Il Garante privacy, con provvedimento del 3 settembre 2026, ha sanzionato un’azienda sanitaria per non aver configurato il dossier sanitario aziendale in modo da impedire ai lavoratori di accedere alle informazioni inerenti allo stato di salute dei colleghi per finalità diverse da quelle di cura.
Il provvedimento si trova a valle del reclamo che era stato presentato da un dipendente che era anche paziente dell’Azienda e che aveva lamentato la possibilità per il personale sanitario di accedere a tutti i referti del dipartimento a prescindere dalla presa in carico del paziente.
Il Garante, nel confermare le plurime violazioni, ha rammentato che il trattamento dei dati relativi alla salute dei dipendenti può essere legittimamente effettuato solo quando sia “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato”.
Il datore di lavoro – ha rammentato il Garante - nel rispetto dei principi di protezione dei dati e delle disposizioni di settore applicabili, può trattare dati personali relativi alla salute dei dipendenti solo per le finalità e alle condizioni normativamente previste ovvero su specifica segnalazione del medico competente, unico soggetto legittimato per legge a svolgere compiti di sorveglianza sanitaria, nel rispetto degli specifici limiti e presupposti stabiliti dalla disciplina in materi a di tutela della salute e della sicurezza nei luoghi di lavoro.
Nel caso di specie, il Garante ha ritenuto che la condotta dell’azienda fosse illecita nella misura in cui aveva configurato il dossier sanitario aziendale in modo da consentirne l’accesso per fini diversi da quelli di cura.
Oltre alla sanzione pecuniaria, all’azienda è stato ingiunto di:
Con provvedimento n. 107 del 24 febbraio 2026 il Garante Privacy ha ordinato, con effetto immediato, ad una nota società di logistica di interrompere il trattamento di dati personali oltre 1800 lavoratori.
Come si legge nel provvedimento, dalle verifiche svolte dall’ufficio del Garante, era risultato che, per mezzo di una piattaforma collegata al sistema di rilevazione delle presenze, venivano raccolte, in maniera sistematica e per tutta la durata del rapporto di lavoro, informazioni dei lavoratori.
Tra queste, erano comprese informazioni che facevano riferimento a specifiche patologie sofferte dai lavoratori, all’adesione di scioperi o partecipazione ad attività sindacali, nonché a dati personali familiari.
Si trattava di dati e commenti - conservati anche fino a dieci anni dalla cessazione del rapporto – che venivano inseriti nella piattaforma a seguito dei colloqui svolti dai manager a seguito delle assenze dei lavoratori.
Secondo il Garante, il trattamento avveniva in palese violazione della normativa che vieta al datore di trattare dati non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore.
Inoltre, la Società dovrà interrompere anche il trattamento dei dati raccolti mediante le telecamere posizionate in prossimità di bagni e aree ristoro.
Il Garante della Privacy ha sanzionato con una multa di quarantamila euro una società che aveva violato la segretezza della casella e-mail di un lavoratore dopo la cessazione del rapporto di lavoro.
Il lavoratore reclamante aveva appurato che l’ex datrice di lavoro, a seguito del licenziamento disciplinare, aveva mantenuta attiva la sua casella di posta elettronica aziendale; aveva così chiesto alla società di disabilitare l’account, di inoltrare i messaggi pervenuti nel frattempo al suo indirizzo e-mail personale e di attivare una risposta automatica che informasse eventuali mittenti del nuovo indirizzo e-mail. Tuttavia, tale (legittima) richiesta non era stata accolta.
Dall’istruttoria svolta dal Garante, come si legge nel provvedimento, era emerso che l’azienda non solo aveva continuato (per due mesi) ad accedere alla casella e-mail, ma aveva inoltrato le comunicazione nelle more pervenute ad un altro indirizzo di posta elettronica aziendale.
Da un punto di vista generale – si legge nel provvedimento - l’Autorità ha già ritenuto conforme ai principi in materia di protezione dei dati personali “che, a tutela di possibili e legittime esigenze di continuità dell’attività aziendale, dopo la cessazione del rapporto di lavoro, il titolare provveda alla rimozione dell’account, previa disattivazione dello stesso e contestuale adozione di sistemi automatici volti ad informare i terzi mittenti e a fornire, a questi ultimi, indirizzi alternativi riferiti alla sua attività professionale, provvedendo altresì ad adottare misure idonee a impedire la visualizzazione dei messaggi in arrivo, durante il periodo in cui tale sistema automatico è in funzione”.
In relazione al caso specifico, l’operazione di inoltro della corrispondenza su un altro account aziendale, per circa due mesi, della casella di posta elettronica del reclamante (per un periodo di tempo diverso da quello indicato nel disciplinare interno, pari a 30 giorni), per mere esigenze organizzative - secondo il Garante - ha di fatto realizzato un trattamento di dati personali contrario ai principi di liceità, di minimizzazione dei dati e di limitazione della conservazione (art. 5, par. 1, lett. a), c) ed e), del Regolamento), in base ai quali i dati devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” e devono essere conservati “per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati”.
In argomento si veda anche Posta elettronica del dipendente: no del Garante Privacy al backup della casella di posta nonché Log di navigazione e metadati dei lavoratori.