Ordinanza ingiunzione o revoca n. 586 del 09/10/2025

Ordine professionale: diffusione online di una sospensione disciplinare non più efficace e omessa designazione del RPD

Il Garante ha esaminato il trattamento effettuato da un Ordine professionale sanitario in relazione a una sospensione disciplinare annotata nell’albo online e alla mancata corretta designazione del Responsabile della protezione dei dati. Il procedimento è stato avviato a seguito di reclamo dell’interessata e di accertamenti d’ufficio.

Origine del reclamo e istruttoria

La professionista ha lamentato che, pur avendo impugnato il provvedimento disciplinare dinanzi alla Commissione Centrale per gli Esercenti le Professioni Sanitarie, l’Ordine aveva mantenuto l’annotazione della sospensione nell’albo online. Ha inoltre contestato la comunicazione di alcuni suoi dati personali a esponenti della Federazione nazionale e, per iniziativa dell’Autorità, è stato esaminato anche il profilo relativo al RPD, poiché non risultava inizialmente comunicato il relativo contatto.

Durante l’istruttoria, l’Ordine ha riconosciuto l’annotazione online della sospensione, sostenendo però di aver agito in buona fede e di aver poi eliminato l’annotazione dopo un chiarimento del Ministero della Salute. Ha anche depositato successive delibere per dimostrare la designazione del RPD, ma le proprie affermazioni sono risultate inizialmente contraddittorie.

Diffusione online della sospensione disciplinare

Il Garante ha ricostruito la vicenda rilevando che:

• l’Ordine aveva adottato un provvedimento disciplinare di sospensione e lo aveva annotato nell’albo online;
• la professionista aveva poi notificato il ricorso alla C.C.E.P.S.;
• il d.P.R. 5 aprile 1950, n. 221, art. 53, comma 2, prevede l’effetto sospensivo del ricorso avverso i provvedimenti disciplinari, salvo alcune eccezioni non ricorrenti nel caso di specie;
• solo successivamente l’Ordine ha cancellato l’annotazione dall’albo online.

Secondo il Garante, nel periodo in cui l’annotazione è rimasta pubblicata, l’Ordine ha diffuso online un dato personale non più conforme alla realtà giuridica del momento, violando i principi di:

• liceità, correttezza e trasparenza, ex art. 5, par. 1, lett. a), GDPR;
• esattezza, ex art. 5, par. 1, lett. d), GDPR;
• base giuridica del trattamento, ex art. 6, par. 1, lett. c) ed e), GDPR;
• art. 2-ter Codice privacy.

Comunicazione dei dati alla Federazione

Sulla diversa doglianza relativa alla condivisione di dati personali con esponenti della Federazione, il Garante ha ritenuto che, in base al quadro ordinamentale degli Ordini e delle Federazioni professionali e ai compiti di indirizzo e coordinamento attribuiti a queste ultime, non fosse allo stato dimostrata una violazione della normativa privacy. Per questo motivo, limitatamente a tale aspetto, il reclamo è stato archiviato.

Omessa designazione del RPD e criticità degli atti di nomina

L’Autorità ha poi esaminato il rispetto dell’art. 37 GDPR, che impone agli organismi pubblici la designazione sistematica del RPD e la comunicazione dei suoi dati di contatto al Garante.

Il Garante ha rilevato che l’Ordine:

• aveva fornito indicazioni inizialmente errate, confondendo il RPD con il Responsabile della prevenzione della corruzione e della trasparenza;
• aveva poi prodotto delibere di designazione del RPD, ma con atti ritenuti incongrui e non pienamente idonei;
• non aveva chiarito in modo sufficiente la continuità dell’incarico per tutto il periodo rilevante;
• non aveva comunicato all’Autorità i dati di contatto del RPD, come richiesto dall’art. 37, par. 7, GDPR.

Il Garante ha quindi concluso che l’Ordine aveva violato l’art. 37, par. 1, lett. a), GDPR.

Valutazioni finali del Garante

L’Autorità ha ritenuto che le dichiarazioni difensive dell’Ordine, pur considerate, non fossero sufficienti a giustificare l’archiviazione del procedimento. Ha quindi dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a) e d), 6, par. 1, lett. c) ed e), e 37, par. 1, lett. a), GDPR, nonché dell’art. 2-ter Codice privacy.

Sanzioni e criteri di quantificazione

Il Garante ha distinto le due condotte ai fini sanzionatori:

• per la diffusione online della sospensione disciplinare ha applicato i criteri dell’art. 83, par. 2 GDPR, valorizzando durata della violazione, natura colposa, delicatezza delle informazioni e assenza di precedenti, e ha determinato la sanzione in euro 3.000;
• per l’omessa designazione del RPD ha considerato la violazione dell’art. 37 GDPR, la sua durata, il carattere colposo, l’assenza di precedenti e le contraddizioni difensive dell’Ordine, fissando la sanzione in euro 3.000.

La sanzione complessiva irrogata è dunque pari a euro 6.000.

Misure correttive e prescrizioni

Oltre alla sanzione pecuniaria, il Garante ha ordinato all’Ordine di:

• designare il RPD;
• comunicare all’Autorità i dati di contatto del RPD;
• pubblicare sul sito istituzionale tali dati;
• fornire entro 30 giorni un riscontro documentato sulle iniziative adottate.

È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e la pubblicazione del provvedimento sul sito dell’Autorità, oltre all’annotazione nel registro interno previsto dal Regolamento del Garante n. 1/2019.

Impugnazione

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.