Ordinanza ingiunzione o revoca n. 547 del 12/09/2024

Ordine delle Professioni Infermieristiche di Gorizia: trattamento illecito di dati personali, comunicazione al datore di lavoro e omessa informativa

Il provvedimento riguarda l’Ordine delle Professioni Infermieristiche di Gorizia, destinatario di un reclamo ex art. 77 GDPR presentato da un militare dell’Arma dei Carabinieri. Il Garante ha esaminato una serie di trattamenti connessi a istanze di accesso civico generalizzato e segnalazioni inviate dall’interessato e dalla sua coniuge, sfociati nella comunicazione di dati personali a più OPI regionali e, in particolare, al Comando Legione presso cui il reclamante presta servizio.

Origine del procedimento e fatti contestati

Il reclamante ha lamentato che l’Ordine e gli altri OPI del Friuli Venezia Giulia avessero trattato e condiviso dati personali in assenza di base giuridica, includendo informazioni sulla sua professione e sul datore di lavoro, nonché dati relativi alla coniuge. Ha inoltre contestato la mancata informativa sul trattamento dei dati personali e l’assenza di riscontro alla richiesta di accesso ai dati personali presentata ai sensi degli artt. 12 e 15 GDPR.

L’Autorità ha ricostruito che l’Ordine, anche tramite ricerche online, aveva acquisito informazioni sulla professione del reclamante e le aveva successivamente utilizzate nel contesto delle vicende oggetto di reclamo. Inoltre, una nota congiunta sottoscritta dai Presidenti degli OPI regionali era stata inviata al Comando Legione per rappresentare le condotte del reclamante e alcune informazioni riferite alla coniuge.

Trattamento dei dati relativi alla professione e al datore di lavoro

Il Garante ha precisato che, sebbene i soggetti pubblici possano trattare dati personali quando ciò sia necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, nel caso concreto l’acquisizione di informazioni sulla professione e sul datore di lavoro del reclamante non era necessaria ai fini dei procedimenti amministrativi relativi alle istanze e segnalazioni.

L’Autorità ha quindi ritenuto che la consultazione di motori di ricerca e di documenti pubblicamente disponibili costituisse un trattamento di dati personali privo di idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice privacy.

Comunicazione dei dati agli altri OPI e al Comando Legione

Il Garante ha accertato anche la comunicazione dei dati personali del reclamante e della coniuge agli altri OPI del Friuli Venezia Giulia. Non ha accolto la difesa secondo cui le informazioni sarebbero state comunque pubbliche o reperibili in rete: per l’Autorità, la pubblicazione online di dati relativi a procedimenti di accesso non consente la diffusione nominativa indiscriminata dei medesimi dati, dovendo comunque essere oscurati i dati personali eventualmente presenti nei registri o negli atti pubblicati.

Quanto alla nota indirizzata al Comando Legione, il Garante ha rilevato che essa conteneva non solo riferimenti alle istanze e segnalazioni del reclamante, ma anche informazioni ulteriori, tra cui la professione della coniuge, la sua iscrizione all’Ordine e il rapporto di coniugio. Tale comunicazione è stata considerata non necessaria per obblighi di legge o compiti di interesse pubblico e quindi illecita ai sensi degli artt. 5, par. 1, lett. a), e 6 GDPR, oltre che dell’art. 2-ter Codice privacy.

Il richiamo al legittimo interesse dell’ente è stato espressamente escluso, poiché l’art. 6, par. 1, lett. f), non si applica ai trattamenti effettuati da autorità pubbliche nell’esecuzione dei loro compiti.

Contitolarità del trattamento e mancato accordo interno

Poiché la nota al Comando Legione risultava sottoscritta congiuntamente dai Presidenti di più OPI, il Garante ha ritenuto che gli enti avessero determinato insieme finalità e mezzi del trattamento e dovessero essere qualificati come contitolari ai sensi dell’art. 4, n. 7, e dell’art. 26 GDPR.

Tuttavia, gli OPI non avevano stipulato un accordo interno che disciplinasse in modo trasparente le rispettive responsabilità, l’esercizio dei diritti dell’interessato e le funzioni informative. È stata quindi accertata la violazione dell’art. 26, parr. 1 e 2, GDPR.

Mancata informativa e mancato riscontro all’istanza di accesso

Il Garante ha ritenuto che l’Ordine avesse omesso di fornire al reclamante e alla coniuge le informative dovute ai sensi degli artt. 13 e 14 GDPR. L’informativa pubblicata sul sito istituzionale è stata giudicata riferita al solo trattamento dei dati degli utenti del sito e quindi non pertinente rispetto ai trattamenti oggetto di reclamo.

Parimenti, l’Ordine non ha fornito un adeguato riscontro all’istanza di accesso ai dati personali presentata dal reclamante. La nota evocata dall’Ordine riguardava infatti un diverso procedimento di accesso documentale ai sensi della legge n. 241/1990 e non rispondeva ai requisiti degli artt. 12 e 15 GDPR. È stata quindi accertata anche la violazione dell’art. 12, parr. 3 e 4, oltre che dell’art. 15, par. 1, GDPR.

Valutazione finale, sanzione e misure accessorie

Il Garante ha concluso che le dichiarazioni difensive del titolare, pur tenendo conto del contesto organizzativo e dell’emergenza pandemica, non erano sufficienti a superare i rilievi contestati. Ha quindi dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 6, 12, parr. 3 e 4, 13, 14, 15, par. 1, e 26, parr. 1 e 2, GDPR, nonché dell’art. 2-ter del Codice privacy.

Ai fini sanzionatori, l’Autorità ha considerato:

• la gravità della comunicazione al datore di lavoro del reclamante, per le possibili ripercussioni lavorative;
• il fatto che il trattamento fosse stato posto in essere da un soggetto pubblico, ma al di fuori delle proprie competenze istituzionali;
• l’assenza di dati particolari ex art. 9 GDPR e di dati relativi a reati ex art. 10 GDPR;
• la buona cooperazione del titolare;
• l’assenza di precedenti violazioni pertinenti;
• le ridotte dimensioni e le limitate risorse economiche e organizzative dell’Ordine.

Ha ritenuto il livello di gravità medio e ha applicato una sanzione amministrativa pecuniaria di euro 5.000, ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, oltre alla pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy. Non sono state disposte ulteriori misure correttive, poiché la condotta aveva già esaurito i propri effetti.