[doc. web n. 10313678]

Provvedimento del 20 ottobre 2026

Registro dei provvedimenti
n. 795 del 20 ottobre 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale; 

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE la prof.ssa Ginevra Cerrina Feroni;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare

Con reclamo del 4 giugno 2025, il Sig. XX, in servizio presso l’Azienda Tutela della Salute Liguria, ha rappresentato, in particolare, che il proprio dirigente, nel fornire riscontro ad una comunicazione con la quale l’interessato richiedeva di poter fruire di taluni permessi previsti dalla legge n. 104/1992, avrebbe messo in copia conoscenza due sue colleghe, rendendo nota a queste ultime la circostanza della richiesta di permessi in questione (v. e-mail del 30 maggio 2025, ore 11:21).

1.2. Attività svolta

Con nota del 13 marzo 2026 (prot. n. XX del XX), la predetta Azienda ha evidenziato, in particolare, come la condotta lamentata, che costituisce ad ogni modo “un episodio isolato”, fosse “riconducibile ad un mero errore umano e non a una scelta organizzativa dell’Azienda” e fosse avvenuta “in buona fede e al solo fine di agevolare l’organizzazione dell’ufficio, nella consapevolezza che i colleghi inseriti in copia fossero già a conoscenza delle motivazioni delle assenze del reclamante”. In base a quanto rappresentato dall’Azienda, infatti, “il reclamante aveva già condiviso con i medesimi colleghi, in precedenti occasioni, informazioni relative alla fruizione di tali permessi nell’ambito del coordinamento delle assenze dell’ufficio”; inoltre, “il reclamante e i colleghi destinatari della comunicazione avevano autonomamente deciso di utilizzare un foglio excel condiviso tra loro per coordinare la programmazione delle rispettive assenze, al fine di presentare le richieste di permesso garantendo al contempo la copertura dell’ufficio. In tale documento condiviso, lo stesso reclamante indicava espressamente agli altri colleghi quando si assentava per la fruizione dei permessi previsti dalla legge n. 104/1992”. 

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE 

2.1. Avvio del procedimento (art. 166, comma 5, del Codice)

In base all’esame degli elementi acquisiti nel corso delle attività sopra descritte e all’accertamento delle presunte violazioni, con nota del 3 luglio 2026 (prot. n. XX), notificata ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del titolare del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Le presunte violazioni contestate, con riferimento alla comunicazione dei predetti dati personali, riguardano gli artt. 5, par. 1, lett. a), 6 e 9, par. 2 lett. b), del Regolamento e 2-ter del Codice.

2.2. Difese del titolare del trattamento (art. 166, comma 6, del Codice)

Il titolare del trattamento, che non ha richiesto di essere audito, ha depositato le proprie memorie difensive con nota del 3 agosto 2026 (prot. n. XX del XX), ribadendo quanto già evidenziato nel corso dell’istruttoria preliminare ed evidenziando, in particolare, che, nel caso di specie, il coinvolgimento dei colleghi del reclamante è stato “riferibile alla particolare concentrazione temporale delle giornate richieste, alle conseguenti esigenze di copertura dell’Ufficio […] e alla convinzione che i destinatari fossero già a conoscenza della circostanza, e non a una modalità ordinariamente seguita nella gestione dei permessi”.

In ogni caso, l’Azienda ha rappresentato che “la comunicazione consentiva […] di conoscere esclusivamente che il dipendente aveva richiesto la fruizione del beneficio, ma non permetteva di individuare la persona cui fosse riferibile la condizione di salute”.

Con le proprie memorie, l’Azienda ha ad ogni modo dato atto di aver adottato specifiche misure per prevenire il verificarsi di analoghi eventi in futuro, anche sotto il profilo della formazione e della sensibilizzazione del personale autorizzato al trattamento dei dati, prevedendo in particolare “la separazione tra il flusso riservato destinato agli uffici competenti per la gestione amministrativa dei permessi e il flusso operativo utilizzato per la programmazione delle presenze”.

3. VALUTAZIONI DELL’AUTORITÀ

All’esito dell’attività istruttoria, risulta accertato che il responsabile del reclamante, in servizio presso l’Azienda, ha inoltrato, in data 30 maggio 2025, un’e-mail - con la quale il reclamante comunicava al responsabile medesimo di voler fruire dei permessi previsti dalla legge n. 104/1992 - a due sue colleghe, in ragione della necessità di concordare la pianificazione delle presenze nel periodo di riferimento e, comunque, per “mero errore umano” (v. nota del 13 marzo 2026). 

Al riguardo, si fa preliminarmente presente che, nell’ambito del rapporto di lavoro, il datore di lavoro può trattare i dati personali dei lavoratori, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1, del Regolamento), se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti derivanti dalla disciplina di settore (artt. 6, par. 1, lett. c), 9, par. 2, lett. b), e 4; 88 del Regolamento; 2-ter del Codice). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (artt. 6, par. 1, lett. e), e 9 del Regolamento; 2-ter e 2-sexies del Codice).

Il datore di lavoro, quale titolare del trattamento, è tenuto in ogni caso a rispettare i principi in materia di protezione dei dati (artt. 5 e 25 del Regolamento).

In tale quadro, i dati personali dei dipendenti non possono, di regola, essere messi a conoscenza di coloro che non abbiano necessità di trattarli in ragione delle mansioni assegnate e dello specifico ruolo ricoperto all’interno dell’organizzazione del titolare del trattamento e che, di conseguenza, non siano stati espressamente “autorizzati” al trattamento (cfr. artt. 4, n. 10, 28, par 3, lett. b), 29 e 32, par. 4, del Regolamento nonché art. 2-quaterdecies del Codice). Ciò in quanto, come affermato in molte occasioni e in diversi contesti dal Garante (v., in particolare, v. provv. 19 dicembre 2024, n. 796, doc. web n. 10102504, e provv.ti ivi menzionati), la messa a disposizione dei dati a soggetti che, ancorché facenti parte dell’organizzazione del titolare del trattamento, non siano “autorizzati” al trattamento in ragione delle funzioni esercitate all’interno di detta organizzazione, può dare luogo, anche tenuto conto della definizione di “terzo”, contenuta nell’art. 4, par. 1, n. 10), del Regolamento, a una “comunicazione” di dati personali illecita in quanto sprovvista di un’idonea base giuridica.

Al datore di lavoro è pertanto richiesto di limitare l’accessibilità ai dati personali dei dipendenti ai soli soggetti che effettivamente ne necessitino per svolgere le funzioni esercitate all’interno dell’organizzazione del titolare e di ciascuna singola unità o struttura organizzativa nonché di evitare ogni occasione di superflua e ingiustificata conoscibilità dei dati da parte di soggetti non autorizzati. In tal senso, come chiarito dal Garante all’interno delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del 14 giugno 2007, le quali, sebbene adottate nel contesto del previgente quadro normativo in materia di protezione dei dati personali, forniscono indicazioni e orientamenti ancora validi, “il datore di lavoro deve adottare particolari cautele anche nelle trasmissioni di informazioni personali che possono intervenire tra i medesimi incaricati o responsabili nelle correnti attività di organizzazione e gestione del personale [… e deve] evitare, in linea di principio, di fare superflui riferimenti puntuali a particolari condizioni personali riferite a singoli dipendenti, specie se riguardanti le condizioni di salute, selezionando le informazioni di volta in volta indispensabili, pertinenti e non eccedenti)” (cfr. spec. par. 5.1 delle predette Linee Guida).

Quanto, più nel dettaglio, al caso di specie, come affermato dal Garante in numerosi provvedimenti, preme evidenziare che anche il mero riferimento a corpi normativi che notoriamente sono riferiti a benefici e garanzie per l’assistenza, l’integrazione sociale e lavorativa di persone disabili o di loro familiari - come, appunto, la legge n. 104 del 1992 “Legge quadro per l’assistenza, l’integrazione sociale e i diritti delle persone handicappate” - può rivelare informazioni sullo stato di salute di una persona, segnatamente dello stesso lavoratori o di propri congiunti (v. provv. 19 dicembre 2024, n. 796, doc. web n. 10102504, già citato sopra, e provv.ti ivi menzionati).

L’esigenza di assicurare la continuità dell’attività lavorativa e l’efficienza organizzativa di uffici e amministrazioni tenendo conto della presenza in servizio o meno del personale non può, infatti, giustificare la conoscibilità da parte dei colleghi delle causali di assenza di taluni né, quindi, della stessa scelta di ciascun dipendente di fruire, in giorni determinati, dei permessi previsti dalla legge (v. provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101, n. 146, del 5 giugno 2019, doc. web n. 9124510 (cfr. all. 1, par. 1.5. lett. d), ove si legge che “quando per ragioni di organizzazione del lavoro, e nell’ambito della predisposizione di turni di servizio, si proceda a mettere a disposizione a soggetti diversi dall’interessato (ad esempio, altri colleghi) dati relativi a presenze ed assenze dal servizio, il datore di lavoro non deve esplicitare, nemmeno attraverso acronimi o sigle, le causali dell’assenza dalle quali sia possibile evincere la conoscibilità di particolari categorie di dati personali (es. permessi sindacali o dati sanitari)”; v. anche il più volte citato provv. 19 dicembre 2024, n. 796, doc. web n. 10102504).

Né la circostanza che la fruizione dei predetti benefici da parte del reclamante fosse nota alle colleghe, destinatarie dell’e-mail del 30 maggio 2025, può essere di per sé ritenuta sufficiente ad escludere, sotto il profilo della protezione dei dati, la responsabilità dell’Azienda con riferimento alla condotta assunta del responsabile del dipendente, che ha comunque operato nel caso di specie sotto l’autorità dell’Azienda, in qualità di autorizzato al trattamento (art. 29 del Regolamento).

Deve, quindi, concludersi che, nonostante le pur apprezzabili iniziative di sensibilizzazione e formazione assunte dall’Azienda anche al fine di prevenire siffatte violazioni, la trasmissione della predetta e-mail del 30 maggio 2025 ha determinato, ancorché in un contesto caratterizzato da familiarità nei rapporti, una “comunicazione” di dati personali relativi alla fruizione del permesso di cui alla legge n. 104/1992 da parte del reclamante a soggetti “terzi” non autorizzati, in violazione degli artt. 5, par. 1, lett. a), 6 e 9, par. 2 lett. b), del Regolamento e 2-ter del Codice.

4. CONCLUSIONI

Alla luce delle considerazioni contenute nei paragrafi che precedono, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dal titolare del trattamento, per aver il predetto dirigente del reclamante comunicato a due colleghe dell’interessato, terzi non autorizzati, la circostanza che lo stesso avrebbe fruito del permesso di cui alla legge n. 104/1992; ciò in violazione degli artt. 5, par. 1, lett. a), 6 e 9, par. 2 lett. b), del Regolamento e 2-ter del Codice.

Tanto premesso, occorre, tuttavia, tenere in considerazione taluni elementi, anche di contesto, emersi nel corso dell’istruttoria, che risultano indispensabili ai fini della valutazione in concreto dell’entità delle violazioni riscontrate e della lesività della complessiva condotta (v. cons. 148 del Regolamento).

In particolare, tenuto conto che:

- la comunicazione a mezzo e-mail oggetto del presente provvedimento ha avuto come destinatari soltanto due persone, colleghe del reclamante, alle quali, in base a quanto dichiarato, era generalmente nota la fruizione dei benefici previsti dalla legge n. 104/1992, sebbene le stesse non fossero a conoscenza delle specifiche giornate in cui il reclamante avrebbe fruito del beneficio; la violazione, inoltre, ha riguardato nel caso di specie dati personali relativi a un solo interessato, ancorché relativi alla fruizione dei benefici di cui alla legge n. 104/1992 (cfr. art. 83, par. 2, lett. a) e g), del Regolamento);

- nell’ambito dell’organizzazione dell’Azienda, la violazione assume carattere isolato ed è dipesa da un errore materiale commesso in buona fede (v. nota dell’11 ottobre 2024; cfr. art. 83, par. 2, lett. b), del Regolamento);

- l’Azienda ha offerto un ampio livello di cooperazione con l’Autorità nel corso dell’istruttoria, avendo altresì dichiarato di aver intrapreso iniziative per prevenire il verificarsi di analoghe violazioni in futuro (art. 83, par. 2, lett. f), del Regolamento);

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento, aventi la medesima natura di quelle accertate in relazione ai fatti di reclamo nella gestione amministrativa del rapporto con i dipendenti e dell’organizzazione del lavoro (art. 83, par. 2, lett. e), del Regolamento);

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 e dell’art. 83, par. 2, del Regolamento, nonché delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire il titolare del trattamento per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 del Regolamento).

Considerato che la condotta ha ormai esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dall’Azienda Tutela della Salute per la Liguria, in persona del legale rappresentante pro-tempore, con sede legale in Piazza Della Vittoria, 15 - 16121 Genova (GE), C.F. 02421770997, per violazione degli artt. 5, par. 1, lett. a), 6 e 9, par. 2 lett. b), del Regolamento e 2-ter del Codice nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce la predetta Azienda, quale titolare del trattamento in questione, per aver violato gli artt. 5, par. 1, lett. a), 6 e 9, par. 2 lett. b), del Regolamento e 2-ter del Codice, come sopra descritto;

c) ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, dispone la pubblicazione del presente provvedimento sul sito internet dell’Autorità;
d) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

 Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 20 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori