{"check":null,"uid":"aa24139fe60aa602","title":"Provvedimento del 18 dicembre 2025 [10214307]","title_generated":false,"country":"Италия","organ":"Гарант защиты персональных данных Италии","kind":"law","kind_name":"Законодательство","lang":"it","date":"2025-12-18","summary":"Регулятор признал незаконным распространение работодателем по ошибке электронной почты с информацией о медицинской визите работника среди 16 коллег. Нарушены принципы законности, прозрачности и запрет обработки данных о здоровье (ст. 5(1)(a), 6 и 9 GDPR; ст. 2-тер Кодекса). Учреждение уведомило об инциденте, удалило сообщения, провело обучение и применило дисциплинарные меры к сотруднику. Учитывая единичный характер ошибки, сотрудничество и отсутствие прошлых нарушений, регулятор ограничился предупреждением без дополнительных санкций.","snippet":"","topics":["Персональные данные"],"status":"ok","error":"","text_len":27255,"versions":2,"url":"https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10214307","first_seen":"2026-09-07","last_checked":"2026-09-17 02:32","relevance":"hit","score":25,"query":"","source_key":"garante_it","verdict":{"relevance":"hit","score":25,"topics":["Персональные данные"],"need_body":3,"authorities":[{"kind":"орган","name":"Garante per la protezione dei dati personali","topic":"Персональные данные"},{"kind":"акт","name":"regolamento generale sulla protezione dei dati","topic":"Персональные данные"},{"kind":"акт","name":"2016/679","topic":"Персональные данные"},{"kind":"акт","name":"codice in materia di protezione dei dati personali","topic":"Персональные данные"}],"evidence":[{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":479,"ctx":"dicembre 2025  registro dei provvedimenti  n. 751 del 18 dicembre 2025  il garante per la protezione dei dati personali  nella riunione odierna, alla quale hanno preso parte il prof. pasquale stanzione, presid","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":939,"ctx":"rile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/ce, “regola","zone":"текст","weight":1},{"topic":"Персональные данные","term":"protezione dei dati","weak":false,"pos":1064,"ctx":"circolazione di tali dati e che abroga la direttiva 95/46/ce, “regolamento generale sulla protezione dei dati” (di seguito, “regolamento”);  visto il d.lgs. 30 giugno 2003, n. 196 recante “codice in","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":1184,"ctx":"to, “regolamento”);  visto il d.lgs. 30 giugno 2003, n. 196 recante “codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (ue) 20","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":1449,"ctx":"rile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/ce (di segu","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":1755,"ctx":"zzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in g.u. n. 106 dell’8 ma","zone":"текст","weight":1},{"topic":"Персональные данные","term":"Garante per la protezione dei dati personali","weak":false,"pos":510,"ctx":"dimento del 18 dicembre 2025  Registro dei provvedimenti  n. 751 del 18 dicembre 2025  IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI  NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presid","zone":"орган","weight":3},{"topic":"Персональные данные","term":"regolamento generale sulla protezione dei dati","weak":false,"pos":1083,"ctx":"sonali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);  VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in","zone":"акт","weight":0},{"topic":"Персональные данные","term":"2016/679","weak":false,"pos":838,"ctx":"a, componenti, e il dott. Luigi Montuori, segretario generale;  VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle","zone":"акт","weight":0},{"topic":"Персональные данные","term":"codice in materia di protezione dei dati personali","weak":false,"pos":1209,"ctx":"e dei dati” (di seguito, “Regolamento”);  VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 20","zone":"акт","weight":0}],"dropped":[]},"last_changed":"2026-09-12","meta":{"docweb":"10214307"},"source_url":"https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10214307","text":"Provvedimento del 18 dicembre 2025 [10214307]\n\ng-docweb-display Portlet\n\nHome\nProvvedimenti\nAmmonimento\nProvvedimento del 18 dicembre 2025 [10214307]\n\nProvvedimento del 18 dicembre 2025 [10214307]\n\nAscolta\n\nMenù azioni\n\nStampa\nStampa\n\ne-mail\n\nfacebook\n\nlinkedin\n\ntwitter\n\nAscolta\n\nStampa\nStampa\n\nCondividi\n\ne-mail\n\nfacebook\n\nlinkedin\n\ntwitter\n\n[doc. web n. 10214307]\n\nProvvedimento del 18 dicembre 2025\n\nRegistro dei provvedimenti\n\nn. 751 del 18 dicembre 2025\n\nIL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI\n\nNELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti, e il dott. Luigi Montuori, segretario generale;\n\nVISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);\n\nVISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);\n\nVISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);\n\nVista la documentazione in atti;\n\nViste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;\n\nRelatore la prof.ssa Ginevra Cerrina Feroni;\n\nPREMESSO\n\n1. Introduzione.\n\nCon reclamo presentato in data XX ai sensi dell’art. 77 del Regolamento, il Sig. XX, nel lamentare, per il tramite del proprio difensore, una presunta violazione della normativa in materia di protezione dei dati personali, ha rappresentato che, con e-mail del XX, il Coordinatore della struttura dell’Azienda USL della Romagna, ove il reclamante presta servizio, avrebbe inoltrato a sedici colleghi una precedente e-mail del reclamante medesimo, risalente al XX, con la quale quest’ultimo comunicava al Coordinatore stesso e, per conoscenza, ad un ulteriore soggetto, che avrebbe usufruito di un permesso per l’espletamento di una specifica visita medico di controllo.\n\n2. L’attività istruttoria.\n\nSi evidenzia preliminarmente che il predetto evento è stato, altresì, oggetto di notifica all’Autorità da parte dell’Azienda, in data XX, ai sensi dell’art. 33 del Regolamento (cfr. art. 10 del Regolamento n. 1/2019, concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali – doc. web n. 9107633).\n\nCiò premesso, in merito alla vicenda lamentata, con nota del XX, la predetta Azienda ha dichiarato, in particolare, che:\n\nil reclamante “inviava, in data XX, al Coordinatore del Servizio ed a una collega, una mail avente ad oggetto “Articolo 40” per chiedere un cambio turno” e “senza che gli fosse stato richiesto dal Coordinatore – né in questa né in nessun’altra precedente occasione – e senza che fosse previsto ai sensi di alcuna procedura aziendale, […] spontaneamente, su sua personale iniziativa, comunicava nella citata mail che la richiesta di modifica del proprio turno era motivata dallo spostamento di una propria visita di controllo diabetologica”;\n\n“il Coordinatore del servizio, nel definire la turnistica dell’equipe, inoltrava, per mero errore materiale, ai componenti della stessa, quindi anche all’odierno reclamante e la collega in copia, la suddetta mail in data XX ore 08:06”;\n\n“l’interessato telefonava al Coordinatore, lamentando siffatta divulgazione e chiedendone spiegazioni, portando così il Coordinatore a conoscenza dell’errore, il quale, appena resosi conto, ne comunicava la non intenzionalità” e “immediatamente (alle ore 11:15) […] inviava una mail a tutta l’equipe chiedendo la distruzione del precedente messaggio”; “la suddetta mail conteneva, tuttavia, in calce, il messaggio originario”;\n\n“all’esito dell’incontro di cui sopra, al fine di porre in essere idonee misure tecniche ed organizzative per porre rimedio alla violazione ed attenuarne i possibili effetti negativi per l’interessato, il Coordinatore inviava alla equipe ulteriore mail con richiesta di cancellazione di entrambe le due precedenti mail (delle ore 08:06 e delle ore 11:15 del XX) chiedendo specifica conferma dell’avvenuta cancellazione”;\n\n“in data XX il Coordinatore riferiva al gruppo aziendale preposto alle analisi sulle segnalazioni dei data breach, di avere ottenuto conferma della cancellazione da parte di tutta l’equipe”;\n\n“all’interno [… del “Regolamento per l’utilizzo delle Risorse Informatiche”] è rubricato un articolo 13.7 che disciplina “le regole di buon comportamento per l’utilizzo delle caselle e-mail”, nel quale si raccomanda il controllo, ad ogni invio, della correttezza degli indirizzi, soprattutto qualora gli invii avvengano in modo aggregato, utilizzando, quindi, con cautela sia l’opzione “Inoltro” che quella “rispondi a tutti”; all’art. 13.6, rubricato \"Invio per e-mail di documentazione sanitaria\" è previsto il divieto di invio interno di documentazione sanitaria”;\n\n“oltre alle misure immediatamente adottate al fine di porre rimedio alla violazione e ridurne gli effetti negativi, il Coordinatore, in aggiunta alle misure di sicurezza già in essere, allo scopo di prevenire simili violazioni future, in data XX ha inviato una mail […] alla propria equipe chiarendo che le richieste di congedo per visite e/o malattie non devono essere ulteriormente specificate”;\n\n“questa Azienda ha doverosamente esercitato l’azione disciplinare di competenza datoriale a fronte dell’inosservanza delle regole di comportamento da parte del proprio dipendente”.\n\nCon nota del XX, l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Azienda USL della Romagna, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, sul presupposto che, ancorché per errore materiale, l’inoltro, ai sedici componenti dell’equipe del Coordinatore della Struttura Semplice Neurofisiopatologia Clinica dell’Azienda, del messaggio di posta elettronica del reclamante, in forma integrale, concernente informazioni relative al proprio stato di salute, fosse stato effettuato in maniera non conforme al principio di “liceità, correttezza e trasparenza” nonché in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nonché 2-ter del Codice.\n\nCon la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).\n\nCon nota del XX, la predetta Azienda, che non ha richiesto di essere audita, ha depositato le proprie memorie difensive, rappresentando, in particolare, che:\n\n- “l’episodio ha riguardato una perdita di riservatezza la cui gravità questa Azienda ritiene lieve per i seguenti motivi: la violazione ha riguardato un solo interessato; si è trattato di un episodio isolato nel contesto quotidiano di operatività dell’AUSL Romagna”;\n\n- “l’ambito specialistico della visita a cui l’interessato si doveva sottoporre (nello specifico “diabetologica”) rappresentava una informazione ultronea, non necessaria, e, pertanto, mai richiesta da questa Azienda, nel pieno rispetto del principio di minimizzazione; la circostanza che l’interessato abbia ritenuto di comunicarla ugualmente al Coordinatore […] e ad un altro collega, senza alcun motivo, rende evidente che – pur trattandosi di un dato che non si dubita l’interessato non intendesse condividere con gli altri 16 colleghi – il reclamante non sentiva la necessità di mantenere totalmente riservata (pur avendone il diritto), avendola comunicata senza motivo al Coordinatore […]; è palese che si è trattato di una informazione che, quindi, suo malgrado l’Azienda si è trovata a trattare a causa della deliberata e impropria comunicazione fatta dall’interessato stesso”;\n\n- “in seguito all’episodio in oggetto, è stata svolta una formazione specifica – rivolta a tutto il personale della AUSL Romagna – riguardante episodi di data breach e trattamenti illeciti di dati nel contesto sanitario sanzionati dal Garante allo scopo di trasmettere in maniera concreta alle risorse umane consapevolezza sul tema in ottica di prevenzione delle violazioni. A tale sessione di formazione ha partecipato anche il Coordinatore […] in data XX”.\n\n3. Esito dell’attività istruttoria.\n\nAll’esito dell’attività istruttoria, è emerso che, in data XX, per mero errore materiale, il Coordinatore della struttura ove il reclamante presta servizio, al fine di pianificare la programmazione dei turni della propria equipe, ha accidentalmente inoltrato ai sedici componenti dell’equipe stessa una precedente e-mail del reclamante, risalente al XX, con la quale quest’ultimo spontaneamente comunicava al Coordinatore stesso e, per conoscenza, ad un proprio collega che avrebbe usufruito di un permesso per l’espletamento di una specifica visita medico di controllo, indicandone precisamente la tipologia specialistica (“diabetologica”).\n\nRisulta, altresì, che, avvedendosi dell’errore, il Coordinatore, nel richiedere ai destinatari dell’e-mail in questione di procedere alla relativa cancellazione, ha, ancora una volta inavvertitamente replicato l’inoltro di tale e-mail a tutti i sedici componenti della propria equipe.\n\nIn via preliminare, deve ricordarsi che, nella cornice normativa del Regolamento e del Codice e secondo il costante orientamento del Garante, nella nozione di dato personale relativo alla salute “può rientrare anche una informazione relativa all’assenza dal servizio per malattia, indipendentemente dalla circostanza che sia contestualmente indicata esplicitamente la diagnosi” (v. provv.ti. 9 maggio 2024, n. 270, doc. web n. 10025870; 23 marzo 2023, n. 84, doc. web n. 9888113; 15 dicembre 2022, n. 420, doc. web n. 9853429; 25 febbraio 2021, n. 68, doc. web n. 9567429; 7 maggio 2015, n. 269, doc. web n.4167648;10 ottobre 2013, doc. web n.2753605; 7 luglio 2004, doc. web n. 1068839 e 1068917; v. anche par. 8 delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, adottate in vigenza del precedente quadro normativo in materia di protezione dei dati con provv. 14 giugno 2007, n. 23, doc. web n. 1417809).\n\nCiò in conformità al consolidato orientamento della Corte di Giustizia dell’Unione europea, secondo il quale “occorre dare all'espressione «dati relativi alla salute» […] un'interpretazione ampia tale da comprendere informazioni riguardanti tutti gli aspetti, tanto fisici quanto psichici, della salute di una persona” (sent. C-101/01, Lindqvist, 6 novembre 2003, parr. 13 e 50). Un’interpretazione ampia delle nozioni di “categorie particolari di dati personali” e di “dati sensibili” è, infatti, “suffragata dall’obiettivo della direttiva 95/46 e del [Regolamento] […], consistente nel garantire un elevato grado di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare della loro vita privata, con riguardo al trattamento dei dati personali che li riguardano” (sent. C-184/20, Vyriausioji tarnybinės etikos komisija, del 1° agosto 2022, par. 125), considerato che i trattamenti di tali particolari categorie di dati “possono costituire un’ingerenza particolarmente grave nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, garantiti agli articoli 7 e 8 della Carta dei diritti fondamentali” (sent. C-667/21, Krankenversicherung Nordrhein, del 21 dicembre 2023, par. 41; cfr. cons. 51 del Regolamento, ai sensi del quale “meritano una specifica protezione i dati personali che, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libertà fondamentali”).\n\nAnche nell’ordinamento nazionale, la giurisprudenza di legittimità ha affermato che “non può essere messo in dubbio che un'assenza dal lavoro \"per malattia\" costituisca un dato personale \"relativo alla salute\" del soggetto cui l'informazione si riferisce” (Cass. civ., sez. I, 8 agosto 2013, n. 18980; v. anche Cass. civ., sez. I, ord. 11 ottobre 2023, n. 28417, ove si afferma che “il semplice riferimento ad un'assenza dal lavoro “per malattia” costituisc[e] un dato personale \"relativo alla salute\" del soggetto cui l'informazione si riferisce”).\n\nCiò a prescindere dalla circostanza, pure invocata dall’Azienda nelle proprie memorie difensive, che, in generale, lo svolgimento di una visita diabetologica non implichi di per sé la sussistenza di una diagnosi di diabete, posto che nella definizione di “dati relativi alla salute” risulta “compresa [anche] la prestazione di servizi di assistenza sanitaria” (cfr. art. 4, n. 15) del Regolamento) nonché che, comunque, l’informazione relativa alla sottoposizione di un soggetto ad una visita specialistica è idonea a confermare quantomeno l’esistenza di un “rischio di malattia” (v. considerando 35 del Regolamento).\n\nIn tale quadro, sin dal 2007, nell’adottare le citate \"Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico\", il Garante, richiamando la specifica normativa di settore applicabile, ha chiarito che “risulta giustificata […] la conoscenza da parte dell’amministrazione di appartenenza di informazioni personali relative all´effettuazione di visite mediche, prestazioni specialistiche o accertamenti clinici […] quando il dipendente richiede di usufruire del trattamento di malattia o di permessi retribuiti per le assenze correlate a tali esigenze” e che, in ogni caso, il datore di lavoro non è di regola “legittimato a raccogliere certificazioni mediche contenenti anche l’indicazione della diagnosi” né altre informazioni comunque suscettibili di dare evidenza della patologia sofferta dal reclamante (cfr. par. 8.2 delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, del 14 giugno 2007, pubblicate in G.U. 13 luglio 2007, n. 161, e in www.garanteprivacy.it, doc. web n. 1417809).\n\nAncorché, in via di principio, spetti al lavoratore l’onere di astenersi dal produrre al proprio datore di lavoro qualsivoglia informazione concernente la specifica tipologia di visita medica o la prestazione sanitaria effettuata o, ancora, altri dettagli da cui sia comunque possibile risalire alla patologia sofferta (ad esempio, lo specifico reparto della struttura sanitaria che ha erogato la prestazione, la specializzazione del medico, la terapia farmacologia ecc.), occorre evidenziare che, quando invece il dipendente faccia esplicito riferimento a dettagli informativi che consentano di risalire direttamente o indirettamente alla propria diagnosi, il datore di lavoro, salva la conservazione della documentazione prodotta in base agli obblighi di legge, deve astenersi da ulteriori utilizzi di tali informazioni, altresì rivolgendo al personale l’invito ad evitare la produzione di altre informazioni aventi le medesime caratteristiche (cfr. art. 2-decies del Codice e par. 8.2 delle Linee Guida citate; v. anche, tra i tanti, da ultimo, provv. 30 gennaio 2025, n. 34, doc. web n. 10112637 e provv.ti ivi citati, nonché, più in generale, FAQ n. 13 in tema di oblio oncologico, doc. web n. 10044898 e FAQ n. 12 reperibile in https://www.garanteprivacy.it/temi/coronavirus/faq#scuola).\n\nPer quanto in particolare rileva in relazione al caso in esame, si fa, altresì, presente che i dati personali dei dipendenti non possono, di regola, essere messi a conoscenza di coloro che non abbiano necessità di trattarli in ragione delle mansioni assegnate e dello specifico ruolo ricoperto all’interno dell’organizzazione del titolare del trattamento e che, di conseguenza, non siano stati espressamente “autorizzati” al trattamento (cfr. artt. 4, n. 10, 28, par 3, lett. b), 29 e 32, par. 4, del Regolamento nonché art. 2-quaterdecies del Codice). Ciò in quanto, come affermato in molte occasioni dal Garante, la messa a disposizione dei dati a soggetti che, ancorché facenti parte dell’organizzazione del titolare del trattamento, non siano “autorizzati” al trattamento in ragione delle funzioni esercitate all’interno di detta organizzazione, può dare luogo, anche tenuto conto della definizione di “terzo”, contenuta nell’art. 4, par. 1, n. 10), del Regolamento, a una “comunicazione” di dati personali illecita in quanto sprovvista di un’idonea base giuridica (cfr. art. 2-ter, commi 1 e 3, del Codice nonché, nel caso in cui i dati oggetto di comunicazione appartengano a categorie particolari, artt. 9 del Regolamento).\n\nInoltre, in special modo nei casi in cui il datore di lavoro è chiamato a trattare, per finalità di gestione del rapporto di lavoro, informazioni di dettaglio inerenti alle condizioni di salute dei lavoratori, al datore di lavoro è richiesto di osservare cautele particolari, avendo cura, tra l’altro, di evitare ogni occasione di superflua e ingiustificata conoscibilità dei dati da parte di soggetti non autorizzati (cfr. par. 8 delle Linee Guida citate).\n\nQuanto al caso di specie, occorre evidenziare che, come tradizionalmente affermato dal Garante, la pur legittima esigenza di organizzare con celerità i turni di lavoro in determinati contesti, come nel caso dei turni ospedalieri del personale sanitario, non può giustificare la circolazione di informazioni di dettaglio, relative alla specifica sintomatologia sofferta dei lavoratori o alla sottoposizione degli stessi a visite specialistiche, potendo essere perseguita la medesima finalità attraverso le sole informazioni necessarie, ovvero facendo riferimento alla mera assenza dal servizio dei lavoratori interessati (v., da ultimo, provv. 9 maggio 2024, n. 270, doc. web n. 10025870, e provv.ti ivi citati; v., altresì, da ultimo, provv. 19 dicembre 2024, n. 796, doc. web n. 10102504), come peraltro evidenziato anche dalle dichiarazioni rese dalla stessa Azienda in corso d’istruttoria, per cui “l’ambito specialistico della visita a cui l’interessato si doveva sottoporre (nello specifico “diabetologica”) rappresentava una informazione ultronea, non necessaria” (cfr. memorie difensive del XX).\n\nTale impostazione risulta, peraltro, trovare conferma nella stessa circostanza che, nel contesto della vicenda in esame, l’Azienda ha dato atto di aver avviato specifiche iniziative per verificare eventuali responsabilità al proprio interno (cfr. nota del XX) e che “il Coordinatore, in aggiunta alle misure aziendali già in essere, al fine di prevenire simili violazioni future, in data XX ha inviato una mail alla propria equipe chiarendo che le richieste di congedo per visite e/o malattie non devono essere ulteriormente specificate” (v. memorie difensive del XX).\n\nNel caso di specie, è stato, peraltro, inoltrato un messaggio di posta elettronica - forma di corrispondenza in generale assistita da garanzie di segretezza tutelate anche costituzionalmente (artt. 2 e 15 Cost.) - che l’interessato, indipendentemente dagli obblighi di formale comunicazione al datore di lavoro che incombono sul lavoratore in caso di assenza per visita medica specialistica, aveva ritenuto opportuno trasmettere unicamente al proprio superiore e al proprio collega. Non può dunque ritenersi, contrariamente a quanto sostenuto dall’Azienda, che tale circostanza “rende evidente che […] il reclamante non sentiva la necessità di mantenere totalmente riservata [… l’informazione sulla sua assenza dal servizio per visita diabetologica], avendola comunicata senza motivo al Coordinatore”, atteso che i contenuti della corrispondenza devono rimanere nella disponibilità del mittente e dei destinatari, anche qualora in qualità di lavoratori utilizzino la casella di posta elettronica istituzionale.\n\nAlla luce di tutte le considerazioni che precedono, deve concludersi che, ancorché per mero errore materiale, l’inoltro, ai sedici componenti dell’equipe del Coordinatore della struttura dell’Azienda ove il reclamante presta servizio, del messaggio di posta elettronica del reclamante medesimo, in forma integrale, concernente informazioni relative al proprio stato di salute, è stato effettuato in maniera non conforme al principio di “liceità, correttezza e trasparenza” nonché in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nonché 2-ter del Codice.\n\n4. Conclusioni.\n\nAlla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019 non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.\n\nSi confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Azienda USL della Romagna nei termini di cui sopra.\n\nTanto premesso, occorre, tuttavia, tenere in considerazione taluni elementi, anche di contesto, emersi nel corso dell’istruttoria, che risultano indispensabili ai fini della valutazione in concreto dell’entità delle violazioni riscontrate e della lesività della complessiva condotta (v. cons. 148 del Regolamento).\n\nIn particolare, tenuto conto che:\n\nancorché le informazioni oggetto della divulgazione non autorizzata appartengano alla categoria dei dati relativi alla salute di cui all’art. 9 del Regolamento, la violazione ha riguardato un solo interessato e rappresenta, ad ogni modo, un episodio di carattere isolato (cfr. art. 83, par. 2, lett. a) e g), del Regolamento);\n\nla violazione presenta carattere colposo, atteso che, nel caso di specie, gli inoltri della predetta e-mail sono dipesi da un mero errore umano di natura accidentale (cfr. nota del XX; cfr. art. 83, par. 2, lett. b), del Regolamento);\n\nnella prospettiva di prevenire il verificarsi di simili accadimenti in futuro, l’Azienda ha dichiarato di aver svolto una specifica attività di formazione e sensibilizzazione; inoltre, risulta che lo stesso Coordinatore, che nel caso di specie ha inavvertitamente dato luogo alla divulgazione non autorizzata dei dati del reclamante, ha inteso rivolgere alla propria equipe l’invito a evitare di specificare ulteriormente le richieste di congedo per visite mediche o malattie (cfr. art. 83, par. 2, lett. c), del Regolamento);\n\nl’Azienda ha offerto una piena cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento);\n\nnon risultano precedenti violazioni pertinenti commesse dal titolare del trattamento, aventi la medesima natura di quelle accertate in relazione ai fatti di reclamo, con riferimento ai trattamenti effettuati in ambito lavorativo (art. 83, par. 2, lett. e), del Regolamento).\n\nle circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 e dell’art. 83, par. 2, del Regolamento, nonché delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.\n\nAlla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire il titolare del trattamento per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 e art. 83, par. 2, del Regolamento).\n\nConsiderato che la condotta ha ormai esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.\n\nSi rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.\n\nTUTTO CIÒ PREMESSO IL GARANTE\n\na) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dall’Azienda USL della Romagna, in persona del legale rappresentante pro-tempore, con sede legale in Via De Gasperi, 8 - 48121 Ravenna (RA), C.F. 02483810392, per violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice nei termini di cui in motivazione;\n\nb) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce la predetta Azienda, quale titolare del trattamento in questione, per aver violato artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e 2-ter del Codice, come sopra descritto;\n\nc) ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, dispone la pubblicazione del presente provvedimento sul sito internet dell’Autorità;\n\nd) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.\n\nAi sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.\n\nRoma, 18 dicembre 2025\n\nIL PRESIDENTE\n\nStanzione\n\nIL RELATORE\n\ncerrina Feroni\n\nIL SEGRETARIO GENERALE\n\nMontuori\n\nScheda\n\nDoc-Web\n\n10214307\n\nData\n\n18/12/25\n\nArgomenti\n\nPubblica Amministrazione\n\nDati sanitari\n\nAssenze\n\nLavoro pubblico\n\nTipologie\n\nAmmonimento","changes":[{"id":675,"doc_id":10464,"v_from":11149,"v_to":13994,"detected_at":"2026-09-12 02:35:44","added":0,"removed":6,"summary":"--- \n+++ \n-\n-Vedi anche (2)\n-\n-Provvedimento del 16 gennaio 2026 [10220288]\n-\n-Provvedimento del 17 aprile 2026 [10254140]"}],"passport":{"data":{"act":{"jurisdiction":"Италия","title_official":"Provvedimento del 18 dicembre 2025 [10214307]","title_short":"","level":"акт надзорного органа (решение/предупреждение)","date_adopted":"2025-12-18","date_in_force":"с даты принятия, если не указано иное","date_version":"от 18.12.2025","phased":"","status":"действует","sunset":"","regulator":"Гарант защиты персональных данных Италии","related":"Регламент (UE) 2016/679; d.lgs. n. 196/2003 (Codice); Regolamento del Garante n. 1/2019"},"goal":{"problem":"разглашение работодателем сведений о визите работника к врачу-диабетологу вследствие ошибочной пересылки письма всей команде.","goal":"обеспечить защиту данных особой категории (здоровье), ограничить обработку необходимым минимумом, предотвратить несанкционированный доступ внутри организации.","targets":"","scope":"обработка персональных данных работников публичным учреждением здравоохранения при управлении рабочим временем и отсутствиях.","exclusions":""},"subjects_note":{"protected":"работники (в части данных о здоровье)."},"subjects":[{"role":"оператор","who":"Azienda USL della Romagna","criteria":"юридическое лицо — держатель обработки ПДн работников","count":"нет данных"}],"norms":[{"address":"art. 5 par. 1 lett. a) GDPR; art. 6 GDPR; art. 9 GDPR; art. 2-ter Codice","addressee":"оператор","essence":"Оператор обязан обеспечивать законность, справедливость и прозрачность обработки и иметь правовую основу, особенно для особых категорий данных, и не раскрывать их лицам без служебной необходимости.","type":"обязанность","mechanism":"ограничение модели доступа «по роли»","cost_channel":"административные","cost_kind":"регулярные","trigger":"постоянно","sanction":"предупреждение (ammonimento) согласно art. 58 par. 2 lett. b) GDPR; публикация решения на сайте","refs":"да, к GDPR и Codice","form":"цифровая/межведомственная переписка","in_force":"немедленно по уведомлению","ru_analog":"ФЗ-152 ст. 5–6, ст. 10; сопоставимо, но санкция зависит от КоАП РФ и практики Роскомнадзора"},{"address":"art. 32 par. 4 GDPR; art. 2-quaterdecies Codice","addressee":"оператор","essence":"Доступ к персональным данным предоставляется только уполномоченным работникам исходя из функций; необходимо предотвращать избыточную доступность данных внутри организации.","type":"обязанность","mechanism":"ограничение модели доступа «по роли»","cost_channel":"административные","cost_kind":"регулярные","trigger":"постоянно","sanction":"входит в оценку нарушения по данному акту; отдельно может повлечь меры по art. 58 GDPR","refs":"да","form":"организационно-техническая","in_force":"немедленно","ru_analog":"ФЗ-152 ст. 18.1, ст. 19; требования схожи, детализация мер определяется подзаконными актами ФСТЭК/ФСБ"},{"address":"art. 58 par. 2 lett. b) GDPR; art. 154-bis comma 3 Codice; art. 37 Regolamento del Garante n. 1/2019","addressee":"оператор","essence":"Надзорный орган вправе объявить обработку незаконной, вынести предупреждение и опубликовать решение на своём сайте.","type":"полномочие/санкция","mechanism":"распределение риска репутационного характера","cost_channel":"прямые платёжные отсутствуют; административные и репутационные","cost_kind":"разовые по событию","trigger":"по факту выявленного нарушения","sanction":"предупреждение; публикация","refs":"да","form":"смешанная","in_force":"со дня решения","ru_analog":"полномочия Роскомнадзора по ФЗ-152 и КоАП РФ отличаются по видам санкций и порядку публикации"},{"address":"art. 83 par. 2 GDPR (факторы а, б, в, е, ж); Cons. 148 GDPR\nАдресет: оператор","addressee":"","essence":"При определении меры учитываются характер тяжести, умысел/неосторожность, меры смягчения, сотрудничество и отсутствие прошлых нарушений; нарушение квалифицировано как «minor».","type":"критерий оценки санкции","mechanism":"снижение уровня санкции за счёт смягчающих обстоятельств","cost_channel":"нет прямых издержек","cost_kind":"","trigger":"по решению регулятора","sanction":"учтено при выборе предупреждения вместо штрафа","refs":"да","form":"процедурная","in_force":"одновременно с решением","ru_analog":"ст. 4.1–4.2 КоАП РФ предусматривают учёт смягчающих обстоятельств, однако состав и размеры иные"},{"address":"art. 57 par. 1 lett. f) GDPR","addressee":"регулятор","essence":"Надзорный орган устанавливает факт незаконности обработки персональных данных.","type":"право/полномочие","mechanism":"официальное установление правовой позиции","cost_channel":"нет прямых издержек для рынка","cost_kind":"","trigger":"по итогам проверки","sanction":"","refs":"да","form":"письменная","in_force":"дата акта","ru_analog":"компетенция Роскомнадзора по ФЗ-152 отличается процедурой и формами актов"}]},"made_by":"GigaChat-3-Ultra","made_at":"2026-09-16 08:24:57","edited_at":null,"edited_by":null}}