Ordinanza ingiunzione o revoca n. 326 del 23/05/2024

Associazione Medica Chirone s.c.r.l.: trattamento illecito dei dati vaccinali di una dipendente e mancato riscontro al Garante

Il provvedimento riguarda l’Associazione Medica Chirone s.c.r.l., datore di lavoro della reclamante, ed è stato adottato a seguito di un reclamo presentato ai sensi dell’art. 77 GDPR. L’Autorità ha esaminato sia il mancato riscontro a una richiesta di informazioni ex art. 157 Codice privacy, sia il trattamento del dato relativo allo stato vaccinale anti SARS-CoV-2 della dipendente.

Origine del reclamo e fatti contestati

La reclamante, impiegata della Cooperativa, ha lamentato di essere venuta a conoscenza in modo indebito del trattamento dei propri dati sullo stato vaccinale. Ha riferito di aver ricevuto una diffida datoriale a sottoporsi alla vaccinazione anti SARS-CoV-2, con minaccia di sospensione dell’attività lavorativa, pur non essendo soggetta all’obbligo vaccinale previsto dal d.l. 1° aprile 2021, n. 44, vigente all’epoca dei fatti.

Attività istruttoria e mancata risposta ex art. 157 Codice

Con nota del 9 dicembre 2021 l’Ufficio ha chiesto informazioni alla Cooperativa ai sensi dell’art. 157 Codice, chiedendo in particolare:

• se fosse stata attivata la procedura di cui all’art. 4 del d.l. 44/2021;
• in caso contrario, quale fosse la fonte di acquisizione del dato particolare relativo alla reclamante.

La richiesta, regolarmente notificata via PEC, non ha ricevuto riscontro. L’Ufficio ha quindi delegato il Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza a notificare una nuova richiesta di informazioni e l’atto di avvio del procedimento sanzionatorio, sempre in relazione alla violazione dell’art. 157 Codice. La Cooperativa ha poi giustificato il mancato riscontro con un errore materiale e con la modesta organizzazione amministrativa interna, spiegazione ritenuta non idonea a escludere la responsabilità.

Trattamento del dato sanitario e violazione dell’art. 9 GDPR

Dalle risultanze istruttorie è emerso che la Cooperativa aveva trattato il dato relativo allo stato vaccinale della dipendente in assenza di un presupposto di liceità. In particolare, ha inviato il 3 novembre 2021 all’ASL competente l’elenco dei dipendenti, includendo il nominativo della reclamante, benché questa non fosse, secondo quanto accertato, un’esercente professione sanitaria né un’operatrice di interesse sanitario.

Il Garante ha inoltre rilevato che, già l’8 ottobre 2021, la Cooperativa aveva inviato alla lavoratrice una lettera di diffida chiedendo di presentarsi sul luogo di lavoro munita di documentazione comprovante l’assolvimento dell’obbligo vaccinale, pena la sospensione dalla prestazione lavorativa, e che il licenziamento era stato poi comunicato il 30 novembre 2021. Ne è derivato che il trattamento del dato sanitario era avvenuto prima dell’eventuale accertamento dell’inosservanza da parte dell’ASL, previsto dall’art. 4, comma 6, del d.l. 44/2021.

L’Autorità ha quindi ritenuto violato:

• l’art. 9, par. 1, GDPR, che vieta il trattamento dei dati particolari, inclusi quelli relativi alla salute;
• l’art. 9, par. 2, GDPR, poiché non ricorreva alcuna valida eccezione che consentisse il trattamento;
• l’art. 9, par. 2, lett. b), richiamato in ambito lavoristico, ma comunque subordinato al rispetto del quadro normativo speciale.

Quadro normativo emergenziale e limiti per il datore di lavoro

Nel motivare la decisione, il Garante ha richiamato il d.l. 44/2021, che prevedeva per talune categorie il vaccino anti SARS-CoV-2 come requisito essenziale per l’esercizio della professione e per lo svolgimento della prestazione lavorativa. È stato ricordato che la disciplina emergenziale ha subito successive modifiche con i d.l. 172/2021, 24/2022 e 162/2022, e che la procedura di verifica dell’obbligo vaccinale era rimasta in vigore fino al 1° novembre 2022.

L’Autorità ha ribadito che, nel contesto lavorativo emergenziale, il datore di lavoro non poteva chiedere ai dipendenti informazioni sullo stato vaccinale né copie di documenti attestanti l’avvenuta vaccinazione. È stato inoltre escluso che il consenso del dipendente potesse fungere da valida base di liceità, in ragione dello squilibrio del rapporto datore di lavoro/interessato, ai sensi del considerando 43 GDPR.

Valutazione finale e sanzione

Il Garante ha dichiarato fondato il reclamo e ha ritenuto insufficienti le difese della Cooperativa. Ha quindi disposto l’irrogazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83 GDPR e dell’art. 166 Codice, mediante ordinanza ingiunzione.

Nella quantificazione della sanzione sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• la natura e gravità della violazione, riferita a dati particolari;
• il fatto che la violazione abbia riguardato un solo interessato;
• l’assenza di precedenti violazioni pertinenti;
• il grado di cooperazione con l’Autorità;
• le complessità legate all’applicazione della disciplina nel contesto emergenziale;
• le condizioni economiche del contravventore, desunte dalla dichiarazione dei redditi 2022.

È stato anche richiamato l’art. 83, par. 3, GDPR sul cumulo delle violazioni relative al medesimo trattamento. L’importo determinato è pari a 5.000 euro, per la violazione dell’art. 157 Codice e dell’art. 9, par. 2, GDPR.

Dispositivo e rimedi

Il provvedimento:

• dichiara l’illiceità dei trattamenti effettuati dall’Associazione Medica Chirone s.c.r.l.;
• ordina il pagamento della sanzione di 5.000 euro;
• ingiunge il pagamento entro 30 giorni dalla notifica, con conseguente azionabilità esecutiva in caso di inadempimento;
• richiama la possibilità di definizione agevolata mediante pagamento di una metà della sanzione nei termini previsti dall’art. 166, comma 8, Codice;
• dispone la pubblicazione del provvedimento sul sito del Garante.

Avverso il provvedimento è proponibile opposizione all’autorità giudiziaria ordinaria nei termini di cui all’art. 78 GDPR, agli artt. 152 Codice e 10 d.lgs. 150/2011.