Prescrizioni del Garante n. 270 del 17/04/2026

Ministero dell'Interno – trattamento di dati sulla malattia in sede disciplinare e ritardo nel riscontro ai diritti dell'interessato

Il provvedimento riguarda il Ministero dell'Interno – Dipartimento della Pubblica Sicurezza – Polizia di Stato, a seguito di un reclamo presentato da un ispettore che contestava l'uso, in atti disciplinari, di informazioni sulle proprie assenze per malattia e il mancato tempestivo riscontro a istanze di esercizio dei diritti. L'Autorità ha esaminato anche ulteriori atti amministrativi in cui le assenze erano state richiamate in ambito lavorativo.

Origine del procedimento e fatti allegati

L'interessato ha lamentato che, in una relazione di servizio e in successive note interne/istruttorie, fosse stato fatto espresso riferimento a un periodo di assenza per malattia in congedo straordinario, risalente a circa otto mesi prima rispetto alla vicenda disciplinare. Secondo il reclamante, tale informazione era stata inserita senza valido motivo e in modo non pertinente rispetto alla contestazione disciplinare relativa al rifiuto di trattenersi oltre l'orario di servizio.

Ha inoltre rappresentato di avere trasmesso due istanze di esercizio dei diritti ex artt. 15-22 GDPR senza ottenere risposta nei termini di legge.

Difese del titolare del trattamento

Il Ministero ha sostenuto che il richiamo alle assenze per malattia fosse giustificato dalle esigenze del procedimento disciplinare e dalla normativa di settore, richiamando in particolare il d.P.R. 25 ottobre 1981, n. 737, artt. 12 e 13, che impongono di considerare circostanze attenuanti, precedenti disciplinari e di servizio, carattere, età, qualifica e anzianità di servizio. Ha inoltre affermato che lo stesso interessato aveva valorizzato, nella propria relazione di servizio, il numero ridotto delle assenze per sostenere la propria disponibilità e abnegazione, rendendo quindi necessario precisare il precedente periodo di malattia.

Quanto alle istanze ex artt. 15-22 GDPR, il Ministero ha riferito di aver svolto un'articolata attività di verifica interna per individuare l'unità competente a rispondere.

Valutazione del Garante sul trattamento delle assenze per malattia

L'Autorità ha anzitutto ribadito che il semplice riferimento a un'assenza dal lavoro per malattia costituisce un dato personale relativo alla salute, anche quando non venga indicata la diagnosi. Ha richiamato la nozione di dato relativo alla salute ex art. 4, n. 15, e art. 9 GDPR, nonché la giurisprudenza della Corte di cassazione e la propria precedente prassi, oltre alle linee guida del 2007 sul trattamento dei dati dei lavoratori in ambito pubblico.

Nel caso concreto, il Garante ha ritenuto che il trattamento fosse stato effettuato per attribuire alle assenze per malattia una valenza valutativa sul piano disciplinare, al fine di descrivere una presunta difficoltà del dipendente ad adeguarsi alle decisioni del superiore gerarchico e di apprezzarne la complessiva diligenza. Tale uso è stato giudicato non compatibile con le finalità originarie del dato e non giustificato da una idonea base giuridica.

L'Autorità ha quindi ravvisato la violazione dei principi di:

• liceità, correttezza e trasparenza;
• limitazione della finalità;
• minimizzazione dei dati.

Sono stati richiamati, in particolare, gli artt. 5, par. 1, lett. a), b) e c), 6 e 9 GDPR. Il Garante ha anche osservato che la disciplina di settore e il d.P.R. n. 737/1981 non consentono ragionevolmente di trattare i dati sulle assenze per malattia per valutare la complessiva diligenza del lavoratore in sede disciplinare, trattandosi di informazioni non pertinenti a tale scopo. Le esigenze difensive nel contraddittorio procedimentale non sono state ritenute sufficienti a giustificare il trattamento.

Atti amministrativi ulteriori e mancato accertamento di illiceità

Diversamente, con riferimento alla relazione istruttoria ministeriale e alle controdeduzioni nel procedimento amministrativo sul rapporto informativo, il Garante ha preso atto che le assenze dal servizio erano state richiamate come dati oggettivi utili alla valutazione amministrativa. In tali casi non è stato dimostrato un uso non conforme alla disciplina di protezione dei dati, né è emerso che il riferimento alle assenze per malattia fosse stato impiegato per scopi disciplinari analoghi a quelli riscontrati nella relazione di servizio contestata.

Violazione dell'art. 12 GDPR per il ritardo nel riscontro

Sul secondo profilo, il Garante ha ricordato che il titolare deve fornire riscontro all'interessato senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, prorogabile di ulteriori due mesi nei casi previsti, con obbligo di informare l'interessato della proroga e dei motivi. In caso di mancato accoglimento, occorre comunque comunicare i motivi e i rimedi esperibili.

Poiché il Ministero aveva riscontrato le richieste solo dopo l'avvio dell'istruttoria e oltre il termine previsto, l'Autorità ha accertato la violazione dell'art. 12 GDPR, ritenendo irrilevante, ai fini dell'esonero dalla responsabilità, la sola attività interna svolta per individuare l'ufficio competente.

Valutazione complessiva e scelta del rimedio

Nel concludere, il Garante ha ritenuto non sufficienti le difese del Ministero a determinare l'archiviazione del reclamo. Ha confermato l'illiceità del trattamento nei limiti sopra indicati e ha valorizzato, ai fini sanzionatori, alcuni elementi attenuanti:

• carattere colposo delle violazioni;
• complessità organizzativa delle strutture ministeriali, rilevante soprattutto per la violazione dell'art. 12 GDPR;
• piena cooperazione con l'Autorità;
• assenza di precedenti violazioni pertinenti della stessa natura.

Sulla base di tali elementi, ha qualificato il caso come "violazione minore" ai sensi del considerando 148 e dell'art. 83, par. 2, GDPR, ritenendo sufficiente un ammonimento ex art. 58, par. 2, lett. b), GDPR, senza applicare una sanzione pecuniaria.

Dispositivo

Il Garante ha:

• dichiarato l'illiceità del trattamento dei dati personali effettuato dal Ministero dell'Interno – Dipartimento della Pubblica Sicurezza – Polizia di Stato per violazione degli artt. 5, par. 1, lett. a), b) e c), 6, 9 e 12 GDPR, nei termini indicati in motivazione;
• ammonito il titolare del trattamento ai sensi dell'art. 58, par. 2, lett. b), GDPR;
• disposto la pubblicazione del provvedimento sul sito internet dell'Autorità ai sensi dell'art. 154-bis, comma 3, del Codice e dell'art. 37 del Regolamento n. 1/2019.

È stato inoltre indicato il rimedio giurisdizionale: ricorso all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all'estero.