I documenti non devono riportare informazioni che possano far risalire allo stato del lavoratore (Garante per la protezione dei dati personali, nota 23 dicembre 2024, n. 530).

Il Garante per la protezione dei dati personali ha sanzionato un’Azienda sanitaria territoriale a seguito del reclamo di una paziente che aveva chiesto alla struttura sanitaria un certificato per assenza dal lavoro. Infatti, l’Autorità ha ribadito che le certificazioni che attestano la presenza in ospedale, per giustificare un’assenza dal lavoro o l’impossibilità di partecipare a un concorso, non devono riportare le indicazioni della struttura presso la quale è stata erogata la prestazione sanitaria, il timbro con la specializzazione del medico o informazioni che possano far risalire allo stato di salute.

Nel caso specifico il certificato rilasciato riportava l’indicazione del reparto che aveva erogato la prestazione sanitaria, violando gli obblighi in materia di sicurezza e il principio di minimizzazione dei dati personali.

I dati trattati, in effetti, devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.

Inoltre, il Garante ha accertato la violazione del principio di privacy by design in quanto l’azienda, titolare del trattamento, ha omesso di mettere in atto, fin dalla progettazione, misure tecniche e organizzative adeguate, volte ad attuare in modo efficace i principi di protezione dei dati e a tutelare i diritti degli interessati.

L’Azienda sanitaria dovrà quindi pagare una sanzione di 17.000 euro perché, pur avendo, a seguito dell’intervento dell’Autorità, modificato i moduli e effettuato una specifica formazione del personale in materia di protezione dei dati personali, la violazione ha riguardato un numero di pazienti potenzialmente elevato per un lungo periodo. Nel definire la sanzione si è inoltre considerato che la stessa non ha fornito riscontro alla richiesta di informazioni del Garante, commettendo un’ulteriore violazione del Codice.