Prescrizioni del Garante n. 522 del 31/08/2023

Ammonimento al medico competente per omessa informativa su dati sanitari del lavoratore

Il provvedimento riguarda il medico competente incaricato dalla società datrice di lavoro nell’ambito di una procedura di selezione collegata alla l. 68/1999. Il Garante ha esaminato un reclamo del lavoratore relativo alla pre-valutazione di documentazione sanitaria inviata dalla società al professionista e alla successiva formulazione di un parere di controindicazione anche rispetto alla mansione impiegatizia.

Origine del procedimento e svolgimento dell’istruttoria

L’istruttoria è stata avviata a seguito del reclamo ex art. 77 GDPR presentato dall’interessato nei confronti di Marcozzi Brand s.r.l. e del medico competente. L’Autorità ha chiesto chiarimenti al professionista, il quale ha riferito di aver ricevuto dalla società, tramite posta elettronica del 22 gennaio 2018, documentazione sanitaria del reclamante e di aver formulato un parere consulenziale di controindicazione senza avere contatti diretti con l’interessato e senza detenere una cartella sanitaria a suo nome.

Successivamente, con l’atto di avvio del procedimento del 11 aprile 2022, il Garante ha contestato possibili violazioni degli artt. 5, par. 1, lett. a), 9 e 14 GDPR, anche in relazione alla normativa di settore richiamata, in particolare d.lgs. 81/2008 e l. 68/1999. Il medico competente ha sostenuto che nel 2018 fosse applicabile il previgente d.lgs. 196/2003, che il trattamento fosse legittimato dall’autorizzazione generale n. 1/2016 e che egli operasse come responsabile del trattamento per conto della società.

Qualificazione del medico competente come titolare del trattamento

Il Garante ha ribadito che, per i trattamenti funzionali alla valutazione dell’idoneità alla mansione, il medico competente opera come autonomo titolare del trattamento. L’Autorità ha richiamato l’orientamento consolidato già espresso in precedenti provvedimenti e nelle linee guida sul trattamento dei dati dei lavoratori, chiarendo che il medico competente è l’unico soggetto legittimato a trattare i dati sanitari dei lavoratori, ma solo entro la cornice e per le finalità previste dalla legge di settore.

Violazione accertata: omessa informativa sui dati relativi alla salute

All’esito dell’istruttoria, il Garante ha ritenuto che il medico competente, dopo aver esaminato la documentazione sanitaria ricevuta dalla società e formulato una valutazione di inidoneità/controindicazione, abbia trattato dati relativi alla salute del reclamante senza fornire l’informativa dovuta. La violazione è stata ricondotta all’art. 13, comma 4, del Codice privacy nella versione antecedente al d.lgs. 101/2018, corrispondente oggi all’art. 14 GDPR, quale diretta espressione del principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR.

Il Garante ha quindi dichiarato l’illiceità del trattamento limitatamente a questo profilo.

Profili archiviati

Quanto alla contestazione relativa alla liceità/base giuridica del trattamento e al trattamento di dati particolari, l’Autorità ha ritenuto, alla luce dei chiarimenti forniti, che non sussistessero gli estremi per adottare ulteriori provvedimenti. Per tale specifico profilo è stata disposta l’archiviazione della notifica di violazione.

Valutazione della gravità e misura adottata

Nel valutare la fattispecie ai fini dei provvedimenti correttivi, il Garante ha considerato:

• l’assenza di precedenti specifici a carico del medico competente;
• il carattere episodico della violazione;
• il numero limitato degli interessati coinvolti, pari a uno.

Tali elementi hanno portato a qualificare l’infrazione come "violazione minore" ai sensi dell’art. 83, par. 2, GDPR e del considerando 148. In luogo di una sanzione pecuniaria, l’Autorità ha adottato un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR e dell’art. 143 del Codice privacy.

Dispositivo e rimedi

Il Garante ha quindi:

• rilevato l’illiceità del trattamento effettuato dal medico competente per violazione dell’art. 13 del Codice previgente, oggi art. 14 GDPR;
• ammonito il medesimo titolare del trattamento per l’omessa informativa sui dati relativi alla salute del reclamante;
• ritenuto sussistenti i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019;
• disposto la pubblicazione del provvedimento sul sito istituzionale.

Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di cui all’art. 78 GDPR, agli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.