Ordinanza ingiunzione o revoca n. 585 del 09/10/2025

Ordine delle Professioni Infermieristiche di Pisa - pubblicazione online dell'albo con indirizzi di residenza degli iscritti

Il provvedimento riguarda l'Ordine delle Professioni Infermieristiche di Pisa, che ha diffuso sul proprio sito istituzionale una versione dell'albo professionale contenente l'indirizzo di residenza degli iscritti. Il procedimento è stato avviato a seguito di reclamo presentato da una professionista iscritta, che contestava la pubblicazione del proprio dato personale e di quello degli altri iscritti.

Origine del reclamo e attività istruttoria

La reclamante ha segnalato che l'albo pubblicato online dall'Ordine riportava, per ciascun professionista, anche l'indirizzo di residenza. Nell'istruttoria l'Ordine ha fornito spiegazioni diverse nel tempo: in una prima fase ha sostenuto che la pubblicazione fosse coerente con la normativa ordinistica e giustificata dall'esigenza di completezza informativa per i datori di lavoro e per evitare errori nelle comunicazioni; in una fase successiva ha invece affermato che si sarebbe trattato di un errore materiale, dovuto alla pubblicazione online di un file ad uso interno al posto della versione "ridotta" destinata alla consultazione pubblica.

L'Ordine ha dichiarato che l'elenco pubblicato online era stato poi aggiornato e sostituito con una versione priva dell'indirizzo di residenza. Ha inoltre rappresentato che il file contestato, pur rimosso dal sito, sarebbe rimasto reperibile tramite i motori di ricerca per effetto dell'indicizzazione o della cache.

Quadro normativo richiamato dal Garante

Il Garante ha richiamato, in via generale, gli artt. 5 e 6 GDPR, affermando che qualsiasi trattamento deve rispettare i principi di liceità, correttezza, trasparenza e minimizzazione e deve trovare una base giuridica adeguata. Per i soggetti pubblici il trattamento può essere lecito, in particolare, se necessario per adempiere un obbligo legale o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri (art. 6, par. 1, lett. c) ed e), GDPR), nel rispetto delle specifiche disposizioni nazionali di cui all'art. 6, par. 2 e 3, GDPR.

Quanto alla pubblicazione degli albi professionali, è stato richiamato l'art. 61, comma 2, del Codice privacy, che consente la comunicazione o diffusione dei dati personali diversi da quelli particolari solo se inseriti nell'albo in conformità alla legge o a un regolamento, con possibilità di menzionare l'esistenza di provvedimenti incidenti sull'esercizio della professione. È stato richiamato anche l'art. 2-ter del Codice, in tema di diffusione da parte di soggetti pubblici.

Valutazione di illiceità della diffusione dell'indirizzo di residenza

Secondo il Garante, l'indirizzo di residenza non è un'informazione necessaria per verificare l'effettiva iscrizione all'albo e l'abilitazione professionale. La finalità di interesse pubblico propria degli albi professionali può essere raggiunta in modo meno invasivo mediante l'indicazione di dati quali nome, cognome, data e luogo di nascita, e, se necessario per risolvere casi di omonimia, del codice fiscale. L'Autorità ha inoltre osservato che la stessa Federazione nazionale non pubblica la residenza degli iscritti.

Il Garante ha ritenuto quindi che la pubblicazione dell'indirizzo di residenza costituisse una diffusione online eccedente, non necessaria e sproporzionata, in violazione degli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. e), e parr. 2 e 3, GDPR, nonché dell'art. 2-ter del Codice privacy. Ha inoltre sottolineato che la diffusione online rende i dati liberamente accessibili a un numero potenzialmente illimitato di persone, con possibili rischi per la sfera personale e, nel contesto dei professionisti sanitari, anche per la loro incolumità.

Persistenza dell'accessibilità tramite motori di ricerca

Anche accettando la ricostruzione dell'Ordine circa la rimozione del file dal sito dopo poche ore, il Garante ha evidenziato che non vi è stata una tempestiva azione per impedire la consultazione della versione memorizzata o indicizzata dai motori di ricerca. Ne è derivato che l'albo contenente gli indirizzi di residenza è rimasto comunque accessibile per un periodo più ampio a chiunque effettuasse ricerche pertinenti.

L'Autorità ha dunque concluso che la diffusione online illecita è perdurata quantomeno dal momento della pubblicazione e fino a quando il file è rimasto reperibile attraverso i motori di ricerca.

Esito del procedimento e sanzione

Il Garante ha dichiarato l'illiceità del trattamento effettuato dall'Ordine e ha rilevato che non ricorrevano i presupposti per ulteriori misure correttive, poiché la condotta aveva ormai esaurito i propri effetti e la versione dell'albo con gli indirizzi di residenza non era più reperibile online.

Ai fini della sanzione, l'Autorità ha applicato l'art. 83, par. 2 e 3, GDPR, considerando:

• l'elevato numero di interessati coinvolti, pari a circa 3.600 professionisti;
• la durata estesa della violazione;
• il carattere colposo della condotta;
• la delicatezza del dato diffuso e i rischi connessi nel contesto dei professionisti sanitari;
• la scarsa cooperazione del titolare nella fase istruttoria;
• l'assenza di precedenti violazioni pertinenti.

Tenuto conto di tali elementi, ha determinato la sanzione amministrativa pecuniaria in euro 16.000, qualificandola come effettiva, proporzionata e dissuasiva.

Dispositivo

Il Garante ha:

• dichiarato, ai sensi dell'art. 57, par. 1, lett. f), GDPR, l'illiceità del trattamento;
• ordinato all'Ordine delle Professioni Infermieristiche di Pisa il pagamento di euro 16.000;
• ricordato la possibilità di definizione agevolata ex art. 166, comma 8, Codice privacy, con pagamento entro 30 giorni di un importo pari alla metà della sanzione;
• ingiunto il pagamento, in caso di mancata definizione, entro 30 giorni dalla notifica;
• disposto la pubblicazione dell'ordinanza ingiunzione sul sito del Garante;
• disposto la pubblicazione del provvedimento sul sito dell'Autorità;
• disposto l'annotazione delle violazioni e delle misure adottate nel registro interno.

Contro il provvedimento è ammesso ricorso all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all'estero.