La protezione dei dati sanitari dei lavoratori rappresenta una delle sfide più complesse e cruciali in materia di data protection. L’art. 9 del GDPR impone standard elevati per il trattamento dei dati particolari, tra cui figurano quelli relativi alla salute. Tuttavia, le recenti decisioni delle autorità garanti in Europa e nel mondo evidenziano come spesso le misure adottate dalle imprese risultino ancora inadeguate.
Ma cosa significa davvero proteggere i dati sanitari in un contesto lavorativo? E quali accorgimenti concreti devono adottare i datori di lavoro per non incorrere in violazioni, sanzioni o danni reputazionali? Le risposte arrivano anche dalle più recenti pronunce delle autorità europee e internazionali, come emerge dal report “Workplace Privacy Update” di Ius Laboris – Alleanza internazionale che riunisce oltre 1500 esperti di lavoro in 56 Paesi e di cu fa parte anche Toffoletto De Luca Tamajo – pubblicato a giugno 2025.
Indice degli argomenti
Dati sanitari e rapporto di lavoro: una combinazione ad alto rischio
I dati relativi alla salute sono trattati in numerose situazioni aziendali: visite mediche obbligatorie, idoneità al lavoro, assenze per malattia, sorveglianza sanitaria, richiesta di accomodamenti o disabilità, oltre che in casi più delicati (infortuni, dipendenze, eventi traumatici). Sono dati sensibili per eccellenza, spesso registrati in formato digitale e accessibili da più soggetti interni (medico competente, HR, manager).
Un accesso improprio o una gestione superficiale di questi dati può determinare non solo violazioni normative, ma anche danni morali, contenziosi e perdita di fiducia.
Caso esemplare: Belgio
Nel giugno 2025, il garante belga ha affrontato il caso di un manager ospedaliero che ha consultato il dossier medico di un dipendente senza autorizzazione. Pur essendo considerato “titolare autonomo”, l’ospedale è stato richiamato per non aver notificato il data breach e per non aver adottato misure adeguate a prevenire accessi interni non autorizzati.
Il principio della responsabilità oggettiva: l’esempio brasiliano
Ancora più incisivo è l’approccio della giurisprudenza brasiliana, che ha stabilito la responsabilità oggettiva delle imprese per la violazione dei dati sanitari, anche in assenza di colpa. Il solo fatto che si verifichi una violazione può comportare il diritto al risarcimento del danno morale presunto da parte del lavoratore.
Dati sanitari dei dipendenti, cosa devono fare i datori di lavoro
Significa che non basta dire “non è colpa nostra”. Bisogna dimostrare di aver fatto tutto il possibile per prevenire la violazione, adottando misure tecniche, organizzative e procedurali adeguate. Ecco quali.
Gli accorgimenti fondamentali per i datori di lavoro
1. Limitare gli accessi ai soli soggetti autorizzati
Il principio del least privilege deve guidare l’organizzazione interna. Solo il medico competente e personale HR autorizzato devono avere accesso ai dati sanitari. L’accesso deve essere profilato, tracciato e reversibile (es. revoca immediata in caso di cessazione del rapporto).
2. Audit trail e sistemi di monitoraggio
Ogni accesso a dati sanitari deve essere registrato. Le aziende devono poter ricostruire chi ha visto cosa e quando, anche a fini difensivi. I sistemi devono prevedere alert automatici in caso di accessi sospetti o anomali.
3. Formazione specifica e obbligatoria per HR e medici competenti
Gli errori umani e la scarsa consapevolezza sono tra le prime cause di data breach. È indispensabile programmare sessioni di formazione periodica su: limiti all’accesso, riservatezza, minimizzazione, gestione delle richieste di accesso e diritti degli interessati.
4. Valutazioni di impatto (DPIA) per trattamenti ad alto rischio
Qualsiasi sistema informatico che consenta il trattamento sistematico e automatizzato di dati sanitari deve essere preceduto dalla DPIA cioè una valutazione di impatto, come previsto dall’art. 35 GDPR. Questo vale, ad esempio, per portali digitali che gestiscono idoneità alla mansione o referti sanitari.
5. Politiche di retention differenziata e proporzionata
Non è lecito conservare dati sanitari all’infinito. Dopo la cessazione del rapporto di lavoro, occorre stabilire tempi certi e motivati per l’eliminazione o anonimizzazione dei dati, tenendo conto di obblighi legali o potenziali contenziosi. Il garante slovacco ha ritenuto sproporzionata la conservazione della casella e-mail di un ex dipendente per oltre sei mesi.
6. Notifica tempestiva dei data breach
Anche se il data breach è causato da un soggetto interno, il datore di lavoro ha l’obbligo di valutare il rischio e, se necessario, notificare l’incidente al Garante entro 72 ore. In caso di dubbio, meglio segnalare. È quanto sottolineato dal Garante belga nel caso dell’ospedale.
Monitoraggio e sorveglianza: quando la sicurezza diventa intrusiva
Un fronte critico è quello del monitoraggio sul luogo di lavoro, che spesso si intreccia con la protezione dei dati sanitari. Il confine tra controllo legittimo e sorveglianza eccessiva è sottile.
Il caso della Francia
Un’azienda francese è stata sanzionata per aver installato telecamere con audio e software di monitoraggio dell’inattività dei dipendenti, che influivano anche sulle buste paga. Secondo la CNIL, queste misure erano sproporzionate e invasive, e avrebbero potuto intercettare anche informazioni sanitarie implicite (es. malesseri, pause frequenti).
La gestione dei dati sanitari degli ex dipendenti
La protezione dei dati sanitari non si interrompe con la fine del rapporto di lavoro. I casi polacco e lussemburghese lo confermano: non si può conservare dati “per sicurezza” senza giustificazione concreta.
Accorgimenti per i datori:
- Cancellare o anonimizzare i dati sanitari dopo la cessazione del rapporto, salvo obblighi specifici.
- Non usare la casella e-mail aziendale per comunicare dati sanitari post-contrattuali.
- Non accedere ad archivi storici per finalità che non siano strettamente difensive e documentabili.
Regole e tecnologie per tutelare i dati sanitari dei lavoratori
La protezione dei dati sanitari è molto più di un adempimento GDPR. È una leva di fiducia interna, un obbligo giuridico, ma anche un fattore strategico per evitare danni reputazionali, sanzioni e contenziosi.
I datori di lavoro devono agire con una governance forte, investendo in:
- Cultura aziendale della privacy.
- Tecnologie di controllo accessi e sicurezza informatica.
- Policy aggiornate e praticabili.
- Ruoli chiari (DPO, medico competente, HR, IT security).
- Processi documentati e verificabili.
Solo così sarà possibile affrontare le sfide di un mondo del lavoro sempre più digitalizzato, mobile e interconnesso, proteggendo i diritti fondamentali dei lavoratori.
