Ordinanza ingiunzione o revoca n. 450 del 10/07/2025

Centro Medico Italiano s.r.l.: mancato riscontro all'accesso e comunicazione illecita di dati sanitari

Il provvedimento riguarda Centro Medico Italiano s.r.l., operante nell’ambito della medicina del lavoro, ed è stato adottato a seguito di reclamo dell’interessato e di successiva istruttoria del Garante. L’Autorità ha esaminato sia l’omesso/insufficiente riscontro a una richiesta di accesso ai dati personali ex art. 15 GDPR, sia la comunicazione al datore di lavoro di corrispondenza contenente dati personali e dati sulla salute.

Origine del reclamo e richiesta di accesso

L’interessato, con reclamo del 29 gennaio 2024, ha lamentato di non avere ricevuto adeguato riscontro a una richiesta del 1° dicembre 2023. L’istanza, indirizzata ai soggetti coinvolti nella sorveglianza sanitaria, chiedeva:

• accesso ai dati relativi alla salute e alla cartella clinica, in formato cartaceo e digitale, con consegna di copia;
• informazioni sulle modalità del trattamento, sul luogo di conservazione e sui soggetti autorizzati ad accedere ai dati, anche quali responsabili ex art. 28 GDPR.

La società ha affermato di aver recuperato e consegnato la documentazione sanitaria in suo possesso, ma l’interessato ha continuato a contestare la incompletezza della documentazione ricevuta. Nel corso del procedimento il Garante ha rilevato anche che la società non aveva messo a disposizione dell’Autorità gli elementi necessari per verificare l’effettivo adempimento, richiamando in modo improprio ragioni di riservatezza per non esibire i documenti.

Istruttoria e contestazione della mancata collaborazione

Con nota del 12 marzo 2024 il Garante ha chiesto chiarimenti e l’adesione all’istanza di accesso. Successivamente, con richiesta di informazioni ex art. 157 Codice, ha chiesto ogni elemento utile alla valutazione del caso e, in particolare, il riscontro fornito alla richiesta di accesso.

La società ha ribadito di avere consegnato la documentazione sanitaria disponibile, ma ha anche sostenuto di avere bisogno di un’autorizzazione dell’interessato per trasmettere tutta la documentazione sanitaria e le e-mail collegate. Il Garante ha considerato tale impostazione incompatibile con i poteri istruttori dell’Autorità e con l’obbligo di riscontro al diritto di accesso nei termini dell’art. 12, par. 3, GDPR.

Comunicazione di dati personali e sanitari al datore di lavoro

Da ulteriori elementi acquisiti è emerso che la società aveva inoltrato al datore di lavoro, in almeno due occasioni, corrispondenza inviata dall’interessato al centro medico. Le comunicazioni del 20 dicembre 2023 e del 7 ottobre 2024 contenevano dati personali, vicende connesse al rapporto di lavoro e anche elementi relativi alla salute.

La società ha sostenuto che tali scambi erano funzionali alla medicina del lavoro, alla sorveglianza sanitaria e alla collaborazione tra medico competente e datore di lavoro, richiamando gli artt. 25 e 39 del d.lgs. 81/2008 e il codice etico ICOH. Il Garante ha però ritenuto che, nel caso concreto, siano stati comunicati dati eccedenti e non necessari al datore di lavoro, in contrasto con i principi di minimizzazione, limitazione della finalità e riservatezza.

Violazioni accertate e basi normative

L’Autorità ha qualificato il trattamento come illecito per violazione di:

• art. 5, par. 1, lett. b), c) e f), GDPR, per violazione dei principi di limitazione della finalità, minimizzazione e riservatezza;
• art. 6, par. 1, GDPR, per mancanza di una valida base giuridica;
• art. 9, par. 2, GDPR, per assenza dei presupposti per trattare/comunicare dati relativi alla salute;
• artt. 12, par. 3, e 15 GDPR, per il mancato riscontro alla richiesta di accesso.

Il Garante ha escluso che potesse operare la deroga dell’art. 9, par. 2, lett. b), GDPR invocata dalla società, ritenendo non dimostrata la necessità della comunicazione al datore di lavoro ai fini degli obblighi in materia di diritto del lavoro.

Esito, sanzione e misure accessorie

All’esito del procedimento il Garante ha dichiarato l’illiceità del trattamento e ha ritenuto non archiviabile il caso. Applicando i criteri dell’art. 83 GDPR, ha considerato la limitatezza del numero degli interessati, l’assenza di precedenti, la scarsa cooperazione nel corso dell’istruttoria, la natura sensibile dei dati coinvolti e le condizioni economiche del contravventore.

È stata quindi irrogata a Centro Medico Italiano s.r.l. una sanzione amministrativa pecuniaria di euro 30.000. Il Garante ha inoltre disposto:

• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno;
• la possibilità di pagamento in misura ridotta nei limiti di legge e l’opposizione dinanzi all’autorità giudiziaria ordinaria nei termini previsti.