Ordinanza ingiunzione o revoca n. 304 del 29/04/2026

Ministero della Giustizia: comunicazione illecita di dati sanitari in un ordine di servizio

Il provvedimento riguarda il Ministero della Giustizia, quale titolare del trattamento riferibile alla Casa Circondariale Cosenza "Sergio Cosmai", e concerne la diffusione interna di un ordine di servizio contenente informazioni sulla salute di un dipendente. Il procedimento è stato avviato a seguito di reclamo dell’interessato e si è concluso con l’accertamento dell’illiceità del trattamento, l’irrogazione di una sanzione pecuniaria e la pubblicazione del provvedimento.

Fatti e svolgimento del procedimento

Il reclamante ha contestato che un ordine di servizio, affisso nelle bacheche dell’area bar/mensa e dell’area TV/relax della Casa Circondariale, riportasse riferimenti alle sue condizioni fisiche, alle sue esigenze di salute e alla necessità di alternanza della postura. Il documento era stato predisposto per disporne l’impiego presso una specifica unità operativa, in conformità alle prescrizioni del medico competente, e risultava inoltre trasmesso a vari uffici interni, alle organizzazioni sindacali e inserito nella raccolta ufficiale.

Nel corso dell’istruttoria, l’Amministrazione ha sostenuto che la pubblicità dell’ordine di servizio fosse giustificata dalla natura amministrativa dell’atto, dall’obbligo di motivazione di cui all’art. 3 della l. 241/1990 e da disposizioni degli accordi collettivi applicabili al personale di polizia penitenziaria. Ha affermato altresì che i destinatari interni erano autorizzati al trattamento e che l’atto era rimasto esposto per un tempo limitato.

Qualificazione dei dati e base giuridica del trattamento

Il Garante ha richiamato il quadro generale in materia di trattamento dei dati dei dipendenti da parte di soggetti pubblici, ricordando che essi possono trattare dati personali quando ciò sia necessario per la gestione del rapporto di lavoro e trovi fondamento in un obbligo legale o in un compito di interesse pubblico ai sensi degli artt. 6, par. 1, lett. c) ed e), 9, par. 2, lett. b), 88 GDPR e dell’art. 2-ter del Codice privacy.

Con specifico riguardo alla sorveglianza sanitaria, l’Autorità ha ribadito che il medico competente è l’unico soggetto legittimato a trattare i dati sanitari del lavoratore ai fini della valutazione di idoneità alla mansione specifica, mentre il datore di lavoro può accedere al solo giudizio di idoneità e alle prescrizioni necessarie alla concreta organizzazione del lavoro, senza divulgare diagnosi o ulteriori informazioni cliniche. Le informazioni contenute nell’ordine di servizio sono state qualificate come dati relativi alla salute, ai sensi degli artt. 4, n. 15, e 9 GDPR, in quanto idonee a far dedurre lo stato psicofisico dell’interessato.

Violazione del principio di liceità, correttezza e trasparenza

Secondo il Garante, la messa a disposizione del documento a tutta la platea dei dipendenti in servizio e alle organizzazioni sindacali non era necessaria per le finalità organizzative perseguite. L’accesso alle informazioni sulle prescrizioni del medico competente doveva infatti restare circoscritto al personale incaricato di darvi concreta attuazione, nell’ambito delle funzioni direttive e organizzative.

L’Autorità ha escluso che potessero giustificare la diffusione:

• il generico richiamo alla trasparenza e pubblicità degli atti amministrativi;
• l’esigenza di motivare il provvedimento “agli occhi del personale”;
• l’invocata attuazione di accordi collettivi, in assenza di una previsione normativa idonea ai sensi dell’art. 2-ter del Codice.

È stato inoltre ricordato che gli accordi collettivi possono al più dettagliare un quadro normativo già fissato dalla legge, ma non introdurre una nuova base giuridica per trattamenti non previsti dalla normativa nazionale.

Esito istruttorio e qualificazione dell’illecito

All’esito dell’istruttoria, il Garante ha ritenuto che la comunicazione dei dati del reclamante, contenuti nell’ordine di servizio e relativi anche alla salute, alla generalità dei dipendenti e alle organizzazioni sindacali, fosse avvenuta in violazione degli artt. 5, par. 1, lett. a), 6 e 9 GDPR e dell’art. 2-ter del Codice privacy.

Non sono state ravvisate ragioni per disporre ulteriori misure correttive, poiché la condotta aveva già esaurito i suoi effetti. È stata invece disposta l’applicazione della sanzione amministrativa pecuniaria, in quanto il trattamento illecito derivava da un’unica condotta collegata.

Sanzione e criteri di quantificazione

La violazione è stata ricondotta all’art. 83, par. 5, GDPR, con applicazione del criterio di cui all’art. 83, par. 3, per cui la sanzione complessiva non può superare l’importo previsto per la violazione più grave. Il Garante ha tenuto conto dei criteri dell’art. 83, par. 2, considerando:

• il numero contenuto degli interessati, pur in un contesto descritto come prassi ordinaria;
• la durata limitata dell’affissione;
• il carattere colposo della violazione;
• la natura dei dati, relativi alla salute;
• la piena cooperazione del titolare;
• l’assenza di precedenti pertinenti.

La sanzione è stata determinata in euro 12.000,00, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dal Ministero della Giustizia;
• ordinato il pagamento della sanzione di euro 12.000,00;
• indicato la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• disposto l’annotazione nel registro interno.

È stato infine precisato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria nei termini di cui agli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. 150/2011.