Provvedimenti n. 92 del 27/02/2025

Illiceità della comunicazione ai dipendenti di dati sullo stato vaccinale e sulla sospensione dal servizio

Il provvedimento riguarda l’Istituto Zooprofilattico Sperimentale del Lazio e della Toscana "M. Aleandri", in qualità di datore di lavoro pubblico, e concerne la comunicazione a dipendenti di dati personali relativi all’adempimento dell’obbligo vaccinale anti SARS-CoV-2 e alla conseguente sospensione dal servizio. Il procedimento è stato avviato a seguito di un reclamo presentato da lavoratrici sospese per mancata vaccinazione.

Fatti e svolgimento dell’istruttoria

Le interessate hanno rappresentato che l’ente aveva inizialmente adottato delibere individuali con indicazione delle sole iniziali e che, successivamente, aveva confermato la sospensione con un’unica delibera recante i nominativi di ciascuna e l’aveva notificata alle interessate. L’Autorità ha acquisito informazioni dall’Istituto, il quale ha dichiarato di avere applicato il d.l. 44/2021 convertito in l. 76/2021 e ha sostenuto che il contenuto degli atti non fosse mai stato pubblicato online. Ha inoltre affermato che lo status di sospeso sarebbe comunque conoscibile tramite i siti degli ordini professionali.

Quadro normativo richiamato

Il Garante ha richiamato i principi e le basi giuridiche applicabili al trattamento dei dati in ambito lavorativo da parte di soggetti pubblici, in particolare:

• artt. 5, 6, 9, 29, 32 e 88 GDPR;
• art. 2-ter del Codice privacy;
• art. 2-sexies, comma 1, del Codice privacy;
• artt. 4 e 17 del d.l. 44/2021, nel contesto emergenziale allora vigente;
• linee guida del 14 giugno 2007 sul trattamento dei dati dei lavoratori nel pubblico impiego.

L’Autorità ha ricordato che, nel quadro normativo emergenziale, la comunicazione della sospensione derivante dalla mancata vaccinazione doveva essere effettuata esclusivamente nei confronti dell’interessato e che agli ordini professionali spettava solo l’annotazione nell’albo, senza indicazione del motivo della sospensione.

Valutazioni del Garante sulla liceità del trattamento

Secondo il Garante, la condivisione o messa a disposizione di informazioni relative allo stato vaccinale e alla sospensione dal servizio in un contesto lavorativo ristretto integra una comunicazione di dati personali che richiede una base giuridica specifica. Nel caso di specie, la notifica della delibera con i nominativi alle interessate ha determinato la reciproca conoscenza di dati sanitari e di dati relativi al rapporto di lavoro da parte di soggetti non autorizzati a trattarli. La circostanza che in una precedente fase fossero state usate sole iniziali non è stata ritenuta sufficiente a escludere l’identificabilità, né a rendere lecito il trattamento.

Il Garante ha quindi ravvisato una violazione dei principi di liceità e limitazione della finalità, nonché dell’art. 2-ter del Codice privacy, in assenza di una idonea base giuridica per la comunicazione tra colleghi di tali informazioni.

Esito finale e misure disposte

L’Autorità ha dichiarato l’illiceità del trattamento ai sensi dell’art. 57, par. 1, lett. f), GDPR. Ha tuttavia rilevato che la condotta aveva ormai esaurito i propri effetti e, per questo motivo, non ha adottato ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR. Ha invece disposto:

• la pubblicazione del provvedimento sul sito internet dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno previsto dal Regolamento del Garante n. 1/2019.

Rimedi impugnatori

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione del provvedimento, ovvero entro sessanta giorni se il ricorrente risiede all’estero.