Ordinanza ingiunzione o revoca n. 676 del 13/11/2024

Montini Group S.r.l.: illecito trattamento di dati sulla salute della dipendente mediante contatto del medico di base

Il provvedimento trae origine da un reclamo presentato da una lavoratrice nei confronti di Montini Group S.r.l. in relazione a un contatto telefonico tra il datore di lavoro e il medico di medicina generale della dipendente. Il Garante ha ritenuto che, nel contesto della gestione di assenze per malattia e della richiesta di visita con il medico competente, la società abbia trattato dati personali relativi alla salute in modo non conforme al GDPR e alla disciplina lavoristica di settore.

Origine del reclamo e svolgimento dell'istruttoria

La reclamante ha sostenuto che il datore di lavoro avesse contattato il suo medico di base in relazione alle certificazioni di malattia e alla richiesta di visita del medico competente. La società, nelle varie difese, ha spiegato di aver inteso comunicare al medico di base che la visita con il medico competente sarebbe stata effettuata solo al rientro dalla malattia, affermando di aver agito in buona fede e per esigenze organizzative.

Nel corso dell'istruttoria è emerso che:

• il 4 aprile 2022 la lavoratrice aveva inviato una e-mail chiedendo una visita del medico del lavoro;
• il 6 aprile 2022 la richiesta era stata reiterata tramite PEC inviata da un'organizzazione sindacale su mandato della lavoratrice;
• la società aveva interpellato il medico competente, che avrebbe escluso la visita durante il periodo di malattia;
• successivamente il legale rappresentante aveva contattato telefonicamente il medico di medicina generale della lavoratrice.

Trattamenti esaminati e contenuto della comunicazione telefonica

Il Garante ha dato rilievo al contenuto della comunicazione resa dalla società in risposta alla richiesta sindacale dell'8 aprile 2022. Da tale nota risultava che il medico di base avrebbe confermato che non era vero il suggerimento attribuito alla lavoratrice e avrebbe manifestato imbarazzo per il protrarsi delle richieste di sospensione dal lavoro nonostante cure e indicazioni prescritte.

Secondo l'Autorità, ciò dimostrava che la telefonata non si era limitata a comunicare l'esito della richiesta di visita con il medico competente, ma aveva riguardato anche:

• la provenienza della richiesta di visita;
• le certificazioni di malattia;
• le cure e le indicazioni prescritte alla lavoratrice;
• le difficoltà organizzative dell'azienda dovute alle assenze.

Violazioni accertate

Il Garante ha ritenuto il trattamento illecito perché il datore di lavoro non poteva contattare il medico di base per acquisire o veicolare informazioni sanitarie non necessarie.

Sono stati richiamati in particolare:

• l'art. 5, par. 1, lett. a) GDPR, principio di liceità;
• l'art. 5, par. 1, lett. c) GDPR, principio di minimizzazione;
• l'art. 6, par. 1, lett. c) GDPR, mancando la necessità di adempiere a un obbligo legale mediante quel contatto;
• l'art. 9, par. 2, lett. b) GDPR, non essendo necessaria la comunicazione per gli obblighi in materia di diritto del lavoro e sicurezza sociale;
• l'art. 5 l. 300/1970, che vieta gli accertamenti del datore di lavoro sull'idoneità e sull'infermità del lavoratore, salvo i servizi ispettivi competenti;
• le disposizioni del d.lgs. 81/2008 sulla sorveglianza sanitaria e sul ruolo del medico competente.

Il Garante ha evidenziato che il datore di lavoro, in materia di salute e sicurezza, deve avvalersi del medico competente, unico soggetto legittimato a trattare autonomamente i dati sanitari necessari, mentre il datore può conoscere solo il giudizio sintetico di idoneità alla mansione specifica.

Valutazioni del Garante sulla richiesta di visita del medico competente

L'Autorità ha chiarito che, ai sensi dell'art. 41 d.lgs. 81/2008, la sorveglianza sanitaria comprende anche la visita medica su richiesta del lavoratore, se ritenuta dal medico competente correlata ai rischi professionali o alle condizioni di salute suscettibili di peggioramento a causa dell'attività lavorativa.

Ne consegue che la richiesta della lavoratrice era astrattamente legittima e non perdeva rilevanza per il solo fatto di essere stata eventualmente consigliata dal medico di medicina generale. Il punto decisivo era che la comunicazione al medico di base non era necessaria per la gestione della richiesta né per l'attivazione degli strumenti previsti dall'ordinamento.

Conclusioni, sanzione e provvedimenti accessori

L'Autorità ha escluso che le difese della società consentissero l'archiviazione, rilevando l'illiceità del trattamento. La violazione è stata considerata non minore, in ragione della natura e della gravità, del coinvolgimento di dati sulla salute e della violazione di principi generali e condizioni di liceità.

Ai fini della quantificazione della sanzione ex art. 83 GDPR, il Garante ha considerato:

• la natura della violazione, ricadente tra quelle punite più severamente;
• la gravità del trattamento, avente a oggetto dati particolari sulla salute;
• la condotta negligente e il grado di responsabilità della società;
• la cooperazione con l'Autorità;
• il fatto che la violazione ha riguardato una sola interessata;
• le condizioni economiche del contravventore.

È stata quindi irrogata a Montini Group S.r.l. una sanzione amministrativa pecuniaria di euro 6.000. Il Garante ha inoltre disposto:

• la pubblicazione dell'ordinanza ingiunzione sul sito internet dell'Autorità;
• la pubblicazione del provvedimento sul sito istituzionale;
• l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità.

Rimedi

Contro il provvedimento è stata indicata l'opposizione all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all'estero.