Il Garante per la Privacy ha vietato ad una Casa Circondariale il trattamento dei dati personali dei partecipanti a una manifestazione sindacale autorizzata che si è svolta, senza incidenti, all’esterno della struttura carceraria e al di fuori dall’orario di servizio. Di fatto il Garante per la Privacy con il provvedimento n. 371 del 29 novembre 2012 ha dichiarato che non si possono “schedare” i dati dei partecipanti a una manifestazione sindacale.
La Casa circondariale é incorsa in un trattamento illecito in primis perché non sono state riscontrate le violazioni temute, non è mai stato avviato alcun procedimento disciplinare, né nei confronti del segretario del sindacato che ha indetto la manifestazione, né nei confronti dei partecipanti, e in seconda battuta i prolungati ed immotivati tempi di conservazione, eccedenti rispetto alla finalità di un loro impiego nell’ambito di un procedimento disciplinare, peraltro – come ricordato - mai avviato.
Il Garante ha imposto, alla Casa Circondariale, determinati obblighi a cui adempiere circa l'inutilizzabilità dei dati raccolti
Di seguito il provvedimento

[doc. web n. 2192643]
Trattamento di dati sensibili riferiti ai partecipanti ad una manifestazione sindacale
Registro dei provvedimenti
n. 371 del 29 novembre 2012
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;
VISTA la segnalazione presentata dall'avv. Nicola Roberto Toscano in nome e per conto del segretario regionale della Puglia CISL FNS in data 18 ottobre 2010;
VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali);
VISTA la l. 15 dicembre 1990, n. 395 (Ordinamento del Corpo di polizia penitenziaria);
VISTO l'art. 18, d.P.R. 15 febbraio 1999, n. 82 (Regolamento di servizio del Corpo di Polizia penitenziaria);
VISTO il decreto del Ministro della Giustizia 12 dicembre 2006, n. 306 (Regolamento recante: disciplina del trattamento dei dati sensibili e giudiziari da parte del Ministero della giustizia, adottato ai sensi degli articoli 20 e 21 del Codice);
VISTE le "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico", adottate con provvedimento del 14 giugno 2007 (pubblicato nella G.U. 13 luglio 2007, n. 161);
VISTI gli elementi in atti;
VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
RELATORE la prof.ssa Licia Califano;
PREMESSO
1. Con segnalazione presentata in nome e per conto del segretario regionale CISL FNS della Puglia si è lamentato che, in occasione di una manifestazione sindacale – cui hanno aderito "decine di poliziotti penitenziari" ed organizzata "all'esterno della struttura del carcere di Bari ed al di fuori del normale orario di servizio" –, "soggetti incaricati dalla Direzione carceraria hanno raccolto e registrato, unitamente ad altri dati, i nominativi di tutti i partecipanti, per finalità e con intenti ignoti". In particolare, la raccolta dei dati personali dei partecipanti alla manifestazione (indetta per protestare rispetto all'adozione di alcune determinazioni da parte della Direzione della casa circondariale) avrebbe costituito, a detta del sindacato segnalante, una "schedatura" del personale di polizia penitenziaria intervenuto, sì da rendere necessario l'intervento del Garante al fine di "indagare in merito ai fatti descritti, verificando, in particolare, se siano stati violati diritti civili dei cittadini […] e di adottare i provvedimenti che si riterranno opportuni" (cfr. segnalazione del 18 ottobre 2010).
2. Al fine di verificare la liceità del trattamento di dati personali effettuato e di acquisire elementi idonei ad accertarne la conformità al Codice, sono state chieste alla Direzione della Casa circondariale di Bari informazioni volte a conoscere, tra l'altro, i presupposti – in particolare normativi – che avrebbero legittimato il segnalato trattamento, con particolare riguardo a quello relativo ai dati idonei a rivelare l'appartenenza sindacale del personale partecipante alla menzionata manifestazione.
3.1. Nel fornire il proprio riscontro (cfr. nota 11 maggio 2011), la Direzione della Casa circondariale ha prodotto documentazione inerente la vicenda segnalata dalla quale è stato possibile evincere che:
a. in data 13 aprile 2010, prima dello svolgimento della manifestazione sindacale, la Direzione della Casa circondariale di Bari comunicava ad una pluralità di soggetti istituzionali (segnatamente, al Ministero della Giustizia - D.A.P., al Provveditore regionale di Bari, al Presidente del Tribunale di sorveglianza presso la Corte d'appello di Bari nonché al Prefetto di Bari) la programmata manifestazione di protesta e le ragioni della stessa. Con la stessa nota, inviata per conoscenza al Comandante di Reparto, al Coordinatore N.T.P. ed al Coordinatore dell'Unità Operativa Ordine e Sicurezza, si disponeva inoltre l'approntamento di adeguate misure di prevenzione "a tutela della sicurezza dell'Istituto"; si chiedeva al Prefetto di "voler disporre idoneo supporto al personale di polizia penitenziaria" per la durata della manifestazione nonché, rivolgendosi agli Uffici ministeriali in indirizzo, di "valutare se l'iniziativa assunta dal segretario Regionale Cisl ed, in particolare, la manifestazione di protesta preannunciata per il 14 c.m., violi i doveri cui devono attenersi gli appartenenti al Corpo di polizia penitenziaria", con particolare riguardo all'art. 18, d.P.R. n. 82/1999, "qualora le questioni inerenti le modalità di espletamento di compiti istituzionali e direttamente incidenti sull'ordine, sicurezza e disciplina, venissero dal rappresentate Cisl propalate indebitamente all'esterno" (cfr. nota del 13 aprile 2010, prot. n. 10458);
b. a manifestazione conclusa, in data 14 aprile 2010, l'Ispettore coordinatore di sorveglianza generale, incaricato altresì di svolgere funzioni di "coordinamento delle misure di vigilanza pianificate dall'Ufficio Comando a tutela dell'ordine e della sicurezza" (cfr. nota 11 maggio 2011, cit.), ebbe a redigere una relazione di servizio indirizzata al Comandante di Reparto nella quale, oltre a riferire succintamente le modalità di svolgimento della manifestazione, precisava che la stessa si era svolta "senza ripercussioni negative" e riportava i nominativi del personale di polizia penitenziaria che vi aveva preso parte (cfr. relazione di servizio non protocollata del 14 aprile 2010, cit.);
c. in data 12 maggio 2010 la Direzione della Casa circondariale, nell'inoltrare ai medesimi destinatari della citata nota del 13 aprile 2010 copia della relazione di servizio del 14 aprile 2010 recante i nominativi dei partecipanti, invitava, tra l'altro, gli uffici ministeriali reputati competenti "a prendere posizione circa la valutazione dell'iniziativa assunta dai rappresentati CISL sotto il profilo di eventuale violazione dei doveri statuiti per gli appartenenti al Corpo di Polizia Penitenziaria".
Tra la documentazione prodotta è ricompresa anche altra più sintetica relazione, anch'essa redatta il 14 aprile 2010, ma protocollata, con la quale si dava sinteticamente conto dell'avvenuto svolgimento della preannunciata manifestazione indetta dalla sigla sindacale CISL FNS, senza menzione alcuna dell'identità dei partecipanti alla stessa, precisandosi soltanto che l'iniziativa si era svolta "senza nessun episodio rilevante da segnalare con la partecipazione di circa 30 persone" (cfr. nota protocollata del 14 aprile 2010).
3.2. In una comunicazione successiva la Casa circondariale di Bari ha rappresentato che (cfr. nota del 28 giugno 2012):
a. i provvedimenti inerenti la manifestazione sindacale oggetto di segnalazione "sono stati curati direttamente e personalmente dalla precedente Autorità dirigente […] cessata dall'incarico in data 20.12.2011";
b. "la documentazione in atti presso questo Ufficio è costituita prevalentemente dalle note già inoltrate", oggetto di conservazione, e che "non risultano allo stato ulteriori operazioni di trattamento dei dati".
4.1. Ad integrazione della documentazione acquisita presso la Casa circondariale è stato chiesto anche al Ministero della Giustizia − Dipartimento amministrazione penitenziaria (D.A.P.) di fornire chiarimenti con riguardo all'individuazione del titolare del trattamento, nonché all'osservanza dei principi di liceità, finalità, pertinenza e non eccedenza del trattamento in relazione alle distinte operazioni effettuate, anche alla luce della comunicazione del Provveditore regionale del 21 giugno 2010 (cfr. all. n. 3 alla segnalazione) nella quale si assicurava alla rappresentanza sindacale segnalante che "la Direzione della Casa circondariale non ha adottato, né potrebbe, alcun provvedimento nei confronti di detti partecipanti e che la manifestazione di protesta si è svolta in modo assolutamente pacifico".
4.2. Nel fornire il riscontro, il Ministero della Giustizia (cfr. nota 5 luglio 2012) ha precisato che:
a. attesa l'articolazione dell'Amministrazione "in unità periferiche (quale la Casa circondariale di Bari) cui è preposto un dirigente provvisto di potere decisionale del tutto autonomo sulle finalità e sulle modalità del trattamento dei dati […] deve individuarsi quale titolare unico del trattamento il direttore dell'Istituto in esame […]";
b. "le operazioni effettuate dalla Casa circondariale di Bari non sono serventi alle finalità amministrativo-istituzionali di questa centrale Struttura, che, pertanto, non ha posto in essere ulteriori operazioni di trattamento".
5.1. Alla luce degli elementi acquisiti, deve in primo luogo rilevarsi che le operazioni di trattamento dei dati nominativi dei partecipanti alla manifestazione sindacale riguardano dati sensibili ai sensi dell'art. 4, comma 1, lett. d), del Codice, essendo tali dati idonei a rivelare l'adesione degli interessati al sindacato.
Con riguardo a tale trattamento – da effettuarsi comunque "secondo modalità volte a prevenire violazioni dei diritti, delle libertà fondamentali e della dignità dell'interessato" (art. 22, comma 1, del Codice) – la disciplina di protezione dei dati personali prevede che esso possa essere svolto da parte dei soggetti pubblici solo "se autorizzato da espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati e di operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite" (art. 20, comma 1, del Codice).
Per quanto rileva nel caso in esame – nel quale le operazioni di trattamento dei nominativi dei partecipanti risulta essere stato motivato dall'eventuale utilizzo allo scopo di sollevare eventuali contestazioni disciplinari –, il legislatore ha individuato la richiesta "finalità di rilevante interesse pubblico" nell'ambito della gestione dei rapporti di lavoro, nello svolgimento di attività dirette all'accertamento di responsabilità anche disciplinare del lavoratore (cfr. art. 112, comma 2, lett. g), del Codice).
Deve in proposito aggiungersi che, ai sensi dell'art. 20, comma 2, del Codice, i tipi di dati sensibili e di operazioni eseguibili, sono stati individuati con atto di natura regolamentare (previo parere espresso dal Garante) con il decreto del Ministro della Giustizia 12 dicembre 2006 n. 306 (Regolamento recante: disciplina del trattamento dei dati sensibili e giudiziari da parte del Ministero della giustizia) il cui allegato n. 8 concerne i trattamenti effettuati nell'ambito di "procedure e sanzioni disciplinari".
5.2. Nella vicenda in esame, il trattamento dei dati sensibili sopra richiamati nell'ambito della gestione del rapporto di lavoro, pur se (in astratto) consentito dalla legge e dal regolamento ai fini dell'instaurazione di un procedimento disciplinare a carico di alcuno dei partecipanti, non risulta lecito ai sensi degli artt. 11, comma 1, lett. a) e 20, comma 1 del Codice in quanto, come diffusamente risulta dagli atti, non essendo stata riscontrata né contestata alcuna violazione del segreto d'ufficio di cui all'art. 18 del Regolamento di servizio del Corpo di Polizia penitenziaria (d.P.R. 15 febbraio 1999, n. 82), i dati sensibili riferiti ai partecipanti alla manifestazione sindacale oggetto di raccolta e registrazione non sono stati (in concreto) utilizzati nell'ambito di alcun procedimento disciplinare.
Quest'ultimo, infatti, non è stato attivato né nei confronti del segretario della CISL (che aveva indetto la citata manifestazione), né di alcuno dei partecipanti alla manifestazione, non potendo peraltro la mera indizione e partecipazione ad una manifestazione sindacale configurare di per sé alcun illecito per l'ordinamento, anche alla luce della fondamentale libertà di riunione riconosciuta dall'art. 17 della Costituzione (nonché dall'art. 19, l. n. 395/1990 che, nell'ambito dell'ordinamento del Corpo di polizia penitenziaria, stabilisce le norme di comportamento nel godimento dei diritti politici, civili e sindacali). Tale circostanza, peraltro, risulta confermata anche dalla menzionata nota del 21 giugno 2010 (cfr. all. n. 3 alla segnalazione) con la quale il Provveditorato regionale per la Puglia ha escluso che la Direzione della Casa circondariale potesse adottare "alcun provvedimento nei confronti di detti partecipanti [e nella quale su è dato atto] che la manifestazione di protesta si [fosse] svolta in modo assolutamente pacifico".
5.3. Sotto diverso profilo, anche alla luce dell'immotivata prolungata conservazione dei dati sensibili in esame, risulta violato l'art. 11, comma 1, lett. e), del Codice, nonché l'art. 22, commi 5 e 9 del Codice, risultando gli stessi eccedenti rispetto alla dichiarata finalità del loro impiego nell'ambito di un procedimento disciplinare.
6. Alla luce delle considerazioni svolte, deve pertanto dichiararsi illecito il descritto trattamento dei dati sensibili degli interessati effettuato dalla Casa circondariale di Bari con la conseguente inutilizzabilità dei dati trattati in violazione di legge ai sensi dell'art. 11, comma 2 del Codice.
Ai sensi dell'art. 154, comma 1, lett. d), del Codice, deve inoltre essere disposto nei confronti della medesima Casa circondariale il divieto di trattare ulteriormente i dati relativi ai nominativi dei partecipanti alla manifestazione contenuti nella relazione di servizio sopramenzionata, con loro conservazione per esigenze di tutela dei diritti in sede giudiziaria.
Deve altresì prescriversi, ai sensi dell'art. 154, comma 1, lett. c), del Codice, di portare a conoscenza dei destinatari della comunicazione del 13 maggio 2010 cui i dati riferiti agli interessati siano stati eventualmente comunicati il contenuto del presente provvedimento, in ordine al profilo dell'inutilizzabilità dei dati oggetto del medesimo.
7. Atteso che la violazione dell'art. 20 del Codice rientra tra le fattispecie previste dall'art. 167, comma 2, del Codice, l'Autorità si riserva di verificare, con autonomo procedimento, i presupposti per l'eventuale contestazione della violazione amministrativa di cui all'art. 162, comma 2-bis del Codice.
8. In caso d'inosservanza del presente provvedimento, si renderanno applicabili le sanzioni (rispettivamente penale e amministrativa) di cui agli artt. 170 e 162, comma 2-ter del Codice.
TUTTO CIÒ PREMESSO IL GARANTE
nei confronti della Casa circondariale di Bari
a. dichiara illecito il trattamento dei dati sensibili riferiti ai partecipanti alla manifestazione sindacale, effettuato in violazione degli artt. 11, comma 1, lett. a) ed e), 20 e 22 del Codice, con la conseguente inutilizzabilità dei dati trattati in violazione di legge, ai sensi dell'art. 11, comma 2 del Codice;
b. vieta, ai sensi degli artt. 154, comma 1, lett. d), 144 e 143, comma 1, lett. c) del Codice, di trattare ulteriormente i dati relativi ai partecipanti alla manifestazione con effetto immediato dalla data di ricezione del presente provvedimento, con loro conservazione per esigenze di tutela dei diritti in sede giudiziaria;
c. prescrive, ai sensi degli artt. 154, comma 1, lett. c) e 143, lett. b) del Codice, di portare a conoscenza del contenuto del presente provvedimento i destinatari della comunicazione del 12 maggio 2010 cui i dati riferiti agli interessati siano stati eventualmente comunicati.
Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.
Roma, 29 novembre 2012
IL PRESIDENTE
Soro
IL RELATORE
Califano
IL SEGRETARIO GENERALE
Busia