L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de la commune de XX, comprenant le prononcé d'une amende de 3 000 €, pour des manquements en lien avec la communication de données de santé d'un agent. Cette affaire débute par une plainte du secrétaire général de la commune, signalant que son certificat de maladie avait été transmis à la préfecture et à son remplaçant.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité, de minimisation des données et de traitement des données de santé (article 5, paragraphe 1, points a) et c), article 6 et article 9 du RGPD) : Pour demander le remplacement de son secrétaire général en arrêt maladie, la commune a transmis une copie intégrale du certificat de maladie électronique de l'agent, extrait de la base de données de l'Institut National de la Prévoyance Sociale (INPS), à la préfecture et au secrétaire remplaçant. L'autorité a rappelé que l'information relative à une absence pour maladie constitue une donnée de santé, même sans diagnostic. La communication de ce document, reconnue comme une erreur par la commune elle-même, n'était pas nécessaire pour la finalité poursuivie et a été effectuée sans base juridique appropriée, en violation du principe de minimisation des données, la simple mention de la période d'absence étant suffisante.

En conséquence, l’autorité a imposé une amende de 3 000 € à la commune de XX.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.