Ordinanza ingiunzione o revoca n. 546 del 12/09/2024

Ordine delle Professioni Infermieristiche di Pordenone: trattamento illecito di dati e mancato riscontro a istanza di accesso

Il Garante per la protezione dei dati personali ha accertato una pluralità di violazioni commesse dall’Ordine delle Professioni Infermieristiche di Pordenone in relazione ai dati personali di un militare dell’Arma dei Carabinieri e della sua coniuge. Il procedimento trae origine da un reclamo ex art. 77 GDPR e riguarda l’acquisizione di dati reperiti online, la loro comunicazione ad altri OPI e al Comando Legione, la mancata contitolarità formalizzata e l’insufficiente riscontro a un’istanza di accesso ex art. 15 GDPR.

Origine del procedimento e svolgimento istruttorio

Il reclamante ha riferito che presso il proprio Comando era pervenuta una PEC con una nota sottoscritta dal Presidente dell’Ordine e dai presidenti di altri OPI regionali, contenente riferimenti alle sue istanze di accesso civico generalizzato, alle segnalazioni presentate da lui e dalla coniuge, nonché informazioni sulla professione della coniuge e sulla sua appartenenza all’Arma dei Carabinieri. Il reclamante ha contestato l’assenza di una base giuridica per tali comunicazioni, la mancata informativa e il mancato riscontro a una richiesta di accesso ai dati personali.

Nel corso dell’istruttoria, l’Ordine ha sostenuto, in sintesi, di trovarsi in una situazione organizzativa eccezionale, aggravata dagli adempimenti connessi all’emergenza pandemica e dai numerosi accessi e reclami del reclamante. Ha affermato di aver agito per tutelare il buon andamento dell’ente, di avere tratto alcune informazioni da ricerche online e di avere già fornito un riscontro all’istanza di accesso.

Trattamento dei dati relativi alla professione e al datore di lavoro del reclamante

Il Garante ha ritenuto illecito il trattamento relativo alla professione e al datore di lavoro del reclamante, acquisiti tramite ricerche online e conservati dall’Ordine. Pur essendo informazioni reperibili in rete, esse non risultavano necessarie per la gestione delle istanze di accesso civico e delle segnalazioni presentate dall’interessato.

Secondo l’Autorità, tale trattamento non era fondato su alcuna base giuridica idonea e non rispettava il principio di liceità, correttezza e trasparenza sancito dall’art. 5, par. 1, lett. a), GDPR. È stata quindi ravvisata la violazione anche dell’art. 6 GDPR e dell’art. 2-ter del Codice privacy.

Comunicazione dei dati agli altri OPI del Friuli Venezia Giulia

L’Ordine ha condiviso con gli altri OPI regionali i dati relativi alle istanze di accesso e alle segnalazioni presentate dal reclamante e dalla coniuge. Il Garante ha escluso che tale comunicazione fosse necessaria per obblighi di legge o per l’esercizio di compiti di interesse pubblico. È stata inoltre respinta la tesi secondo cui si potesse invocare il legittimo interesse ex art. 6, par. 1, lett. f), GDPR, poiché tale base non è utilizzabile dalle autorità pubbliche nell’esecuzione dei loro compiti.

L’Autorità ha anche osservato che la circostanza secondo cui i procedimenti FOIA sarebbero pubblicati in rete con identificazione nominativa del richiedente non è compatibile con le indicazioni ANAC e Garante, secondo cui eventuali registri delle istanze vanno pubblicati con oscuramento dei dati personali. Non essendo stata provata la pretesa reciproca conoscenza delle istanze da parte degli OPI in quanto controinteressati, la comunicazione è stata dichiarata illecita.

Comunicazione al Comando Legione e contitolarità del trattamento

Particolarmente rilevante è stata la comunicazione al Comando Legione di dati personali del reclamante e della coniuge contenuti nella nota congiunta firmata dai presidenti degli OPI regionali. La nota riferiva non solo dell’appartenenza del reclamante all’Arma, ma anche della professione della coniuge, della sua iscrizione all’Ordine e delle attività di accesso civico e segnalazione poste in essere.

Il Garante ha escluso che il trattamento fosse giustificato dall’art. 6 GDPR e ha chiarito che il legittimo interesse non è invocabile da un’autorità pubblica quando il trattamento è effettuato nell’ambito dei propri compiti. È stata anche richiamata la sentenza della Corte di giustizia dell’Unione europea C-180/21, secondo cui l’art. 6, par. 1, lett. e) e lett. f) si escludono a vicenda per i trattamenti necessari all’esecuzione di un compito pubblico.

Poiché la nota al Comando era stata concordata e sottoscritta congiuntamente da più OPI, il Garante ha qualificato tali soggetti come contitolari del trattamento ai sensi dell’art. 4, n. 7, GDPR. Tuttavia, non risultava stipulato alcun accordo di contitolarità ex art. 26 GDPR, né reso disponibile il relativo contenuto essenziale. Da qui la violazione degli artt. 26, parr. 1 e 2, GDPR.

Omessa informativa e violazione degli artt. 13 e 14 GDPR

L’informativa pubblicata sul sito istituzionale dell’Ordine è stata ritenuta inconferente, poiché riferita ai soli utenti del sito e non ai trattamenti contestati. Il Garante ha rilevato inoltre l’assenza di un’informativa generale sui trattamenti svolti nell’ambito delle funzioni istituzionali e dell’attività amministrativa dell’Ordine, che avrebbe potuto coprire anche i trattamenti oggetto di reclamo.

Ne è derivata la violazione degli artt. 13 e 14 GDPR, oltre che del principio di trasparenza di cui all’art. 5, par. 1, lett. a). La contestazione riguarda sia i dati acquisiti direttamente dagli interessati sia quelli reperiti o acquisiti da altre fonti.

Riscontro all’istanza di accesso e applicazione dell’art. 12 GDPR

L’Autorità ha poi esaminato la risposta dell’Ordine all’istanza di accesso ai dati personali. Ha rilevato che il reclamante aveva chiesto chiarimenti specifici sull’origine del dato relativo alla professione, sulle finalità della ricerca online, sugli accertamenti svolti e sullo scopo della comunicazione agli altri OPI. Secondo il Garante, alcune di queste informazioni rientravano nell’ambito dell’art. 15 GDPR, altre no; tuttavia l’Ordine non ha comunque fornito un riscontro completo e adeguato alle informazioni dovute.

Anche qualora la richiesta fosse stata ritenuta ripetitiva o eccessiva, il titolare avrebbe dovuto informare l’interessato, senza ritardo e comunque entro un mese, dei motivi dell’inottemperanza e della possibilità di proporre reclamo o ricorso. La mancata osservanza di tali obblighi integra la violazione degli artt. 12, parr. 3 e 4, e 15, par. 1, GDPR.

Valutazione complessiva, sanzione e criteri applicati

Il Garante ha concluso che le violazioni discendono da un’unica condotta o da trattamenti tra loro collegati e ha richiamato l’art. 83, par. 3, GDPR. Le disposizioni violate rientrano tra quelle sanzionate dall’art. 83, par. 5, GDPR, con un massimo astratto fino a 20 milioni di euro.

Ai fini della quantificazione concreta, l’Autorità ha considerato:

• la particolare gravità della comunicazione al datore di lavoro del reclamante, con possibili ripercussioni in ambito lavorativo;
• il contesto di difficoltà organizzativa dell’Ordine durante l’emergenza sanitaria;
• il fatto che il trattamento non abbia riguardato dati particolari ex art. 9 GDPR né dati relativi a reati ex art. 10 GDPR;
• la cooperazione prestata dall’Ordine durante l’istruttoria;
• l’assenza di precedenti violazioni pertinenti;
• le ridotte dimensioni e risorse dell’ente.

La sanzione amministrativa pecuniaria è stata determinata in euro 6.000, ritenuta effettiva, proporzionata e dissuasiva.

Misure correttive e dispositive finali

Oltre alla sanzione, il Garante ha ingiunto all’Ordine, ai sensi degli artt. 12, 15 e 58 GDPR, di fornire entro trenta giorni all’interessato, ove non già avvenuto, gli elementi informativi richiesti dall’art. 15, par. 1, lett. a) - h), oppure di informare motivatamente l’interessato e l’Autorità dei motivi ostativi all’accoglimento della richiesta. In alternativa, se il riscontro fosse stato già fornito dopo la notifica della violazione, l’Ordine doveva comunicarlo al Garante con adeguata documentazione.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e la sua annotazione nel registro interno delle violazioni e delle misure adottate. Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.