Ordinanza ingiunzione o revoca n. 36 del 30/01/2025

Azienda USL di Modena - trattamento illecito dello stato vaccinale di dipendenti in cartella di rete condivisa

Il Garante per la protezione dei dati personali ha accertato l’illiceità del trattamento effettuato dall’Azienda Unità Sanitaria Locale di Modena con riguardo ai dati sullo stato vaccinale anti Covid-19 di alcuni lavoratori del Consultorio di Vignola. Il procedimento trae origine da un reclamo di una dipendente che aveva individuato un elenco contenente i nominativi del personale vaccinato e non vaccinato.

Origine del reclamo e attività istruttoria

La reclamante ha rappresentato di aver trovato, tramite il pc aziendale, un elenco dal quale risultava il personale vaccinato e non vaccinato e che tale informazione sarebbe stata accessibile a tutto il personale dell’AUSL. A seguito delle richieste istruttorie del Garante, l’Azienda sanitaria ha svolto verifiche interne e ha individuato un file denominato "tabella per vaccinazioni", creato da una coordinatrice e collocato in una cartella di rete del Servizio.

Il file conteneva:

• i nominativi di 15 operatori, tra comparto e dirigenza medica, afferenti al Consultorio di Vignola;
• l’indicazione "fatto/non fatto" relativa alla vaccinazione anti Covid-19;
• una colonna per annotazioni.

La cartella di rete era accessibile a tutti gli operatori del Consultorio, con conseguente possibilità di conoscere lo stato vaccinale degli altri colleghi.

Trattamento esaminato

Il Garante ha qualificato la condotta come trattamento di dati personali relativi allo stato vaccinale dei dipendenti, consistente nella raccolta e nella messa a disposizione del file tramite cartella condivisa. Si trattava di dati relativi alla salute, rientranti nelle categorie particolari di dati di cui all’art. 9 GDPR.

L’Azienda ha sostenuto che il file fosse stato creato in buona fede per finalità organizzative, al fine di pianificare l’accesso degli operatori agli ambulatori vaccinali in orario di servizio, e che fosse stato rimosso non appena individuato nel corso delle verifiche.

Valutazioni del Garante sulla liceità

L’Autorità ha richiamato il quadro normativo applicabile al trattamento dei dati nel contesto lavorativo pubblico, evidenziando che i soggetti pubblici possono trattare dati personali, anche particolari, solo se necessario per la gestione del rapporto di lavoro o per l’adempimento di obblighi o compiti previsti dalla legge o dal diritto dell’Unione o degli Stati membri.

È stato ribadito che, per le pubbliche amministrazioni, la comunicazione di dati personali è consentita solo quando prevista da una norma di legge o, nei casi previsti, di regolamento. In ambito emergenziale Covid-19, il Garante aveva inoltre già richiamato i datori di lavoro a non effettuare raccolte autonome di dati sanitari non espressamente previste dalla normativa.

Nel caso concreto, l’Autorità ha ritenuto che la cartella condivisa abbia comportato la comunicazione, a tutti gli operatori abilitati all’accesso, di informazioni sulla vaccinazione avvenuta o mancata dei colleghi, con diffusione interna di dati sanitari senza una base giuridica idonea.

Violazioni accertate

Il Garante ha quindi dichiarato l’illiceità del trattamento per violazione di:

• art. 5 GDPR;
• art. 6 GDPR;
• art. 9 GDPR;
• art. 2-ter Codice privacy;
• art. 2-sexies Codice privacy.

Ha inoltre precisato che il trattamento era riconducibile a un’unica condotta e che, ai sensi dell’art. 83, par. 3 GDPR, la sanzione totale non poteva superare il massimo previsto per la violazione più grave.

Misure correttive e sanzione

Pur rilevando l’illiceità del trattamento, il Garante ha escluso l’adozione di ulteriori misure correttive ex art. 58, par. 2 GDPR, osservando che la condotta aveva esaurito i suoi effetti e che l’Azienda aveva fornito assicurazioni sulla cessazione del trattamento e sulla rimozione del file.

Ai fini della sanzione sono stati considerati, ai sensi dell’art. 83, par. 2 GDPR:

• la natura, gravità e durata della violazione, con coinvolgimento di 15 lavoratori e reciproca conoscibilità dello stato vaccinale;
• il profilo soggettivo, con invocazione di esigenze organizzative;
• la delicatezza dei dati trattati, relativi alla salute;
• la buona cooperazione del titolare;
• l’assenza di precedenti violazioni pertinenti;
• il contesto emergenziale e le difficoltà organizzative del periodo Covid-19.

La sanzione è stata determinata in euro 10.000, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo e adempimenti

Il Garante ha ordinato all’Azienda USL di Modena il pagamento della sanzione di euro 10.000, precisando la possibilità di definizione agevolata con pagamento della metà entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice.

Ha inoltre disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È stata infine richiamata la possibilità di proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.