Ordinanza ingiunzione o revoca n. 102 del 22/02/2024

Ordine dei Medici Veterinari della Provincia di Latina: comunicazione illecita di sospensioni e irregolarità nella gestione del RPD

Il provvedimento riguarda l’Ordine dei Medici Veterinari della Provincia di Latina, destinatario di un reclamo ex art. 77 GDPR e di accertamenti d’ufficio del Garante. L’Autorità ha esaminato, da un lato, la trasmissione a tutti gli iscritti di deliberazioni contenenti la sospensione di alcuni professionisti per inadempimento dell’obbligo vaccinale anti SARS-CoV-2; dall’altro, la corretta designazione, comunicazione dei dati di contatto e pubblicazione del responsabile della protezione dei dati.

Origine del procedimento e attività istruttoria

Il reclamo è stato presentato da alcuni medici veterinari iscritti all’Ordine di Latina, i quali hanno lamentato che deliberazioni di sospensione adottate da altro Ordine provinciale fossero state prima ricevute dall’OMV di Latina e poi inoltrate via e-mail a tutti gli iscritti. Nel corso dell’istruttoria l’Ordine ha sostenuto che la trasmissione fosse avvenuta per mero errore materiale e che, in ogni caso, le finalità di trasparenza e di tutela della categoria giustificassero la comunicazione. Ha inoltre rappresentato di aver nominato un RPD e successivamente di averne comunicato i dati all’Autorità, precisando che il sito istituzionale era in manutenzione e che, in alternativa, il nominativo era stato pubblicato sulla pagina Facebook ufficiale.

L’Ufficio ha notificato l’avvio del procedimento per possibile violazione degli artt. 5, par. 1, lett. a), 6, 37, par. 7, 38, par. 6, GDPR e 2-ter Codice privacy, invitando l’Ordine a produrre memorie difensive. Dopo la memoria scritta e l’audizione, il Garante ha confermato i rilievi contestati.

Comunicazione dei provvedimenti di sospensione: assenza di base giuridica

L’Autorità ha richiamato il quadro normativo emergenziale vigente all’epoca dei fatti, in particolare l’art. 4 del d.l. 1° aprile 2021, n. 44, conv. in l. 28 maggio 2021, n. 76, che prevedeva l’accertamento dell’inosservanza dell’obbligo vaccinale da parte dell’ASL e la comunicazione della sospensione all’interessato da parte dell’Ordine professionale di appartenenza. Secondo il Garante, quella disciplina definiva in modo puntuale i flussi informativi necessari e non contemplava la comunicazione dei provvedimenti di sospensione agli altri iscritti dell’Ordine.

Il Garante ha ritenuto che la trasmissione integrale delle deliberazioni a tutti i professionisti iscritti all’OMV di Latina, avvenuta via e-mail, costituisse una comunicazione a terzi di dati personali priva di base giuridica e non necessaria per un compito di interesse pubblico o per l’esercizio di pubblici poteri. È stato inoltre escluso che potessero essere invocate generiche esigenze di trasparenza, poiché l’albo professionale è già liberamente consultabile anche online.

Ne consegue la violazione:

• dell’art. 5, par. 1, lett. a), GDPR, per difetto di liceità, correttezza e trasparenza;
• dell’art. 6 GDPR, per mancanza di base giuridica;
• dell’art. 2-ter Codice privacy, nel testo applicabile ratione temporis.

Esclusione della qualificazione come dati relativi alla salute

Pur essendo la vicenda collegata all’obbligo vaccinale anti SARS-CoV-2, il Garante ha precisato che, nel caso concreto, non risultavano comunicati dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR. La mancata vaccinazione, nel contesto normativo esaminato, non implicava di per sé la divulgazione di informazioni sanitarie riferibili a specifiche condizioni morbose o a esenzioni/differimenti per ragioni di salute.

Responsabile della protezione dei dati: tardiva comunicazione e mancata pubblicazione dei dati di contatto

L’Ordine aveva designato nel tempo tre diversi RPD. Il Garante ha rilevato che, in occasione della prima designazione, l’Ordine si era limitato a comunicarne l’avvenuta nomina senza indicare i dati di contatto; in occasione della seconda designazione, i dati di contatto del nuovo RPD erano stati trasmessi all’Autorità solo dopo 106 giorni dalla nomina e, comunque, dopo l’avvio dell’istruttoria.

Quanto alla pubblicazione, l’Autorità ha ritenuto non sufficiente la sola indicazione del nominativo sulla pagina Facebook dell’Ordine, poiché l’art. 37, par. 7, GDPR richiede la pubblicazione dei dati di contatto in un’area facilmente accessibile del sito istituzionale. L’asserita manutenzione del sito non è stata considerata giustificazione adeguata, in mancanza di prova che impedisse effettivamente la pubblicazione o che i dati fossero comunque reperibili altrove sul sito.

È stata pertanto accertata la violazione dell’art. 37, par. 7, GDPR.

RPD in conflitto di interessi

L’OMV di Latina aveva nominato RPD un soggetto che era anche membro del Consiglio direttivo dell’Ordine e che aveva partecipato alla deliberazione di nomina. Il Garante ha richiamato l’art. 38, par. 6, GDPR e le linee guida europee sul RPD, secondo cui il titolare deve assicurare che eventuali altri compiti non diano adito a conflitti di interesse.

Nel caso concreto, l’Ordine non ha dimostrato di aver adottato misure idonee a prevenire il conflitto. La partecipazione del componente del Consiglio direttivo alla deliberazione di nomina, unita al ruolo da lui svolto in un organo che decide anche sulle finalità e modalità del trattamento, ha portato l’Autorità a ritenere sussistente un conflitto di interessi incompatibile con l’incarico di RPD.

Il Garante ha inoltre chiarito che, anche ove la nomina del RPD fosse stata volontaria, i requisiti degli artt. 37-39 GDPR sarebbero comunque stati applicabili.

Valutazioni finali del Garante

L’Autorità ha concluso che le giustificazioni addotte dall’Ordine non erano sufficienti per archiviare il procedimento. Le condotte hanno esaurito i loro effetti e non sono state ritenute necessarie ulteriori misure correttive ex art. 58, par. 2, GDPR.

È stata quindi dichiarata l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 6, 37, par. 7, 38, par. 6, GDPR e 2-ter Codice privacy.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha distinto due condotte ai fini sanzionatori.

Per la comunicazione ai propri iscritti delle deliberazioni di sospensione:

• è stata applicata l’art. 83, par. 3, GDPR, trattandosi di una condotta unitaria;
• il massimo teorico era quello previsto dall’art. 83, par. 5, GDPR, pari a 20.000.000 euro;
• la sanzione è stata quantificata in 2.000 euro, tenendo conto del numero limitato di interessati, dell’errore materiale, del basso livello di gravità, della cooperazione e dell’assenza di precedenti.

Per le violazioni relative al RPD:

• il massimo teorico era quello dell’art. 83, par. 4, GDPR, pari a 10.000.000 euro;
• la sanzione è stata determinata in 5.000 euro, considerando la gravità media della violazione, la pronta regolarizzazione, le dimensioni contenute dell’Ordine e l’assenza di precedenti.

La sanzione complessiva ingiunta è quindi pari a 5.000 euro, con possibilità di definizione agevolata mediante pagamento della metà entro 30 giorni ai sensi dell’art. 166, comma 8, Codice privacy.

Pubblicazione del provvedimento e mezzi di impugnazione

Il Garante ha disposto la pubblicazione del provvedimento sul proprio sito web, ai sensi dell’art. 166, comma 7, Codice privacy, ritenendo sussistenti i presupposti del Regolamento interno n. 1/2019. È stato infine ricordato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all’estero.