Giudizio di idoneità, dati sanitari e ruoli aziendali: come tutelare la riservatezza dei lavoratori e gestire correttamente le informazioni.
Sorveglianza sanitaria e privacy devono essere gestite insieme: organizzare le visite mediche non significa avere accesso alla storia clinica dei lavoratori. Il datore di lavoro deve ricevere le informazioni necessarie per assegnare le mansioni in sicurezza; il medico competente gestisce gli accertamenti e i dati clinici nel rispetto del segreto professionale.
La tutela della riservatezza riguarda anche le email, gli archivi e le comunicazioni tra ufficio del personale e responsabili operativi.
Il problema pratico è capire chi può conoscere cosa. Un giudizio di idoneità conservato in una cartella accessibile a tutti, un referto inoltrato a più destinatari o una diagnosi comunicata al preposto possono creare una diffusione di informazioni non necessaria alla prevenzione.
Per approfondire le tipologie di giudizio di idoneità alla mansione e le loro conseguenze sull’organizzazione del lavoro, consulta la guida dedicata.
Cosa deve fare subito l’azienda
Per gestire correttamente sorveglianza sanitaria e privacy, l’azienda dovrebbe ricostruire il percorso dei documenti: chi convoca il lavoratore, chi riceve il giudizio, dove viene archiviato e quali informazioni arrivano a chi organizza le attività.
Occorre distinguere l’archivio clinico gestito dal medico dalla documentazione organizzativa usata dall’azienda.
La procedura dovrebbe prevedere destinatari individuati, accessi limitati, canali adeguati e istruzioni per chi riceve per errore documenti sanitari. Le soluzioni tecniche dipendono dal contesto: non è sufficiente rinominare una cartella “riservata” se tutti possono aprirla.
Quali dati può conoscere il datore di lavoro
Nell’ambito della sorveglianza sanitaria, l’azienda può conoscere il giudizio relativo alla mansione specifica e le prescrizioni o limitazioni da applicare. Non deve acquisire diagnosi, anamnesi o risultati degli esami per interpretare autonomamente le condizioni del lavoratore.
Il Garante ha ribadito questa separazione nel provvedimento del 29 aprile 2026, documento web 10254256.
Le informazioni organizzative servono ad applicare le indicazioni del medico; non aprono l’accesso ai dati clinici che le hanno determinate.
Questa regola riguarda il flusso della sorveglianza sanitaria: altri adempimenti lavoristici possono richiedere specifici dati sulla salute nei limiti delle rispettive norme.
Il giudizio di idoneità è un documento da proteggere
Anche quando non riporta una diagnosi, il giudizio di idoneità riguarda la salute del lavoratore. Non va quindi trattato come una comunicazione ordinaria da inoltrare senza limiti.
Il principio operativo è consentire l’accesso solo a chi ne ha necessità per le proprie funzioni, nella misura necessaria.
Prima di inviare un documento, chiediti: il destinatario deve conoscere il giudizio completo oppure gli basta l’indicazione da applicare?
Un responsabile di reparto può dover sapere che una certa attività non deve essere assegnata; questo non significa che debba conoscere la patologia del dipendente.
Sorveglianza sanitaria e privacy: chi può ricevere le informazioni
Non esiste una regola per cui tutti gli addetti HR, tutti i preposti o tutti i consulenti possano accedere automaticamente ai giudizi.
L’azienda deve definire competenze, autorizzazioni e istruzioni coerenti con le attività effettivamente svolte.
Esempio pratico. Il medico indica una limitazione sulla movimentazione dei carichi. L’ufficio incaricato gestisce il documento e l’organizzazione del lavoro; al preposto vengono fornite le indicazioni necessarie per evitare attività incompatibili. Non si comunica la diagnosi e non si spiega ai colleghi il motivo clinico dell’assegnazione.
Il RSPP collabora alla prevenzione e alla valutazione dei rischi, ma questo ruolo non gli attribuisce un accesso generale a referti e cartelle sanitarie. Anche per lui vanno individuate le informazioni pertinenti al compito da svolgere.
Medico competente e datore di lavoro hanno ruoli distinti
Il medico competente opera come autonomo titolare del trattamento per le attività di propria competenza. Il Garante lo ha richiamato nel provvedimento del 16 gennaio 2025, documento web 10111106.
Non va, quindi, qualificato automaticamente come responsabile del trattamento dell’azienda soltanto perché riceve un incarico professionale.
Il datore di lavoro opera come titolare del trattamento per le attività di propria competenza e deve garantirne la conformità alla normativa sulla protezione dei dati personali. La distinzione deve essere tradotta in flussi chiari: informazioni sui rischi e sulle mansioni verso il medico; giudizi e indicazioni necessarie verso l’azienda.
Vanno verificati separatamente i ruoli degli eventuali fornitori che gestiscono software, archivi o servizi amministrativi.
La collaborazione con l’azienda passa anche attraverso il sopralluogo del medico competente, utile a conoscere gli ambienti di lavoro e i rischi delle mansioni, mantenendo riservate le informazioni cliniche dei lavoratori.
Dove custodire la cartella sanitaria
La cartella sanitaria e di rischio contiene informazioni cliniche e non coincide con il fascicolo amministrativo del dipendente.
La sua gestione deve rispettare il segreto professionale e gli obblighi dell’articolo 25 del D.Lgs. 81/2008. La collocazione materiale presso l’azienda non autorizza il personale a consultarla.
Per modalità di custodia, consegna alla cessazione del rapporto e tempi di conservazione rimandiamo alla guida dedicata alla cartella sanitaria e di rischio.
Per tutelare sorveglianza sanitaria e privacy, occorre verificare gli accessi alla cartella sanitaria: chi può consultarla, attraverso quali strumenti e per quali funzioni?
Come gestire email e archivi digitali
Per gestire sorveglianza sanitaria e privacy anche nei flussi digitali, l’azienda può adottare le seguenti misure organizzative, da adattare ai rischi del trattamento:
- Individuare i destinatari prima dell’invio ed evitare copie conoscenza non necessarie.
- Conservare i giudizi in archivi ad accesso riservato e mantenere la documentazione clinica nei circuiti di custodia previsti per il medico competente.
- Configurare accessi personali e revocarli quando cambia l’incarico.
- Usare canali e protezioni adeguati alla sensibilità dei documenti.
- Evitare diagnosi e dettagli clinici negli oggetti delle email, nei calendari e nei nomi dei file.
- Definire conservazione, copie di sicurezza e gestione delle versioni.
Il GDPR richiede dati pertinenti e limitati allo scopo, tempi di conservazione giustificati e misure di sicurezza adeguate. Non impone una soluzione identica per ogni impresa.
Per questo l’azienda deve valutare anche i rischi di invio alla persona sbagliata o di accesso da parte di soggetti non autorizzati.
Cosa fare se un referto arriva per errore all’ufficio personale
Non inoltrarlo nella normale catena aziendale e non utilizzarlo per formulare valutazioni sanitarie.
Limita l’accesso, coinvolgi il referente privacy e il medico attraverso i canali appropriati, e definisci come gestire il documento secondo le regole applicabili.
Se il lavoratore deve trasmettere informazioni cliniche per la visita, indicagli il canale dedicato al medico.
Il provvedimento del Garante del 30 gennaio 2025, documento web 10112637, relativo a un’amministrazione pubblica, evidenzia il problema dell’uso ulteriore di documentazione contenente diagnosi.
Il caso non va trasformato in una regola indistinta per ogni certificato e adempimento: bisogna verificare la finalità concreta e le eventuali disposizioni speciali.
Se l’errore comporta perdita, divulgazione o accesso non autorizzato, va valutato come possibile violazione dei dati personali. Non ogni episodio comporta automaticamente notifica al Garante: occorre applicare i criteri degli articoli 33 e 34 GDPR.
Serve il consenso del lavoratore?
In materia di sorveglianza sanitaria e privacy, il consenso del lavoratore non è la base giuridica ordinaria dei trattamenti necessari agli obblighi di legge.
Le basi giuridiche vanno individuate negli obblighi e nelle disposizioni applicabili alla medicina del lavoro e alla gestione del rapporto. L’informativa resta distinta dal consenso.
Una firma non legittima una raccolta indiscriminata di referti da parte dell’azienda. Anche se il lavoratore si dichiara disponibile a condividere dati clinici, l’organizzazione deve rispettare finalità, necessità e separazione dei ruoli.
Privacy e prevenzione devono funzionare insieme
Conciliare sorveglianza sanitaria e privacy significa applicare le prescrizioni del medico tutelando la riservatezza del lavoratore.
Se il giudizio non è sufficientemente chiaro per organizzare le attività, va richiesto un chiarimento operativo al medico, senza chiedere la diagnosi.
Gli accertamenti previsti dal protocollo sanitario devono essere definiti in relazione ai rischi professionali: la loro programmazione non comporta l’accesso dell’azienda ai risultati clinici individuali.
I risultati collettivi della sorveglianza sanitaria comunicati nelle sedi previste devono restare anonimi. Anche le relazioni e le tabelle vanno controllate per evitare che, soprattutto in gruppi piccoli, consentano di identificare indirettamente il lavoratore.
Checklist operativa per sorveglianza sanitaria e privacy
- Il medico e l’azienda hanno definito i rispettivi flussi documentali.
- Le diagnosi non entrano ordinariamente nell’archivio HR della sorveglianza sanitaria.
- Chi gestisce i giudizi è individuato e istruito.
- Ai preposti arrivano le indicazioni necessarie per organizzare il lavoro.
- Cartelle cliniche e fascicoli amministrativi hanno accessi distinti.
- Email, archivi e fornitori sono gestiti con misure adeguate.
- Esiste una procedura per documenti ricevuti per errore e possibili violazioni.
Per Edafos, promuovere la cultura della sicurezza significa anche tutelare la riservatezza dei lavoratori: una prevenzione efficace nasce da responsabilità chiare, informazioni protette e rispetto della persona.
FAQ Sorveglianza sanitaria e privacy
Il datore di lavoro può chiedere la diagnosi al medico competente?
Nel flusso ordinario della sorveglianza sanitaria deve conoscere il giudizio e le indicazioni da applicare, non la diagnosi che li ha determinati.
L’ufficio personale può conservare il giudizio?
Può gestirlo nei limiti delle funzioni attribuite e delle autorizzazioni definite dall’azienda, con accessi riservati e misure adeguate.
Il preposto deve conoscere la malattia del lavoratore?
Deve ricevere le istruzioni necessarie per assegnare e controllare le attività in sicurezza. Non occorre comunicare la patologia.
Il datore di lavoro può consultare la cartella sanitaria custodita in azienda?
No. La collocazione fisica non elimina il segreto professionale e non conferisce un diritto di consultazione al datore o agli addetti amministrativi.
Il consenso permette all’azienda di raccogliere tutti i referti?
No. Una firma non supera i limiti di finalità, necessità e competenza dei soggetti coinvolti.
La privacy permette di non applicare una limitazione?
No. Le indicazioni operative del medico devono essere applicate tutelando contemporaneamente la riservatezza.
Link utili
Garante — Giudizio di idoneità e dati sanitari, provvedimento del 29 aprile 2026.
Garante — Ruolo del medico competente, provvedimento del 16 gennaio 2025.
Garante — Documentazione contenente diagnosi, provvedimento del 30 gennaio 2025.
GDPR — Articoli 5, 6, 9, 13, 24, 25, 32, 33 e 34.
D.Lgs. 81/2008 — Articoli 18, 25, 39 e 41, edizione INL gennaio 2026.
