Divulgare lo stato di malattia lede la privacy del dipendente

La pubblicazione di dati sensibili relativi alla salute del dipendente integra una violazione della normativa sulla privacy, anche se compiuta per finalità di trasparenza

Stato di malattia online: violata la privacy del lavoratore

Il caso e la rilevanza giuridica  

Con la sentenza n. 1399, depositata il 6 ottobre 2025, la Corte d’Appello di Palermo – Prima Sezione Civile ha confermato la condanna di un Comune per illecito trattamento di dati personali ai sensi del D.Lgs. 196/2003 (Codice Privacy), con conseguente risarcimento del danno non patrimoniale in favore di una dipendente.

Il provvedimento delinea i limiti entro i quali la trasparenza amministrativa può essere esercitata senza pregiudicare la tutela della privacy dei lavoratori.

I fatti all’origine della controversia  

La diffusione dei dati sanitari della dipendente  

La controversia trae origine dalla pubblicazione, da parte del Comune, di delibere e determinazioni riportanti in chiaro i dati anagrafici e sanitari di una dipendente.

Tra le informazioni diffuse figuravano:

• il nome e il cognome della lavoratrice;
• i giorni di assenza per malattia e la durata dell’inabilità al lavoro;
• il collocamento in pensione per motivi di salute.

Tali dati erano stati pubblicati sull’albo pretorio comunale e sul sito istituzionale, rendendoli liberamente accessibili.

La lavoratrice, ritenendo lesa la propria riservatezza, agiva in giudizio per ottenere il risarcimento del danno biologico e morale.

La sentenza di primo grado  

Il Tribunale, in primo grado, aveva accertato la responsabilità del Comune, riconoscendo che la pubblicazione di informazioni relative alla salute costituisce trattamento illecito di dati sensibili in violazione dell’art. 11 del D.Lgs. 196/2003.

Conseguentemente, l’ente era stato condannato a risarcire € 7.000,00 per danno non patrimoniale, oltre spese legali, mentre la domanda di risarcimento del danno biologico era stata rigettata per difetto di prova.

L’appello del Comune

Obblighi di trasparenza e assenza di illecito  

Il Comune proponeva appello sostenendo di aver agito nel rispetto degli obblighi di pubblicità e trasparenza previsti dagli artt. 183 e 194, comma 1, lett. a), del D.Lgs. 267/2000 (Testo Unico Enti Locali).

Secondo la difesa, la pubblicazione degli atti aveva lo scopo di garantire la tracciabilità delle spese e la legittimità dell’azione amministrativa, non configurando quindi alcun illecito trattamento dei dati.

Contestazione del danno morale e delle spese  

L’appellante lamentava, inoltre, che il danno morale fosse stato liquidato senza un’adeguata prova del pregiudizio effettivo e chiedeva, in via subordinata, una riduzione dell’importo risarcitorio.

Infine, contestava la condanna alle spese processuali, richiedendo la compensazione per soccombenza reciproca.

Le valutazioni della Corte d’Appello di Palermo  

Il trattamento dei dati sensibili: obblighi e cautele  

La Corte di gravame, nella propria disamina, ha richiamato la consolidata giurisprudenza della Corte di Cassazione, secondo cui i dati idonei a rivelare lo stato di salute rientrano tra quelli “sensibili” e devono essere trattati esclusivamente con misure di anonimizzazione o cifratura.

I dati sensibili relativi alla salute  - come precisato nella decisione a Sezioni Unite di Cassazione n. 30981/2017 - possono essere trattati solo adottando misure tecniche e organizzative di protezione, come cifratura o anonimizzazione, che impediscano l’identificazione dell’interessato. Anche enti pubblici e soggetti privati, quando operano per finalità di interesse pubblico o obblighi contrattuali, devono rispettare tali cautele nel trattamento di questi dati.

In particolare, è stato ribadito che:

Pertanto, la Corte ha escluso che l’obbligo di trasparenza potesse giustificare la diffusione integrale dei dati sensibili della lavoratrice.

La responsabilità dell’ente pubblico  

Il Collegio di secondo grado ha qualificato la condotta del Comune come responsabilità oggettiva ex art. 2050 c.c. (responsabilità da cose pericolose), richiamando l’art. 15 del D.Lgs. 196/2003 (applicabile ratione temporis).

In base a tale norma, al danneggiato spetta provare il danno e il nesso di causa, mentre l'autore dell'illecito dovrà fornire la prova liberatoria.

In altri termini, il titolare del trattamento risponde del danno salvo che provi di aver adottato tutte le misure idonee a prevenirlo. 

Nel caso di specie, l’ente non aveva fornito alcuna prova dell’adozione di cautele tecniche o organizzative idonee a evitare la diffusione dei dati.

La prova e la liquidazione del danno  

La Corte d'appello ha inoltre precisato che il danno da lesione della privacy non può essere considerato “in re ipsa”, ma deve essere effettivamente provato nella sua entità e gravità.

Nel caso concreto, la pubblicazione dei dati personali in un piccolo contesto territoriale aveva determinato un pregiudizio morale evidente, traducibile in sofferenza interiore, imbarazzo e perdita di reputazione.

La liquidazione di € 7.000,00, operata in via equitativa ai sensi degli artt. 1226 e 2056 c.c., è stata ritenuta conforme alle tabelle milanesi 2018 per la valutazione del danno da diffamazione, applicate per analogia.

Più volte, a riguardo, la Cassazione si è espressa sottolineando che "la liquidazione dei danni morali, attesa la loro natura, non può che avvenire in via equitativa, dovendosi ritenere assolto l'obbligo motivazionale mediante l'indicazione dei fatti materiali presi in considerazione e del percorso logico posto a base della decisione, senza necessità di indicare analiticamente i calcoli dell'ammontare del risarcimento” (Cassazione n. 44477/2024).

La decisione finale della Corte  

La Corte d’Appello di Palermo ha quindi:

• rigettato integralmente l’appello del Comune;
• confermato la sentenza del Tribunale;
• condannato il Comune al pagamento delle spese processuali d’appello, quantificate in € 2.000,00 oltre accessori di legge;
• disposto, ai sensi dell’art. 13, comma 1-quater, del D.P.R. 115/2002, il versamento dell’ulteriore contributo unificato pari a quello dovuto per l’impugnazione.

Trasparenza e riservatezza: gli obblighi della Pubblica Amministrazione

La sentenza n. 1399/2025 ribadisce un principio di diritto fondamentale per la Pubblica Amministrazione:

Gli enti pubblici devono dunque:

• garantire la pubblicazione degli atti in forma anonimizzata;
• adottare procedure interne di controllo dei flussi informativi;
• formare il personale sul corretto trattamento dei dati sensibili;
• aggiornare le proprie policy privacy in conformità al Regolamento (UE) 2016/679 (GDPR).

La sentenza, in breve