Prescrizioni del Garante n. 57 del 02/03/2023

Ordine degli Avvocati di Cassino: comunicazione illecita di dati sanitari contenuti in una segnalazione

Il provvedimento riguarda l’Ordine degli Avvocati di Cassino e la trasmissione al Tribunale di una email inviata da un’avvocata, contenente informazioni sul contagio da SARS-CoV-2 suo e di un’assistita, in relazione a un’udienza presso il Tribunale di Cassino. Il Garante ha esaminato il caso a seguito di reclamo dell’interessata ai sensi dell’art. 77 GDPR.

Origine del reclamo e fatti contestati

L’avvocata aveva segnalato all’Ordine che, in occasione di un’udienza, ella e un’imputata da lei difesa avevano contratto il virus SARS-CoV-2 e chiedeva all’Ordine di intervenire con chiusura, sanificazione e rispetto dei protocolli. L’Ordine ha poi trasmesso la segnalazione al Presidente e a un dirigente del Tribunale di Cassino, sostenendo che ciò fosse necessario per attivare le misure di competenza dell’ufficio giudiziario e per consentire un’istruttoria sulle criticità denunciate.

I chiarimenti resi dall’Ordine

Nel corso dell’istruttoria l’Ordine ha affermato di avere agito nell’ambito della normativa emergenziale Covid-19, richiamando l’art. 83 del d.l. 18/2020, e di aver ritenuto che il Tribunale fosse l’unico soggetto competente a adottare le misure richieste. Ha inoltre sostenuto che la trasmissione integrale della segnalazione fosse necessaria per consentire un intervento completo e tempestivo e che la comunicazione fosse avvenuta in un contesto istituzionale e riservato.

Valutazioni del Garante sulla base giuridica

L’Autorità ha richiamato i principi applicabili ai soggetti pubblici: il trattamento deve fondarsi su una base giuridica idonea ai sensi dell’art. 6 GDPR e, per i dati particolari come quelli relativi alla salute, deve rispettare anche l’art. 9 GDPR e le disposizioni nazionali di dettaglio. In particolare, la comunicazione di dati personali a terzi da parte di soggetti pubblici è ammessa solo se prevista da legge o regolamento; nel caso di specie, il Garante ha escluso che esistesse una necessità giuridica di trasmettere integralmente la segnalazione.

Ragionevole aspettativa di riservatezza dell’interessata

Secondo il Garante, la reclamante aveva indirizzato la comunicazione esclusivamente all’Ordine, non al Tribunale, e poteva dunque fare affidamento su una ragionevole aspettativa di riservatezza. L’Ordine avrebbe potuto limitarsi a rappresentare in forma anonima o sintetica le criticità emerse, senza rivelare l’identità della mittente o dati idonei a renderla identificabile.

Illiceità del trattamento accertata

Il Garante ha ritenuto che l’inoltro integrale della email abbia comportato una comunicazione illecita di dati personali, anche appartenenti a categorie particolari, in violazione dei principi di liceità, correttezza e trasparenza e di minimizzazione dei dati. Sono stati richiamati gli artt. 5, par. 1, lett. a) e c), 6 e 9 del GDPR, nonché gli artt. 2-ter e 2-sexies del Codice privacy, nel testo applicabile al momento dei fatti.

Qualificazione della violazione e misura adottata

Pur confermando l’illiceità, il Garante ha considerato il caso come violazione minore ai sensi del considerando 148 GDPR e delle linee guida WP29 sulle sanzioni. Ha valorizzato il fatto che si trattasse di un episodio isolato, con soli due interessati, nel contesto emergenziale pandemico, e che l’Ordine avesse agito in buona fede, verso un soggetto pubblico competente e in forma riservata. In ragione di ciò ha disposto un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, ritenendo non necessarie ulteriori misure correttive.

Esito finale

Il Garante ha quindi dichiarato l’illiceità del trattamento effettuato dall’Ordine degli Avvocati di Cassino e lo ha ammonito per la violazione delle norme indicate, senza irrogare una sanzione pecuniaria. Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria nei termini di legge.