Il Garante della Privacy, con provvedimento del 6 luglio 2023 (https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9920145) ha sanzionato un’Amministrazione Comunale per avere pubblicato, in Albo Pretorio:

una determina avente ad oggetto “attribuzione compensi incentivanti la produttività individuale - impegno e liquidazione annualità XX” – con allegato l’elenco di 70 dipendenti del Comune, con l’indicazione degli specifici compensi percepiti.

Il trattamento dei dati in ambito lavorativo

Il provvedimento del Garante consente di cogliere alcuni spunti operativi che ogni amministrazione pubblica deve applicare con riferimento al trattamento dei dati dei propri dipendenti in relazione all’esecuzione del contratto di lavoro.

La disciplina di protezione dei dati personali prevede che i soggetti pubblici, nell’ambito del contesto lavorativo, possono trattare i dati personali degli interessati, anche relativi a categorie particolari, se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4 e 88 del Regolamento).

Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, parr. 1, lett. e), 2 e 3, e art. 9, par. 2, lett. g), del Regolamento).

La diffusione dei dati dei dipendenti.

Nel quadro generale sopra descritto si pone il tema della diffusione dei dati dei dipendenti tramite pubblicazione sul sito web istituzionale, come avvenuto nel caso di specie.

Al riguardo, si evidenzia che l’operazione di diffusione di dati personali (come la pubblicazione su Internet), da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (cfr. art. 2-ter, commi 1 e 3, del Codice).

Tra le fonti che legittimano la pubblicazione dei compensi percepiti dai dipendenti non possono essere richiamate, come chiarito dal Garante, le disposizioni del Contratto Collettivo Decentrato Integrativo Territoriale che non soddisfano i requisiti della base giuridica richiesti dal Regolamento e dal Codice (art. 6, par. 1, lett. c) ed e) e parr. 2 e 3, lett. b) del Regolamento, nonché art. 2-ter, commi 1 e 3 del Codice.

In relazione alla pubblicazione dei dati personali il Garante ha fornito indicazioni in ordine ai presupposti (e, al ricorrere di questi, delle specifiche modalità) per la lecita pubblicazione di atti e documenti che contengono dati personali anche dei dipendenti precisando, in particolare, che non è lecito diffondere informazioni personali riferite a singoli lavoratori come nelle ipotesi di informazioni riguardanti contratti individuali di lavoro, trattamenti stipendiali o accessori percepiti (cfr. par. 6.3 delle "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico" del 14 giugno 2007, doc. web n. 1417809).

Tali informazioni, in assenza di idonea base giuridica, non possono essere diffuse né messe a disposizione di soggetti estranei all’amministrazione o di altri colleghi non specificamente autorizzati, salve le ordinarie forme di conoscibilità degli atti amministrativi previste dall’ordinamento (artt. 22 e ss. l. 7 agosto 1990, n. 241; d.P.R. 12 aprile 2006, n. 184; artt. 6, 9, 10 e 86 Regolamento).

Il Garante, inoltre, ha in numerose occasioni chiarito che anche la presenza di uno specifico regime di pubblicità non può comportare alcun automatismo rispetto alla diffusione online dei dati e informazioni personali, né una deroga ai principi in materia di protezione dei dati personali. Ad esempio, proprio in numerose decisioni in merito agli obblighi derivanti dall’art. 124 del d.lgs. 267/2000, il Garante ha ribadito che anche alle pubblicazioni sull’albo pretorio online di atti o deliberazioni si applicano tutti i limiti previsti dai principi della protezione dei dati personali, avendo riguardo anzitutto alla previa verifica della sussistenza di idonei presupposti di liceità della diffusione online dei dati personali in essa contenuti (v., tra i tanti, provv. del 15 settembre 2022, n. 299, doc. web n. 9815665 e provv. del 25 febbraio 2021, n. 68, doc. web 9567429).

In base alle considerazioni che precedono si deve concludere che i dati personali dei 70 dipendenti comunali relativi ai compensi percepiti in ragione della produttività individuale sono stati diffusi sul sito istituzionale del Comune in assenza di un’idonea base giuridica, in violazione degli artt. 5 e 6 del Regolamento e dell’art. 2-ter del Codice.

La pubblicazione delle performance in Amministrazione Trasparente

Trattando il tema delle performance dei dipendenti e delle pubblicazioni su Amministrazione Trasparente deve richiamarsi l’art. 20 del d.lgs. 33 del 2013 “Obblighi di pubblicazione dei dati relativi alla valutazione della performance e alla distribuzione dei premi al personale”.

La norma stabilisce che le pubbliche amministrazioni “pubblicano i dati relativi all'ammontare complessivo dei premi collegati alla performance stanziati e l'ammontare dei premi effettivamente distribuiti”, prevedendo l’obbligo di indicare esclusivamente “i criteri definiti nei sistemi di misurazione e valutazione della performance per l'assegnazione del trattamento accessorio e i dati relativi alla sua distribuzione, in forma aggregata”, ma non i dati dei compensi accessori percepiti individualmente dai dipendenti.

La finalità di trasparenza perseguita mediante tale previsione, al fine di dare pubblica evidenza dei livelli di selettività e premialità nella distribuzione dei premi e degli incentivi al personale, trova effettività, per espressa scelta del legislatore, attraverso la pubblicazione dei menzionati valori in forma aggregata.