che ha dichiarato la propria incompetenza per territorio in favore del Tribunale di Roma, che a sua volta ha rigettato, con decreto del 27 dicembre 2016, l’istanza di sospensione del provvedimento impugnato;

VISTO il verbale di contestazione del 18 dicembre 2015 n. 35852/96982 (che qui si intende integralmente richiamato), con cui sono state contestate al Ministero della Giustizia, Dipartimento dell’Amministrazione Penitenziaria, con sede in Roma, Largo Luigi Daga, n. 2 (C.F. 80184430587), in relazione ai trattamenti di dati personali della Casa Circondariale di Firenze/Sollicciano, le violazioni amministrative previste: 1) dall’art.162, comma 2-bis, del Codice per aver svolto i predetti trattamenti in carenza di una fonte normativa che, ai sensi dell’art. 20 del Codice, indichi la tipologia di dati sensibili e le operazioni di trattamento eseguibili nell’ambito dei procedimenti disciplinari; 2) dall'art. 161 del Codice, per aver svolto trattamenti di dati personali finalizzati all’irrogazione di sanzioni disciplinari nei confronti delle detenute della suddetta Casa Circondariale senza aver reso alle medesime l’informativa prevista dall’art. 13 del Codice. Entrambe le violazioni sono state contestate in combinato disposto con l’aggravante di cui all’art. 164-bis, comma 3, del Codice;

LETTO il rapporto redatto dall’Ufficio ai sensi dell’art. 17 della legge n. 689/1981, dal quale risulta che il contravventore non ha provveduto al pagamento in misura ridotta, per le violazioni contestate;

RILEVATO che la parte non ha presentato scritti difensivi o richiesto di essere ascoltata, così come previsto dall’art. 18 della legge n. 689/1981;

RILEVATO che, in merito alla contestata violazione di cui all’art. 162 comma 2-bis del Codice, gli artt. 38 e ss. della legge 26 luglio 1975 n. 354 e gli artt. 77 e ss. del D.P.R. 30 giugno 2000 n. 230, recanti le norme sull’ordinamento penitenziario e sulla esecuzione delle misure privative e limitative della libertà (d’ora in avanti “Ordinamento penitenziario”), prevedono l’irrogazione di sanzioni disciplinari a carico delle persone detenute, ma non specificano i tipi di dati sensibili e le operazioni di trattamento eseguibili nell’ambito dei procedimenti disciplinari;

RILEVATO che il Regolamento di cui al Decreto del Ministero della Giustizia 12 dicembre 2006, n. 306, che disciplina il trattamento dei dati sensibili e giudiziari da parte del Ministero, ai sensi degli artt. 20 e 21 del Codice, non prevede il trattamento di dati sensibili riferiti ai detenuti per finalità disciplinari, come accertato anche nel corso del procedimento da cui è scaturito il provvedimento n. 507 del 1° ottobre 2015;

RILEVATO che le altre disposizioni dell’Ordinamento penitenziario che prevedono il trattamento dei dati sanitari dei detenuti non riguardano l’utilizzo di tali dati a fini disciplinari, bensì il loro impiego per tutt’altre finalità (ad esempio, la tutela della salute della popolazione carceraria, percorsi di recupero dei tossicodipendenti gestiti dal SERT, formazione della cartella personale dei detenuti);

RILEVATO, ancora, che il trattamento per fini disciplinari dei dati sensibili dei detenuti non è riconducibile alla disposizione di cui all’art. 86 del Codice, che considera di rilevante interesse pubblico le finalità perseguite mediante trattamento di dati sensibili, relative alle attività amministrative correlate all’applicazione della disciplina in materia di stupefacenti e sostanze psicotrope in quanto, come indica il medesimo art. 86, tale trattamento viene svolto per l’assistenza socio-sanitaria ai tossicodipendenti e non per finalità disciplinari. Tale disposizione, del resto, è collocata all’interno del Capo III del Titolo V del Codice concernente il “Trattamento di dati personali in ambito sanitario”;

VISTO il citato decreto del 27 dicembre 2016 con cui il Tribunale di Roma, nel rigettare l’istanza del Ministero di sospensione del provvedimento del Garante n. 507 del 1° ottobre 2015, ha chiaramente evidenziato che il provvedimento impugnato “si limita a vietare il trattamento finalizzato alla irrogazione di sanzioni disciplinari dei dati biologici raccolti nel carcere di Sollicciano, mentre non vieta la raccolta e l’utilizzo dei dati medesimi per ragioni di tutela della salute delle detenute; pertanto nessun rischio sotto il profilo sanitario e della sicurezza deriva dalla vigenza della decisione del Garante”;

RILEVATO, quindi, che il Ministero della Giustizia, Dipartimento dell’Amministrazione Penitenziaria - Casa circondariale di Firenze ha effettuato un trattamento di dati sensibili finalizzati all’irrogazione di sanzioni disciplinari nei confronti delle detenute della suddetta Casa Circondariale in carenza di una fonte normativa che, ai sensi dell’art. 20 del Codice, indichi la tipologia di dati sensibili e le operazioni di trattamento eseguibili nell’ambito dei procedimenti disciplinari;

RILEVATO che, in merito alla contestata violazione di cui all’art. 161 del Codice, l’art. 13 del Codice prescrive che l’interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati, tra l’altro, delle finalità del trattamento cui sono destinati i dati, nonché della natura obbligatoria o facoltativa del conferimento dei dati medesimi e che nella vicenda in esame è stato accertato che alle suddette detenute non è stata fornita l’informativa in merito alle finalità disciplinari del trattamento né l’informativa in merito al carattere facoltativo del trattamento medesimo (v. provvedimento n. 507 del 1° ottobre 2015);

RILEVATO che le finalità attinenti ai procedimenti disciplinari dei detenuti sono distinte, per loro natura, da quelle relative ad attività di Polizia giudiziaria (art. 47 del Codice), anch’esse accertate nella vicenda in esame, con il citato provvedimento n. 507 del 1° ottobre 2015);

RILEVATO, altresì, che il trattamento in esame non è riconducibile all’art. 80 del Codice, che, nel prevedere modalità semplificate di informativa, riguarda trattamenti di dati personali in ambito sanitario e si rivolge esclusivamente a soggetti pubblici operanti in ambito sanitario o della prevenzione e sicurezza del lavoro;

RILEVATO, quindi, che il Ministero della Giustizia, Dipartimento dell’Amministrazione Penitenziaria - Casa circondariale di Firenze ha effettuato un trattamento di dati sensibili finalizzati all’irrogazione di sanzioni disciplinari nei confronti delle detenute della suddetta Casa Circondariale senza aver reso alle medesime l’informativa prevista dall’art. 13 del Codice;

VISTO l’art. 161 del Codice che punisce la violazione delle disposizioni di cui all’art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l’art. 162 comma 2-bis del Codice che punisce la violazione della disposizione di cui all'art. 20, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all’aspetto della gravità con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico, le violazioni riguardano il trattamento per fini disciplinari dei dati relativi allo stato di salute di 66 detenute;

b) circa la personalità dell’autore della violazione, rileva che il Ministero - DAP è già stato destinatario di un’ordinanza ingiunzione n. 111 del 10 marzo 2016 per la violazione prevista dall’art. 162 comma 2-bis del Codice relativamente all’art. 19, comma 3, del Codice, per aver diffuso l’elenco del personale appartenente al Corpo di polizia penitenziaria nei cui confronti era stata disposta la liquidazione del compenso per prestazioni di lavoro straordinario, in assenza di una norma di legge o di regolamento che legittimasse tale trattamento;

c) in merito alle condizioni economiche dell’agente, trattasi di soggetto pubblico;

RITENUTO, pertanto, che l’ammontare della sanzione pecuniaria di cui all’art.161 del Codice deve essere quantificata nella misura di euro 12.000,00 (dodicimila) e l’ammontare della sanzione pecuniaria di cui all’art. 162 comma 2-bis del Codice deve essere quantificata nella misura di euro 20.000,00 (ventimila);

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

al Ministero della giustizia, Dipartimento dell’amministrazione penitenziaria, con sede in Roma, largo Luigi Daga, n. 2, in persona del rappresentante legale pro-tempore, di pagare la somma complessiva di euro 32.000,00 (trentaduemila) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 162, comma 2-bis, e 161 del Codice come indicato in motivazione;

INGIUNGE

al medesimo Ministero della giustizia, Dipartimento dell’amministrazione penitenziaria di pagare la somma di euro 32.000,00 (trentaduemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.