Ordinanza ingiunzione o revoca n. 3 del 16/01/2026

Azienda Ospedaliera S. Pio di Benevento: comunicazione illecita di una CTP contenente dati sulla salute di un dipendente

Il Garante per la protezione dei dati personali ha definito con ordinanza ingiunzione il reclamo proposto da un dipendente dell’Azienda Ospedaliera S. Pio di Benevento, relativo alla circolazione interna di una consulenza tecnica di parte (CTP) con informazioni sul contenzioso lavorativo e sulla salute dell’interessato. Il provvedimento accerta un trattamento illecito per comunicazione di dati personali a più uffici interni, non tutti effettivamente autorizzati alla conoscenza del contenuto.

Origine del procedimento e fatti contestati

Il procedimento trae origine da un reclamo ex art. 77 GDPR, nel quale il dipendente segnalava che la CTP riguardava vicende lavorative e conteneva dati particolari, tra cui informazioni sanitarie e l’elenco delle visite specialistiche cui era stato sottoposto. L’istruttoria ha confermato che l’Azienda aveva trasmesso il documento tramite PEC a più strutture interne, nell’ambito dell’istruttoria relativa agli atti giudiziari del dipendente.

Riscontri istruttori sull’invio tramite PEC

Dalla documentazione acquisita è emerso che la CTP è stata inviata:

• alla UOC Ufficio Relazioni con il Pubblico, comprensiva dell’Ufficio Relazioni Sindacali, con accesso alla PEC da parte di due operatori;
• alla UOC Dipartimento Medico Presidia, con accesso alla PEC da parte di due assistenti amministrativi;
• alla UOC Risorse Umane, con accesso alla PEC da parte di venti dipendenti di varie qualifiche.

Il Garante ha rilevato che l’uso di una casella di posta condivisa, accessibile a personale con funzioni eterogenee, ha reso conoscibili dati delicati del lavoratore anche a soggetti che non avevano necessità di trattarli in ragione delle specifiche mansioni svolte.

Norme applicate e principi violati

L’Autorità ha richiamato il quadro applicabile ai trattamenti effettuati da soggetti pubblici nel contesto del rapporto di lavoro, in particolare:

• art. 5 GDPR, principi di liceità, correttezza, minimizzazione e limitazione della finalità;
• art. 6 GDPR, necessità di una base giuridica;
• art. 9, par. 2, lett. b) GDPR, trattamento di categorie particolari di dati in ambito di rapporti di lavoro;
• art. 2-ter Codice privacy, sulla necessaria base normativa per i trattamenti da parte di soggetti pubblici.

È stato inoltre richiamato il principio per cui la comunicazione di dati personali da parte di soggetti pubblici è ammessa solo se prevista da idonea base giuridica e il personale deve essere autorizzato, istruito e limitato ai soli compiti pertinenti.

Valutazioni del Garante sulla condotta dell’Azienda

Il Garante ha escluso che fossero sufficienti le difese dell’Azienda fondate su:

• ridotte dimensioni dell’ente e necessità di attribuire pluralità di competenze al personale;
• obblighi interni di riservatezza e segreto d’ufficio;
• assenza di prova di una effettiva visualizzazione del documento da parte di tutti i destinatari.

Secondo l’Autorità, l’amministrazione avrebbe dovuto adottare misure tecniche e organizzative adeguate a evitare la conoscibilità ingiustificata dei dati, limitando l’accesso ai soli soggetti effettivamente coinvolti. In particolare, avrebbe dovuto utilizzare indirizzi PEC individuali e inviare una versione della CTP priva dei riferimenti dettagliati alle condizioni di salute, anche mediante omissis.

Esito del procedimento e qualificazione dell’illecito

Il Garante ha dichiarato l’illiceità del trattamento effettuato dall’Azienda Ospedaliera per violazione degli artt. 5, par. 1, lett. a) e c), 6 e 9, par. 2, lett. b) GDPR e dell’art. 2-ter del Codice privacy. Ha inoltre rilevato che non ricorrevano i presupposti per l’archiviazione e che le dichiarazioni difensive non erano idonee a superare i rilievi contestati.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Poiché le violazioni derivavano da un’unica condotta, è stato applicato l’art. 83, par. 3 GDPR. Il Garante ha considerato:

• la natura e gravità del trattamento, riferito ai dati di un solo lavoratore;
• il carattere delicato dei dati, inclusi quelli sulla salute;
• l’errore di valutazione nella condotta dell’Azienda;
• la buona cooperazione nel corso dell’istruttoria;
• le indicazioni interne fornite ai dipendenti in materia privacy;
• l’assenza di precedenti violazioni pertinenti.

All’esito, la sanzione è stata determinata in euro 6.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1 GDPR.

Misure accessorie e termini di impugnazione

Il Garante ha disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet dell’Autorità;
• la pubblicazione del provvedimento sul sito del Garante;
• l’annotazione delle violazioni nel registro interno dell’Autorità.

È stato inoltre indicato che l’Azienda può definire la controversia pagando, entro 30 giorni, la metà della sanzione comminata ai sensi dell’art. 166, comma 8, Codice privacy. Avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.