Ordinanza ingiunzione o revoca n. 245 del 08/06/2023

Marcozzi Brand s.r.l. - trattamento illecito di dati sanitari e mancato riscontro a istanze di accesso

Il provvedimento riguarda Marcozzi Brand s.r.l. ed è stato adottato a seguito del reclamo di un candidato coinvolto in una procedura di selezione per tirocinio/assunzione collegata a misure per l’inserimento lavorativo di persone con disabilità. L’Autorità esamina il trattamento di dati relativi alla salute del reclamante, le modalità di acquisizione e trasmissione della documentazione sanitaria al medico competente, nonché il mancato/ritardato riscontro alle richieste di accesso ai dati personali.

Origine del reclamo e svolgimento dell’istruttoria

Il reclamo, presentato il 23 settembre 2019 ai sensi dell’art. 77 GDPR, contestava alla società di non aver indicato all’interessato il nominativo del medico competente che aveva espresso un giudizio di inidoneità, né le ragioni specifiche di tale valutazione, nonostante fossero state inoltrate richieste di accesso in data 26 gennaio 2018 e 15 maggio 2018.

Nel corso dell’istruttoria la società ha fornito varie versioni dei fatti. In sintesi ha sostenuto:

• che il medico competente fosse il dott. Doriano Duca;
• che la documentazione sanitaria del reclamante fosse stata inoltrata al medico solo per una valutazione preliminare di compatibilità con la posizione lavorativa;
• che non vi fosse stata conservazione di cartelle sanitarie o documentazione medica in azienda;
• che la mancata comunicazione del nominativo del medico fosse dovuta a un errore procedurale poi sanato;
• che il candidato avesse partecipato a un bando regionale per l’inserimento di persone con disabilità e che le informazioni necessarie fossero state in parte fornite durante il colloquio.

L’Autorità, all’esito degli approfondimenti, non ha ritenuto superati i rilievi contestati.

Trattamento di dati particolari senza base giuridica

Il Garante accerta che la società, in qualità di titolare, ha trattato dati appartenenti a categorie particolari di dati, in particolare dati relativi alla salute, nell’ambito della selezione del reclamante per tirocini formativi finalizzati all’assunzione ai sensi della l. 68/1999.

In particolare, la società:

• ha chiesto al reclamante di inviare la documentazione relativa al foglio visita/relazione conclusiva della commissione medica integrata;
• ha ricevuto via e-mail un link da cui era possibile scaricare documenti sanitari;
• ha inoltrato tale comunicazione al medico competente per ottenere un parere preliminare sulla compatibilità psicofisica del candidato con la mansione.

Secondo il Garante, questa condotta integra un trattamento di dati sanitari effettuato in assenza di idonea base giuridica. Non è stato ritenuto sufficiente il richiamo:

• al consenso del candidato ai sensi dell’art. 9, par. 2, lett. a), GDPR, non idoneo nel contesto del rapporto di lavoro o della selezione;
• alla clausola dell’art. 9, par. 2, lett. h), GDPR, che può riguardare l’attività del medico competente, ma non legittima il trattamento svolto dalla società datrice di lavoro.

L’Autorità conclude quindi per la violazione:

• degli artt. 11 e 26 del Codice privacy, nella formulazione previgente al d.lgs. 101/2018;
• in corrispondenza degli attuali artt. 5, par. 1, lett. a), e 9 GDPR;
• anche in relazione alle norme di settore richiamate, tra cui d.lgs. 81/2008 e l. 68/1999.

Omessa informativa e violazione del principio di trasparenza

Il trattamento è stato considerato illecito anche perché non era stata fornita un’informativa adeguata all’interessato.

La società ha sostenuto di avere informato verbalmente il candidato durante il colloquio e di aver esposto l’informativa nei propri locali, ma non ha fornito prove documentali sufficienti. Il Garante ritiene quindi violato l’art. 13 del Codice privacy, corrispondente all’art. 13 GDPR, oltre al principio di trasparenza e correttezza sancito dall’art. 5, par. 1, lett. a), GDPR.

La violazione riguarda, in particolare:

• le finalità effettive del trattamento;
• i soggetti destinatari dei dati;
• l’assenza di una comunicazione chiara, completa e documentata prima dell’avvio del trattamento.

Principio di limitazione delle finalità

L’Autorità evidenzia anche una violazione del principio di limitazione delle finalità. La documentazione sanitaria era stata richiesta dal medico del lavoro ai fini di una visita preassuntiva, ma poi è stata utilizzata e trasmessa per una pre-analisi preliminare e per la formulazione di un parere sul candidato, senza che tale ulteriore finalità fosse stata adeguatamente resa nota all’interessato.

Ne deriva la violazione dell’art. 11, comma 1, lett. b), del Codice privacy previgente, corrispondente all’art. 5, par. 1, lett. b), GDPR.

Violazione del diritto di accesso e degli obblighi di riscontro

Un ulteriore profilo di illiceità riguarda la gestione delle istanze di accesso ex art. 15 GDPR.

Il Garante rileva che:

• alla prima richiesta del 26 gennaio 2018 la società ha fornito un riscontro incompleto, senza indicare il nominativo del medico competente né fornire le informazioni dovute;
• alla seconda richiesta, del 24 aprile 2018 e reiterata il 15 maggio 2018, non è stato dato alcun riscontro;
• il riscontro effettivo è arrivato solo il 3 marzo 2021, dopo l’intervento dell’Autorità, ed è stato ricevuto dall’interessato il 20 marzo 2021.

Secondo il Garante, la condotta viola:

• l’art. 12, par. 2, GDPR, che impone di agevolare l’esercizio dei diritti dell’interessato;
• l’art. 12, par. 4, GDPR, che impone di informare tempestivamente l’interessato dei motivi del diniego e dei rimedi esperibili;
• l’art. 15 GDPR, che attribuisce il diritto di accesso ai dati personali e alle informazioni sui destinatari.

Valutazioni del Garante sulla gravità e sulla responsabilità

L’Autorità non considera la violazione “minore” ai sensi del Considerando 148 GDPR, tenuto conto della natura dei dati trattati, della pluralità delle violazioni e della durata del comportamento omissivo rispetto alle richieste di accesso.

Per la quantificazione della sanzione vengono richiamati i criteri dell’art. 83, par. 2, GDPR, con particolare riferimento a:

• natura, gravità e durata della violazione;
• grado di responsabilità del titolare;
• cooperazione con l’Autorità;
• circostanza che il trattamento abbia riguardato un solo interessato;
• condizioni economiche della società;
• sanzioni irrogate in casi analoghi.

Sanzione, criteri normativi e importi

Per le violazioni degli artt. 13 e 26 del Codice privacy previgente, il Garante applica le sanzioni previste dagli artt. 161 e 162, comma 2-bis, del Codice, ridotte ai sensi dell’art. 164-bis, comma 1, in ragione della minore gravità.

Gli importi determinati sono:

• euro 2.400 per la violazione dell’art. 13 del Codice;
• euro 4.000 per la violazione dell’art. 26 del Codice;
• euro 2.000 per la violazione degli artt. 12 e 15 GDPR.

L’importo complessivo ingiunto è quindi pari a euro 8.400.

Dispositivo finale e pubblicazione

Il Garante:

• rileva l’illiceità del trattamento effettuato da Marcozzi Brand s.r.l.;
• ordina il pagamento della sanzione amministrativa pecuniaria complessiva di euro 8.400 ai sensi dell’art. 58, par. 2, lett. i), GDPR;
• ingiunge il pagamento entro 30 giorni dalla notifica;
• dispone la pubblicazione del provvedimento sul sito web dell’Autorità.

È inoltre indicata la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 d.lgs. 150/2011.