Ordinanza ingiunzione o revoca n. 35 del 30/01/2025

Azienda Ospedaliero-Universitaria Città della Salute e della Scienza di Torino: comunicazione illecita di dati sullo stato vaccinale di due dipendenti tramite e-mail interna

Il Garante ha esaminato un reclamo presentato da una dipendente dell’Azienda ospedaliero-universitaria, relativo all’invio di una e-mail dell’ufficio del personale a una casella condivisa dell’ufficio del Responsabile della protezione dei dati. La comunicazione, avvenuta nell’ambito delle verifiche sull’obbligo vaccinale anti Sars-CoV-2, ha reso reciprocamente conoscibili a due dipendenti informazioni sul rispettivo stato vaccinale e sulla sospensione dal servizio.

Origine del procedimento e fatti accertati

Il reclamo ex art. 77 GDPR riguardava un messaggio inviato all’indirizzo dpo@cittadellasalute.to.it. Secondo quanto ricostruito, a quella casella accedevano il RPD e due dipendenti assegnati al relativo ufficio; di conseguenza, ciascuno ha potuto apprendere dati personali dell’altro. I dati comunicati riguardavano, da un lato, l’avvenuta vaccinazione della reclamante e, dall’altro, la mancata vaccinazione con conseguente sospensione dal servizio di un altro dipendente.

Posizione dell’Azienda e contesto normativo richiamato

Nel corso dell’istruttoria l’Azienda ha sostenuto che il trattamento rientrasse negli adempimenti previsti dalla normativa emergenziale sull’obbligo vaccinale del personale operante nelle strutture sanitarie. Ha richiamato il d.l. n. 172/2021 e le procedure interne adottate per la verifica dell’obbligo, affermando che l’invio era stato effettuato per esigenze organizzative e per evitare un errore di indirizzamento verso l’omonima dipendente del DPO.

Valutazioni del Garante sulla liceità del trattamento

L’Autorità ha ricordato che i soggetti pubblici possono trattare dati personali, anche appartenenti a categorie particolari, quando ciò sia necessario per obblighi di legge, per l’esercizio di pubblici poteri o per finalità di rapporto di lavoro, nel rispetto dei principi dell’art. 5 GDPR e delle regole sugli incaricati/autorizzati al trattamento. Ha altresì richiamato la disciplina speciale allora vigente sull’obbligo vaccinale anti Sars-CoV-2 per il personale sanitario e amministrativo delle strutture sanitarie, che costituiva la base giuridica per i controlli e per la comunicazione delle conseguenze dell’eventuale inosservanza, ma non autorizzava una diffusione indiscriminata o reciproca verso soggetti non legittimati.

Il Garante ha quindi ritenuto che:

• la comunicazione dei dati tramite casella condivisa abbia superato i limiti del trattamento consentito;
• la circostanza che la mail fosse inviata per finalità organizzative non elimini l’illiceità della messa a conoscenza reciproca dei dati;
• la scelta operativa adottata abbia determinato una comunicazione di dati personali, anche relativi alla salute, in assenza di idonea base giuridica;
• la violazione riguardi gli artt. 5, 6 e 9 GDPR, nonché gli artt. 2-ter e 2-sexies del Codice privacy.

Riferimenti alle linee guida e all’orientamento del Garante

Nel motivare la decisione, il Garante ha richiamato le Linee guida del 14 giugno 2007 sul trattamento dei dati dei lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, sottolineando che le amministrazioni devono adottare misure tecniche e organizzative idonee a evitare la conoscibilità ingiustificata di dati personali da parte di altri dipendenti o soggetti terzi. È stato inoltre richiamato l’orientamento consolidato secondo cui i dati dei lavoratori non possono essere messi a conoscenza di soggetti diversi da quelli legittimati in ragione delle mansioni e delle scelte organizzative del titolare.

Conclusioni del procedimento

Il Garante ha ritenuto che le difese dell’Azienda, pur considerate, non fossero sufficienti a superare i rilievi contestati e a giustificare l’archiviazione. È stata pertanto dichiarata l’illiceità del trattamento effettuato dall’Azienda per la comunicazione di dati personali e di dati relativi alla salute di due dipendenti.

Sanzione amministrativa e criteri di quantificazione

Poiché la violazione è derivata da un’unica condotta, è stato applicato l’art. 83, par. 3, GDPR. Il Garante ha qualificato la gravità della violazione come media, tenendo conto di:

• numero limitato di interessati coinvolti;
• natura accidentale dell’errore;
• buona cooperazione dell’Azienda;
• presenza di precedenti violazioni in contesti diversi;
• contesto emergenziale e organizzativamente complesso.

In base a tali elementi, la sanzione è stata determinata in euro 6.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Misure accessorie e adempimenti disposti

Il provvedimento dispone:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni nel registro interno dell’Autorità.

È stato inoltre ricordato che l’Azienda può definire la controversia con il pagamento, entro 30 giorni, della metà della sanzione comminata, mentre in caso di mancato pagamento si procederà all’esecuzione coattiva secondo la disciplina applicabile.