Ordinanza ingiunzione o revoca n. 286 del 21/05/2025

Agenzia Tutela della Salute di Milano - comunicazione illecita di dati sanitari al datore di lavoro

Il provvedimento riguarda l'Agenzia di Tutela della Salute della Città Metropolitana di Milano, che ha trasmesso per errore al datore di lavoro del reclamante documentazione contenente dati sulla salute. Il procedimento è stato avviato a seguito di reclamo dell'interessato e si è concluso con ordinanza ingiunzione e sanzione amministrativa pecuniaria.

Origine del procedimento e fatti contestati

Il reclamante, dipendente in qualità di cuoco capo partita, ha lamentato che una comunicazione inviata dall'Agenzia al datore di lavoro conteneva allegati riservati, tra cui referti medici, certificati e altra documentazione sanitaria. L'Agenzia ha riconosciuto che, per un mero errore amministrativo, erano stati allegati documenti non pertinenti.

Attività istruttoria svolta dal Garante

L'Ufficio ha chiesto all'Agenzia chiarimenti sul presupposto giuridico della trasmissione, sulle misure tecniche e organizzative adottate e sulle azioni correttive per prevenire il ripetersi dell'evento. Il titolare ha riferito che la vicenda si inseriva in una più ampia interlocuzione con il lavoratore e con il datore di lavoro su temi di sicurezza sul lavoro, sopralluoghi e prescrizioni sui DPI, e ha rappresentato che la trasmissione è stata del tutto accidentale. Sono state descritte misure di sicurezza generali e specifiche, tra cui procedure interne, manuale di gestione documentale, tutorial per protocollazione e invio via PEC, formazione del personale e successiva revisione della procedura.

Esito del supplemento istruttorio

Dal successivo approfondimento è emerso che il datore di lavoro aveva ricevuto documentazione sanitaria ampia e dettagliata. Tra i documenti trasmessi figuravano attestato di malattia telematico, certificazione di malattia professionale, verbale di visita medica di controllo INPS, esito di visita ortopedica e una relazione di medicina del lavoro contenente valutazioni cliniche e psicologiche. Il Garante ha quindi ritenuto che la comunicazione non si fosse limitata a dati generici, ma avesse riguardato informazioni dettagliate sullo stato di salute dell'interessato.

Valutazioni del Garante sulle norme applicabili

Il Garante ha richiamato la definizione di dati relativi alla salute di cui all'art. 4, par. 1, n. 15, GDPR e ha ribadito che tali dati richiedono una protezione rafforzata. Ha inoltre evidenziato che i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento, nonché trattati con adeguate misure tecniche e organizzative a tutela dell'integrità e della riservatezza, ai sensi dell'art. 5, par. 1, lett. c) e f), GDPR. In ambito sanitario, la comunicazione a terzi è consentita solo in presenza di idoneo presupposto giuridico o su delega scritta dell'interessato; tale presupposto non era presente nel caso esaminato.

Illiceità del trattamento e responsabilità del titolare

L'Autorità ha ritenuto che le giustificazioni offerte dall'Agenzia non fossero sufficienti a superare i rilievi mossi in avvio del procedimento. È stata quindi accertata la comunicazione, in assenza di base giuridica, di informazioni sanitarie dettagliate al datore di lavoro, con violazione dei principi di minimizzazione e di integrità e riservatezza nonché dell'art. 9 GDPR. Il Garante ha escluso, allo stato, l'adozione di ulteriori misure correttive, prendendo atto delle iniziative già intraprese per evitare futuri errori.

Sanzione amministrativa e criteri di quantificazione

La violazione è stata sanzionata ai sensi dell'art. 83, par. 5, GDPR. Nel determinare l'importo, il Garante ha considerato la gravità elevata della violazione per la natura particolarmente sensibile dei dati trattati e per la tipologia di operazione di comunicazione, pur rilevando l'assenza di dolo. Sono stati valorizzati anche il carattere isolato dell'episodio, la conoscenza pregressa da parte del datore di lavoro di alcune informazioni e il fatto che il Garante sia venuto a conoscenza dell'evento tramite reclamo. La sanzione è stata fissata in euro 7.000.

Dispositivo finale

Il Garante ha dichiarato l'illiceità del trattamento effettuato dall'Agenzia Tutela della Salute - Città Metropolitana di Milano per violazione degli artt. 5 e 9 GDPR. Ha ordinato il pagamento della sanzione di euro 7.000 entro 30 giorni dalla notificazione, con facoltà di definizione agevolata nei limiti previsti dalla legge. Ha inoltre disposto la pubblicazione dell'ordinanza ingiunzione sul sito dell'Autorità, la pubblicazione del provvedimento e l'annotazione delle violazioni nel registro interno.