Prescrizioni del Garante n. 270 del 09/05/2024

Azienda ospedaliera - inoltro di email contenente dati sulla salute di una dipendente

Il provvedimento riguarda l’Azienda Ospedaliera Complesso Ospedaliero San Giovanni - Addolorata e l’inoltro, da parte di un superiore gerarchico, di un’email inviata da una dipendente per segnalare un impedimento lavorativo connesso al proprio stato di salute. Il procedimento trae origine da un reclamo ex art. 77 GDPR presentato dall’interessata.

Origine del reclamo e attività istruttoria

La dipendente ha rappresentato di aver inviato al proprio superiore un messaggio di posta elettronica nel quale descriveva la propria indisponibilità a svolgere il turno previsto per il giorno successivo, indicando anche la sintomatologia sofferta. Il superiore, rispondendo, ha inserito in copia conoscenza il Direttore Generale dell’Azienda e ha riportato integralmente il testo del messaggio originario.

Nel corso dell’istruttoria, il Garante ha chiesto chiarimenti all’Azienda, che ha sostenuto in sintesi che:

• non vi sarebbe stata comunicazione a soggetti diversi dal titolare del trattamento;
• il Direttore Generale era comunque titolare del trattamento;
• la comunicazione non conteneva una diagnosi, ma solo la descrizione di un sintomo aspecifico;
• l’inoltro sarebbe stato necessario per l’organizzazione urgente dei turni e per esigenze di servizio.

L’Azienda ha ribadito tali argomentazioni anche nella memoria difensiva e in audizione.

Qualificazione dei dati come dati relativi alla salute

Il Garante ha ricordato che, secondo il proprio costante orientamento, nella nozione di dato relativo alla salute può rientrare anche l’informazione sull’assenza dal servizio per malattia, indipendentemente dalla presenza di una diagnosi esplicita. Ha richiamato a sostegno:

• i precedenti provvedimenti dell’Autorità;
• le Linee guida del 14 giugno 2007 sul trattamento dei dati dei lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico;
• la giurisprudenza della Corte di giustizia e della Cassazione, che interpretano in senso ampio i dati relativi alla salute.

Il Garante ha quindi ritenuto che anche la sintomatologia descritta nella mail costituisse dato personale relativo allo stato di salute, nonostante l’assenza di una diagnosi.

Limiti al trattamento dei dati sanitari nel rapporto di lavoro

L’Autorità ha ribadito che, in ambito di rapporto di lavoro, il datore di lavoro pubblico può trattare i dati personali dei lavoratori solo se ciò è necessario per adempiere obblighi legali o compiti di interesse pubblico, e comunque nel rispetto dei principi di liceità, correttezza, trasparenza e minimizzazione.

Con riferimento all’assenza per malattia, il Garante ha ricordato che la disciplina di settore consente al datore di lavoro di ricevere solo la certificazione medica con indicazione dell’inizio e della durata presunta dell’infermità, senza diagnosi. Qualora il lavoratore trasmetta spontaneamente informazioni ulteriori sul proprio stato di salute, il datore di lavoro deve astenersi dall’utilizzarle o dal farle circolare nell’ambiente lavorativo.

Valutazione dell’inoltro integrale della mail

Secondo il Garante, il superiore gerarchico avrebbe dovuto limitarsi a gestire l’organizzazione del servizio sulla base della sola informazione dell’assenza della dipendente, senza inoltrare integralmente la comunicazione contenente dettagli sulla sintomatologia al Direttore Generale.

L’esigenza di riorganizzare rapidamente i turni in un contesto sanitario non giustifica infatti la circolazione di informazioni di dettaglio sullo stato di salute, poiché la finalità organizzativa poteva essere raggiunta con modalità meno invasive, facendo riferimento alla sola indisponibilità lavorativa.

L’inoltro integrale ha quindi determinato una conoscenza non necessaria, da parte del Direttore Generale, delle ragioni e dei dettagli sanitari comunicati dalla dipendente.

Violazioni accertate

Il Garante ha concluso per l’illiceità del trattamento, ravvisando la violazione di:

• art. 5, par. 1, lett. a) GDPR, in tema di liceità, correttezza e trasparenza;
• art. 6 GDPR, per mancanza di una base giuridica idonea;
• art. 9 GDPR, per trattamento di dati relativi alla salute in assenza dei presupposti;
• art. 2-ter del Codice privacy.

Ha inoltre escluso che le giustificazioni dell’Azienda fossero idonee a superare i rilievi formulati in avvio del procedimento.

Valutazione in concreto e misura adottata

Pur accertando l’illiceità, il Garante ha considerato alcuni elementi attenuanti:

• la violazione ha riguardato un solo interessato;
• la condotta è stata qualificata come colposa, essendo dettata da urgenza organizzativa;
• non risultano precedenti violazioni pertinenti dell’Azienda;
• l’Azienda ha cooperato con l’Autorità nel corso dell’istruttoria;
• il caso è stato considerato una “violazione minore” ai sensi del considerando 148 GDPR.

In ragione di tali elementi, l’Autorità ha ritenuto sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza applicare sanzione pecuniaria.

Dispositivo

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento dei dati personali effettuato dall’Azienda;
• ammonito l’Azienda per la violazione degli artt. 5, 6 e 9 GDPR e dell’art. 2-ter del Codice privacy;
• rilevato i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

È stato infine ricordato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge.