Ordinanza ingiunzione o revoca n. 288 del 09/05/2024

Ordine dei Tecnici Sanitari di Radiologia Medica di Mantova: email inviata in chiaro a 40 professionisti sul requisito vaccinale anti SARS-CoV-2

Il provvedimento riguarda l’Ordine dei Tecnici Sanitari di Radiologia Medica e delle Professioni Sanitarie Tecniche, della Riabilitazione e della Prevenzione della provincia di Mantova, sanzionato per avere inviato una comunicazione email a più professionisti in modo da rendere visibili a ciascuno gli indirizzi degli altri destinatari e da far desumere il mancato possesso del requisito vaccinale anti SARS-CoV-2. Il caso nasce da un reclamo dell’interessato ed è stato istruito dal Garante nel contesto della normativa emergenziale sull’obbligo vaccinale per gli esercenti le professioni sanitarie.

Origine del procedimento e fatti contestati

Il reclamante ha riferito di avere ricevuto dall’Ordine un avviso di sospensione dall’albo per inadempimento dell’obbligo vaccinale, con informazione che la sospensione sarebbe stata comunicata anche al datore di lavoro. Successivamente, l’Ordine ha inviato una email ai professionisti interessati chiedendo di indicare i dati identificativi del datore di lavoro ai fini della comunicazione prevista dalla normativa. L’email è stata però spedita con tutti i destinatari visibili nel campo "A", e non in copia nascosta, consentendo a ciascuno di conoscere gli indirizzi email altrui e di comprendere che la richiesta era collegata alla verifica del requisito vaccinale.

Attività istruttoria e difese dell’Ordine

L’Ordine ha sostenuto che si era trattato di un mero errore materiale, avvenuto in un contesto emergenziale e organizzativamente complesso, e che la comunicazione non conteneva dati sensibili né indicazioni esplicite sullo stato vaccinale. Ha inoltre rappresentato che i dati sarebbero stati comunque annotati nell’albo e che, pertanto, i destinatari non avrebbero appreso informazioni destinate a rimanere riservate. Nel corso dell’audizione, l’ente ha ribadito la buona fede e la finalità di tutela della salute pubblica.

Quadro normativo di riferimento

Il Garante ha richiamato il Regolamento (UE) 2016/679, in particolare gli artt. 5, par. 1, lett. a) e c), 6, 9, 29, 32, 58 e 83, nonché il Codice privacy, con riferimento agli artt. 2-ter, 2-sexies, 166 e 168. È stata richiamata la disciplina emergenziale sull’obbligo vaccinale per il personale sanitario, in particolare l’art. 4 del d.l. 1° aprile 2021, n. 44, come modificato dal d.l. 26 novembre 2021, n. 172, e la successiva disciplina di annotazione della sospensione senza ulteriori specificazioni. Il provvedimento richiama anche il parere reso dal Garante sullo schema di d.P.C.M. attuativo del 2021.

Valutazione dell’illiceità della comunicazione

L’Autorità ha ritenuto che, anche se la richiesta di comunicare il datore di lavoro si collocava nell’ambito della normativa di settore, l’invio della email con i destinatari in chiaro abbia determinato una comunicazione di dati personali a soggetti terzi non legittimati. La condotta è stata quindi qualificata come trattamento non conforme ai principi di liceità, correttezza e trasparenza e privo di idonea base giuridica. Il Garante ha valorizzato il fatto che la diffusione degli indirizzi email e la riconducibilità della richiesta alla verifica del requisito vaccinale fossero agevolmente percepibili da tutti i destinatari.

Esclusione della comunicazione di dati relativi alla salute

L’Autorità ha escluso che la comunicazione integrasse, nel caso concreto, un trattamento di dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15 GDPR. La mancata vaccinazione, nel contesto descritto, non consentiva infatti di inferire specifiche condizioni cliniche, esenzioni o differimenti legati a patologie. Il provvedimento precisa che l’annotazione della sospensione nell’albo doveva avvenire senza ulteriori indicazioni idonee a rivelare il mancato rispetto dell’obbligo vaccinale.

Sanzione amministrativa e criteri di quantificazione

Poiché la violazione è derivata da un’unica condotta, il Garante ha applicato l’art. 83, par. 3 GDPR. Ai fini della quantificazione, sono stati considerati il numero degli interessati coinvolti, la natura colposa dell’errore, l’assenza di precedenti del titolare, la cooperazione con l’Autorità e le ridotte dimensioni organizzative dell’Ordine, operante in un quadro emergenziale e normativo in evoluzione. In applicazione dell’art. 83, par. 1 e 2 GDPR, la sanzione è stata determinata in euro 3.000.

Esito finale, misure accessorie e rimedi

Il Garante ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice privacy, e ha ordinato al destinatario il pagamento della sanzione pecuniaria di euro 3.000. È stata disposta anche la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità. Il provvedimento indica inoltre la facoltà di definire la controversia con il pagamento della metà della sanzione entro 30 giorni e disciplina i termini per l’eventuale ricorso all’autorità giudiziaria ordinaria.