Prescrizioni del Garante n. 751 del 18/12/2025

Azienda USL della Romagna - inoltro accidentale di e-mail contenente dati sulla salute del dipendente

Il Garante ha esaminato il reclamo di un dipendente di un’Azienda USL relativo alla circolazione interna, per errore materiale, di una e-mail contenente informazioni sulla sua visita specialistica. Il procedimento è stato istruito anche sulla base di una notifica di data breach inviata dall’Azienda ai sensi dell’art. 33 GDPR.

Fatti e svolgimento dell’istruttoria

Il reclamante aveva inviato al proprio coordinatore, e per conoscenza a un collega, una e-mail con cui chiedeva un cambio turno per usufruire di un permesso legato a una visita medico-specialistica, indicata come "diabetologica". Secondo la ricostruzione aziendale, il coordinatore, nel predisporre la turnistica, inoltrava per errore il messaggio a tutti i componenti dell’équipe; resosi conto dell’accaduto, inviava un secondo messaggio chiedendo la cancellazione della prima e-mail, ma replicando ancora una volta il contenuto originario. L’Azienda riferiva poi di avere chiesto la cancellazione dei messaggi, ottenuto conferma da parte dei destinatari, aggiornato le regole interne sull’uso della posta elettronica e avviato un’attività formativa specifica.

Qualificazione giuridica delle informazioni diffuse

L’Autorità ha ribadito il proprio orientamento secondo cui anche un’informazione relativa all’assenza dal servizio per malattia o alla sottoposizione a visita specialistica può integrare un dato relativo alla salute ai sensi dell’art. 9 GDPR, anche in assenza di diagnosi esplicita. Nel caso concreto, il riferimento alla visita diabetologica è stato considerato sufficiente a ricondurre l’informazione nell’alveo dei dati particolari. Il Garante ha richiamato inoltre le definizioni europee e la giurisprudenza di legittimità e della Corte di giustizia, oltre alle Linee guida del 2007 sul trattamento dei dati dei lavoratori in ambito pubblico.

Violazioni riscontrate

L’inoltro del messaggio a sedici colleghi, non autorizzati a conoscere il contenuto, è stato ritenuto una comunicazione illecita di dati personali, in assenza di base giuridica e in violazione dei principi di liceità, correttezza e trasparenza. Il Garante ha quindi dichiarato l’illiceità del trattamento ai sensi dell’art. 57, par. 1, lett. f), GDPR, per violazione degli artt. 5, par. 1, lett. a), 6 e 9 GDPR e 2-ter del Codice.

Valutazione del caso concreto e misure adottate

Nel valutare la gravità complessiva, il Garante ha considerato che:

• la violazione ha riguardato un solo interessato ed è stata un episodio isolato;
• l’evento è dipeso da un mero errore umano di natura accidentale;
• l’Azienda ha posto in essere misure correttive, tra cui richieste di cancellazione e formazione interna;
• il titolare ha cooperato pienamente con l’Autorità;
• non risultano precedenti violazioni analoghe.

Sulla base di tali elementi, il Garante ha qualificato l’episodio come violazione minore ai sensi del cons. 148 e dell’art. 83, par. 2, GDPR.

Decisione finale

Ritenendo sufficiente la misura meno invasiva, il Garante ha ammonito l’Azienda USL della Romagna ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza adottare ulteriori misure correttive, osservando che la condotta aveva ormai esaurito i propri effetti. È stata inoltre disposta la pubblicazione del provvedimento sul sito istituzionale dell’Autorità. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.