Ordinanza ingiunzione o revoca n. 544 del 12/09/2024

Ordine delle Professioni Infermieristiche di Udine: trattamento illecito di dati personali del reclamante e della coniuge

Il provvedimento riguarda l’Ordine delle Professioni Infermieristiche di Udine, destinatario di un reclamo per plurime violazioni della disciplina in materia di protezione dei dati personali connesse alla gestione di istanze di accesso civico, segnalazioni e comunicazioni verso altri enti pubblici, l’Arma dei Carabinieri e la FNOPI.

Fatti e origine del procedimento

Il procedimento trae origine dal reclamo presentato ex art. 77 GDPR da un militare dell’Arma dei Carabinieri. Il reclamante ha lamentato che l’Ordine, insieme ad altri OPI del Friuli Venezia Giulia, avesse trattato e comunicato dati personali relativi alla sua persona e alla coniuge senza idonea base giuridica, trasmettendo informazioni anche al suo Comando di appartenenza e ad altri soggetti istituzionali.

Tra i profili contestati vi erano:

• la raccolta di dati sulla professione e sul datore di lavoro del reclamante tramite ricerche online;
• la comunicazione di dati personali agli altri OPI del Coordinamento regionale;
• la trasmissione di note al Comando Legione dell’Arma dei Carabinieri contenenti informazioni sulle istanze di accesso, sulle segnalazioni e sul rapporto di coniugio;
• la comunicazione di dati alla FNOPI;
• l’omessa informativa privacy;
• il mancato riscontro a un’istanza di accesso ex artt. 12 e 15 GDPR.

Attività istruttoria e difese dell’Ordine

Nel corso dell’istruttoria l’Ordine ha sostenuto che:

• gli OPI sono enti pubblici di piccole dimensioni, con limitate risorse umane;
• il reclamante aveva presentato numerosissime istanze, reclami e segnalazioni;
• l’attività dell’Ordine era stata appesantita dalla crisi pandemica e dagli adempimenti sulla vaccinazione degli esercenti le professioni sanitarie;
• la comunicazione dei dati sarebbe stata giustificata dal buon andamento dell’azione amministrativa e da asserite esigenze di collaborazione istituzionale;
• l’informativa era pubblicata sul sito istituzionale;
• il riscontro all’istanza di accesso era stato poi fornito.

Il Garante ha però ritenuto tali giustificazioni insufficienti a escludere le violazioni contestate.

Trattamento dei dati sulla professione e sul datore di lavoro

L’Autorità ha qualificato come trattamento di dati personali l’acquisizione, tramite motori di ricerca e fonti online, di informazioni sulla professione svolta dal reclamante e sul suo datore di lavoro.

Ha escluso che tale attività fosse necessaria per i procedimenti amministrativi avviati dall’Ordine in relazione alle istanze di accesso civico e alle segnalazioni, osservando che la reperibilità online di un dato non ne legittima automaticamente il riuso da parte del titolare. Ne è derivata la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice privacy.

Comunicazione dei dati agli altri OPI del Friuli Venezia Giulia

Il Garante ha accertato che l’Ordine aveva condiviso con gli altri OPI regionali informazioni sulle istanze di accesso e sulle segnalazioni presentate dal reclamante e dalla coniuge, compresa l’iscrizione all’Ordine della coniuge.

L’Autorità ha escluso che tale comunicazione fosse necessaria per obblighi di legge o per l’esercizio di pubblici poteri. Ha inoltre respinto l’argomento della pubblicità dei procedimenti FOIA, richiamando le linee guida ANAC e precisando che i registri delle istanze, ove pubblicati, devono oscurare i dati personali. Anche in questo caso è stata ravvisata la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice.

Comunicazione al Comando Legione dell’Arma dei Carabinieri

Una parte centrale del provvedimento riguarda la nota congiunta sottoscritta dai presidenti degli OPI del Friuli Venezia Giulia e inviata al Comando Legione presso cui il reclamante presta servizio.

Con tale nota sono stati comunicati:

• dati sul reclamante, sulle sue istanze di accesso e segnalazioni e sulle valutazioni espresse dagli OPI circa la sua condotta;
• dati sul rapporto di coniugio con una professionista iscritta all’Ordine;
• dati sulla coniuge, inclusa la circostanza che avesse presentato istanze e segnalazioni.

Il Garante ha ritenuto che la comunicazione non fosse necessaria né per obblighi di legge né per compiti di interesse pubblico o connessi all’esercizio di pubblici poteri. Ha escluso la possibilità di invocare il legittimo interesse ex art. 6, par. 1, lett. f), GDPR, poiché tale base non si applica ai trattamenti effettuati da autorità pubbliche nell’esecuzione dei loro compiti, richiamando anche la sentenza CGUE C-180/21.

È stato inoltre osservato che la disciplina militare invocata dall’Ordine riguardava il solo stato civile, mentre qui erano stati comunicati anche dati ulteriori, come professione, iscrizione all’Ordine e presentazione di istanze di accesso. Ne è derivata la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice.

Ulteriori comunicazioni al Comando Legione

Il reclamo riguardava anche una successiva nota inviata al Comando Legione sulla presenza del reclamante presso la sede dell’Ordine con la coniuge e sull’intervento di una pattuglia dei Carabinieri, nonché l’invio di copia di corrispondenza tra Ordine e reclamante.

Il Garante ha considerato anche tali informazioni come dati personali riferiti a persona fisica identificata e ha ritenuto che la loro comunicazione al Comando non fosse necessaria né lecita nei termini richiesti dagli artt. 5 e 6 GDPR e 2-ter del Codice.

Assenza di accordo di contitolarità

Poiché la nota indirizzata al Comando Legione era stata sottoscritta congiuntamente da più OPI, il Garante ha ritenuto che gli enti avessero determinato in modo congiunto finalità e mezzi del trattamento, configurando una contitolarità ex art. 26 GDPR.

Nonostante ciò, non era stato stipulato alcun accordo interno che disciplinasse responsabilità, ruoli e informazione agli interessati. È stata quindi accertata la violazione dell’art. 26, parr. 1 e 2, GDPR.

Omessa informativa privacy

L’Ordine non aveva fornito al reclamante e alla coniuge un’idonea informativa sui trattamenti contestati.

Il Garante ha ritenuto inconferente l’informativa pubblicata sul sito istituzionale dell’Ordine, poiché riferita agli utenti del sito e non ai trattamenti connessi all’attività istituzionale e amministrativa dell’ente. Non risultava neppure una informativa generale specificamente destinata a tali trattamenti. È stata quindi accertata la violazione degli artt. 5, par. 1, lett. a), 13 e 14 GDPR.

Mancato riscontro alla richiesta di accesso ai dati personali

Il reclamante aveva presentato una richiesta di accesso ex art. 15 GDPR, ma il Garante ha rilevato che l’Ordine non aveva provato di aver risposto nei termini di legge né di aver comunicato l’eventuale impossibilità di ottemperare.

Il riscontro è stato fornito solo dopo la contestazione dell’Autorità, con conseguente violazione degli artt. 12 e 15, par. 1, GDPR.

Comunicazione alla FNOPI

L’Ordine aveva infine trasmesso alla FNOPI documentazione relativa alle vicende oggetto della nota inviata al Comando Legione, invocando i compiti di indirizzo e coordinamento attribuiti alla Federazione nazionale.

Il Garante ha ritenuto che tali compiti si riferiscano alle funzioni istituzionali degli Ordini territoriali, non alla loro attività amministrativa in senso lato. Inoltre, l’Ordine avrebbe potuto chiedere supporto in forma astratta, senza rivelare l’identità del reclamante e della coniuge. La trasmissione è stata quindi giudicata illecita per violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice.

Esito sulla comunicazione alla Commissione per l’accesso ai documenti amministrativi

Il reclamante aveva anche contestato la comunicazione di propri dati alla Commissione per l’accesso ai documenti amministrativi, istituita presso la Presidenza del Consiglio dei Ministri, e l’asserita inottemperanza dell’Ordine a una decisione della Commissione.

Su questo punto il Garante ha ritenuto che la questione esuli, di regola, dalla propria competenza, trattandosi di profili inerenti a procedimenti di accesso ex legge n. 241/1990. Ha quindi disposto l’archiviazione di tale specifico motivo di reclamo.

Valutazione complessiva e sanzione

Il Garante ha concluso che tutte le violazioni accertate derivavano da un’unica condotta o da trattamenti tra loro collegati. Perciò ha applicato l’art. 83, par. 3, GDPR e ha considerato come violazioni più gravi quelle degli artt. 5, 6, 12, 13, 14, 15 e 26 GDPR, nonché dell’art. 2-ter del Codice.

Nella quantificazione della sanzione sono stati considerati:

• la particolare gravità della comunicazione al datore di lavoro del reclamante;
• l’esorbitanza dalle competenze istituzionali dell’Ordine;
• il fatto che non si trattava di dati particolari ex art. 9 GDPR né di dati relativi a reati ex art. 10 GDPR;
• la buona cooperazione con l’Autorità;
• l’assenza di precedenti pertinenti;
• le ridotte dimensioni e risorse dell’ente.

La sanzione è stata determinata in euro 8.000.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dall’Ordine delle Professioni Infermieristiche di Udine;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 8.000;
• richiamato la facoltà di definizione agevolata con pagamento della metà dell’importo entro 30 giorni;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• disposto l’annotazione nel registro interno delle violazioni.

È stato inoltre indicato che avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. n. 150/2011.