Ordinanza ingiunzione o revoca n. 69 del 12/02/2026

Ordine dei Medici di Macerata: comunicazione illecita della sospensione per mancato requisito vaccinale anti SARS-CoV-2

Il provvedimento riguarda l’Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Macerata, destinatario di un’ordinanza ingiunzione per la comunicazione della sospensione di un iscritto dall’esercizio professionale, disposta in relazione al mancato possesso del requisito vaccinale anti SARS-CoV-2. Il procedimento è stato avviato a seguito di reclamo ex art. 77 GDPR presentato dall’interessato.

Origine del procedimento e svolgimento istruttorio

L’interessato ha lamentato che la comunicazione della sospensione fosse stata inviata dall’Ordine non solo ai destinatari istituzionali, ma anche a numerosi soggetti pubblici, tra cui il Sindaco di Macerata e il Direttore ASUR Marche AV 2. Nel corso dell’istruttoria, l’Ordine ha difeso la propria condotta sostenendo di aver agito in buona fede, nel contesto dell’emergenza sanitaria, per tutelare la salute pubblica e per informare i soggetti coinvolti nella gestione dell’emergenza.

L’Ufficio del Garante ha notificato all’Ordine l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice, ipotizzando la violazione dei principi di liceità, correttezza e trasparenza e l’assenza di una base giuridica per la comunicazione, con riferimento agli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), parr. 2 e 3 GDPR e all’art. 2-ter del Codice.

Eccezione di improcedibilità del reclamo

L’Ordine ha eccepito che il reclamo fosse improcedibile, poiché l’interessato aveva già adito l’autorità giudiziaria con ricorsi aventi ad oggetto il provvedimento di sospensione. Il Garante ha respinto l’eccezione, rilevando che nei giudizi civili il petitum riguardava soprattutto l’annullamento degli atti amministrativi e dell’accertamento del mancato possesso del requisito vaccinale, mentre la questione della illecita comunicazione dei dati personali era stata evocata solo in via incidentale. Non sussisteva, dunque, l’identità di oggetto richiesta dall’art. 140-bis, comma 2, del Codice.

Quadro normativo sul requisito vaccinale e sulle comunicazioni

L’Autorità ha ricostruito il quadro normativo applicabile al tempo dei fatti, fondato sull’art. 4 del d.l. 1° aprile 2021, n. 44, convertito dalla l. 28 maggio 2021, n. 76. In quel contesto, la vaccinazione anti SARS-CoV-2 costituiva requisito essenziale per l’esercizio della professione sanitaria; l’ASL accertava l’inosservanza dell’obbligo vaccinale e ne dava immediata comunicazione all’interessato, al datore di lavoro e all’Ordine professionale. L’Ordine doveva comunicare immediatamente la sospensione all’interessato.

Il Garante ha inoltre richiamato l’art. 49, comma 2, del d.P.R. 221/1950, relativo alla comunicazione dei provvedimenti di sospensione e radiazione agli altri Ordini e agli enti e autorità ivi elencati, nonché la successiva nota interpretativa del Ministero della Salute che, intervenuta dopo i fatti, aveva chiarito che le comunicazioni relative alla sospensione per inadempimento dell’obbligo vaccinale non dovevano essere inviate anche agli enti di cui al citato art. 49.

Valutazione sulla comunicazione ai destinatari previsti dall’art. 49 d.P.R. 221/1950

Per la parte relativa alle comunicazioni agli enti contemplati dall’art. 49 del d.P.R. 221/1950, il Garante ha escluso la violazione, valorizzando l’incertezza del quadro giuridico al momento dell’invio e l’assenza di colpa ai sensi dell’art. 3 della l. 689/1981. Pur riconoscendo che, secondo i chiarimenti successivi del Ministero della Salute, tali comunicazioni non sarebbero state necessarie, l’Autorità ha ritenuto che la condotta dell’Ordine non fosse sanzionabile per questo profilo.

Inoltre, ha osservato che la comunicazione in questione non integrava la divulgazione di dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR, poiché la mancata vaccinazione anti SARS-CoV-2 non era nel caso concreto riconducibile a specifiche condizioni morbose o a motivi di esenzione o differimento.

Comunicazioni al Direttore ASUR Marche AV 2 e al Sindaco di Macerata

Il profilo ritenuto illecito riguarda invece la trasmissione della nota anche al Direttore ASUR Marche AV 2 e al Sindaco di Macerata. Il Garante ha ritenuto che tali destinatari non rientrassero nell’ambito applicativo dell’art. 49, comma 2, del d.P.R. 221/1950 e che l’Ordine non avesse individuato una specifica disposizione di legge che autorizzasse o imponesse quella comunicazione.

Non è stata accolta la tesi secondo cui la comunicazione al Direttore ASUR sarebbe stata giustificata in quanto datore di lavoro del professionista, poiché l’art. 4 del d.l. 44/2021 prevedeva già le comunicazioni dell’ASL all’interessato, al datore di lavoro e all’Ordine, mentre la comunicazione della sospensione da parte dell’Ordine doveva essere rivolta solo all’interessato. Parimenti, non è stata ritenuta sufficiente la generica finalità di tutela della salute pubblica, in assenza di una norma settoriale che prevedesse espressamente tali flussi informativi.

Esclusione della base giuridica e dell’art. 2-ter del Codice

Il Garante ha escluso anche il fondamento invocato dall’Ordine nell’art. 2-ter, comma 1-bis, del Codice privacy. Ha osservato che la comunicazione era avvenuta prima della modifica introdotta dal d.l. 139/2021 e che, comunque, nel contesto emergenziale il legislatore aveva già definito in modo specifico e uniforme i destinatari e i limiti delle comunicazioni correlate all’accertamento del requisito vaccinale.

Di conseguenza, la comunicazione ulteriore a soggetti non contemplati dalla disciplina di settore è stata considerata priva di base giuridica e in contrasto con i principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR, nonché con i requisiti dell’art. 6, par. 1, lett. c) ed e), e parr. 2 e 3 GDPR e dell’art. 2-ter del Codice.

Esito: illiceità del trattamento e sanzione

Il Garante ha quindi dichiarato l’illiceità del trattamento effettuato dall’Ordine, limitatamente alle comunicazioni non giustificate dalla normativa applicabile. Ha ritenuto che la condotta costituisse un’unica violazione, riconducibile a un medesimo trattamento o a trattamenti tra loro collegati, applicando l’art. 83, par. 3, GDPR. La violazione era astrattamente sanzionabile ai sensi dell’art. 83, par. 5, GDPR, con un massimo edittale di 20.000.000 euro.

Criteri di quantificazione della sanzione

Nel determinare la sanzione pecuniaria, il Garante ha considerato:

• il coinvolgimento di un solo interessato;
• la natura colposa della violazione, commessa in buona fede in un contesto emergenziale e normativamente complesso;
• l’assenza di categorie particolari di dati personali;
• un livello di gravità medio;
• l’assenza di precedenti violazioni pertinenti;
• la buona cooperazione dell’Ordine con l’Autorità;
• la dimensione contenuta dell’Ordine, con meno di 300 iscritti.

Sulla base di tali elementi, la sanzione è stata determinata in euro 4.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Misure accessorie, pubblicazione e rimedi

Il Garante ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito internet dell’Autorità ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, nonché la pubblicazione del provvedimento ai sensi dell’art. 154-bis, comma 3, del Codice. È stata inoltre disposta l’annotazione nel registro interno dell’Autorità.

L’Ordine potrà definire la controversia versando, entro 30 giorni, la metà della sanzione comminata; in mancanza, dovrà pagare l’intero importo di euro 4.000 entro 30 giorni dalla notificazione del provvedimento. È infine ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all’estero.