Ordinanza ingiunzione o revoca n. 419 del 14/09/2023

Azienda Sanitaria dell'Alto Adige: tardivo riscontro a una richiesta di esercizio dei diritti GDPR in materia di verifica dell'obbligo vaccinale

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un dirigente medico nei confronti dell'Azienda Sanitaria dell'Alto Adige, relativo al mancato tempestivo riscontro a una richiesta di esercizio dei diritti ex artt. 15-22 GDPR presentata in relazione ai trattamenti dei suoi dati connessi all'accertamento dell'inosservanza dell'obbligo vaccinale anti Sars-Cov-2 e alla conseguente sospensione dal servizio.

Origine della controversia

L'interessato aveva chiesto informazioni e riscontro sulla liceità e correttezza dei trattamenti effettuati dall'Azienda nell'ambito della procedura di verifica dell'obbligo vaccinale prevista dall'art. 4 del d.l. 1° aprile 2021, n. 44. In particolare, aveva esercitato i diritti di cui agli artt. 15, 16, 17 e 19 GDPR, senza ricevere risposta nei tempi previsti.

Il Garante, con nota istruttoria, aveva invitato l'Azienda, in qualità di titolare del trattamento, a dare riscontro all'interessato e a comunicare le proprie determinazioni.

Riscontro fornito dall'Azienda e spiegazione del ritardo

Nel corso dell'istruttoria, l'Azienda ha trasmesso al Garante una nota di risposta all'interessato, scusandosi per l'accaduto e attribuendo il ritardo a un disguido organizzativo interno: l'istanza non era stata inoltrata alla struttura aziendale competente per la gestione delle istanze privacy.

L'Azienda ha inoltre rappresentato che:

• era stata resa disponibile ai dipendenti un'informativa interna sulla gestione dell'art. 4 del d.l. 44/2021;
• nel caso concreto il Dipartimento di prevenzione aveva comunicato l'atto di accertamento dell'inosservanza dell'obbligo vaccinale, e l'Azienda aveva poi comunicato la sospensione dal servizio e dalla retribuzione;
• la richiesta di rettifica non poteva essere accolta, poiché, secondo l'Azienda, mancava documentazione idonea a giustificare la mancata vaccinazione;
• la richiesta di cancellazione non poteva essere accolta in quanto l'Azienda non tratterebbe i dati dei dipendenti sulla base del consenso, ma sulla base del quadro normativo di settore.

Quadro normativo richiamato

Il provvedimento richiama in particolare:

• gli artt. 15-22 GDPR, che disciplinano i diritti dell'interessato;
• l'art. 12, par. 3, GDPR, che impone al titolare di rispondere senza ingiustificato ritardo e comunque entro un mese;
• l'art. 12, par. 4, GDPR, relativo all'obbligo di informare l'interessato dei motivi dell'eventuale mancato accoglimento e della possibilità di reclamo e ricorso;
• l'art. 17, par. 1, lett. a) e d), GDPR, sulla cancellazione dei dati;
• l'art. 58, par. 2, lett. i), e l'art. 83 GDPR, per il potere sanzionatorio;
• l'art. 166 del Codice privacy, per il procedimento sanzionatorio nazionale e la pubblicazione del provvedimento.

Il Garante richiama anche il contesto normativo speciale dell'art. 4 del d.l. 44/2021, nella versione applicabile ratione temporis, e del successivo d.l. 24/2022, senza però entrare nel merito della liceità sostanziale dei trattamenti relativi all'obbligo vaccinale.

Valutazioni del Garante sulla violazione

L'Autorità ha ritenuto che il diritto di accesso e gli altri diritti previsti dal GDPR servano a consentire all'interessato di essere consapevole del trattamento e di verificarne la liceità. Anche nell'ambito del rapporto di lavoro, il ritardo nel riscontro incide sulla possibilità di controllare l'uso dei dati personali.

Pur prendendo atto che l'Azienda aveva poi fornito un riscontro e che il ritardo era stato causato da un problema organizzativo, il Garante ha accertato che la risposta era stata resa ben oltre il termine di un mese previsto dall'art. 12, par. 3, GDPR e solo dopo l'intervento dell'Autorità. Da ciò ha desunto l'illiceità del trattamento per mancato tempestivo riscontro alla richiesta dell'interessato.

Esito del procedimento e misure adottate

Il Garante ha ritenuto che non vi fossero i presupposti per misure correttive ulteriori, perché la condotta aveva ormai esaurito i suoi effetti. Ha invece applicato la sanzione amministrativa pecuniaria ai sensi dell'art. 83, par. 5, GDPR.

Ai fini della quantificazione, sono stati considerati:

• la particolare delicatezza del dato trattato, relativo alla mancata vaccinazione;
• il pregiudizio subito dall'interessato anche per la risonanza sulla stampa locale;
• l'assenza di precedenti specifici sul medesimo oggetto;
• il fatto che la violazione abbia riguardato un solo interessato;
• la natura organizzativa del disguido che ha causato il ritardo;
• il fatto che, sebbene tardivamente, l'Azienda abbia comunque fornito le informazioni richieste.

L'importo della sanzione è stato fissato in euro 10.000, qualificato come adeguato ai criteri di effettività, proporzionalità e dissuasività di cui all'art. 83, par. 1, GDPR. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante ai sensi dell'art. 166, comma 7, del Codice privacy.

Dispositivo

Il Garante ha quindi:

• dichiarato l'illiceità del trattamento per violazione dell'art. 12, par. 3, GDPR;
• ordinato all'Azienda Sanitaria dell'Alto Adige il pagamento della sanzione amministrativa pecuniaria di euro 10.000;
• ricordato la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell'art. 166, comma 8, del Codice privacy;
• ingiunto il pagamento, in mancanza di definizione, entro 30 giorni dalla notificazione del provvedimento;
• disposto la pubblicazione del provvedimento sul sito web del Garante.

Avverso il provvedimento è ammesso ricorso all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.