Ordinanza ingiunzione o revoca n. 485 del 11/09/2025

Ministero dell'Interno - Comando provinciale VVF Firenze: comunicazione illecita di dati vaccinali e sanitari dei dipendenti

Il provvedimento riguarda il Ministero dell'Interno, Dipartimento dei Vigili del Fuoco, del Soccorso Pubblico e della Difesa Civile, Comando provinciale di Firenze, per la creazione e la successiva indebita messa a disposizione di un foglio di lavoro contenente dati personali e categorie particolari di dati di dipendenti, in particolare informazioni sullo stato vaccinale e su circostanze sanitarie e di servizio connesse all'obbligo vaccinale nel periodo emergenziale COVID-19.

Origine del procedimento e fatti accertati

Il procedimento origina da un reclamo presentato da un dipendente che lamentava la circolazione, in un canale social interno del Comando, di immagini di un elenco con nominativi, data di invio della raccomandata di sollecito per regolarizzare l'obbligo vaccinale, numero di dosi effettuate e annotazioni relative allo stato di salute, alla durata del green pass e a eventuali esenzioni.

Nel corso dell'istruttoria è emerso che il canale social era stato istituito durante la pandemia con disposizione di servizio ed era ancora in uso. Il Ministero ha chiarito che il file era stato predisposto per monitorare gli adempimenti previsti dalla normativa sull'obbligo vaccinale, consentendo all'Ufficio Risorse Umane di gestire assenze e sospensioni dal servizio. Ha inoltre sostenuto che la pubblicazione era avvenuta accidentalmente da parte di un addetto alla segreteria del Comando, che aveva caricato il documento sul canale Telegram destinato alle comunicazioni di servizio.

Dati trattati e platea dei soggetti coinvolti

Il foglio di lavoro riguardava circa 60 lavoratori e conteneva, oltre a nome e cognome:

• la data di invio della raccomandata di sollecito;
• il numero di dosi vaccinali effettuate;
• annotazioni sullo stato di salute;
• causali di assenza come malattia, malattia Covid, malattia per infortunio, congedo parentale e ferie;
• indicazioni sullo stato vaccinale e su eventuali esenzioni o situazioni ostative.

Il file è rimasto disponibile sul canale per circa 5 minuti e il canale era accessibile a circa 260 membri; il Ministero ha inoltre osservato che il personale era suddiviso in turni, riducendo di fatto la platea dei presenti al momento della pubblicazione.

Difese del Ministero

L'amministrazione ha sostenuto che:

• il trattamento si collocava nel quadro dell'obbligo di verifica previsto dal d.l. 172/2021;
• le informazioni erano già presenti nelle banche dati ordinarie del personale e non acquisite aliunde;
• la verifica dell'obbligo vaccinale avveniva anche mediante piattaforme ministeriali e NoiPA;
• l'incidente era stato meramente accidentale, senza dolo;
• il documento era stato subito rimosso e protetto con password;
• la brevissima durata della disponibilità e il contesto organizzativo emergenziale attenuavano la portata dell'evento.

Quadro normativo richiamato

Il Garante ha richiamato il regime emergenziale introdotto dal d.l. 172/2021, che aveva esteso l'obbligo vaccinale a categorie di lavoratori, tra cui il personale del comparto difesa, sicurezza e soccorso pubblico, e aveva previsto modalità anche automatizzate di verifica tramite la Piattaforma nazionale-DGC e altri sistemi istituzionali. In tale quadro, i datori di lavoro potevano ricevere, per i lavoratori effettivamente in servizio, solo un esito di tipo booleano relativo al rispetto dell'obbligo vaccinale, senza accesso alle ulteriori informazioni conservate nella piattaforma.

Il provvedimento richiama in particolare:

• gli artt. 5, 6 e 9 GDPR;
• l'art. 6, par. 2, e l'art. 9, par. 2, lett. b) e g), GDPR;
• gli artt. 2-ter, 2-sexies e 2-quaterdecies del Codice privacy;
• gli artt. 29 e 32, par. 4, GDPR;
• le Linee guida del Garante del 14 giugno 2007 sul trattamento dei dati dei lavoratori in ambito pubblico;
• il precedente parere del 13 dicembre 2021 sul trattamento dei dati vaccinali nel contesto emergenziale.

Valutazioni del Garante sulla liceità del trattamento

L'Autorità ha riconosciuto che, nel contesto emergenziale, il datore di lavoro pubblico poteva trattare alcuni dati necessari alla gestione del rapporto di lavoro e agli adempimenti di legge. Tuttavia, ha precisato che ciò doveva avvenire entro limiti rigorosi e con misure organizzative idonee a evitare la conoscibilità ingiustificata dei dati da parte di terzi o di soggetti non autorizzati.

Il Garante ha evidenziato che i dati dei lavoratori, specie se riferiti alla salute e allo stato vaccinale, non possono essere messi a conoscenza di soggetti diversi da quelli legittimati in base alle mansioni e all'organizzazione del titolare. Anche all'interno della stessa amministrazione, la mera appartenenza all'organizzazione non basta: occorre che il personale sia specificamente autorizzato e istruito al trattamento.

Nel caso concreto, la creazione del foglio di lavoro e la sua successiva disponibilità sul canale social interno hanno determinato una comunicazione ingiustificata di dati personali, anche appartenenti a categorie particolari, a favore di soggetti non autorizzati, rendendo nel contempo conoscibili ai colleghi informazioni delicate sullo stato vaccinale e sulle condizioni di salute dei dipendenti interessati.

Violazioni accertate

Il Garante ha ritenuto sussistente la violazione di:

• art. 5 GDPR, per il mancato rispetto dei principi di liceità, minimizzazione e limitazione della circolazione dei dati;
• art. 6 GDPR, per la mancanza di un'idonea base giuridica per la comunicazione interna del foglio di lavoro;
• art. 9 GDPR, per il trattamento di dati relativi alla salute e allo stato vaccinale senza una valida condizione di liceità;
• artt. 2-ter e 2-sexies del Codice privacy, per l'assenza delle condizioni richieste per la comunicazione di dati da parte di soggetti pubblici.

Esito del procedimento e sanzione

Il Garante ha escluso i presupposti per ulteriori misure correttive, rilevando che la condotta aveva esaurito i propri effetti e che il Ministero aveva fornito assicurazioni circa l'adozione di misure organizzative per prevenire il ripetersi di episodi analoghi.

È stata quindi adottata un'ordinanza ingiunzione con applicazione della sanzione amministrativa pecuniaria di euro 12.000,00. La quantificazione ha tenuto conto, ai sensi dell'art. 83, par. 2, GDPR:

• della natura, gravità e durata della violazione;
• del numero degli interessati coinvolti;
• del fatto che la comunicazione è avvenuta per errore umano, ma a una platea ampia di destinatari interni;
• della circostanza che la violazione è avvenuta in un contesto emergenziale e con difficoltà organizzative;
• della cooperazione prestata dal Ministero;
• dell'esistenza di precedenti violazioni, pur in contesti diversi.

L'Autorità ha ritenuto il livello di gravità medio e ha considerato la sanzione effettiva, proporzionata e dissuasiva.

Dispositivi finali e rimedi

Il provvedimento:

• dichiara l'illiceità del trattamento effettuato dal Ministero dell'Interno - Comando provinciale dei Vigili del Fuoco di Firenze;
• ordina il pagamento di euro 12.000,00;
• consente la definizione agevolata della controversia con pagamento, entro 30 giorni, della metà della sanzione;
• dispone la pubblicazione dell'ordinanza ingiunzione sul sito del Garante;
• dispone la pubblicazione del provvedimento sul sito dell'Autorità;
• dispone l'annotazione nel registro interno delle violazioni.

Avverso il provvedimento è ammesso ricorso all'autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all'estero.