Ordinanza ingiunzione o revoca n. 385 del 24/11/2022

Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Cagliari: comunicazione illecita di dati relativi alla sospensione per obbligo vaccinale

Il Garante ha esaminato il trattamento effettuato dall’Ordine in occasione della sospensione di un medico dall’esercizio professionale per mancato assolvimento dell’obbligo vaccinale anti SARS-CoV-2. Il procedimento è scaturito da un reclamo dell’interessato, che lamentava la trasmissione a una pluralità di destinatari non solo del provvedimento di sospensione, ma anche di documenti contenenti ulteriori dati personali e informazioni sul rapporto di lavoro con l’ATS Sardegna.

Fatti e svolgimento del procedimento

L’interessato, professionista iscritto all’Ordine e dipendente dell’ATS Sardegna come dirigente medico, ha segnalato che l’Ordine avrebbe ricevuto dall’azienda sanitaria sia l’atto di accertamento dell’inosservanza dell’obbligo vaccinale sia il provvedimento di sospensione dal servizio. Successivamente, con una nota inviata al reclamante e, per conoscenza, ad autorità ed enti indicati dal DPR 221/1950 e ai presidenti degli ordini professionali, l’Ordine avrebbe trasmesso anche la documentazione aziendale allegata, contenente dati particolari e dati relativi al rapporto di lavoro.

Nel corso dell’istruttoria l’Ordine ha sostenuto di avere agito in buona fede, in un contesto emergenziale e normativo complesso, ritenendo di dover comunicare integralmente il provvedimento e i relativi allegati per adempiere agli obblighi di legge. Ha inoltre richiamato l’art. 49, comma 2, del DPR 221/1950 e la disciplina emergenziale dell’art. 4 del d.l. 44/2021.

Quadro normativo applicato

Il Garante ha richiamato la disciplina generale del GDPR, in particolare:

• art. 5, par. 1, lett. a) e c), sul principio di liceità, correttezza, trasparenza e minimizzazione;
• art. 6, par. 1, lett. c) ed e), sulla base giuridica dei trattamenti da parte di soggetti pubblici;
• art. 9, par. 2, lett. g), per i dati appartenenti a categorie particolari.

È stato inoltre richiamato l’art. 2-ter del Codice privacy, nel testo vigente ratione temporis, secondo cui la comunicazione di dati personali a terzi da parte di soggetti pubblici è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, da regolamento. Per i dati particolari rilevano anche l’art. 2-sexies del Codice e le specifiche disposizioni di settore.

In relazione alla vicenda vaccinale, l’Autorità ha ricordato l’art. 4 del d.l. 44/2021, che al tempo dei fatti prevedeva l’accertamento dell’inosservanza dell’obbligo vaccinale da parte dell’azienda sanitaria e la comunicazione all’interessato, al datore di lavoro e all’Ordine professionale. Il comma 7 stabiliva che la sospensione fosse comunicata immediatamente all’interessato dall’Ordine. Il Garante ha richiamato anche la successiva nota interpretativa del Ministero della salute, che aveva chiarito come le comunicazioni relative agli atti di accertamento dell’inadempimento non dovessero essere inviate agli enti di cui all’art. 49 del DPR 221/1950, in quanto non aventi natura disciplinare.

Valutazioni del Garante sulla comunicazione all’Ordine e ai terzi

L’Autorità ha distinto due profili.

Da un lato, ha ritenuto che la sola comunicazione della sospensione ex lege agli enti destinatari individuati dal DPR 221/1950, tenuto conto dell’incertezza del quadro normativo e della successiva interpretazione ministeriale, non integrasse nel caso concreto una violazione, mancando la colpa.

Dall’altro lato, ha evidenziato che l’Ordine aveva trasmesso anche dati ulteriori rispetto a quelli necessari, in particolare:

• la mansione svolta dal reclamante;
• l’indicazione che non fosse possibile adibirlo ad altre mansioni;
• la possibile sospensione dal servizio senza retribuzione.

Tali informazioni, secondo il Garante, esulavano dall’ambito dell’art. 49, comma 2, del DPR 221/1950 e non potevano essere comunicate ai terzi destinatari. L’Ordine, in qualità di soggetto pubblico, non era legittimato a conoscere né a trasmettere tali dati, poiché il perimetro del trattamento consentito era limitato all’informazione sulla mancata vaccinazione e alla conseguente sospensione dall’esercizio della professione.

Irrilevanza della pretesa pubblicità dei dati e del richiamo alla trasparenza

L’Ordine aveva sostenuto che alcuni dati fossero già stati resi pubblici dall’interessato o comunque pubblicati dall’ATS Sardegna in applicazione del d.lgs. 33/2013. Il Garante ha respinto tale impostazione, ribadendo che la circostanza che dati personali siano stati diffusi in altri contesti o da altri soggetti non legittima, di per sé, una nuova comunicazione a terzi se manca la specifica base giuridica.

È stato inoltre ritenuto non pertinente il richiamo all’art. 17-bis del d.l. 18/2020, poiché nel caso di specie operava una disciplina di settore dettagliata che regolava in modo puntuale i flussi di dati tra azienda sanitaria, datore di lavoro e Ordine professionale.

Esclusione della natura sanitaria del dato sulla mancata vaccinazione

Il Garante ha anche escluso che, nel caso concreto, la comunicazione avesse riguardato dati relativi alla salute in senso proprio. L’informazione sulla mancata vaccinazione anti Covid-19, in assenza di riferimenti specifici a esenzioni o differimenti collegati a condizioni di salute, non è stata considerata di per sé un dato sanitario dell’interessato.

Esito: illecito del trattamento e sanzione

Conclusa l’istruttoria, il Garante ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice privacy, limitatamente alla comunicazione a terzi dei dati personali relativi alla sfera lavorativa del reclamante senza base giuridica.

Ai fini della quantificazione della sanzione sono stati considerati, tra l’altro:

• la condotta negligente dell’Ordine, che aveva trasmesso integralmente la documentazione aziendale senza valutarne pertinenza e base giuridica;
• il contesto emergenziale e la complessità del quadro normativo;
• il fatto che la violazione riguardasse un solo interessato;
• l’assenza di precedenti pertinenti.

Sulla base di tali elementi è stata irrogata una sanzione amministrativa pecuniaria di euro 3.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83 GDPR.

Dispositivo e rimedi

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dall’Ordine;
• ordinato il pagamento della sanzione di euro 3.000;
• precisato la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice privacy;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• ordinato l’annotazione nel registro interno delle violazioni e delle misure adottate.

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.