Privacy: lecito rendere pubblico lo stato di salute di un dipendente?

Il datore di lavoro che scelga di rendere pubblico lo stato di salute di un suo dipendente, senza che una tale divulgazione sia stata retta da fini di interesse pubblico, viola l'art. 11 del D.lgs. 193/2006.

Con tale condotta viene lesa la riservatezza del dipendente a seguito del superamento dei limiti di pertinenza e non eccedenza del trattamento dei dati personali.

Per chiedere il risarcimento del danno non patrimoniale è sufficiente lamentare un patema d'animo, essendo sovente le modalità della divulgazione idonee, già per se stesse, a dimostrare l'esistenza di un pregiudizio.

E' quanto è emerso dalla sentenza n. 2034 del 13 febbraio 2012 emessa dalla Cassazione che ha condannato un COMUNE ITALIANO ad un risarcimento di 16.000 euro nei confronti di un suo dipendente, per violazione del Codice della Privacy.

.

Nel caso di specie il dipendente pubblico ha chiesto all'amministrazione che venisse riconosciuta la connessione tra una patologia cui andava affetto e il tipo di lavoro prestato per l'ente.

La domanda viene rigettata con un parere negativo, al quale fa seguito un provvedimento che viene reso pubblico mediante affissione nell'albo pretorio del comune per quindici giorni.

Nell'atto amministrativo sono state riportate tutte le informazioni attinenti alla paventata patologia del lavoratore, unitamente alle sue diagnosi e alle cause, alla natura e agli effetti della stessa.

Conseguentemente, il lavoratore ha ritenuto di adire il giudice per chiedere la condanna dell'amministrazione al risarcimento dei danni non patrimoniali da lui patiti a seguito della divulgazione dei dati sensibili.

Il Tribunale di Cagliari ha accolto la sua istanza, accertando sia l'illegittimità del provvedimento amministrativo per violazione dell'articolo 2 della Costituzione e dell'articolo 11 del Codice della Privacy, sia il pregiudizio morale patito dal lavoratore.

Per la corte cagliaritana, infatti, l'amministrazione ha del tutto superato i limiti di pertinenza e non eccedenza del trattamento dei dati personali di cui all'articolo 11 del decreto legislativo 193/2006, senza che vi fosse una valida giustificazione.

Il provvedimento, infatti, ben avrebbe potuto essere divulgato con modi alternativi, allineati con la sfera privata del dipendente pubblico, come tali idonei ad evitare l'insorgere di qualsivoglia tipologia di danno.

Il Comune, tuttavia, non ha condiviso il dictum del giudice di merito e si è rivolto alla Corte di legittimità per chiedere la riforma della sentenza.

La violazione della disciplina in materia di tutela della riservatezza dei dati personali è stata ritenuta pacifica.

Si continua a discutere, però, sulla prova del danno.

Contrariamente a quanto affermato dal Comune, secondo il quale non vi sarebbe stato nessun pregiudizio per il lavoratore né un tale pregiudizio sarebbe stato provato, la corte capitolina afferma che, seppure il danno non può considerarsi in re ipsa a seguito della la mera violazione, lo stesso può ben desumersi, come ha fatto la corte di primo grado, da quel disagio, imbarazzo o preoccupazione discendente dalla divulgazione di dati sensibili, quali sono quelli attinenti allo stato di salute.

A tali riflessi deve sommarsi un patema d'animo ancor più incisivo, consistente nell'incertezza, per il lavoratore, sul numero di persone degli effettivi conoscitori della predetta situazione personale.

In tal senso, il pregiudizio patito dal soggetto leso si sostanzierebbe nella sua incapacità di relazionarsi serenamente con i consociati a causa della preoccupazione derivante dal non sapere se questi conoscano o meno i suoi problemi di salute e le sue vertenze con il datore per il quale presta il suo servizio.

Così argomentando la Corte riesce a svincolarsi dalla censura avanzata dal Comune circa il difettoso accertamento di un concreto pregiudizio patito dal lavoratore.

La sentenza si immerge nel tema della responsabilità dell'amministrazione per le violazioni commesse nell'ambito della sua attività provvedimentale, attraverso l'agire dei suoi dipendenti.

Seppur in apparente controtendenza rispetto alla tesi, per lungo tempo sostenuta, della responsabilità oggettiva, la corte dimostra di accordare la pretesa risarcitoria anche in presenza di un accertamento del danno dai difficili contorni.

L'impressione, pertanto, sembra quella per la quale la caratura della violazione e l'oggetto della stessa (dati sensibili attinenti lo stato di salute del soggetto) debbano sempre prevalere sulle esigenze di accertamento di un danno, essendo questo desumibile dall'id quod plerunque accidit.

La divulgazione dei dati che si è attuata nel caso di specie, infatti, sarebbe da considerarsi, per natura, idonea a determinare un patimento nell'interessato, obbligato a rivedere il suo modo di rapportarsi con le persone a seguito dell'imbarazzo generato dal datore.

Le argomentazioni della sentenza possono essere estese anche ai datori di lavoro privati che si rendano (analogamente) colpevoli di divulgazioni illecite.

Anche in questo caso, infatti, le modalità della divulgazione possono semplificare la prova del danno per il dipendente, rendendo, così, più ardua la difesa del datore di lavoro. (Sentenza Cassazione civile 13/02/2012, n. 2034)

In funzione di quanto sopra riportato poniamo alla sua attenzione le seguenti domande:

A seguito di una sentenza di questo tipo, può ancora essere messa in discussione la necessità di una continua registrazione di applicazione, conoscenza e controllo dei dati tramite un sistema di gestione basato sul Documento Programmatico, sulla Modulistica e sulla Documentazione atta ad evidenziare la continua applicazione e monitoraggio del Codice sulla Privacy e suoi aggiornamenti?

In secondo luogo, in caso di autocertificazione o di non registrazione delle novità legislative o di organizzazione, quanti casi come quello sopra descritto possono scoppiare?

ES: Vista la sentenza, il Comune condannato dovrà modificare il suo manuale (o procedura interessata al rischio specifico) alzando o modificando il livello di rischio sull’argomento, effettuare l’attività formativa alle risorse interessate (con verifica dell’apprendimento) e verificare che quanto fatto sia sufficiente ad evitare casi analoghi. Il tutto dandone evidenza tramite registrazione e tracciabilità di esecuzione delle attività sopra citate.