Prescrizioni del Garante n. 459 del 18/06/2026

Ammonimento a SanitaService Asl Le s.r.l. Unipersonale per affissione di email contenente dati sulla salute dei lavoratori

Il provvedimento riguarda una società in house dell'ASL di Lecce e trae origine dal reclamo di una lavoratrice che ha contestato la diffusione, in una bacheca aziendale, di un'email contenente riferimenti alla sua assenza per malattia. Il Garante ha ritenuto illecito il trattamento dei dati relativi alla salute reso conoscibile ad altri dipendenti in assenza di idonea base giuridica, ma ha escluso la contestazione relativa al mancato riscontro a un'istanza di opposizione.

Fatti oggetto del reclamo

La reclamante ha riferito che, presso la sede di lavoro, in una bacheca collocata negli spogliatoi del personale, era stata affissa la copia di un'email datata XX, nella quale si informava della sostituzione di un turno a causa della sua assenza per motivi di salute. Secondo quanto rappresentato, la bacheca era utilizzata anche per annotazioni sulle causali delle assenze dei dipendenti. L'interessata aveva già segnalato la vicenda ai vertici aziendali, chiedendo la rimozione del documento, ma l'email sarebbe rimasta esposta ancora alla data indicata nel reclamo.

Attività istruttoria e difese dell'Azienda

In sede istruttoria, l'Azienda ha sostenuto che il documento fosse il frutto di un'iniziativa personale del coordinatore, non conforme alle procedure interne, e che la bacheca fosse accessibile soltanto ai dipendenti del reparto. Ha inoltre dichiarato che l'email era rimasta affissa per un periodo presumibilmente non superiore a una settimana e che erano state programmate misure organizzative e formative per evitare episodi analoghi. Nella memoria e all'audizione l'Azienda ha ribadito che il sistema ordinario di gestione turni non prevedeva indicazioni sui motivi di assenza e che le annotazioni contestate erano state apposte a penna dal singolo coordinatore.

Accertamenti del Garante sul trattamento dei dati

L'Autorità ha accertato che l'email era stata prima inviata a più destinatari interni e poi affissa nella bacheca aziendale, con esplicito riferimento all'assenza per motivi di salute della reclamante e di un altro lavoratore. Tale modalità di diffusione ha reso conoscibili ad altri dipendenti dati personali che non avrebbero dovuto essere comunicati, anche perché relativi alla salute, quindi rientranti nelle categorie particolari di dati ex art. 9 GDPR. Il Garante ha richiamato il proprio orientamento costante secondo cui, nei luoghi di lavoro, non possono essere resi accessibili ai colleghi dati relativi a salute, sfera privata o causali di assenza che consentano di inferire informazioni sanitarie.

Violazioni contestate e norme applicate

Il Garante ha confermato la violazione dei seguenti precetti:

• art. 5, par. 1, lett. a), GDPR, per difetto di liceità, correttezza e trasparenza;
• art. 6 GDPR, per assenza di base giuridica;
• art. 9, par. 2, lett. b), GDPR, in relazione al trattamento di dati relativi alla salute;
• art. 2-ter del Codice privacy.

È stata invece superata la contestazione relativa al mancato riscontro all'istanza di opposizione ex artt. 12, par. 3, e 21 GDPR, poiché la richiesta di rimozione del documento era stata formulata in modo incidentale all'interno di un atto relativo a una diversa questione di lavoro e non era stata presentata attraverso un canale autonomo per l'esercizio dei diritti privacy.

Valutazione della gravità e scelta sanzionatoria

Pur riconoscendo l'illiceità del trattamento, il Garante ha ritenuto la vicenda una violazione minore ai sensi dell'art. 83, par. 2, GDPR e del considerando 148. Sono stati valorizzati: il numero ridotto degli interessati coinvolti, la durata contenuta dell'esposizione, la natura colposa della condotta, l'assenza di indicazioni sulla specifica patologia, la mancanza di precedenti e la collaborazione dell'Azienda nel corso dell'istruttoria. È stata inoltre considerata la rimozione del documento dalla bacheca e l'avvio di misure preventive interne. In base a tali elementi, il Garante ha ritenuto sufficiente un ammonimento ex art. 58, par. 2, lett. b), GDPR, senza disporre ulteriori misure correttive né sanzione pecuniaria.

Dispositivo

L'Autorità ha quindi:

• dichiarato l'illiceità del trattamento effettuato dalla SanitaService Asl Le s.r.l. Unipersonale;
• ammonito la società per la violazione degli artt. 5, 6 e 9 GDPR e dell'art. 2-ter del Codice privacy;
• disposto la pubblicazione del provvedimento sul sito istituzionale;
• ordinato l'annotazione delle violazioni nel registro interno dell'Autorità.

È stata infine indicata la possibilità di proporre ricorso all'autorità giudiziaria ordinaria nei termini di legge.