IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Garante, con provvedimento n. 443 del 10 ottobre 2013, ha definito il procedimento amministrativo relativo ad un reclamo afferente l´indebita comunicazione, ad una pluralità di destinatari, di dati personali di natura sanitaria di alcuni dipendenti, tra cui i reclamanti, da parte della Regione Autonoma della Sardegna - Direzione generale del Corpo forestale e di vigilanza ambientale (di seguito "Corpo forestale"), con sede in Cagliari, via Biasi n. 7, accertando l´illiceità della predetta comunicazione poiché effettuata in violazione delle disposizioni contenute nell´art. 20, commi 1 e 2 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003 n. 196, di seguito "Codice") nonché dei principi di liceità, pertinenza, non eccedenza e indispensabilità disciplinati dagli artt. 11, lett. a) e d) e 22, comma 3, del Codice;

VISTO l´atto di contestazione, che qui deve intendersi integralmente richiamato, prot. n. 33209/82956 del 20 dicembre 2013 con cui è stata contestata al Corpo forestale, con sede in Cagliari, via Biasi n. 7, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 162, comma 2-bis del Codice, per aver effettuato una comunicazione di dati sensibili in carenza dei presupposti di liceità e indispensabilità previsti dagli artt. 20 e 22 del Codice, informandolo della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge n. 689/1981 dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTA la memoria difensiva datata 15 gennaio 2014 nella quale il Corpo forestale, ai sensi dell´art. 18 della legge n. 689/1981, ha eccepito "(…) la tardività della notifica della contestazione dell´illecito amministrativo e relativa sanzione". Ciò in quanto il Regolamento n. 1/2007 - Procedure interne all´Autorità aventi rilevanza esterna finalizzate allo svolgimento dei compiti demandati al Garante per la protezione dei dati personali - "(…) prevede agli artt. 8 e seguenti che a seguito del Reclamo, l´Unità organizzativa a cui il reclamo è assegnato (…) chiuda l´istruttoria entro sei mesi dalla presentazione del reclamo (…), salvo sospensioni dei termini che devono essere comunicate alle parti ai sensi del Reg. 2/2007, art. 6, comma IV". Al riguardo, nel lamentare che "Nessun termine di sospensione è mai stato comunicato alla Regione Autonoma della Sardegna", ha asserito come "(…) l´unica ipotesi in cui l´attività istruttoria potrebbe risultare sospesa è quella necessaria ad acquisire notizie, integrazioni o precisazioni dal richiedente (…)". Sul punto, nel richiamare il contenuto dell´art. 11, comma 3 del Reg n. 01/2007 afferente l´avvio del procedimento amministrativo funzionale all´adozione di un provvedimento collegiale, ha lamentato che "Nessuna comunicazione di avvio di tale fase è mai stata comunicata alle parti" e che "(…) il termine per l´adozione del medesimo provvedimento è non superiore a sessanta giorni dalla data di ricezione degli atti in conformità all´art. 15 del Reg. n. 1/2000". La parte ritiene che "(…) il reclamo del 19 settembre 2012 è stato preso in carico il 17.10.2012 (…); il Garante ha richiesto in data 22.02.2013 dati e informazioni alla Regione Autonoma Sardegna la quale ha risposto in data 14 marzo 2013(…) e che il Sindacato (…) ha presentato le sue ultime memorie in data 29.03.2013 (…); considerando anche come sospensivi i tempi di richiesta atti (dal 22.02.13 al 29.03.2013) l´istruttoria avrebbe dovuto concludersi in data 24.05.2013 (…) e il Garante avrebbe dovuto emanare il provvedimento entro 60 gg. da tale data, mentre il primo provvedimento del Garante è del 10 ottobre 2013 (…), e la contestazione amministrativa avviene in data 20.12.2013 (…), ben oltre 6 mesi dal completamento dell´istruttoria". Il Corpo forestale ha, inoltre, eccepito anche la "(…) violazione dell´art. 14 della legge n. 689/1981 in quanto la contestazione è avvenuta oltre i 90 giorni dall´accertamento del fatto", poiché " (…) dal 29.03.2013, data delle controdeduzioni fornite dal Reclamante, nessuna ulteriore attività istruttoria è stata svolta dal Garante e comunque, alla data massima di chiusura dell´istruttoria (….), i fatti erano già stati ampiamente accertati (…)". Nel merito, invece, la parte "(…) contesta che i dati oggetto di comunicazione possano essere considerati sottoposti a divieto di divulgazione" affermando che "(…) l´indicazione degli esami prescritti a ciascun dipendente non permette (…) di inferire informazioni idonee a rivelarne lo stato di salute" in quanto "(…) sono quelli rientranti nel protocollo sanitario previsto dal datore di lavoro per gli appartenenti al Corpo Forestale (…) che, svolgendo mansioni che comportano un elevato rischio di infortuni sul lavoro ovvero per la sicurezza, l´incolumità e la salute di terzi, in forza dell´art. 41, comma 4 del D.Lgs. 81/08, obbligatoriamente devono essere sottoposti a visite mediche preventive e periodiche finalizzate alla verifica di assenza di condizioni di alcol dipendenza e di assunzione di sostanze psicotrope e stupefacenti". Infine, siccome "(…) anche esami particolari (…) sono previsti per tutti o per intere categorie di forestali, in quanto in possesso di arma in dotazione e patente di guida di servizio" il Corpo forestale ha affermato che l´indicazione degli esami prescritti "(…) non era affatto idonea a rivelare lo stato di salute dei dipendenti (…)";

VISTO il verbale dell´audizione delle parti redatto in data 7 aprile 2014, ai sensi dell´art. 18 della legge n. 689/1981, il Corpo forestale, nel ribadire sostanzialmente quanto argomentato nella memoria difensiva, ha richiamato la nota dell´ispettorato ripartimentale di Sassari con la quale si evidenziava che la comunicazione via posta elettronica "era stata effettuata in una circostanza che vedeva gli uffici chiusi e la concomitante esigenza di avere la certezza della presenza del personale (…) a causa dell´emergenza incendi". Inoltre, ha prodotto in atti una nota nella quale il Dr. Paolo Incani (coordinatore dei medici competenti RAS interpellato sull´argomento dal Corpo forestale) afferma che "(…) la prescrizione di esami (…) sui lavoratori, su richiesta di parte del medico competente, (…) non implica in alcun modo una rivelazione di notizie sullo stato di salute del singolo.";

RITENUTO che le argomentazioni addotte non consentono di superare i rilievi alla base della contestazione. Va, preliminarmente, rigettata l´argomentazione della parte secondo cui sarebbero stati violati i termini individuati con i Regolamenti del Garante nn. 1 e 2 del 14 dicembre 2007 (in www.garanteprivacy.it, docc. web nn. 1477480 e 1477624) e afferenti le diverse fasi del procedimento amministrativo. Al riguardo, posto che il provvedimento n. 443 del 10 ottobre 2013, con il quale sono state accertate le violazioni in argomento, non risulta essere stato impugnato ai sensi dell´art. 152 del Codice, si deve osservare, in primo luogo, che l´istruttoria preliminare è una fase che precede l´eventuale avvio del procedimento amministrativo volto a verificare la sussistenza dei presupposti del provvedimento collegiale da parte del Garante. Ai sensi dell´art. 11, comma 1 del citato Regolamento n. 1/2007 (concernente le procedure interne all´Autorità aventi rilevanza esterna), tale istruttoria deve essere completata entro sei mesi dalla presentazione del reclamo, ovvero nove mesi nei casi più complessi, mentre il termine previsto per la conclusione della conseguente e distinta fase del procedimento amministrativo è fissato in centoottanta giorni dalla chiusura dell´istruttoria preliminare (Tabella B del Regolamento n. 2/2007 concernente l´individuazione dei termini e delle unità organizzative responsabili dei procedimenti amministrativi presso il Garante per la protezione dei dati personali). Risulta evidente, pertanto, che il trasgressore, nell´eccepire la violazione dei termini disciplinati dai predetti Regolamenti, non abbia tenuto in considerazione tale ultimo termine contenuto nella citata tabella B allegata al regolamento n. 2/2007 e costituente, ai sensi dell´art. 3 del medesimo regolamento, parte integrante dello stesso. Tenendo in considerazione la data di presentazione del reclamo (17 ottobre 2012) e la sospensione dei termini dell´attività istruttoria dovuta alla necessità di acquisire di informazioni dalle parti ai sensi dell´art. 7 del Regolamento n. 2/2007 (dal 22 febbraio 2013 al 29 marzo 2013), la fase dell´istruttoria preliminare risulta essere stata conclusa, come correttamente rilevato anche dalla parte, il 24 maggio 2013. Pertanto, il dies a quo per la conclusione del conseguente procedimento amministrativo va individuato nella data di chiusura dell´istruttoria preliminare. Sul punto giova evidenziare che, diversamente da quanto asserito dalla parte, il termine di 60 giorni per l´adozione del provvedimento collegiale, in virtù dell´art. 11, comma 2 del Regolamento n. 2/2007 decorre dalla data dell´adempimento previsto dall´art. 15 Regolamento n. 1/2000 e non dalla data di chiusura dell´istruttoria preliminare. Pur non considerando la sospensione dei termini dal 1° agosto al 15 settembre di ciascun anno (ex art. 6, comma 1, del Regolamento n. 2/2007), la data di adozione del provvedimento del Garante (10 ottobre 2013) risulta, pertanto, perfettamente congrua rispetto alle prescrizioni regolamentari in materia.

Privo di pregio risulta, inoltre, quanto asserito circa la mancata comunicazione del termine di sospensione ai sensi dell´art. 6, comma 4 del Regolamento n. 2/2007 in quanto il presupposto di tale comunicazione è l´avvenuta sospensione al verificarsi delle circostanze disciplinate dal secondo e terzo comma dello stesso articolo (casi complessi, riunione di procedimenti, documenti indisponibili per effetto di provvedimenti dell´autorità giudiziaria ecc.), circostanze non riscontrabili nel caso di specie. Per ciò che afferisce, invece, la mancata comunicazione dell´avvio del procedimento amministrativo, funzionale all´adozione del provvedimento, si evidenzia che la funzione di tale comunicazione è quella di assicurare l´effettiva conoscenza e partecipazione all´azione amministrativa da parte dei soggetti nei cui confronti l´atto è destinato a produrre effetti al fine di consentire agli stessi di intervenire e influenzare il contenuto del provvedimento medesimo. Nel caso di specie, tale partecipazione è stata assicurata alla parte già in fase di istruttoria preliminare mediante la richiesta di informazioni riscontrata dal Corpo forestale con la nota del 14 marzo 2013, corredata da una cospicua documentazione consistente in ben 13 allegati. Sul punto, è bene sottolineare come ormai costante e consolidata giurisprudenza ritenga che l´obbligo di comunicazione dell´avvio del procedimento amministrativo non deve essere osservato "in maniera meccanicistica"; la validità dell´azione amministrativa non è inficiata qualora si sia concretamente raggiunto lo scopo al quale in via generale la previa comunicazione tende (Consiglio di Stato, Sez. IV, 12.05.2016, n. 1915; Consiglio di Stato Sez. III, 04.02.2016, n. 443 Consiglio di Stato Sez. V, 30.12.2015, n. 5863).

Risulta privo di pregio anche quanto argomentato relativamente allo spirare del termine di cui all´art. 14, comma 2 della legge n. 689/1981, atteso che il dies a quo per la notificazione della contestazione va correttamente individuato nella data di accertamento della violazione e questa deve intendersi come la data in cui sono stati acquisiti (e valutati dall´organo accertatore) tutte le circostanze di fatto e gli elementi di diritto rilevanti ai fini dell´individuazione di una condotta sanzionata quale illecito amministrativo (ex multis Cass. Civ. 12830/06). Nel caso in esame, il Corpo forestale ritiene erroneamente che l´accertamento della violazione contestata si sia perfezionato con l´invio delle controdeduzioni da parte del reclamante in data 29 marzo 2013, che invece è un atto istruttorio del procedimento amministrativo del reclamo volto a raccogliere quegli elementi necessari alle valutazioni del caso. In effetti la violazione, così come espressamente indicato nel verbale di contestazione in argomento, è stata accertata, ai sensi dell´art. 13 della legge n. 689/1981, con il provvedimento dell´Autorità n. 443 del 10 ottobre 2013 conclusivo del procedimento del reclamo, all´esito dell´articolata attività istruttoria posta in essere dall´Ufficio e delle conseguenti valutazioni in ordine alla illiceità della condotta perpetrata. Il Dipartimento attività ispettive e sanzioni ha proceduto, pertanto, a notificare la contestazione nel rispetto del termine previsto dall´art. 14 della legge n. 689/1981 ovvero in data 20 dicembre 2013.

Quanto asserito, infine, in merito all´idoneità dei dati oggetto della comunicazione inoltrata ad una pluralità di destinatari a rivelare lo stato di salute degli interessati e alle circostanze in cui tale comunicazione era stata effettuata, si rileva che le argomentazioni prodotte non abbiano fornito alcun elemento ulteriore rispetto a quanto preso in considerazione dall´Autorità nel provvedimento n. 443 del 10 ottobre 2013 con il quale è stata accertata la violazione di che trattasi e che il provvedimento citato non è stato impugnato in sede giurisdizionale ai sensi dell´art. 152 del Codice. Pertanto, devono essere ribadite le valutazioni poste a base del citato provvedimento, sulla scorta delle quali non sono ravvisabili gli elementi costitutivi della disciplina di cui agli artt. 3 e 4 della legge n. 689/1981;

CONSIDERATO che la comunicazione dei predetti dati non è prevista da norma di legge o dal Regolamento Regionale della Sardegna n. 1 del 26 luglio 2007 (Regolamento per il trattamento dei dati sensibili e giudiziari) come richiesto, invece, dall´art. 20, commi 1 e 2 del Codice;

RILEVATO, pertanto, che il Corpo forestale ha effettuato una comunicazione, ad una pluralità di destinatari, di dati sensibili riferiti ai reclamanti nonché agli altri dipendenti interessati in carenza del presupposto di liceità previsto dall´art. 20 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali l´art. 20 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 10.000,00 (diecimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

alla Regione Autonoma della Sardegna - Direzione generale del Corpo forestale e di vigilanza ambientale con sede in Cagliari, via Biasi n. 7, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 162, comma 2-bis del Codice indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 10.000,00 (diecimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.