Ordinanza ingiunzione o revoca n. 10 del 16/01/2025

Medico competente: comunicazione illecita di dati sanitari al datore di lavoro e sanzione

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un lavoratore nei confronti del medico competente di Eni S.p.A., a cui è stato contestato di avere comunicato ai referenti aziendali informazioni sullo stato di salute dell’interessato. Il provvedimento conclude per l’illiceità del trattamento di dati particolari e applica una sanzione amministrativa pecuniaria, con pubblicazione del provvedimento sul sito istituzionale.

Origine del procedimento e attività istruttoria

Il procedimento origina da un reclamo presentato il 17 gennaio 2023 e regolarizzato il 17 aprile 2023 ai sensi dell’art. 77 GDPR. Il reclamante lamentava che il medico competente, titolare del trattamento dei dati sanitari dei lavoratori, avesse trasmesso a soggetti del datore di lavoro una relazione denominata "Sintesi anamnestica del sig. XX", contenente informazioni sullo stato di salute e sulle vicende mediche dell’anno 2021.

L’Ufficio ha quindi richiesto informazioni ai sensi dell’art. 157 del Codice privacy per verificare i presupposti di liceità della comunicazione, con nota del 16 giugno 2023 reiterata il 28 settembre 2023. Il riscontro del 22 ottobre 2023 si è limitato a sostenere che non sarebbero state diffuse diagnosi o anamnesi familiare, ma solo un riferimento a uno stato d’ansia reattiva, senza fornire elementi ulteriori sulle ragioni della comunicazione o sui presupposti giuridici del trattamento.

Avvio del procedimento correttivo e sanzionatorio

Alla luce degli elementi raccolti, l’Ufficio ha notificato l’avvio del procedimento ex art. 58, par. 1, lett. d), GDPR e art. 166, comma 5, del Codice, contestando la violazione degli artt. 6 e 9 GDPR, anche con riferimento alla disciplina di settore, in particolare al d.lgs. 81/2008. Il destinatario, pur avvertito della possibilità di presentare scritti difensivi o documenti, non ha fatto pervenire ulteriore documentazione.

Qualificazione del medico competente e limiti del trattamento

Il Garante ribadisce che il medico competente è, per legge, l’unico soggetto legittimato a trattare in autonomia i dati personali di natura sanitaria dei lavoratori nell’ambito della sorveglianza sanitaria. I dati relativi a diagnosi e anamnesi non possono essere comunicati al datore di lavoro, il quale può ricevere soltanto il giudizio di idoneità alla mansione specifica e le eventuali prescrizioni fissate dal professionista.

Il provvedimento richiama inoltre l’art. 25, comma 1, lett. i), del d.lgs. 81/2008, secondo cui il medico comunica al datore di lavoro i risultati anonimi collettivi della sorveglianza sanitaria, non dati identificativi sullo stato di salute del singolo lavoratore. I flussi di dati tra datore di lavoro e medico competente sono qualificati come comunicazioni di dati personali ai sensi dell’art. 2-ter, par. 4, lett. a), del Codice, da svolgersi solo nei limiti previsti dalla normativa di settore.

Liceità del trattamento e violazioni accertate

Con riferimento ai dati particolari ex art. 9 GDPR, il trattamento è consentito, tra l’altro, quando sia necessario per finalità di medicina preventiva o medicina del lavoro, valutazione della capacità lavorativa, diagnosi, assistenza o terapia sanitaria, ai sensi dell’art. 9, par. 2, lett. h), GDPR e sulla base del diritto dell’Unione o degli Stati membri.

Nel caso concreto, il Garante ha accertato che la comunicazione delle informazioni relative allo stato di salute del reclamante è avvenuta al di fuori delle competenze e degli obblighi imposti dalla disciplina applicabile. Le difese presentate non sono state ritenute idonee a superare i rilievi istruttori; pertanto il trattamento è stato dichiarato illecito per violazione degli artt. 6 e 9, par. 2, GDPR.

Sanzione amministrativa pecuniaria e criteri di quantificazione

La violazione è stata ricondotta all’art. 83, par. 5, lett. a), GDPR. Il Garante ha altresì richiamato l’art. 83, par. 3, sul cumulo delle violazioni relative allo stesso trattamento o a trattamenti collegati, osservando che l’importo complessivo non può superare il massimo previsto per la violazione più grave.

Nella determinazione della sanzione sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• la natura, gravità e durata della violazione, in quanto riguardante la comunicazione a terzi di dati appartenenti a categorie particolari;
• il livello di danno subito dall’interessato;
• il grado di responsabilità del titolare del trattamento;
• la categoria dei dati coinvolti;
• l’assenza di precedenti violazioni pertinenti;
• la mancata collaborazione del professionista nel corso del procedimento;
• le condizioni economiche del contravventore, valutate sulla base del bilancio 2023.

All’esito di tali valutazioni, è stata irrogata la sanzione di euro 2.000.

Provvedimenti finali e impugnazione

Il Garante ha dichiarato l’illiceità del trattamento effettuato dal medico competente e ha ordinato il pagamento della sanzione ai sensi dell’art. 58, par. 2, lett. i), GDPR, con ingiunzione di pagamento entro 30 giorni dalla notifica, pena l’esecuzione forzata ai sensi dell’art. 27 della legge n. 689/1981.

È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento n. 1/2019, nonché la pubblicazione del provvedimento e l’annotazione nel registro interno delle violazioni. Resta salva la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine previsto per l’opposizione.

Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.