Documentazione medica e giudiziaria: illecito trattamento dati

La protezione dei dati personali sul luogo di lavoro è un diritto fondamentale, la cui violazione può comportare sanzioni significative per le aziende. Un recente provvedimento del Garante per la protezione dei dati personali ha messo in luce le gravi conseguenze di una gestione superficiale delle informazioni sensibili dei dipendenti, sanzionando un’azienda con una multa di 40.000 euro per aver trattato illecitamente dati medici e giudiziari di un lavoratore.

Il caso: diffusione di dati sanitari e richiesta di dati giudiziari

La vicenda ha origine dal reclamo di un dipendente che ha denunciato due gravi violazioni da parte del suo datore di lavoro. In primo luogo, l’azienda aveva inoltrato a un soggetto esterno documentazione medica completa di diagnosi che il lavoratore aveva fornito per giustificare un’assenza. Questo tipo di informazione rientra nei cosiddetti “dati particolari” (ex dati sensibili), che godono di una tutela rafforzata e il cui trattamento è soggetto a regole molto stringenti.

In secondo luogo, il dipendente ha segnalato che, in fase pre-assuntiva, l’azienda gli aveva richiesto di presentare il certificato del casellario giudiziale e dei carichi pendenti. La società si era giustificata sostenendo che tale documentazione fosse necessaria per un committente presso cui il lavoratore avrebbe dovuto prestare servizio. Tuttavia, come chiarito dal Garante, la richiesta di un cliente non costituisce una base giuridica idonea a legittimare il trattamento di dati giudiziari, la cui raccolta è permessa solo in casi specifici previsti dalla legge.

La violazione dei principi di accountability e minimizzazione

L’indagine del Garante ha rivelato una carenza sistemica nell’organizzazione aziendale. La diffusione dei dati sanitari non è stata un semplice errore isolato, ma la conseguenza della mancata adozione di misure tecniche e organizzative adeguate. L’azienda ha violato il principio di accountability (responsabilizzazione), che impone al titolare del trattamento (il datore di lavoro) di mettere in atto politiche e procedure interne per garantire la conformità al Regolamento Generale sulla Protezione dei Dati (GDPR).

Nello specifico, l’azienda non aveva:

• definito chi fosse autorizzato a trattare i dati sanitari dei dipendenti;
• impartito istruzioni chiare su come gestire tali informazioni;
• adottato misure di sicurezza sufficienti a prevenire accessi o comunicazioni non autorizzate.

Inoltre, richiedendo il certificato penale senza una valida base legale, l’azienda ha violato anche il principio di minimizzazione. Questo principio stabilisce che i dati personali raccolti debbano essere adeguati, pertinenti e limitati a quanto strettamente necessario per le finalità perseguite.

Cosa significa per i lavoratori e quali sono le tutele

Questo caso serve da monito per tutte le aziende, ma offre anche importanti indicazioni per i lavoratori riguardo ai loro diritti. Ogni dipendente deve essere consapevole che la protezione dei suoi dati personali è un obbligo preciso del datore di lavoro.

Diritti fondamentali del lavoratore

I lavoratori hanno diritto a tutele specifiche per quanto riguarda i loro dati personali, in particolare quelli più delicati. Ecco alcuni punti chiave:

• Dati sulla salute: Le informazioni relative allo stato di salute (certificati medici, diagnosi, idoneità lavorativa) sono strettamente confidenziali. Possono essere trattate solo da personale autorizzato, come il medico competente, e non possono essere diffuse internamente o esternamente senza una base giuridica valida.
• Dati giudiziari: Un datore di lavoro non può richiedere il certificato del casellario giudiziale o dei carichi pendenti, se non nei casi espressamente previsti da una norma di legge o di regolamento, e per finalità specifiche legate alla natura dell’impiego (ad esempio, per alcuni ruoli nella pubblica amministrazione o in settori regolamentati).
• Diritto all’informazione: Il lavoratore ha il diritto di sapere quali dati vengono raccolti, per quale scopo e per quanto tempo verranno conservati.
• Diritto di reclamo: Se un lavoratore ritiene che i propri diritti in materia di protezione dei dati siano stati violati, può presentare un reclamo al Garante per la protezione dei dati personali.

La gestione scorretta dei dati personali non è solo una violazione formale, ma può esporre il lavoratore a rischi concreti, come discriminazioni o danni alla propria reputazione. È quindi essenziale che i dipendenti siano vigili e consapevoli dei propri diritti.

Per assistenza o per segnalare il tuo caso, contatta Sportello Consumatori.

Contattaci su WhatsApp