Prescrizioni del Garante n. 734 del 04/12/2025

Istituto Superiore di Sanità: ammonimento per comunicazione illecita di dati personali e riscontro inidoneo all’accesso

Il Garante per la protezione dei dati personali ha esaminato il reclamo presentato da un interessato in relazione a trattamenti connessi a una vicenda di possibile esposizione al SARS-CoV-2 avvenuta nell’ambito dell’Istituto Superiore di Sanità. Il procedimento ha riguardato, in particolare, l’adeguatezza dell’informativa resa dall’Istituto, la comunicazione di dati personali al Collegio dei revisori dei conti e la risposta a una richiesta di accesso ai dati personali.

Origine del reclamo e contesto del trattamento

Il reclamante, in qualità di membro del Collegio dei revisori dei conti, ha riferito di aver partecipato a una riunione presso l’Istituto e di essere poi stato coinvolto in attività di tracciamento dei dati sanitari legate a un soggetto risultato positivo al SARS-CoV-2. Nel reclamo sono state dedotte plurime violazioni della disciplina privacy, anche con riferimento a informative, comunicazioni a terzi e mancato o insufficiente esercizio dei diritti dell’interessato.

Informativa sul trattamento e dati di contatto del RPD

L’istruttoria ha accertato che l’informativa originariamente resa all’interessato, sottoscritta all’atto del conferimento dell’incarico, non riportava i dati di contatto del Responsabile della protezione dei dati, in violazione dell’art. 13, par. 1, lett. b), GDPR. Solo in un momento successivo l’Istituto ha fornito una nuova informativa completa. Il Garante ha ritenuto sussistente la violazione nel periodo intercorrente tra le due informative, pur rilevando che i dati di contatto del RPD erano comunque reperibili sul sito istituzionale.

Comunicazione dei dati personali al Collegio dei revisori dei conti

Il Garante ha ritenuto illecita la comunicazione ai componenti del Collegio dei revisori di informazioni relative alla pratica assicurativa attivata dal reclamante e della corrispondenza intercorsa tra quest’ultimo, il RSPP e l’Istituto. È stato osservato che, trattandosi di autorità pubblica nell’esercizio dei propri compiti, l’Istituto non poteva fare affidamento sull’art. 6, par. 1, lett. f), GDPR come base giuridica del trattamento. Inoltre, non è stata dimostrata la necessità di trasmettere dati così dettagliati al Collegio, potendosi al più riferire elementi essenziali e non identificativi.

Diritto di accesso e inidoneità del riscontro

L’interessato aveva presentato istanze di accesso ai dati personali ai sensi degli artt. 12 e 15 GDPR. Il Garante ha rilevato che il riscontro dell’Istituto era formalmente tardivo solo in apparenza, poiché una delle istanze poteva essere letta come integrazione dell’altra, ma ha comunque giudicato la risposta sostanzialmente inadeguata. In particolare, l’Istituto si è limitato a qualificare la richiesta come generica e ultronea, senza spiegare specificamente perché l’accesso avrebbe potuto ledere diritti e libertà di terzi, né indicare con precisione quali documenti fossero già stati messi a disposizione dell’interessato.

Profili esclusi e questioni archiviate

Sono state archiviate le contestazioni relative alla correttezza delle informazioni trasmesse dal RSPP all’ASL, poiché la relativa valutazione spetta alle autorità sanitarie competenti. È stata inoltre esclusa la pertinenza, rispetto alla protezione dei dati personali, delle doglianze sulla presunta opacità delle analisi del rischio sanitario. Quanto alle informative sul contact tracing, il Garante ha richiamato la normativa emergenziale che consentiva, per motivi di sanità pubblica, informative semplificate o l’omissione dell’informativa ex art. 13 GDPR. La diversa formulazione dell’informativa rivolta a dipendenti e collaboratori, anziché ai consulenti, è stata ritenuta non decisiva nel contesto lavorativo-professionale.

Valutazione complessiva del Garante

All’esito, il Garante ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3, 13, par. 1, lett. b), e 15 GDPR, nonché dell’art. 2-ter del Codice privacy. Tuttavia ha qualificato la vicenda come violazione minore, valorizzando la posizione dell’interessato all’interno dell’Istituto, la reperibilità esterna dei contatti del RPD, il contesto di emergenza pandemica, l’assenza di precedenti, la buona cooperazione del titolare e il fatto che la condotta avesse già esaurito i propri effetti.

Misura adottata e impatti operativi

Il Garante ha ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza applicare sanzioni pecuniarie né ulteriori misure correttive. Ha inoltre disposto la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione nel registro interno. Per il futuro, il caso evidenzia l’esigenza di:

• redigere informative complete e tempestive, includendo i dati del RPD;
• limitare la circolazione interna dei dati personali a quanto strettamente necessario;
• motivare in modo puntuale eventuali dinieghi o limitazioni al diritto di accesso;
• gestire le istanze privacy distinguendo chiaramente tra esigenze organizzative, difensive e basi giuridiche effettivamente applicabili.