Prescrizioni del Garante n. 303 del 23/05/2024

Comando del Corpo della Guardia di Finanza: uso illecito di un verbale medico contenente diagnosi

Il provvedimento riguarda il Comando del Corpo della Guardia di Finanza, quale titolare del trattamento, in relazione alla gestione interna di un verbale di visita collegiale relativo all’idoneità al servizio di un militare. L’istruttoria nasce da un reclamo dell’interessato ai sensi dell’art. 77 GDPR.

Fatti e svolgimento del procedimento

Il reclamante ha rappresentato che, a seguito di visita presso una commissione medica ospedaliera, era stato giudicato non idoneo al servizio militare. La commissione aveva trasmesso all’Infermeria del Corpo un verbale comprensivo non solo del giudizio di inidoneità, ma anche della diagnosi, delle visite mediche effettuate e della terapia in corso.

Il Comando ha ricostruito la vicenda sostenendo che:

• il verbale era stato richiesto per finalità connesse alla gestione del rapporto di lavoro e alla cessazione dal servizio;
• il documento era stato ricevuto e poi inoltrato, tramite sistema cifrato RMS/RMS2, a più articolazioni interne;
• successivamente era stata inviata una nota ai livelli sovraordinati riferendo soltanto il giudizio di non idoneità, senza allegare il verbale completo;
• il trattamento era stato eseguito da personale autorizzato e con misure di sicurezza idonee.

L’Ufficio del Garante ha notificato l’avvio del procedimento per le presunte violazioni degli artt. 5, 6 e 9, par. 2, lett. b), GDPR e dell’art. 2-ter del Codice privacy. Il Comando ha depositato memoria difensiva ribadendo l’errore iniziale, la successiva non utilizzazione della diagnosi nella nota ai comandi superiori, la rapidità della reazione e la limitazione dei soggetti che avevano avuto accesso al verbale.

Quadro normativo richiamato

Il Garante ha richiamato il regime applicabile ai trattamenti effettuati da soggetti pubblici nel contesto lavorativo:

• art. 6, par. 1, lett. c) ed e), GDPR;
• art. 9, parr. 2, lett. b) e h), e 4, GDPR;
• art. 5 GDPR;
• artt. 2-ter e 2-sexies del Codice privacy;
• art. 88 GDPR, in relazione al trattamento dei dati nel contesto lavorativo;
• art. 2-decies del Codice, sull’inutilizzabilità dei dati trattati in violazione della disciplina rilevante.

Sono state inoltre richiamate le Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico del 14 giugno 2007, che ribadiscono che i datori di lavoro pubblici possono trattare dati sanitari solo nei limiti strettamente necessari e che i collegi medici devono trasmettere all’amministrazione il solo giudizio medico-legale.

Valutazioni del Garante sulla trasmissione del verbale

L’Autorità ha considerato che, nel caso di specie, la commissione medica aveva trasmesso un verbale che recava erroneamente anche la diagnosi dell’interessato, invece del solo giudizio di idoneità/inidoneità necessario all’amministrazione.

Il punto decisivo della valutazione è stato che l’articolazione ricevente, pur avendo incolpevolmente preso visione del documento completo, non avrebbe dovuto utilizzare il dato eccedente. Invece il verbale integrale è stato messo a disposizione di altri uffici e articolazioni del Corpo per i procedimenti amministrativi conseguenti, tra cui:

• eventuale transito agli impieghi civili;
• risoluzione del rapporto di lavoro;
• atti per la concessione di trattamenti pensionistici;
• liquidazione di indennità alla cessazione del servizio.

Secondo il Garante, la mera circostanza che gli uffici destinatari fossero competenti a gestire tali procedimenti non colmava la mancanza di una base giuridica per l’utilizzo della diagnosi. Il trattamento è stato quindi ritenuto non conforme alla disciplina privacy, poiché il titolare può usare solo dati lecitamente raccolti e nei limiti della raccolta iniziale legittima.

Violazioni accertate

Il Garante ha dichiarato l’illiceità del trattamento per violazione di:

• art. 5 GDPR, in relazione ai principi di liceità, correttezza, minimizzazione e limitazione della finalità;
• art. 6 GDPR, per difetto di idonea base giuridica;
• art. 9, par. 2, lett. b), GDPR, poiché il trattamento dei dati sulla salute non era necessario nei limiti consentiti;
• art. 2-ter del Codice privacy.

L’Autorità ha sottolineato che i dati sulla salute, e in particolare la diagnosi, spettano alla sfera di conoscenza delle commissioni mediche e dei professionisti sanitari competenti, mentre il datore di lavoro pubblico può conoscere solo l’esito medico-legale necessario per i propri adempimenti.

Misure adottate dal titolare e attenuanti valorizzate

Nel valutare la gravità della violazione, il Garante ha tenuto conto di diversi elementi attenuanti:

• il trattamento ha riguardato un solo interessato;
• la violazione è stata qualificata come colposa;
• l’errore si è verificato in un contesto operativo complesso, con reparto periferico e privo del comandante titolare nel periodo rilevante;
• il comando regionale, resosi conto dell’errore, ha inviato una nota contenente solo il giudizio di non idoneità, senza allegare il verbale con diagnosi;
• il documento era stato trattato da personale autorizzato e con misure di sicurezza, tra cui la cifratura RMS/RMS2;
• il Comando aveva proceduto tempestivamente all’oscuramento informatico e alla distruzione della documentazione cartacea;
• non risultavano precedenti pertinenti;
• il titolare aveva collaborato in modo elevato con l’Autorità.

Sulla base di tali elementi, il Garante ha qualificato il caso come “violazione minore” ai sensi del considerando 148 e dell’art. 83, par. 2, GDPR, nonché delle linee guida del WP29 sulle sanzioni amministrative pecuniarie.

Provvedimenti adottati dal Garante

L’Autorità ha ritenuto sufficiente:

• dichiarare l’illiceità del trattamento;
• ammonire il Comando del Corpo della Guardia di Finanza ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Non sono state disposte ulteriori misure correttive, poiché la condotta aveva ormai esaurito i propri effetti.

Implicazioni operative

Il provvedimento conferma che, nei procedimenti di idoneità/inidoneità al servizio del personale pubblico, la circolazione interna dei verbali medici deve essere rigorosamente limitata al solo giudizio necessario. Anche quando il documento completo sia per errore ricevuto da un ufficio amministrativo, il titolare deve astenersi dall’utilizzare diagnosi, terapie e altre informazioni sanitarie eccedenti, salvo una specifica base normativa che lo consenta espressamente.

Il caso evidenzia inoltre che:

• la cifratura e l’accesso limitato non bastano, da soli, a legittimare un trattamento privo di base giuridica;
• la gestione corretta dell’errore deve tradursi nella non utilizzazione del dato eccedente e nella sua tempestiva eliminazione/oscultamento;
• la competenza organizzativa degli uffici non sostituisce il requisito della liceità del trattamento.