{"check":null,"uid":"e78245216f54c350","title":"Provvedimento del 4 dicembre 2025 [10210784]","title_generated":false,"country":"Италия","organ":"Гарант защиты персональных данных Италии","kind":"law","kind_name":"Законодательство","lang":"it","date":"2025-12-04","summary":"Регулятор признал, что Высший институт здравоохранения нарушил GDPR и итальянский Кодекс о защите персональных данных. Нарушения заключались в неполном информировании заявителя — члена Ревизионной коллегии — об обработке его данных (отсутствовали контакты DPO) и необоснованной передаче третьим лицам сведений о его страховом случае и переписке с работодателем под видом «законного интереса». Институт получил официальное предупреждение; иные корректирующие меры не применены ввиду малозначительности нарушения и сотрудничества при проверке.","snippet":"","topics":["Персональные данные"],"status":"ok","error":"","text_len":22685,"versions":2,"url":"https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10210784","first_seen":"2026-09-07","last_checked":"2026-09-17 02:32","relevance":"hit","score":33,"query":"","source_key":"garante_it","verdict":{"relevance":"hit","score":33,"topics":["Персональные данные"],"need_body":3,"authorities":[{"kind":"орган","name":"Garante per la protezione dei dati personali","topic":"Персональные данные"},{"kind":"акт","name":"regolamento generale sulla protezione dei dati","topic":"Персональные данные"},{"kind":"акт","name":"2016/679","topic":"Персональные данные"},{"kind":"акт","name":"codice in materia di protezione dei dati personali","topic":"Персональные данные"}],"evidence":[{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":473,"ctx":"4 dicembre 2025  registro dei provvedimenti  n.734 del 4 dicembre 2025  il garante per la protezione dei dati personali  nella riunione odierna, alla quale hanno preso parte il prof. pasquale stanzione, presid","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":933,"ctx":"rile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/ce, “regola","zone":"текст","weight":1},{"topic":"Персональные данные","term":"protezione dei dati","weak":false,"pos":1058,"ctx":"circolazione di tali dati e che abroga la direttiva 95/46/ce, “regolamento generale sulla protezione dei dati” (di seguito, “regolamento”);  visto il d.lgs. 30 giugno 2003, n. 196 recante “codice in","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":1178,"ctx":"to, “regolamento”);  visto il d.lgs. 30 giugno 2003, n. 196 recante “codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (ue) 20","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":1443,"ctx":"rile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/ce” (di seg","zone":"текст","weight":1},{"topic":"Персональные данные","term":"dati personali","weak":false,"pos":1750,"ctx":"zzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in g.u. n. 106 dell’8 ma","zone":"текст","weight":1},{"topic":"Персональные данные","term":"Garante per la protezione dei dati personali","weak":false,"pos":503,"ctx":"vvedimento del 4 dicembre 2025  Registro dei provvedimenti  n.734 del 4 dicembre 2025  IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI  NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presid","zone":"орган","weight":3},{"topic":"Персональные данные","term":"regolamento generale sulla protezione dei dati","weak":false,"pos":1076,"ctx":"sonali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);  VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in","zone":"акт","weight":0},{"topic":"Персональные данные","term":"2016/679","weak":false,"pos":831,"ctx":"a, componenti, e il dott. Luigi Montuori, segretario generale;  VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle","zone":"акт","weight":0},{"topic":"Персональные данные","term":"codice in materia di protezione dei dati personali","weak":false,"pos":1202,"ctx":"e dei dati” (di seguito, “Regolamento”);  VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 20","zone":"акт","weight":0}],"dropped":[]},"last_changed":"2026-09-12","meta":{"docweb":"10210784"},"source_url":"https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10210784","text":"Provvedimento del 4 dicembre 2025 [10210784]\n\ng-docweb-display Portlet\n\nHome\nProvvedimenti\nAmmonimento\nProvvedimento del 4 dicembre 2025 [10210784]\n\nProvvedimento del 4 dicembre 2025 [10210784]\n\nAscolta\n\nMenù azioni\n\nStampa\nStampa\n\ne-mail\n\nfacebook\n\nlinkedin\n\ntwitter\n\nAscolta\n\nStampa\nStampa\n\nCondividi\n\ne-mail\n\nfacebook\n\nlinkedin\n\ntwitter\n\n[doc. web n. 10210784]\n\nProvvedimento del 4 dicembre 2025\n\nRegistro dei provvedimenti\n\nn.734 del 4 dicembre 2025\n\nIL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI\n\nNELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti, e il dott. Luigi Montuori, segretario generale;\n\nVISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);\n\nVISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE” (di seguito “Codice”);\n\nVISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);\n\nVISTA la documentazione in atti;\n\nVISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;\n\nRELATORE il dott. Agostino Ghiglia;\n\nPREMESSO\n\n1. Introduzione.\n\nCon reclamo formulato ai sensi dell’art. 77 del Regolamento, il dott. XX ha rappresentato di aver partecipato, in veste di membro del Collegio dei revisori dei conti, a una riunione tenutasi in data XX presso l’Istituto Superiore di Sanità (di seguito, l’“Istituto”), venendo in contatto con una persona facente parte dell’organizzazione dell’Istituto, poi risultata positiva al virus Sars-CoV-2, e di essere stato successivamente coinvolto nell’attività di “trattamento e tracciamento dei dati sanitari di contagio” da parte del Responsabile del Servizio di Prevenzione e Protezione (RSPP) dell’Istituto.\n\nIn tale contesto, il reclamante ha lamentato numerose presunte violazioni della normativa in materia di protezione dei dati, come in prosieguo illustrate, tenuto conto di quanto contestato all’Istituto con l’atto di avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento (v. nota prot. n. XX del XX), delle memorie difensive in atti (v. nota degli avv.ti del reclamante del XX) e delle dichiarazioni da ultimo rese dal titolare del trattamento nel corso dell’audizione richiesta ai sensi dell’art. 166, comma 6, del Codice e svoltasi in data XX (v. verbale prot. n. XX del XX).\n\n2. L’attività istruttoria e l’esito della stessa\n\n2.1 L’informativa sul trattamento dei dati personali\n\nIl reclamante ha lamentato l’inidoneità dell’informativa sul trattamento dei dati personali resagli dall’Istituto in data XX, con particolare riguardo alla mancata menzione nella stessa dei dati di contatto del Responsabile della protezione dei dati (RPD) designato dall’Istituto, che non sarebbero stati nemmeno resi disponibili sul sito web istituzionale dello stesso.\n\nDall’istruttoria è emerso che l’informativa resa dall’Istituto al reclamante all’atto di conferimento dell’incarico quale membro del Collegio dei revisori dei conti, e sottoscritta per presa visione dallo stesso in data XX, non conteneva effettivamente informazioni in merito ai dati di contatto del RPD, come richiesto dall’art. 13, par. 1, lett. b), del Regolamento, e che soltanto in data XX l’Istituto ha fornito all’interessato una nuova informativa, contenente detti dati di contatto.\n\nPertanto, ancorché il reclamante fosse un interessato in posizione di rilievo all’interno dell’Istituto, in quanto membro del Collegio dei revisori dei conti, disponendo così dei mezzi per reperire altrimenti tali dati di contatto - che, peraltro, come dichiarato dall’Istituto, erano comunque pubblicati sul sito web istituzionale dello stesso (v. nota del XX, all. 12, e memoria difensiva del XX, in atti) - deve rilevarsi, nel periodo intercorrente tra l’XX e il XX, l’assenza nell’informativa dei riferimento ai dati di contatto del RPD, in violazione dell’art. 13, par. 1, lett. b), del Regolamento.\n\n2.2 La comunicazione dei dati personali del reclamante al Collegio dei revisori dei conti\n\nIl reclamante ha lamentato la comunicazione dall’Istituto a due componenti del Collegio dei revisori dei conti di propri dati personali relativi alla pratica assicurativa attivata a seguito del predetto contatto con un soggetto positivo al SARS-CoV-2 e alla corrispondenza intercorsa con l’Istituto e il RSPP dello stesso in relazione ai fatti occorsi nel contesto della citata riunione.\n\nIn particolare, è stato rappresentato che, con nota dell’XX, l’Istituto avrebbe comunicato i contenuti della pratica assicurativa ai componenti del Collegio dei revisori dei conti, i quali sono stati così informati del fatto che l’interessato, all’esito del sinistro (ovvero il presunto contagio da SARS-CoV-2 nella sede dell’Istituto e conseguente isolamento), avesse messo in mora l’assicurazione dell’Istituto. L’Istituto ha, inoltre, inoltrato al Collegio dei revisori dei conti copia integrale della corrispondenza intercorsa tra il reclamante e il RSPP dell’Istituto (email del XX e XX) e lo stesso Istituto (email del XX).\n\nAl riguardo, il titolare del trattamento ha dichiarato di aver “utilizzato legittimamente i dati del reclamante per tutelare la propria posizione nei confronti del medesimo e del Collegio facendo valere un proprio legittimo interesse, (art. 6, par.1, lett. f) [del Regolamento]) ritenendo fondamentale rendere trasparente l’interlocuzione tra Collegio e [il reclamante] ed ISS”.\n\nNel premettere che, come precisato dall’art. 6, par. 1, ultimo periodo, del Regolamento, “la lettera f) del primo comma [, relativa alla base giuridica costituita dal perseguimento di un legittimo interesse del titolare o di un terzo,], non si applica al trattamento di dati effettuato dalle autorità pubbliche nell'esecuzione dei loro compiti”, deve osservarsi che non trova comunque riscontro in atti la tesi secondo la quale l’Istituto avrebbe posto in essere detta comunicazione di dati personali per perseguire un proprio legittimo interesse connesso all’esercizio del “diritto di difesa all’interno di un vero e proprio contenzioso stragiudiziale e con una procedura assicurativa già in corso” (memoria difensiva, cit.). Ciò in quanto non è stata comprovata la necessità di mettere il Collegio dei revisori dei conti al corrente del sinistro aperto dal reclamante con la società assicurativa per il presunto danno subito. A tal proposito, l’Istituto si è, infatti, limitato a sostenere che occorresse aver riguardo all’“incarico svolto dai membri del Collegio dei revisori inerente al controllo della regolarità amministrativo-contabile delle attività dell’istituto”, nonché alla circostanza che “era stata avanzata una richiesta risarcitoria che avrebbe potuto comportare un esborso economico da parte dell’ente o l’aggravio dei costi per le coperture assicurative” (v. memoria difensiva, cit.). Tenuto conto dei compiti e delle competenze propri del Collegio dei revisori dei conti, sarebbe stato, invece, al limite sufficiente, per il perseguimento di tale obiettivo, informare lo stesso soltanto dell’ammontare di tale potenziale esborso o costo assicurativo ulteriore, senza fornire dettagli specifici sulla richiesta di indennizzo avanzata dal reclamante e sull’identità dello stesso, e senza, peraltro, allegare copia integrale della corrispondenza intercorsa.\n\nNel premettere che, in line generale, l’informazione relativa a un potenziale contatto a rischio con una persona positiva al virus non costituisce di per sé un dato personale relativo allo stato di salute del soggetto che ha avuto il contatto, deve prendersi atto di quanto dichiarato dall’Istituto circa il fatto che “nessun dato relativo alla salute può dirsi esistente con riferimento al [reclamante], in considerazione del fatto che quest’ultimo non ha mai contratto il Covid-19, tanto è vero che decideva in totale autonomia e al di fuori di ogni parametro sanitario e normativo di porsi in autoisolamento, lui e la sua intera famiglia” (memoria difensiva, cit.), potendosi, pertanto, superate le contestazioni al riguardo (artt. 9 del Regolamento e 2-sexies del Codice).\n\nAlla luce delle considerazioni che precedono, deve concludersi che detta comunicazione, con il livello di dettaglio sopra descritto, è avvenuta in maniera non conforme al “principi di liceità, correttezza e trasparenza” e in assenza di un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6, parr. 1, lett. c) ed e), e 2 e 3, del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).\n\n2.3 L’inidoneità del riscontro fornito all’interessato in relazione alla richiesta di accesso ai dati personali\n\nIl reclamante ha lamentato il mancato riscontro da parte dell’Istituto a un’istanza di esercizio del diritto di accesso ai dati personali, presentata ai sensi degli artt. 12 e 15 del Regolamento in data XX, nonché l’inidoneo riscontro da parte dell’Istituto a un’ulteriore istanza del XX, in relazione a dati personali contenuti in altri documenti in possesso dell’Istituto.\n\nIl titolare ha fornito riscontro alle predette istanze in data XX, affermando che “l’istanza così formulata risulta generica, in quanto non si ravvisano elementi precisi in base ai quali poter individuare il trattamento per cui autorizzare la visione, scongiurando l’eventuale rischio di ledere i diritti e le libertà di terzi, limite imposto dalla stessa norma richiamata [, ovvero l’art. 15 del Regolamento]”. Nella predetta nota si conclude che “pertanto, allo stato la Vs. richiesta appare ultronea, tenuto conto peraltro della documentazione già fornita al [reclamante]”.\n\nAl riguardo, si osserva preliminarmente che l’istanza del XX può essere considerata un’integrazione di quella dell’XX, dovendosi, pertanto, computare il termine di trenta giorni, previsto dall’art. 12 del Regolamento ai fini del riscontro che il titolare del trattamento deve fornire all’interessato, a partire dal XX, con la conseguenza che, nel caso di specie, i termini previsti dal Regolamento sono stati sostanzialmente rispettati.\n\nIl riscontro fornito dall’Istituto all’interessato non può, invece, ritenersi conforme al Regolamento, stante la genericità dello stesso e la mancata illustrazione delle specifiche ragioni per le quali, ad avviso del titolare del trattamento, l’accoglimento della richiesta di accesso avrebbe potuto “ledere i diritti e le libertà altrui” (art. 15, par. 4, del Regolamento).\n\nQuanto alla circostanza che i dati richiesti fossero contenuti nella “documentazione già fornita” all’interessato, deve ritenersi che, anche sotto questo profilo, il riscontro reso all’interessato sia generico e inidoneo, non essendo state puntualmente indicate le precedenti occasioni in cui i documenti contenenti i dati personali del reclamante sarebbero stati a questo forniti. L’interessato non è stato, pertanto, messo in condizione di verificare che i dati a cui chiedeva di accedere fossero contenuti in documenti precedentemente forniti dall’Istituto e già in suo possesso. Né può essere sufficiente invocare che, come rappresentato in sede di memoria difensiva e in occasione dell’audizione, l’Istituto avesse già fornito copiosa documentazione al reclamante, che il reclamante non avesse usufruito della possibilità di ottenere copia di documenti già messi a disposizione del Collegio dei revisori dei conti e che, dalla prospettiva dell’Istituto, si trattasse di un “ennesima richiesta di accesso”. È, infatti, onere del titolare del trattamento eventualmente interloquire con l’interessato per chiedere allo stesso di meglio specificare i dati personali che lo stesso ritenga non siano stati ancora forniti nel corso di precedenti interlocuzioni, oppure eccepire espressamente il carattere “manifestamente infondat[o] o eccessiv[o della richiesta], in particolare per il [suo] carattere ripetitivo” (art. 12, par. 5, del Regolamento).\n\nL’Istituto ha, pertanto, agito in maniera non conforme all’art. 15 del Regolamento, avendo negato all’interessato il diritto d’accesso ai propri dati personali, sulla base di un riscontro inidoneo a giustificare il diniego stesso.\n\n2.4 Gli ulteriori motivi di reclamo\n\nL’interessato ha, altresì, lamentato che i dati trasmessi dal RSPP all’ASL competente non fossero corretti, con particolare riguardo all’indicazione della durata della riunione e alla “sussistenza del parametro “altro contatto fisico”. Al riguardo deve osservarsi che le valutazioni in merito all’adeguatezza e correttezza di tali informazioni spettano unicamente alle autorità sanitarie competenti, nello svolgimento dei propri compiti di prevenzione e cura.\n\nÈ stata, inoltre, lamentata “la completa opacità sul loro svolgimento e sul loro contenuto [in termini di] dati personali” delle analisi del rischio che, ad avviso del reclamante, l’Istituto avrebbe dovuto effettuare in ragione del contesto epidemiologico e dei fatti occorsi. In relazione a tali profili, che attengono alla trasparenza delle procedure di analisi del rischio sanitario, deve farsi presente che dette procedure sono disciplinate da uno specifico quadro di settore e che esse non riguardano direttamente la materia della protezione dei dati personali, fermo restando il diritto dell’interessato ad esercitare nei confronti del titolare i diritti di cui agli artt. 15-22 del Regolamento con riguardo al trattamento dei dati personali nel contesto di tali procedure.\n\nCon riguardo, invece, a quanto asserito nel reclamo in merito all’assenza, in entrambe le già richiamate informative, di “informazioni sul contract tracing”, si osserva che la normativa emergenziale applicabile nel caso di specie (art. 14 del d.l. 9 marzo 2020, n. 14), prevedeva “fino al termine dello stato di emergenza […] per motivi di interesse pubblico nel settore della sanità pubblica” e per “assicurare la diagnosi e l'assistenza sanitaria dei contagiati” (comma 1), la possibilità “ai sensi dell'articolo 23, paragrafo 1, lettera e), del […] [R]egolamento [… di] omettere l'informativa di cui all'articolo 13 del […] [R]egolamento o fornire una informativa semplificata, previa comunicazione orale agli interessati della limitazione” (comma 5). Peraltro, le informative facevano, in ogni caso, riferimento al trattamento dei dati personali per l’adempimento di obblighi di legge, anche ai fini delle comunicazioni ad altri soggetti pubblici, potendo comunque l’interessato esercitare i propri diritti nei confronti del titolare del trattamento per conoscere l’effettivo ambito di comunicazioni dei dati personali, anche in specifici ed eccezionali contesti, come quello pandemico (cfr. art. 15, par. 1, lett. c), del Regolamento).\n\nDa ultimo, in merito alla circostanza che l’informativa dell’XX fosse rivolta ai “dipendenti e collaboratori” e non anche ai consulenti, si osserva che, nel contesto in cui si svolge l’attività lavorativa e professionale, le categorie di interessati in questione sono sostanzialmente sovrapponibili (cfr. le “Prescrizioni relative al trattamento di categorie particolari di dati nei rapporti di lavoro (aut. gen. n. 1/2016)”, adottate nell’ambito del “Provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101, doc. web n. 9124510), al cui par. 1.2, lett. b) e c), si precisa che “il presente provvedimento si applica ai trattamenti di categorie particolari di dati personali, acquisiti di regola direttamente presso l’interessato, riferiti a: b) lavoratori subordinati […]; c) consulenti e liberi professionisti, agenti, rappresentanti e mandatari”).\n\nAlla luce delle considerazioni che precedono, in relazione a tutti i predetti profili, il reclamo deve intendersi archiviato (v. artt. 11, par. 1, lett. a) e b), e 14, par. 3, del Regolamento del Garante n. 1/2019).\n\n3. Conclusioni.\n\nAlla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.\n\nSi confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva la violazione, da parte dell’Istituto, degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), e 2 e 3, 13, par. 1, lett. b), e 15 del Regolamento, nonché 2-ter del Codice.\n\nCiò premesso, tenuto conto che:\n\nquanto alla violazione dell’art. 13, par. 1, lett. b), del Regolamento, il reclamante, come detto, era un soggetto in posizione di rilievo all’interno dell’Istituto, in quanto membro del Collegio dei revisori dei conti, disponendo così dei mezzi per ottenere i dati di contatto del RPD, che, peraltro, come dichiarato dall’Istituto, erano comunque reperibili sul sito web istituzionale dello stesso (art. 83, par. 2, lett. a), del Regolamento);\n\nquanto alla comunicazione dei dati personali del reclamante ai membri del Collegio dei revisori dei conti, tali membri erano comunque al corrente anche della circostanza che il reclamante avesse “avanzato [all’Istituto] richiesta [… di acquisire copia delle] condizioni di polizza assicurativa prevista in favore di terzi danneggiati” (art. 83, par. 2, lett. a), del Regolamento);\n\ncome dichiarato in sede di audizione “nel periodo XX – XX l’Istituto era impegnato in prima linea nell’affrontare la gravissima emergenza pandemica da SARS-CoV-2” (art. 83, par. 2, lett. b), del Regolamento);\n\nnon risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (cfr. art. 83, par. 2, lett. e), del Regolamento);\n\nl’Istituto ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria (cfr. art. 83, par. 2, lett. f), del Regolamento);\n\nle circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi dell’art. 83, par. 2, e del cons. 148 del Regolamento, nonché delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.\n\nAlla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene sufficiente ammonire l’Istituto per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento.\n\nIn tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento. Ciò anche con riguardo alla sopra menzionata istanza di esercizio del diritto di accesso ai dati personali, anche tenuto conto della complessità e frammentarietà delle vicende che hanno coinvolto l’Istituto e l’interessato, delle molteplici interlocuzioni intercorse tra gli stessi in diversi periodi, nonché del tempo trascorso dai fatti oggetto di reclamo, fermo restando che, ove l’interessato via abbia ancora interesse, potrà eventualmente reiterare la proprie istanza nei confronti dell’Istituto, anche richiamando il presente provvedimento.\n\nSi ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.\n\nTUTTO CIÒ PREMESSO IL GARANTE\n\na) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dall’Istituto Superiore di Sanità, in persona del legale rappresentante pro-tempore, con sede legale in Viale Regina Elena, 299 - 00161 Roma (RM), C.F. 80211730587, per violazione degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), e 2 e 3, 13, par. 1, lett. b), e 15 del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione;\n\nb) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce l’Istituto Superiore di Sanità, per aver violato gli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), e 2 e 3, 13, par. 1, lett. b), e 15 del Regolamento, nonché 2-ter del Codice, come sopra descritto;\n\nc) dispone, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;\n\nd) dispone, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.\n\nAi sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.\n\nRoma, 4 dicembre 2025\n\nIL PRESIDENTE\n\nStanzione\n\nIL RELATORE\n\nGhiglia\n\nIL SEGRETARIO GENERALE\n\nMontuori\n\nScheda\n\nDoc-Web\n\n10210784\n\nData\n\n04/12/25\n\nArgomenti\n\nPubblica Amministrazione\n\nComunicazione a terzi\n\nInformativa\n\nLavoro pubblico\n\nTipologie\n\nAmmonimento","changes":[{"id":681,"doc_id":10470,"v_from":11160,"v_to":14000,"detected_at":"2026-09-12 02:35:53","added":0,"removed":4,"summary":"--- \n+++ \n-\n-Vedi anche (1)\n-\n-NEWSLETTER del 29 luglio 2026 - Marketing: il Garante sanziona Altroconsumo Edizioni per 280mila euro - AI Act, Garante: sì allo schema di decreto legislativo, ma con maggiori garanzie - AI Act, Garante: rafforzare le tutele per i dati biometrici - Data breach, il Garante sanziona la Città Metropolitana di Sassari"}],"passport":{"data":{"act":{"jurisdiction":"Италия","title_official":"Provvedimento del 4 dicembre 2025 [10210784]","title_short":"","level":"подзаконный акт","date_adopted":"04-12-2025","date_in_force":"","date_version":"","phased":"","status":"действует","sunset":"","regulator":"Гарант защиты персональных данных Италии","related":""},"goal":{"problem":"нарушение требований законодательства о защите персональных данных","goal":"защита конфиденциальности и обеспечение прозрачности обработки персональных данных государственными органами","targets":"","scope":"государственные органы, осуществляющие обработку персональных данных","exclusions":""},"subjects_note":{"protected":"потребители, сотрудники государственных учреждений"},"subjects":[{"role":"госорган","who":"государственный орган, осуществляющий обработку персональных данных","criteria":"деятельность государственного учреждения","count":"нет данных"}],"norms":[{"address":"","addressee":"госорган","essence":"государственный орган обязан соблюдать требования законодательства о защите персональных данных при передаче данных третьим лицам","type":"обязанность","mechanism":"ограничение модели","cost_channel":"административные","cost_kind":"разовые","trigger":"передача данных третьим лицам","sanction":"","refs":"Регламент (ЕС) № 2016/679, ДЛГС № 196/2003","form":"цифровая","in_force":"","ru_analog":"Федеральный закон № 152-ФЗ «О персональных данных»"}]},"made_by":"GigaChat-2","made_at":"2026-09-16 07:43:34","edited_at":null,"edited_by":null}}