Cassazione: fino a che punto l'ente pubblico può raccogliere e trattare i dati sensibili dei dipendenti senza il loro consenso?

di Licia Albertazzi - Corte di Cassazione civile, sezione prima, sentenza n. 21107 del 7 Ottobre 2014. 

Nel caso di specie un dipendente pubblico ha segnalato al Garante della Privacy il comportamento tenuto dal datore di lavoro (una provincia), che, a seguito di denuncia anonima, ha raccolto e trattato informazioni relative all'inclinazione sessuale del dipendente al fine di stabilire se effettivamente lo stesso fosse autore di posts a sfondo economico-sessuale pubblicati su diversi siti di incontri. A seguito di tale accertamento il dipendente veniva destituito per aver leso l'immagine e il decoro del proprio ente di appartenenza.

La norma regolante il trattamento dei dati personali da parte degli enti pubblici è l'art. 18 del d. lgs. 196/2003, c.d. Codice privacy, la quale stabilisce che il trattamento di tali è dati è consentito solo "per lo svolgimento delle funzioni istituzionali dell'ente (…) il soggetto pubblico deve rispettare i presupposti e i limiti stabiliti dal medesimo codice, anche in relazione alla diversa natura dei dati, nonché dalla legge e dai regolamenti". 

L'art. 20 consente l'utilizzo dei dati sensibili solamente ove autorizzato da un'espressa disposizione di legge, specificante sia il tipo specifico di dati utilizzabile che le modalità stesse di utilizzo. In ogni caso, deve essere presente una finalità di interesse pubblico.

Tra queste finalità anche l'instaurazione di rapporti di lavoro di natura pubblica nonché l'accertamento della responsabilità civile, contabile, amministrativa e disciplinare dei dipendenti. La norma in oggetto, l'art. 112, tuttavia non specifica in concreto né il tipo di dati, né le modalità di utilizzo; in questo caso trova applicazione il principio, già espresso in precedenza dalla Suprema corte, secondo cui "il trattamento dei dati sensibili, la cui legittimità è ancorata in linea generale alla contestuale presenza del consenso scritto dell'interessato e all'autorizzazione del Garante per la protezione dei dati personali, è consentito, da parte dei soggetti pubblici, anche in difetto del predetto consenso e della predetta autorizzazione, a condizione che sussistano: una rilevante finalità di interesse pubblico; un'espressa disposizione di legge autorizzatoria; una specificazione legislativa dei tipi di dati trattabili e delle operazioni eseguibili". Tale esigenza è sentita proprio in rapporto all'acquisizione e al trattamento dei dati sensibili riguardanti la salute e l'orientamento sessuale delle persone, diritti costituzionalmente garantiti.

Nel caso di specie l'attività posta in essere dall'amministrazione pubblica è certamente inquadrabile nell'ambito della raccolta e della gestione di dati sensibili; le modalità di gestione degli stessi devono essere ricostruite con riguardo alla gestione specifica del rapporto di lavoro, al fine di valutare se la stessa sia legittima ai fini dell'adozione di un provvedimento disciplinare. Dal regolamento provinciale in vigore emerge come il trattamento dei dati relativi alla vita sessuale dei dipendenti siano utilizzabili solo"in caso di rettificazione di attribuzione di sesso"; dunque la Cassazione ha concluso per l'illegittimità dell'operazione compiuta. Infine, la circostanza che alcuni dati del dipendente, a seguito di pubblicazione degli annunci, fosse disponibile in rete a una cerchia più o meno ristretta di utenti, non vale a fondare come assenso implicito al trattamento degli stessi dati per altre finalità, come quella in oggetto. La Suprema corte accoglie il ricorso presentato dal Garante della privacy e cassa con rinvio la sentenza impugnata.