L'autorité italienne de protection des données (Garante) a sanctionné le Centre Hospitalier S. Pio de Bénévent pour avoir illégalement communiqué les données de santé d'un employé dans le cadre d'un contentieux interne.

Suite à la plainte d'un employé, il a été établi que l'établissement avait transmis un rapport d'expertise technique de partie (CTP) contenant des informations sur son état de santé à plusieurs services via des boîtes de courriel électronique certifié (PEC) partagées. Ces services comprenaient l'Unité Opérationnelle Complexe – Bureau des Relations avec le Public, le Département Médical et les Ressources Humaines. La boîte de réception du service des Ressources Humaines était notamment accessible à vingt employés occupant des fonctions et des postes variés, qui n'étaient pas tous habilités à connaître ces informations au vu de leurs missions spécifiques.

L'autorité a jugé que cette diffusion constituait une communication de données personnelles sans base juridique, en violation des principes de licéité et de minimisation des données. Le fait de rendre ces informations accessibles à des employés non autorisés, même s'ils sont soumis à une obligation de confidentialité, contrevient aux article 5, paragraphe 1, points a) et c), article 6 et article 9, paragraphe 2, point b) du RGPD. Le Garante a infligé une amende de 6 000 € au centre hospitalier et a ordonné la publication de sa décision.