Provvedimento del 4 dicembre 2025 [10210784] g-docweb-display Portlet Home Provvedimenti Ammonimento Provvedimento del 4 dicembre 2025 [10210784] Provvedimento del 4 dicembre 2025 [10210784] Ascolta Menù azioni Stampa Stampa e-mail facebook linkedin twitter Ascolta Stampa Stampa Condividi e-mail facebook linkedin twitter [doc. web n. 10210784] Provvedimento del 4 dicembre 2025 Registro dei provvedimenti n.734 del 4 dicembre 2025 IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti, e il dott. Luigi Montuori, segretario generale; VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”); VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE” (di seguito “Codice”); VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”); VISTA la documentazione in atti; VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801; RELATORE il dott. Agostino Ghiglia; PREMESSO 1. Introduzione. Con reclamo formulato ai sensi dell’art. 77 del Regolamento, il dott. XX ha rappresentato di aver partecipato, in veste di membro del Collegio dei revisori dei conti, a una riunione tenutasi in data XX presso l’Istituto Superiore di Sanità (di seguito, l’“Istituto”), venendo in contatto con una persona facente parte dell’organizzazione dell’Istituto, poi risultata positiva al virus Sars-CoV-2, e di essere stato successivamente coinvolto nell’attività di “trattamento e tracciamento dei dati sanitari di contagio” da parte del Responsabile del Servizio di Prevenzione e Protezione (RSPP) dell’Istituto. In tale contesto, il reclamante ha lamentato numerose presunte violazioni della normativa in materia di protezione dei dati, come in prosieguo illustrate, tenuto conto di quanto contestato all’Istituto con l’atto di avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento (v. nota prot. n. XX del XX), delle memorie difensive in atti (v. nota degli avv.ti del reclamante del XX) e delle dichiarazioni da ultimo rese dal titolare del trattamento nel corso dell’audizione richiesta ai sensi dell’art. 166, comma 6, del Codice e svoltasi in data XX (v. verbale prot. n. XX del XX). 2. L’attività istruttoria e l’esito della stessa 2.1 L’informativa sul trattamento dei dati personali Il reclamante ha lamentato l’inidoneità dell’informativa sul trattamento dei dati personali resagli dall’Istituto in data XX, con particolare riguardo alla mancata menzione nella stessa dei dati di contatto del Responsabile della protezione dei dati (RPD) designato dall’Istituto, che non sarebbero stati nemmeno resi disponibili sul sito web istituzionale dello stesso. Dall’istruttoria è emerso che l’informativa resa dall’Istituto al reclamante all’atto di conferimento dell’incarico quale membro del Collegio dei revisori dei conti, e sottoscritta per presa visione dallo stesso in data XX, non conteneva effettivamente informazioni in merito ai dati di contatto del RPD, come richiesto dall’art. 13, par. 1, lett. b), del Regolamento, e che soltanto in data XX l’Istituto ha fornito all’interessato una nuova informativa, contenente detti dati di contatto. Pertanto, ancorché il reclamante fosse un interessato in posizione di rilievo all’interno dell’Istituto, in quanto membro del Collegio dei revisori dei conti, disponendo così dei mezzi per reperire altrimenti tali dati di contatto - che, peraltro, come dichiarato dall’Istituto, erano comunque pubblicati sul sito web istituzionale dello stesso (v. nota del XX, all. 12, e memoria difensiva del XX, in atti) - deve rilevarsi, nel periodo intercorrente tra l’XX e il XX, l’assenza nell’informativa dei riferimento ai dati di contatto del RPD, in violazione dell’art. 13, par. 1, lett. b), del Regolamento. 2.2 La comunicazione dei dati personali del reclamante al Collegio dei revisori dei conti Il reclamante ha lamentato la comunicazione dall’Istituto a due componenti del Collegio dei revisori dei conti di propri dati personali relativi alla pratica assicurativa attivata a seguito del predetto contatto con un soggetto positivo al SARS-CoV-2 e alla corrispondenza intercorsa con l’Istituto e il RSPP dello stesso in relazione ai fatti occorsi nel contesto della citata riunione. In particolare, è stato rappresentato che, con nota dell’XX, l’Istituto avrebbe comunicato i contenuti della pratica assicurativa ai componenti del Collegio dei revisori dei conti, i quali sono stati così informati del fatto che l’interessato, all’esito del sinistro (ovvero il presunto contagio da SARS-CoV-2 nella sede dell’Istituto e conseguente isolamento), avesse messo in mora l’assicurazione dell’Istituto. L’Istituto ha, inoltre, inoltrato al Collegio dei revisori dei conti copia integrale della corrispondenza intercorsa tra il reclamante e il RSPP dell’Istituto (email del XX e XX) e lo stesso Istituto (email del XX). Al riguardo, il titolare del trattamento ha dichiarato di aver “utilizzato legittimamente i dati del reclamante per tutelare la propria posizione nei confronti del medesimo e del Collegio facendo valere un proprio legittimo interesse, (art. 6, par.1, lett. f) [del Regolamento]) ritenendo fondamentale rendere trasparente l’interlocuzione tra Collegio e [il reclamante] ed ISS”. Nel premettere che, come precisato dall’art. 6, par. 1, ultimo periodo, del Regolamento, “la lettera f) del primo comma [, relativa alla base giuridica costituita dal perseguimento di un legittimo interesse del titolare o di un terzo,], non si applica al trattamento di dati effettuato dalle autorità pubbliche nell'esecuzione dei loro compiti”, deve osservarsi che non trova comunque riscontro in atti la tesi secondo la quale l’Istituto avrebbe posto in essere detta comunicazione di dati personali per perseguire un proprio legittimo interesse connesso all’esercizio del “diritto di difesa all’interno di un vero e proprio contenzioso stragiudiziale e con una procedura assicurativa già in corso” (memoria difensiva, cit.). Ciò in quanto non è stata comprovata la necessità di mettere il Collegio dei revisori dei conti al corrente del sinistro aperto dal reclamante con la società assicurativa per il presunto danno subito. A tal proposito, l’Istituto si è, infatti, limitato a sostenere che occorresse aver riguardo all’“incarico svolto dai membri del Collegio dei revisori inerente al controllo della regolarità amministrativo-contabile delle attività dell’istituto”, nonché alla circostanza che “era stata avanzata una richiesta risarcitoria che avrebbe potuto comportare un esborso economico da parte dell’ente o l’aggravio dei costi per le coperture assicurative” (v. memoria difensiva, cit.). Tenuto conto dei compiti e delle competenze propri del Collegio dei revisori dei conti, sarebbe stato, invece, al limite sufficiente, per il perseguimento di tale obiettivo, informare lo stesso soltanto dell’ammontare di tale potenziale esborso o costo assicurativo ulteriore, senza fornire dettagli specifici sulla richiesta di indennizzo avanzata dal reclamante e sull’identità dello stesso, e senza, peraltro, allegare copia integrale della corrispondenza intercorsa. Nel premettere che, in line generale, l’informazione relativa a un potenziale contatto a rischio con una persona positiva al virus non costituisce di per sé un dato personale relativo allo stato di salute del soggetto che ha avuto il contatto, deve prendersi atto di quanto dichiarato dall’Istituto circa il fatto che “nessun dato relativo alla salute può dirsi esistente con riferimento al [reclamante], in considerazione del fatto che quest’ultimo non ha mai contratto il Covid-19, tanto è vero che decideva in totale autonomia e al di fuori di ogni parametro sanitario e normativo di porsi in autoisolamento, lui e la sua intera famiglia” (memoria difensiva, cit.), potendosi, pertanto, superate le contestazioni al riguardo (artt. 9 del Regolamento e 2-sexies del Codice). Alla luce delle considerazioni che precedono, deve concludersi che detta comunicazione, con il livello di dettaglio sopra descritto, è avvenuta in maniera non conforme al “principi di liceità, correttezza e trasparenza” e in assenza di un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6, parr. 1, lett. c) ed e), e 2 e 3, del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo). 2.3 L’inidoneità del riscontro fornito all’interessato in relazione alla richiesta di accesso ai dati personali Il reclamante ha lamentato il mancato riscontro da parte dell’Istituto a un’istanza di esercizio del diritto di accesso ai dati personali, presentata ai sensi degli artt. 12 e 15 del Regolamento in data XX, nonché l’inidoneo riscontro da parte dell’Istituto a un’ulteriore istanza del XX, in relazione a dati personali contenuti in altri documenti in possesso dell’Istituto. Il titolare ha fornito riscontro alle predette istanze in data XX, affermando che “l’istanza così formulata risulta generica, in quanto non si ravvisano elementi precisi in base ai quali poter individuare il trattamento per cui autorizzare la visione, scongiurando l’eventuale rischio di ledere i diritti e le libertà di terzi, limite imposto dalla stessa norma richiamata [, ovvero l’art. 15 del Regolamento]”. Nella predetta nota si conclude che “pertanto, allo stato la Vs. richiesta appare ultronea, tenuto conto peraltro della documentazione già fornita al [reclamante]”. Al riguardo, si osserva preliminarmente che l’istanza del XX può essere considerata un’integrazione di quella dell’XX, dovendosi, pertanto, computare il termine di trenta giorni, previsto dall’art. 12 del Regolamento ai fini del riscontro che il titolare del trattamento deve fornire all’interessato, a partire dal XX, con la conseguenza che, nel caso di specie, i termini previsti dal Regolamento sono stati sostanzialmente rispettati. Il riscontro fornito dall’Istituto all’interessato non può, invece, ritenersi conforme al Regolamento, stante la genericità dello stesso e la mancata illustrazione delle specifiche ragioni per le quali, ad avviso del titolare del trattamento, l’accoglimento della richiesta di accesso avrebbe potuto “ledere i diritti e le libertà altrui” (art. 15, par. 4, del Regolamento). Quanto alla circostanza che i dati richiesti fossero contenuti nella “documentazione già fornita” all’interessato, deve ritenersi che, anche sotto questo profilo, il riscontro reso all’interessato sia generico e inidoneo, non essendo state puntualmente indicate le precedenti occasioni in cui i documenti contenenti i dati personali del reclamante sarebbero stati a questo forniti. L’interessato non è stato, pertanto, messo in condizione di verificare che i dati a cui chiedeva di accedere fossero contenuti in documenti precedentemente forniti dall’Istituto e già in suo possesso. Né può essere sufficiente invocare che, come rappresentato in sede di memoria difensiva e in occasione dell’audizione, l’Istituto avesse già fornito copiosa documentazione al reclamante, che il reclamante non avesse usufruito della possibilità di ottenere copia di documenti già messi a disposizione del Collegio dei revisori dei conti e che, dalla prospettiva dell’Istituto, si trattasse di un “ennesima richiesta di accesso”. È, infatti, onere del titolare del trattamento eventualmente interloquire con l’interessato per chiedere allo stesso di meglio specificare i dati personali che lo stesso ritenga non siano stati ancora forniti nel corso di precedenti interlocuzioni, oppure eccepire espressamente il carattere “manifestamente infondat[o] o eccessiv[o della richiesta], in particolare per il [suo] carattere ripetitivo” (art. 12, par. 5, del Regolamento). L’Istituto ha, pertanto, agito in maniera non conforme all’art. 15 del Regolamento, avendo negato all’interessato il diritto d’accesso ai propri dati personali, sulla base di un riscontro inidoneo a giustificare il diniego stesso. 2.4 Gli ulteriori motivi di reclamo L’interessato ha, altresì, lamentato che i dati trasmessi dal RSPP all’ASL competente non fossero corretti, con particolare riguardo all’indicazione della durata della riunione e alla “sussistenza del parametro “altro contatto fisico”. Al riguardo deve osservarsi che le valutazioni in merito all’adeguatezza e correttezza di tali informazioni spettano unicamente alle autorità sanitarie competenti, nello svolgimento dei propri compiti di prevenzione e cura. È stata, inoltre, lamentata “la completa opacità sul loro svolgimento e sul loro contenuto [in termini di] dati personali” delle analisi del rischio che, ad avviso del reclamante, l’Istituto avrebbe dovuto effettuare in ragione del contesto epidemiologico e dei fatti occorsi. In relazione a tali profili, che attengono alla trasparenza delle procedure di analisi del rischio sanitario, deve farsi presente che dette procedure sono disciplinate da uno specifico quadro di settore e che esse non riguardano direttamente la materia della protezione dei dati personali, fermo restando il diritto dell’interessato ad esercitare nei confronti del titolare i diritti di cui agli artt. 15-22 del Regolamento con riguardo al trattamento dei dati personali nel contesto di tali procedure. Con riguardo, invece, a quanto asserito nel reclamo in merito all’assenza, in entrambe le già richiamate informative, di “informazioni sul contract tracing”, si osserva che la normativa emergenziale applicabile nel caso di specie (art. 14 del d.l. 9 marzo 2020, n. 14), prevedeva “fino al termine dello stato di emergenza […] per motivi di interesse pubblico nel settore della sanità pubblica” e per “assicurare la diagnosi e l'assistenza sanitaria dei contagiati” (comma 1), la possibilità “ai sensi dell'articolo 23, paragrafo 1, lettera e), del […] [R]egolamento [… di] omettere l'informativa di cui all'articolo 13 del […] [R]egolamento o fornire una informativa semplificata, previa comunicazione orale agli interessati della limitazione” (comma 5). Peraltro, le informative facevano, in ogni caso, riferimento al trattamento dei dati personali per l’adempimento di obblighi di legge, anche ai fini delle comunicazioni ad altri soggetti pubblici, potendo comunque l’interessato esercitare i propri diritti nei confronti del titolare del trattamento per conoscere l’effettivo ambito di comunicazioni dei dati personali, anche in specifici ed eccezionali contesti, come quello pandemico (cfr. art. 15, par. 1, lett. c), del Regolamento). Da ultimo, in merito alla circostanza che l’informativa dell’XX fosse rivolta ai “dipendenti e collaboratori” e non anche ai consulenti, si osserva che, nel contesto in cui si svolge l’attività lavorativa e professionale, le categorie di interessati in questione sono sostanzialmente sovrapponibili (cfr. le “Prescrizioni relative al trattamento di categorie particolari di dati nei rapporti di lavoro (aut. gen. n. 1/2016)”, adottate nell’ambito del “Provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101, doc. web n. 9124510), al cui par. 1.2, lett. b) e c), si precisa che “il presente provvedimento si applica ai trattamenti di categorie particolari di dati personali, acquisiti di regola direttamente presso l’interessato, riferiti a: b) lavoratori subordinati […]; c) consulenti e liberi professionisti, agenti, rappresentanti e mandatari”). Alla luce delle considerazioni che precedono, in relazione a tutti i predetti profili, il reclamo deve intendersi archiviato (v. artt. 11, par. 1, lett. a) e b), e 14, par. 3, del Regolamento del Garante n. 1/2019). 3. Conclusioni. Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019. Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva la violazione, da parte dell’Istituto, degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), e 2 e 3, 13, par. 1, lett. b), e 15 del Regolamento, nonché 2-ter del Codice. Ciò premesso, tenuto conto che: quanto alla violazione dell’art. 13, par. 1, lett. b), del Regolamento, il reclamante, come detto, era un soggetto in posizione di rilievo all’interno dell’Istituto, in quanto membro del Collegio dei revisori dei conti, disponendo così dei mezzi per ottenere i dati di contatto del RPD, che, peraltro, come dichiarato dall’Istituto, erano comunque reperibili sul sito web istituzionale dello stesso (art. 83, par. 2, lett. a), del Regolamento); quanto alla comunicazione dei dati personali del reclamante ai membri del Collegio dei revisori dei conti, tali membri erano comunque al corrente anche della circostanza che il reclamante avesse “avanzato [all’Istituto] richiesta [… di acquisire copia delle] condizioni di polizza assicurativa prevista in favore di terzi danneggiati” (art. 83, par. 2, lett. a), del Regolamento); come dichiarato in sede di audizione “nel periodo XX – XX l’Istituto era impegnato in prima linea nell’affrontare la gravissima emergenza pandemica da SARS-CoV-2” (art. 83, par. 2, lett. b), del Regolamento); non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (cfr. art. 83, par. 2, lett. e), del Regolamento); l’Istituto ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria (cfr. art. 83, par. 2, lett. f), del Regolamento); le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi dell’art. 83, par. 2, e del cons. 148 del Regolamento, nonché delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018. Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene sufficiente ammonire l’Istituto per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento. In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento. Ciò anche con riguardo alla sopra menzionata istanza di esercizio del diritto di accesso ai dati personali, anche tenuto conto della complessità e frammentarietà delle vicende che hanno coinvolto l’Istituto e l’interessato, delle molteplici interlocuzioni intercorse tra gli stessi in diversi periodi, nonché del tempo trascorso dai fatti oggetto di reclamo, fermo restando che, ove l’interessato via abbia ancora interesse, potrà eventualmente reiterare la proprie istanza nei confronti dell’Istituto, anche richiamando il presente provvedimento. Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019. TUTTO CIÒ PREMESSO IL GARANTE a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dall’Istituto Superiore di Sanità, in persona del legale rappresentante pro-tempore, con sede legale in Viale Regina Elena, 299 - 00161 Roma (RM), C.F. 80211730587, per violazione degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), e 2 e 3, 13, par. 1, lett. b), e 15 del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione; b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce l’Istituto Superiore di Sanità, per aver violato gli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), e 2 e 3, 13, par. 1, lett. b), e 15 del Regolamento, nonché 2-ter del Codice, come sopra descritto; c) dispone, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità; d) dispone, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento. Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. Roma, 4 dicembre 2025 IL PRESIDENTE Stanzione IL RELATORE Ghiglia IL SEGRETARIO GENERALE Montuori Scheda Doc-Web 10210784 Data 04/12/25 Argomenti Pubblica Amministrazione Comunicazione a terzi Informativa Lavoro pubblico Tipologie Ammonimento