Ordinanza ingiunzione o revoca n. 545 del 12/09/2024

Ordine delle Professioni Infermieristiche di Trieste: comunicazione illecita di dati del reclamante e mancato riscontro all’accesso

Il provvedimento riguarda l’Ordine delle Professioni Infermieristiche di Trieste e trae origine da un reclamo ex art. 77 GDPR presentato da un militare dell’Arma dei Carabinieri. Il Garante esamina una pluralità di trattamenti connessi alle istanze di accesso civico e alle segnalazioni presentate dal reclamante e dalla coniuge, nonché la comunicazione di tali informazioni al Comando Legione presso cui il reclamante presta servizio.

Origine del reclamo e fatti contestati

Il reclamante ha lamentato che l’Ordine, unitamente ad altri OPI del Friuli Venezia Giulia, avesse:

• comunicato al suo datore di lavoro informazioni sulle sue istanze di accesso civico e sulle segnalazioni presentate;
• condiviso con altri OPI dati personali del reclamante e della coniuge;
• trattato il dato relativo alla sua professione e al datore di lavoro senza che tali informazioni fossero state rese dallo stesso interessato;
• omesso di fornire l’informativa sul trattamento dei dati personali;
• omesso di rispondere adeguatamente a un’istanza di accesso ai dati personali.

Attività istruttoria e difese dell’Ordine

Nel corso dell’istruttoria l’Ordine ha sostenuto di essere un ente pubblico non economico di piccole dimensioni, gravato da numerosi adempimenti, soprattutto nel periodo emergenziale Covid-19 e nell’ambito dei procedimenti relativi all’obbligo vaccinale degli infermieri. Ha affermato che la gestione delle iniziative del reclamante rischiava di compromettere l’operatività dell’ente e che la comunicazione al Comando Legione era finalizzata a ripristinare un corretto rapporto istituzionale. Ha altresì sostenuto che il dato sulla professione del reclamante fosse pubblicamente reperibile in rete e che l’accesso fosse stato già riscontrato.

Trattamento del dato relativo a professione e datore di lavoro

Il Garante ha ritenuto che la ricerca online e la registrazione di informazioni sulla professione e sul datore di lavoro del reclamante costituissero un trattamento di dati personali. Ha escluso che tale acquisizione fosse necessaria per i procedimenti amministrativi connessi alle istanze e segnalazioni del reclamante, precisando che la mera reperibilità in Internet non rende lecito il trattamento. Ne è derivata la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice privacy.

Comunicazione ai restanti OPI del Friuli Venezia Giulia

L’Autorità ha accertato che l’Ordine aveva condiviso con gli altri OPI regionali le informazioni sulle istanze e sulle segnalazioni del reclamante e della coniuge. Anche in questo caso è stata esclusa la necessità del trattamento ai fini istituzionali e la difesa fondata sulla pubblicazione in rete dei dati è stata respinta: il Garante ha richiamato le linee guida ANAC e la disciplina del FOIA, che impongono l’oscuramento dei dati personali nei registri e nelle pubblicazioni. È stata quindi confermata la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice.

Comunicazione al Comando Legione dei Carabinieri

La nota congiunta inviata al Comando Legione conteneva informazioni sulle istanze di accesso civico, sulle segnalazioni e sulle valutazioni negative espresse dagli OPI, oltre a dati sulla coniuge del reclamante e sul rapporto di coniugio. Il Garante ha escluso che tale comunicazione potesse fondarsi sugli artt. 6, par. 1, lett. c) o e), GDPR e sull’art. 2-ter del Codice. Ha inoltre chiarito che il legittimo interesse non è applicabile ai trattamenti effettuati da autorità pubbliche nell’esecuzione dei propri compiti, richiamando la giurisprudenza della Corte di giustizia UE. La circostanza che il militare debba comunicare al Comando il proprio stato civile non giustificava la trasmissione di ulteriori dati, come la professione della coniuge e il riferimento alle sue iniziative.

Contitolarità del trattamento e mancato accordo interno

Poiché la nota al Comando era stata sottoscritta congiuntamente dai Presidenti degli OPI coinvolti, il Garante ha ritenuto che gli enti avessero determinato congiuntamente finalità e mezzi del trattamento, configurando una contitolarità ai sensi dell’art. 26 GDPR. Tuttavia, non era stato stipulato alcun accordo interno prima dell’avvio del trattamento, con violazione degli obblighi di trasparenza e riparto delle responsabilità previsti dai parr. 1 e 2 dell’art. 26.

Omessa informativa agli interessati

Il Garante ha escluso che l’informativa pubblicata sul sito dell’Ordine fosse pertinente ai trattamenti oggetto del reclamo, trattandosi di informativa riferita ai soli utenti del sito. Analogamente, ha ritenuto non pertinente l’informativa richiamata dall’Ordine relativa al trattamento connesso all’esercizio dei diritti ex artt. 15-22 GDPR. È stata quindi accertata la violazione degli artt. 5, par. 1, lett. a), 13 e 14 GDPR.

Riscontro alla richiesta di accesso e art. 12, par. 4, GDPR

L’Ordine aveva risposto a una richiesta di accesso ex art. 15 GDPR, ma il reclamante aveva poi chiesto precisazioni su origine, data di acquisizione e comunicazione del dato relativo alla professione. Il Garante ha chiarito che alcune delle richieste non rientravano nell’ambito dell’art. 15 GDPR, ma ha evidenziato che, ove il titolare ritenga una richiesta manifestamente infondata o eccessiva, deve comunque comunicare senza ritardo i motivi dell’inottemperanza e le possibilità di reclamo e ricorso. Non avendo fornito tale riscontro, l’Ordine ha violato l’art. 12, par. 4, GDPR.

Valutazione complessiva e sanzione

Il Garante ha ritenuto che tutte le violazioni derivassero da un’unica condotta o da trattamenti tra loro collegati e ha applicato l’art. 83, par. 3, GDPR. Ha considerato la gravità come media, tenendo conto:

• delle possibili ripercussioni lavorative per l’interessato, quale soggetto vulnerabile nel contesto del rapporto con il datore di lavoro;
• del fatto che l’Ordine aveva oltrepassato le proprie competenze istituzionali;
• dell’assenza di dati particolari ex art. 9 GDPR o dati relativi a reati ex art. 10 GDPR;
• della buona cooperazione con l’Autorità;
• dell’assenza di precedenti violazioni pertinenti;
• delle ridotte dimensioni e risorse dell’ente.

La sanzione amministrativa pecuniaria è stata determinata in euro 4.000, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dall’Ordine delle Professioni Infermieristiche di Trieste per violazione degli artt. 5, par. 1, lett. a), 6, 12, par. 4, 13, 14 e 26, parr. 1 e 2, GDPR, nonché dell’art. 2-ter del Codice;
• ordinato il pagamento della sanzione pecuniaria di euro 4.000;
• ricordato la facoltà di definizione agevolata ex art. 166, comma 8, Codice privacy;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità e la sua annotazione nel registro interno;
• indicato i termini per l’impugnazione davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.