Prescrizioni del Garante n. 194 del 17/05/2023

Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Rimini: comunicazioni illecite nel procedimento di sospensione per mancato obbligo vaccinale

Il provvedimento riguarda il trattamento di dati personali effettuato dall’Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Rimini nell’ambito della sospensione di un odontoiatra per mancato adempimento dell’obbligo vaccinale anti SARS-CoV-2. Il procedimento origina da un reclamo presentato dall’interessato ex art. 77 GDPR e verte su tre profili: annotazione della sospensione nell’albo online, comunicazione del provvedimento a soggetti pubblici e trasmissione al Comune di Rimini di informazioni sulla positività al Covid-19.

Origine del reclamo e svolgimento del procedimento

Il reclamante, professionista iscritto all’Ordine, rappresenta di essere stato sospeso dall’esercizio della professione per non essersi sottoposto alla vaccinazione obbligatoria. Contesta che l’annotazione nell’albo online avesse reso pubbliche informazioni riservate e che la delibera di sospensione fosse stata inviata a numerose autorità e amministrazioni, con conseguente diffusione di dati personali e, in particolare, di dati relativi alla salute.

Nel corso dell’istruttoria, l’Ordine sostiene di avere agito in un quadro normativo complesso e mutevole, richiamando la disciplina emergenziale sull’obbligo vaccinale, il ruolo del Sindaco quale autorità sanitaria locale, l’art. 17-bis del d.l. 18/2020 e il consenso informato raccolto dall’interessato. L’Autorità avvia il procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando la possibile violazione degli artt. 5, 6 e 9 GDPR, oltre agli artt. 2-ter e 2-sexies del Codice.

Quadro giuridico applicato dal Garante

Il Garante ricostruisce il regime applicabile ai soggetti pubblici, ricordando che il trattamento è lecito solo se necessario per adempiere un obbligo legale o per eseguire un compito di interesse pubblico o connesso all’esercizio di pubblici poteri. Per le comunicazioni e diffusioni di dati da parte di soggetti pubblici, richiama l’art. 2-ter del Codice; per i dati appartenenti a categorie particolari, l’art. 9 GDPR e l’art. 2-sexies del Codice.

Viene poi esaminata la disciplina speciale dell’art. 4 del d.l. 44/2021, vigente all’epoca dei fatti, che prevedeva la sospensione dal diritto di svolgere prestazioni o mansioni per gli esercenti le professioni sanitarie inadempienti all’obbligo vaccinale e la comunicazione all’interessato da parte dell’Ordine. Il Garante richiama anche la nota interpretativa del Ministero della salute e il successivo intervento del d.P.C.M. 17 dicembre 2021, che ha chiarito che l’annotazione della sospensione negli albi deve avvenire senza ulteriori specificazioni idonee a rivelare il mancato rispetto dell’obbligo vaccinale.

Annotazione della sospensione nell’albo online

L’Ordine aveva annotato la sospensione con un riferimento espresso al d.l. 44/2021 e con indicazione della durata. Il Garante osserva che tale annotazione è avvenuta prima dell’entrata in vigore della disposizione che imponeva l’annotazione sintetica e senza ulteriori specificazioni. Sottolinea inoltre che non vi è prova che l’Ordine non abbia poi conformato le proprie procedure alla disciplina sopravvenuta.

Sul punto, l’Autorità ritiene che, in ragione del quadro normativo in evoluzione e delle difficoltà interpretative del periodo emergenziale, difettasse l’elemento soggettivo della colpa. Aggiunge che l’informazione sulla mancata vaccinazione, in sé considerata e senza ulteriori dettagli clinici o indicazioni di esenzione/differimento, non integra necessariamente un dato relativo alla salute; pertanto, la mera annotazione della sospensione non ha comportato, in questo caso, diffusione illecita di dati sanitari.

Comunicazioni ai soggetti previsti dall’art. 49 del d.P.R. 221/1950

L’Ordine aveva trasmesso la delibera di sospensione ai soggetti indicati dall’art. 49, comma 2, del d.P.R. 221/1950, tra cui autorità statali e enti della categoria. Il Garante osserva che il Ministero della salute aveva successivamente chiarito che gli atti di accertamento dell’inadempimento dell’obbligo vaccinale non hanno natura disciplinare e che, perciò, le relative comunicazioni non dovevano essere inviate anche agli enti di cui a quella norma.

Nonostante ciò, il Garante esclude la violazione anche per il solo fatto che la comunicazione era stata effettuata prima di tali chiarimenti e in un contesto di oggettiva incertezza normativa, con conseguente difetto della colpa. Anche per questo profilo, viene precisato che la comunicazione non ha comportato la diffusione di dati sanitari dell’interessato.

Comunicazioni eccedenti a ulteriori enti pubblici

Più critica è la valutazione sulla trasmissione della delibera anche a soggetti non contemplati dall’art. 49 del d.P.R. 221/1950, e cioè all’Assessore regionale alla sanità, al Questore di Rimini, al Sindaco, al Direttore generale e al Direttore sanitario dell’AUSL della Romagna. Il Garante osserva che l’Ordine non ha indicato una norma di legge o di regolamento che imponesse o consentisse in modo specifico tale comunicazione.

Sono ritenuti non pertinenti i richiami alla normativa che disciplina il Sindaco quale autorità sanitaria locale e all’art. 17-bis del d.l. 18/2020, perché non fondano un obbligo o un potere comunicativo dell’Ordine verso quei destinatari. La comunicazione viene quindi qualificata come non necessaria e priva di base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 GDPR e dell’art. 2-ter del Codice.

Comunicazione al Comune di Rimini della positività al SARS-CoV-2

L’Ordine aveva inoltre comunicato al Comune di Rimini che la sospensione era stata revocata perché l’interessato aveva trasmesso documentazione comprovante la sua positività al Covid-19 e, quindi, l’impossibilità ad adempiere all’obbligo vaccinale. Il Garante ritiene che, per informare il Comune della revoca del proprio provvedimento, sarebbe stato sufficiente comunicare la cessazione della sospensione, senza indicare la specifica ragione sanitaria sottostante.

La base giuridica invocata dall’Ordine viene esclusa: il consenso non è utilizzabile da un soggetto pubblico nell’esercizio delle proprie funzioni istituzionali, per il difetto di reale libertà della manifestazione di volontà e per la specifica inconferenza del modulo di consenso prodotto in atti. Di conseguenza, la trasmissione al Comune di dati relativi alla salute viene qualificata come trattamento illecito, in violazione degli artt. 5, 6 e 9 GDPR e degli artt. 2-sexies del Codice.

Valutazione finale, sanzione e misura applicata

Pur confermando l’illiceità del trattamento limitatamente alle comunicazioni prive di base giuridica, il Garante ritiene che le circostanze del caso rendano la violazione una “violazione minore” ai sensi del considerando 148 GDPR e delle linee guida del WP29 sulle sanzioni amministrative. Valuta infatti:

• il numero limitato degli interessati;
• la natura in gran parte già conosciuta dei dati diffusi;
• la buona fede dell’Ordine, operante in un quadro emergenziale complesso;
• la finalità, in parte favorevole all’interessato, di sollecitare la revoca del provvedimento comunale;
• la collaborazione con l’Autorità;
• l’assenza di precedenti violazioni analoghe.

Non vengono irrogate sanzioni pecuniarie né adottate ulteriori misure correttive, poiché la condotta aveva già esaurito i propri effetti. L’Autorità si limita quindi a dichiarare l’illiceità del trattamento e ad ammonire l’Ordine ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Dispositivo e tutela giurisdizionale

Nel dispositivo, il Garante:

• dichiara l’illiceità del trattamento effettuato dall’Ordine per violazione degli artt. 5, 6 e 9 GDPR, nonché degli artt. 2-ter e 2-sexies del Codice, nei limiti motivati;
• ammonisce l’Ordine quale titolare del trattamento;
• rileva i presupposti per la pubblicazione del provvedimento ai sensi dell’art. 17 del Regolamento n. 1/2019.

È indicata la possibilità di proporre ricorso all’autorità giudiziaria ordinaria entro i termini previsti dagli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. 150/2011.