Ordinanza ingiunzione o revoca n. 384 del 24/11/2022

ATS Sardegna: comunicazione illecita all’Ordine professionale di dati ulteriori sul rapporto di lavoro e sull’assenza del requisito vaccinale

Il Garante ha esaminato il reclamo di un dirigente medico di ATS Sardegna relativo alla trasmissione al suo Ordine professionale di informazioni eccedenti rispetto a quelle consentite dalla disciplina emergenziale sull’obbligo vaccinale per gli esercenti le professioni sanitarie. Il procedimento ha riguardato una comunicazione contenente non solo l’esito dell’accertamento dell’inosservanza dell’obbligo vaccinale, ma anche dati sulla posizione lavorativa dell’interessato e sulle conseguenze datoriali della sospensione.

Origine del procedimento e fatti contestati

Il reclamo è stato presentato ai sensi dell’art. 77 GDPR da un dipendente di ATS Sardegna, in servizio come dirigente medico. L’interessato ha riferito che l’Azienda gli aveva notificato un atto di accertamento dell’assenza del requisito vaccinale e la conseguente determinazione di sospensione dal servizio. Ha contestato, in particolare, che l’Azienda avesse inviato all’Ordine professionale una copia integrale degli atti, dai quali era desumibile lo stato vaccinale.

Dalla documentazione esaminata è emerso che l’Azienda aveva effettuato una comunicazione indirizzata all’interessato e all’Ordine professionale in cui, oltre all’accertata insussistenza del requisito vaccinale, venivano indicati anche:

• la impossibilità di adibire il dipendente a mansioni diverse che non implicassero contatti interpersonali o rischio di contagio;
• le mansioni svolte;
• la sospensione dal servizio decorso il termine di 5 giorni;
• la mancata corresponsione della retribuzione e di altri emolumenti durante la sospensione.

Posizioni difensive dell’Azienda

Nel procedimento, ATS Sardegna ha sostenuto che, al tempo dei fatti, l’azienda sanitaria fosse sia ente accertatore sia datore di lavoro del reclamante e che tale coincidenza rendesse ininfluente la veste soggettiva assunta nella comunicazione. Ha inoltre richiamato l’art. 4, comma 6, del d.l. 44/2021, affermando che la comunicazione all’Ordine professionale era dovuta per legge e costituiva base giuridica del trattamento.

Nella memoria difensiva ha ribadito che l’atto era stato inviato in forma riservata e che il contenuto lavoristico fosse conseguenza necessaria dell’accertamento dell’inosservanza dell’obbligo vaccinale.

Quadro normativo di riferimento

Il Garante ha richiamato i principi generali del GDPR, in particolare:

• art. 5, par. 1, lett. a) e c), su liceità, correttezza, trasparenza e minimizzazione;
• art. 6, par. 1, lett. c) ed e), sulla base giuridica del trattamento;
• art. 9, par. 2, e art. 88 GDPR, per i trattamenti nel contesto lavorativo;
• artt. 24, 25, 29 e 32 GDPR, sul principio di accountability, privacy by design/by default e sicurezza.

Sul piano nazionale sono stati richiamati:

• l’art. 2-ter del Codice privacy, per la comunicazione di dati da parte di soggetti pubblici;
• l’art. 2-sexies del Codice, per i dati particolari;
• l’art. 4 del d.l. 44/2021, nella versione vigente all’epoca dei fatti, che disciplinava l’accertamento dell’inosservanza dell’obbligo vaccinale e la successiva comunicazione all’interessato, al datore di lavoro e all’Ordine professionale.

Il Garante ha osservato che la disciplina emergenziale attribuiva all’azienda sanitaria competente il compito di accertare l’inosservanza dell’obbligo vaccinale e di comunicarne l’esito, ma non prevedeva che il datore di lavoro trasmettesse all’Ordine i propri provvedimenti organizzativi e disciplinari conseguenti.

Valutazione del Garante sull’illiceità del trattamento

Secondo l’Autorità, la coincidenza tra ente accertatore e datore di lavoro non consentiva di ampliare il perimetro informativo verso l’Ordine professionale. In presenza di ruoli coincidenti, era comunque necessario mantenere distinte, anche sotto il profilo organizzativo, le finalità dell’accertamento rispetto a quelle del rapporto di lavoro.

Il Garante ha quindi affermato che l’Ordine professionale poteva ricevere solo l’informazione sull’assenza del requisito vaccinale, ai fini delle annotazioni sull’albo e della sospensione ex lege dall’esercizio professionale. Non potevano invece essere comunicati:

• la mansione svolta dal dipendente;
• la sua non adibibilità ad altre mansioni;
• la sospensione dal servizio;
• la mancata corresponsione della retribuzione.

Tali informazioni, pur connesse alla gestione del rapporto di lavoro, non avevano base giuridica per essere comunicate all’Ordine. La comunicazione è stata quindi ritenuta illecita per violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice.

Il Garante ha inoltre escluso che, nel caso di specie, la comunicazione avesse ad oggetto dati relativi alla salute: la mera informazione sulla mancata vaccinazione anti SARS-CoV-2, in assenza di riferimenti a esenzioni o differimenti legati a condizioni di salute, non è stata qualificata come dato sanitario.

Sanzione amministrativa e criteri di quantificazione

Accertata la violazione, il Garante ha ritenuto applicabile la sanzione di cui all’art. 83, par. 5, GDPR, richiamando anche gli artt. 58, par. 2, lett. i), e 83, par. 3, GDPR e l’art. 166, comma 2, del Codice.

Nella determinazione dell’importo sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• il fatto che la comunicazione riguardava dati connessi al rapporto di lavoro;
• l’esistenza di precedenti indicazioni del Garante e delle linee guida sul trattamento dei dati dei lavoratori nel pubblico impiego;
• il contesto emergenziale e la complessità del quadro normativo in continua evoluzione;
• la circostanza che alcuni dati comunicati erano comunque astrattamente prevedibili nel procedimento previsto dalla legge;
• il fatto che la violazione riguardava un solo interessato;
• l’assenza di precedenti violazioni analoghe da parte del titolare.

La sanzione è stata fissata in euro 4.000, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo e conseguenze operative

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato da ATS Sardegna per violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice;
• ordinato alla Gestione Regionale Sanitaria Liquidatoria dell’Azienda per la tutela della salute - ATS Sardegna il pagamento di euro 4.000;
• ricordato la facoltà di definizione agevolata con pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• ingiunto il pagamento integrale entro 30 giorni dalla notificazione, in mancanza della definizione agevolata;
• disposto la pubblicazione del provvedimento sul sito web del Garante;
• disposto l’annotazione nel registro interno delle violazioni e delle misure adottate.

Avverso il provvedimento è stato indicato il ricorso all’autorità giudiziaria ordinaria entro i termini di legge.