Ordinanza ingiunzione o revoca n. 110 del 22/02/2024

Ordine dei Medici Chirurghi e degli Odontoiatri di Padova - comunicazione illecita della sospensione vaccinale di una professionista

Il provvedimento riguarda l'Ordine dei Medici Chirurghi e degli Odontoiatri della provincia di Padova, sanzionato per aver comunicato a soggetti terzi la sospensione dall'esercizio professionale di una medico per mancato possesso del requisito vaccinale anti SARS-CoV-2. Il procedimento trae origine da un reclamo dell'interessata ex art. 77 GDPR.

Origine del reclamo e fatti contestati

La reclamante lamentava che l'Ordine avesse inviato la delibera di sospensione a numerosi soggetti pubblici e che non le fosse stata fornita un'informativa adeguata sul trattamento dei dati personali. In istruttoria, l'Ordine ha precisato di aver trasmesso la comunicazione di sospensione ex art. 4, comma 7, del d.l. 44/2021 sia all'interessata sia a diversi enti e autorità, sostenendo che tali invii fossero giustificati dal contesto emergenziale e dal ruolo istituzionale degli organi coinvolti nella gestione della pandemia.

Quadro normativo richiamato

Il Garante richiama i principi e le basi giuridiche del GDPR e del Codice privacy applicabili ai soggetti pubblici:

• art. 5, par. 1, lett. a) e c), GDPR, su liceità, correttezza, trasparenza e minimizzazione;
• art. 6, par. 1, lett. c) ed e), e par. 2 e 3, GDPR;
• art. 9, par. 2, lett. g), GDPR, per i dati particolari;
• artt. 2-ter e 2-sexies del Codice privacy.

È inoltre richiamato il quadro emergenziale dell'art. 4 del d.l. 44/2021, nel testo vigente all'epoca dei fatti, che prevedeva il controllo dell'adempimento dell'obbligo vaccinale da parte dell'azienda sanitaria locale, la comunicazione all'interessato, al datore di lavoro e all'Ordine, nonché la comunicazione immediata della sospensione all'interessato da parte dell'Ordine. È menzionato anche il d.P.R. 221/1950, art. 49, comma 2, relativo alle comunicazioni dei provvedimenti definitivi di sospensione e radiazione agli organi e alle autorità ivi indicate.

Valutazione sulle comunicazioni agli enti previsti dall'art. 49 d.P.R. 221/1950

Il Garante osserva che, alla luce dei successivi chiarimenti del Ministero della Salute, le comunicazioni relative alla sospensione per inadempimento vaccinale non avevano natura disciplinare e non dovevano essere inviate agli enti di cui all'art. 49 del d.P.R. 221/1950. Tuttavia, poiché al momento dei fatti il quadro interpretativo era ancora incerto, e considerata la buona fede dell'Ordine, l'Autorità esclude la colpa e non ritiene sussistente una violazione sanzionabile per questo specifico profilo.

Comunicazioni eccedenti e assenza di base giuridica

Diverso è il giudizio sulle comunicazioni inviate anche a soggetti non contemplati dalla disciplina di settore: Assessore regionale alla sanità, Questore, Sindaco, Direttore generale e Direttore sanitario dell'ULSS. Per tali invii l'Ordine non ha indicato una norma specifica che ne imponesse o consentisse la trasmissione.

Il Garante esclude che tali comunicazioni possano trovare fondamento:

• nell'art. 4 del d.l. 44/2021, perché la norma definiva in modo puntuale i flussi informativi ammessi;
• nell'art. 17-bis del d.l. 18/2020, perché la disposizione non superava il requisito della necessità né i principi di minimizzazione;
• nell'art. 2-ter, comma 1-bis, del Codice, perché non può essere invocato in astratto per ampliare oltre i limiti normativi i trattamenti effettuati dalla pubblica amministrazione.

Ne consegue la violazione degli artt. 5, par. 1, lett. a), e 6, par. 1, lett. c) ed e), nonché dei parr. 2 e 3, lett. b), del GDPR e dell'art. 2-ter del Codice.

Dati relativi alla salute e natura dell'informazione trasmessa

L'Autorità precisa che, nel caso concreto, la comunicazione non ha comportato la divulgazione di dati relativi alla salute in senso stretto, poiché la mancata vaccinazione anti SARS-CoV-2 non risultava collegata a specifiche ragioni di esenzione o differimento legate a condizioni morbose dell'interessata. Ciò non esclude però l'illiceità della comunicazione eccedente di un dato personale riferito alla sospensione professionale.

Esito del procedimento e sanzione

Il Garante dichiara l'illiceità del trattamento limitatamente alla comunicazione dei dati personali effettuata in assenza di base giuridica e in violazione dei principi di liceità, correttezza e trasparenza.

Ai fini della sanzione, l'Autorità applica l'art. 83, par. 3, GDPR, rilevando che la condotta deriva da un'unica azione e che tutte le violazioni contestate ricadono nell'art. 83, par. 5, GDPR, con massimale astratto fino a 20 milioni di euro. Nella quantificazione concreta vengono valorizzati:

• il coinvolgimento di un solo interessato;
• il carattere colposo della violazione;
• il contesto emergenziale e la complessità del quadro normativo;
• l'assenza di dati sanitari in senso stretto;
• la cooperazione dell'Ordine;
• l'assenza di precedenti pertinenti.

La sanzione è determinata in euro 5.000.

Misure accessorie e termini

Il Garante dispone la pubblicazione del provvedimento sul sito istituzionale dell'Autorità, ai sensi dell'art. 166, comma 7, del Codice e del Regolamento n. 1/2019. L'Ordine è informato della possibilità di definire la controversia pagando, entro 30 giorni, la metà della sanzione comminata, mentre in caso contrario deve versare l'importo integrale entro 30 giorni dalla notificazione, con le conseguenze esecutive previste dalla legge.

Conclusione operativa

Per i professionisti privacy e per le pubbliche amministrazioni, il provvedimento ribadisce un principio di rilievo sistemico: nei trattamenti effettuati da soggetti pubblici, anche in contesti emergenziali, non è sufficiente invocare la finalità di interesse pubblico o la tutela della salute. Occorre sempre che la comunicazione a terzi sia espressamente prevista dalla legge o comunque strettamente necessaria nei limiti fissati dalla disciplina di settore, senza estensioni analogiche dei flussi informativi.