Prescrizioni del Garante n. 27 del 16/01/2025

Comunicazione indebita di dati sulla salute in relazione a uno stallo di parcheggio per disabili

Il provvedimento riguarda una Corte/ufficio giudiziario che, in occasione di una vicenda concernente la concessione e successiva rimodulazione di uno stallo di parcheggio riservato a una persona con disabilità, ha diffuso a più destinatari informazioni idonee a rivelare il dato sulla salute dell’interessato. Il procedimento è stato avviato a seguito di reclamo e si è concluso con la dichiarazione di illiceità del trattamento e con un ammonimento, senza sanzione pecuniaria.

Fatti oggetto del reclamo

Il reclamante ha lamentato che:

• con una nota del 16 maggio 2023, inviata a più soggetti, il destinatario del trattamento avesse associato il suo nome alle ordinanze comunali relative a uno stallo di parcheggio per persona diversamente abile, rendendo così conoscibile il suo stato di disabilità;
• con una successiva email del 23 maggio 2023, indirizzata a tutti i magistrati in servizio presso la Corte, fossero stati nuovamente trasmessi il provvedimento originario, quello modificativo e la nota del 16 maggio 2023 recante il suo nome.

Secondo il reclamante, la divulgazione di tali informazioni integrava una violazione delle regole sul trattamento dei dati relativi alla salute.

Istruttoria e difese del titolare

Il Garante ha chiesto chiarimenti al titolare del trattamento, il quale ha sostenuto che:

• il nome dell’interessato era già noto ai destinatari o comunque desumibile dal contesto;
• la comunicazione serviva a informare i colleghi della parziale disponibilità dello stallo;
• la divulgazione del nominativo sarebbe stata necessaria per spiegare il motivo della precedente limitazione dell’uso dello stallo.

Nelle memorie difensive è stato altresì richiamato il fatto che lo stallo era stato in precedenza riservato ai giudici e che la concessione in favore del reclamante era stata poi limitata temporalmente dal Comune.

Qualificazione del dato e norme applicate

L’Autorità ha ritenuto che l’indicazione secondo cui il reclamante fosse "portatore di handicap" costituisse un dato relativo alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR, anche senza specificazione del tipo di disabilità.

Sono state richiamate le seguenti disposizioni:

• art. 5, par. 1, lett. c), GDPR, sul principio di minimizzazione;
• art. 9 GDPR, che vieta in via generale il trattamento delle categorie particolari di dati personali, salvo ricorrenza di una delle condizioni previste dal par. 2;
• art. 2-sexies del Codice privacy, relativo ai trattamenti di categorie particolari di dati per motivi di interesse pubblico rilevante;
• art. 2-septies del Codice privacy, sulle misure di garanzia per i dati relativi alla salute.

Valutazioni del Garante

Il Garante ha affermato che le comunicazioni del 16 e del 23 maggio 2023 hanno comportato il trattamento illecito di dati relativi alla salute, perché:

• l’informazione sulla disabilità era chiaramente desumibile dalle note trasmesse, che richiamavano il rilascio e l’utilizzo del contrassegno per la sosta delle persone con disabilità;
• la comunicazione dell’identità dell’interessato non era necessaria rispetto alla finalità dichiarata, cioè informare sulla disponibilità dello stallo;
• non ricorreva la condizione dell’art. 9, par. 2, lett. e), GDPR, relativa a dati resi manifestamente pubblici dall’interessato;
• l’eventuale conoscenza informale del contesto da parte di alcuni destinatari non legittimava la diffusione del dato a una pluralità di soggetti.

L’Autorità ha inoltre escluso che la situazione fosse assimilabile alla fattispecie richiamata dalla difesa del titolare in materia condominiale, ritenendola non pertinente.

Esito del procedimento e misure adottate

Pur avendo accertato l’illiceità del trattamento, il Garante ha ritenuto non opportuno applicare una sanzione amministrativa pecuniaria ex art. 58, par. 2, lett. i), GDPR, tenuto conto che:

• la condotta aveva esaurito i suoi effetti;
• i destinatari delle comunicazioni erano limitati;
• non risultavano precedenti violazioni pertinenti;
• non emergevano vantaggi finanziari o altri fattori aggravanti.

È stato quindi adottato un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR nei confronti del titolare del trattamento, con disposto inserimento delle violazioni e delle misure adottate nel registro interno dell’Autorità ai sensi del regolamento del Garante n. 1/2019.

Implicazioni pratiche

Il provvedimento ribadisce che, anche in contesti organizzativi o istituzionali in cui vi sia un interesse concreto alla circolazione di informazioni, il dato sulla disabilità resta un dato sulla salute e non può essere divulgato se non nei limiti strettamente necessari e sulla base di una valida condizione di liceità. La mera utilità informativa verso colleghi o terzi non giustifica l’associazione nominativa tra persona e stato di disabilità quando l’obiettivo possa essere raggiunto con modalità meno invasive.