[doc. web n. 9839018]

Ordinanza ingiunzione nei confronti di Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Cagliari -  24 novembre 2022

Registro dei provvedimenti
n. 385 del 24 novembre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione.

Con reclamo presentato in data XX ai sensi dell’art. 77 del Regolamento, un professionista iscritto all’Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Cagliari (di seguito, l’”Ordine”) e dipendente dell’Azienda per la tutela della salute - ATS Sardegna (di seguito, l’”Azienda”), in servizio come Dirigente Medico, ha rappresentato a questa Autorità, per il tramite del proprio legale, che l’Ordine avrebbe ricevuto da parte della predetta Azienda sia il provvedimento di accertamento dell’assenza del requisito vaccinale di cui all’art. 4 del d.l. 1° aprile 2021, n. 44, adottato dall’Azienda in qualità di ente accertatore, sia il provvedimento adottato dalla medesima Azienda, in qualità di datore di lavoro del reclamante, con il quale è stata disposta la sospensione dal servizio di quest’ultimo.

Il reclamante ha lamentato che successivamente l’Ordine, con nota prot. n. XX del XX, inviata all’interessato e, in copia per conoscenza, “alle autorità e agli Enti di cui all’art. 2 del DPR 221/50”, nonché “ai Presidenti degli ordini dei Medici Chirurghi e degli Odontoiatri”, in violazione di quanto previsto dall’art. 4 del d.l. 1° aprile 2021, n. 44, avrebbe “trasmesso a tutti i soggetti di cui agli artt. 49 e 2 DPR 221/1960 non solo la Determina d’urgenza di presa d’atto della sospensione obbligatoria ex art. 4 DL 44/2021 ma anche gli allegati […] atti del S.C. Igiene e Sanità Pubblica e del Commissario straordinario di ATS Sardegna”, che contengono dati appartenenti a categorie particolari (cfr. art. 9 del Regolamento), nonché dati personali attinenti al rapporto di lavoro tra l’interessato e l’Azienda, con particolare riguardo all’informazione dell’intervenuta sospensione dal servizio.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità (nota prot. n. XX del XX), l’Ordine, con nota prot. n. XX del XX, ha dichiarato, in particolare, che:

“[l’Azienda], in data XX, trasmetteva all’Ordine, tramite PEC, la nota Prot. XX del XX […] mediante la quale, vista la comunicazione [del Dipartimento di prevenzione dell’Azienda] (che allegava), relativa all’accertamento dell’inosservanza degli obblighi vaccinali di cui al D.L. 1° aprile 2021, n. 44, convertito con modificazioni con L. 28 maggio 2021, n. 46 (d’ora in poi “Decreto”), da parte del [reclamante], rilevata l’impossibilità di adibire lo stesso a mansioni, anche inferiori, diverse da quelle esercitate e che non implicassero contatti interpersonali o non comportassero, in qualunque altra forma, il rischio di diffusione del contagio da Sars-Cov-2, disponeva che, decorso il termine di cinque giorni dal ricevimento della comunicazione, il suddetto medico fosse sospeso dal servizio”;

“[…] [l’Azienda], in relazione al procedimento effettuato nei confronti del [reclamante], ha inviato all'Ordine un unico messaggio PEC, con allegata la sopra citata Prot. XX del XX, unitamente alla comunicazione dell'ASSL Cagliari - S.C. Igiene e Sanità Pubblica-Dipartimento di Prevenzione […]; quest’ultima è priva di data e protocollo e non è mai stata notificata singolarmente all'Ordine, nonostante questo Ente sia indicato tra i destinatari della stessa”;

“il Presidente dell’Ordine, con propria Determina d’urgenza n. XX del XX (ratificata dal Consiglio Direttivo in data XX), prendeva atto della sospensione dal servizio e quindi dall’esercizio della professione di medico chirurgo del [reclamante], di cui alla nota [dell’Azienda] di cui sopra, che allegata alla Determina ne faceva parte integrante; provvedeva quindi all’annotazione nell’Albo dei Medici Chirurghi del provvedimento e alla comunicazione dello stesso al sanitario e alle Autorità e agli Enti di cui all’art. 49, comma 2 del D.P.R. n. 221/50 e s.m.i, che sancisce: “i provvedimenti di sospensione dall'esercizio professionale e di radiazione, quando siano divenuti definitivi, sono comunicati a tutti gli Ordini o Collegi della categoria a cui appartiene il sanitario sospeso o radiato e alle autorità ed agli enti ai quali deve essere inviato l'Albo a norma dell'art. 2”;

“secondo l’interpretazione dell’art. 4, comma 7 del Decreto, fornita dal Ministero della Salute […] con propria nota del XX […] l’attività posta in capo all’Ordine consiste in un mero onere informativo, ovverosia la comunicazione all’interessato, previa presa d’atto da parte dell’Ordine medesimo, della sospensione ex lege dall’esercizio della professione conseguente all’atto di accertamento dell’Azienda Sanitaria Locale di competenza”;

“la Determina presidenziale d’urgenza n. XX del XX è stata, quindi, assunta dall’Ordine in ragione del provvedimento adottato dall’ATS Sardegna, ed è esclusivamente su di esso che si fonda la motivazione di tale Determina (ai sensi dell’art. 3 della L. n. 241/90 e s.m.i.), vista l’assenza in capo [all’Ordine] di qualsiasi autonomia valutativa o decisionale in materia”;

“l’Ordine, considerato che il trattamento dei dati personali del [reclamante] era necessario al fine di adempiere ad obblighi legali, nonché di eseguire compiti di interesse pubblico di cui [esso] è investito (artt. 6, paragrafo 1, lettere c) ed e) e 9, paragrafo 2, lettera g) del Regolamento […]), rinvenendone la base giuridica nell’art. 4 del Decreto e nell’art. 49, comma 2 del D.P.R. n. 221/50 e s.m.i., ha valutato con quali modalità adempiere ai suddetti obblighi e compiti nel rispetto dei principi applicabili al trattamento dei dati personali, di cui all’art. 5 del Regolamento. Ad esito di tale valutazione, l’Ordine ha ritenuto che tutti i dati personali del [reclamante] contenuti nella comunicazione inviata agli Enti di cui al citato art. 49, comma 2 del D.P.R. n. 221/50 e s.m.i. fossero adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per cui sono stati trattati, ossia sospendere dall’esercizio della professione un iscritto che non aveva adempiuto all’obbligo di sottoporsi alla vaccinazione contro il SARS-CoV-2, nonché comunicare il relativo provvedimento ai soggetti individuati dalla legge; provvedimento del quale, per le motivazioni sopra illustrate, costituisce parte integrante la nota dell’ATS Sardegna”;

“poiché la circostanza che il [reclamante] non si fosse sottoposto alla vaccinazione costituisce il fondamento stesso del provvedimento di sospensione dall’esercizio della professione emesso nei suoi confronti, è evidente come tale dato non potesse essere omesso”;

occorre “evidenziare la circostanza che i destinatari della comunicazione della Determina presidenziale d’urgenza n. XX del XX sono Enti pubblici od Organismi di diritto pubblico ai quali si applica, per la durata del periodo emergenziale, l’art. 17-bis del D.L. 17 marzo 2020 n. 18, convertito, con modificazioni, con L. 24 aprile 2020, n. 70”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Ordine, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. artt. 5, par. 1, lett. a) e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo), invitando il predetto Ordine a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), l’Ordine ha presentato la propria memoria difensiva, dichiarando, in particolare, che:

“il trattamento di dati personali oggetto di reclamo e successiva contestazione si inserisce in un periodo storico complesso, caratterizzato dalla pandemia Covid-19 […] [, caratterizzato da] incertezza sulla reazione al fenomeno pandemico e sulla corretta applicazione di norme spesso poco organiche o armoniche alle quali andavano a sommarsi – creando ulteriore confusione – le interpretazioni, le FAQ e le altre disposizioni che sovente paiono voler sovvertire la scala delle fonti del diritto”;

“[…] il trattamento oggetto di contestazione era stato ritenuto necessario al fine di adempiere ad obblighi legali, nonché di eseguire compiti di interesse pubblico di cui [l’Ordine] è investito, sia sulla scorta di una valutazione basata sulla lettura fedele delle norme del DPR 221/1950, sia sulla scorta delle indicazioni provenienti – come già visto – dalla interpretazione dell’art. 4, comma 7 del Decreto, fornita dal Ministero della Salute con propria nota del XX poi rimarcata dalla ulteriore comunicazione del XX”;

“nessuna rilevanza può essere riconosciuta, nel caso di specie, alla circostanza secondo cui il Ministero della Salute abbia – con nota del XX1 – comunicato di “essere dell’avviso” che le comunicazioni relative alla sospensione dell’esercizio professionale a seguito di inadempimento dell’obbligo vaccinale non dovessero essere inviate anche agli enti di cui all’art. 49 (rectius art. 2) del DPR 221/1950 in quanto non aventi natura disciplinare. E la ragione si rinviene, oltre che nella posteriorità rispetto alla comunicazione oggetto del procedimento de quo, anche nel fatto che l’interpretazione ministeriale in oggetto non è una interpretazione avente la stessa forza di un DPR né può, quindi, essere qualificata come “interpretazione autentica” (in senso tecnico-giuridico)”;

“le comunicazioni previste dal summenzionato art. 49 non conseguono necessariamente – e quindi non possono qualificarsi quali “sanzioni accessorie” di un eventuale provvedimento disciplinare – ad una sanzione disciplinare, ma trovano la loro ratio nella necessità (ricordiamo che il DPR 221 è del 1950) di tenere “sincronizzate” e “attuali” le indicazioni contenute negli albi professionali già precedentemente comunicate alle autorità di cui all’art. 2 del DPR 221/1950 (le stesse richiamate dall’art. 49). Nonostante ciò, l’Ordine si è, comunque, immediatamente adeguato alle indicazioni del Ministero della Salute del 28 dicembre 2021”;

“dell’inosservanza dell’obbligo vaccinale non faceva segreto certo il [reclamante], il quale […] rendeva manifestamente pubbliche […] le informazioni relative non soltanto all’inosservanza dell’obbligo vaccinale ma anche dei motivi della stessa inosservanza. È evidente, pertanto, la infondatezza delle doglianze del reclamante circa dati personali da lui manifestamente resi pubblici”;

“per quanto riguarda la circostanza che il [reclamante] non potesse essere “adibito a mansioni anche inferiori…” è chiaro il riferimento al dettato normativo. Si tratta di circostanza che discende immediatamente dalle norme che hanno portato alla sospensione dal lavoro il [reclamante] per inosservanza dell’obbligo vaccinale”;

“per quanto concerne, invece, l’aspetto relativo ai dati del rapporto in essere tra il [reclamante] e ATS, [si segnala] […] la pubblicazione degli stessi dati sul profilo LinkedIn […] dello stesso [reclamante] (che si presenta al pubblico come “Dirigente Medico […], ASL […], Centro […]”) si potrebbe obiettare come gli stessi dati siano pubblici ai sensi del D.Lgs. 33/2013 (c.d. “Decreto trasparenza”) tanto che la stessa ASL pubblica anche i redditi e altre informazioni dello stesso”;

“per quanto riguarda, infine, la circostanza che a seguito della comunicazione dell’Ordine sarebbe stato sospeso dal lavoro fino all’assolvimento dell’obbligo vaccinale, anche in questo caso si tratta di una conseguenza immediatamente riconducibile alla norma [, ovvero all’art. 4 del d.l. 44/2021]. In ogni caso anche tale informazione è stata manifestamente resa pubblica dall’interessato/reclamante”;

“la violazione, se ritenuta esistente, dovrà essere senz’altro considerata nel suo carattere colposo (nel grado della colpa lieve)”.

In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX (verbale prot. n. XX del XX), l’Ordine ha dichiarato, in particolare, che:

“l’Ordine ha agito nel contesto estremamente delicato dell’emergenza pandemica, caratterizzato da un elevato grado di complessità giuridica”;

“il chiarimento fornito dal Ministero in relazione al DPR 16 maggio 1950 è, infatti, pervenuto successivamente ai fatti oggetto di reclamo. L’Ordine ha, pertanto, agito in totale buona fede, nella convinzione di adempiere a un obbligo di legge, rispetto al quale al tempo non erano stato forniti chiarimenti o linee guida cui attenersi con riguardo ai provvedimenti di sospensione relativi al mancato assolvimento degli obblighi vaccinali”;

“il predetto decreto prevede che debba essere comunicato ai soggetti pubblici indicati dalla norma l’intero provvedimento di sospensione, al fine di garantire il coordinamento e la coerenza dei diversi albi e registri pubblici. Il provvedimento deve quindi essere trasmesso in versione integrale, completo di motivazione e di allegati”;

“l’interessato aveva già reso manifestamente pubblici i propri dati personali, avendo
dichiarato sul proprio account di Twitter il mancato assolvimento dell’obbligo vaccinale e aveva fatto riferimento alla conseguente adozione di un provvedimento di sospensione nei propri confronti”;

“le conseguenze nel rapporto di lavoro, derivanti dal provvedimento di sospensione, erano comunque implicite nella stessa norma di settore e, pertanto, ampiamente prevedibili da chiunque”;

“il reclamante ricopriva il ruolo di Dirigente e, pertanto, il proprio curriculum vitae è oggetto di pubblicazione obbligatoria ai sensi dell’art. 14 del d.lgs. 33/2013, anche con riguardo al dato relativo alla posizione relativa. Pertanto, ai sensi dell’art. 7 del medesimo decreto, si tratta di dati pubblici”.

3. Esito dell’attività istruttoria.

I soggetti pubblici possono trattare dati personali, anche relativi a categorie particolari di dati (cfr. art. 9, paragrafo 1 del Regolamento), se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e), nonché art. 9, par.2, lett. g) del Regolamento e 2-ter e 2-sexies del d.lgs. n. 196 del 30 giugno 2003 - Codice in materia di protezione dei dati personali, di seguito, il “Codice”).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di comunicazione di dati personali a terzi, da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (cfr. art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139; nel caso in cui i dati oggetto di comunicazione appartengano a categorie particolari, v. artt. 9 del Regolamento e 2-sexies del Codice).

Il titolare del trattamento è, in ogni caso, tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati»” (art. 5, par. 1, lett. a) e c), del Regolamento).

Riguardo ai trattamenti di dati personali relativi alla vaccinazione anti SARS-CoV-2, il legislatore - con l’art. 4 del d.l. 1° aprile 2021, n. 44, convertito in legge 28 maggio 2021, n.76 – ha stabilito che la vaccinazione costituisce “requisito essenziale per l'esercizio della professione e per lo svolgimento delle prestazioni lavorative” per gli esercenti le professioni sanitarie e gli operatori di interesse sanitario espressamente indicati dalla legge.

L’art. 4, comma 6, nel testo vigente al tempo dei fatti oggetto di reclamo, prevedeva che “decorsi i termini per l'attestazione dell'adempimento dell'obbligo vaccinale […], l'azienda sanitaria locale competente accerta l'inosservanza dell'obbligo vaccinale e, previa acquisizione delle ulteriori eventuali informazioni presso le autorità competenti, ne dà immediata comunicazione scritta all'interessato, al datore di lavoro e all'Ordine professionale di appartenenza. L'adozione dell'atto di accertamento da parte dell'azienda sanitaria locale determina la sospensione dal diritto di svolgere prestazioni o mansioni che implicano contatti interpersonali o comportano, in qualsiasi altra forma, il rischio di diffusione del contagio da SARS-CoV-2”.

Il successivo comma 7 specificava che “la sospensione di cui al comma 6 è comunicata immediatamente all'interessato dall'Ordine professionale di appartenenza”.

In tale quadro, a seguito di interlocuzioni tra questa Autorità, le Federazioni nazionali degli Ordini delle professioni sanitarie e il Ministero della Salute, quest’ultimo aveva indirizzato alle Federazioni nazionali la nota interpretativa del XX1 (prot. n. XX), con oggetto “Art. 4 del decreto legge 01 aprile 2021, n. 44 convertito con modificazioni dalla legge 28 maggio 2021, n. 76. Adempimenti da parte degli Ordini”, riprendendo e integrando le precedenti indicazioni fornite con nota del XX (prot. n. XX).

In particolare, nella predetta nota interpretativa del XX, si precisava che l’art. 4, sopra citato, è “nell’intenzione del legislatore, un requisito imprescindibile perché i medesimi siano considerati idonei a svolgere la propria attività professionale, nonché condizione legittimante per l’esercizio della stessa, in qualunque forma giuridica”. Ciò con la conseguenza che “l’attività dell’Ordine prevista dal […] comma 7, consiste in un mero onere informativo, ossia nella comunicazione all’interessato […] senza alcuna valutazione di merito, della sospensione derivante ex lege dall’atto di accertamento dell’ASL, riportando l’annotazione relativa nell’albo, nel rispetto delle norme sulla tutela della riservatezza dei dati personali”. Pertanto, dall’inosservanza di tale requisito professionale “non può che discendere per il sanitario […] la sospensione ex lege dall’esercizio dell’attività professionale sanitaria tout court”.

Nel premettere che il quadro normativo sopra richiamato era stato successivamente riformato dal legislatore (v. art. 4, comma 4, del d.l. 1° aprile 2021, n. 44, come sostituito dall'art. 1, comma 1, lett. b), del d.l. 26 novembre 2021, n. 172, che prevedeva un diverso procedimento di verifica del requisito vaccinale da parte degli Ordini professionali per il tramite delle rispettive Federazioni nazionali), si evidenzia che i vari soggetti coinvolti (datori di lavoro, regioni, aziende sanitarie, ordini professionali), nell’effettuare i trattamenti in questione (che trovano la propria base giuridica nella predetta disposizione normativa) erano tenuti ad assicurare il rispetto dei principi di protezione dei dati (art. 5 del Regolamento) nonché, a trattare i dati mediante il personale autorizzato e debitamente istruito in merito all’accesso ai dati (artt. 5 e 4, par. 10, 29, 32, par. 4, del Regolamento), tenuto altresì conto della particolare delicatezza degli stessi (art. 9, parr. 2 e 4, nonché art. 4, punto 15, e cons. 35 del Regolamento).

Nel sistema del Regolamento e del Codice tali norme di settore costituiscono la base giuridica per le operazioni di trattamento necessarie alle verifiche della sussistenza (o meno) del requisito professionale, perimetrando, in modo uniforme a livello nazionale, l’ambito del trattamento consentito a ciascuno dei soggetti istituzionali coinvolti nel processo di verifica (v. i numerosi provvedimenti del Garante nel periodo emergenziale e, in particolare, i pareri resi sulle disposizioni di attuazione del predetto quadro, tra cui, in particolare, provv. 13 dicembre 2021, n. 430, doc. web n. 9727220). Come tradizionalmente affermato dal Garante, in particolare in un contesto lavorativo altrettanto delicato come quello del trasporto aereo di passeggeri, i trattamenti effettuati per finalità di accertamento dei requisiti per l’accesso e lo svolgimento di talune professioni previsti da specifiche disposizioni di legge devono essere svolti nel rigoroso rispetto dei limiti e delle condizioni previste da tale cornice di riferimento (v. provv. 27 aprile 2016, n. 194 , doc. web n. 5149198).

Nel caso di specie, con nota prot. n.XX del XX, inviata al reclamante e, per conoscenza, “alle Autorità e agli Enti di cui all’art. 2 del DPR 221/550” e “ai Presidenti degli Ordini dei Medici Chirurghi e degli Odontoiatri”, l’Ordine ha informato i predetti destinatari della propria decisione di annotare all’Albo il provvedimento di sospensione del reclamante, allegando copia della “Determina d’urgenza del Presidente n. XX”, nella quale si fa riferimento alla “nota dell’Azienda Tutela della Salute-ATS Sardegna Prot. n. XX del XX” e alla circostanza che, come emerge da tale nota, “l’ATS Sardegna comunica di aver sospeso il [reclamante] dal servizio, fino all’assolvimento dell’obbligo vaccinale o, in mancanza, sino al completamento del piano vaccinale nazionale e comunque non oltre il XX”.

L’Ordine ha, altresì, allegato a tale nota del XX anche copia della versione integrale della predetta nota dell’Azienda Tutela Salute-ATS Sardegna, in cui si fa menzione:

della circostanza che “[…] non è possibile adibire [il reclamante] a mansioni, anche inferiori, diverse da quelle esercitate e che non implichino contatti interpersonali o non comportino, in qualsiasi altra forma, il rischio di diffusione del contagio da SARS-CoV-2”;

delle mansioni svolte dal reclamante;

della circostanza che “decorso il termine di 5 giorni dal ricevimento della presente, [il reclamante] è sospes[o] dal servizio, fino all’assolvimento dell’obbligo vaccinale o, in mancanza fino al completamento del piano vaccinale nazionale e comunque non oltre il XX”;

del fatto “che, per l’intera durata della sospensione […] all’interessato non sono dovuti la retribuzione né altro compenso o emolumento […]”.

È stata, inoltre, allegata la nota del Dipartimento di Prevenzione della medesima Azienda, con la quale veniva accertata l’insussistenza del requisito vaccinale in capo al reclamante.

Preliminarmente, occorre evidenziare che, in base al quadro normativo sopra richiamato, come vigente al tempo in cui sono occorsi i fatti oggetto di reclamo, l’Azienda - in qualità di ente che procedeva all’accertamento della mancata vaccinazione e non invece nella veste di datore di lavoro - avrebbe dovuto comunicare all’Ordine professionale esclusivamente l’esito dell’accertamento in questione.

L’Azienda, in veste di datore di lavoro, ha, invece, comunicato all’Ordine i provvedimenti adottati nell’ambito del rapporto di lavoro in conseguenza dell’accertamento effettuato dal Dipartimento di Prevenzione, nonché altre informazioni relative al rapporto di lavoro (mansione svolta dal reclamante; circostanza che lo stesso non potesse essere impiegato ad altre mansioni; possibile sospensione dell’interessato dal servizio senza retribuzione), di cui l’Ordine, in virtù del richiamato quadro normativo, non era legittimato a venire a conoscenza.

L’Ordine, infatti, in base al predetto quadro normativo, poteva conoscere, e quindi trattare, ai fini delle dovute annotazioni sull’albo professionale, solo l’informazione relativa all’inosservanza del requisito professionale, con conseguente sospensione ex lege dell’interessato dall’esercizio della professione medica (e non anche l’informazione relativa alla sospensione dal servizio, ipotesi solo eventuale in ragione della possibilità per il professionista di essere adibito a mansioni alternative, sulla base delle valutazioni del datore di lavoro), informandone l’interessato (cfr. art. 4, comma 7, del d.l. 1° aprile 2021, n. 44, nel testo vigente al tempo in cui sono occorsi i fatti oggetto di reclamo).

Con riferimento alla circostanza che l’Ordine abbia inviato la nota prot. n. 003754P del 24 agosto 2021 anche “alle Autorità e agli Enti di cui all’art. 2 del DPR 221/550” e “ai Presidenti degli Ordini dei Medici Chirurghi e degli Odontoiatri” occorre evidenziare che, in base all’art. 49, comma 2 del D.P.R. n. 221/50, invocato dall’Ordine, “i provvedimenti di sospensione dall’esercizio professionale e di radiazione, quando siano divenuti definitivi, sono comunicati a tutti gli Ordini o Collegi della categoria a cui appartiene il sanitario sospeso o radiato e alle autorità ed agli enti ai quali deve essere inviato l’Albo a norma dell’art. 2”.

Al riguardo, con nota prot. n. XX del XX, il Ministero della Salute ha, tuttavia, chiarito – sebbene successivamente ai fatti oggetto di reclamo - che, “tenuto conto che gli atti di accertamento dell’inadempimento dell’obbligo vaccinale […], da cui discende l’immediata sospensione dell’esercizio professionale, non hanno natura disciplinare, [il Ministero] […] è dell’avviso che le relative comunicazioni non dovranno essere inviate anche agli enti di cui all’articolo 49 del DPR 221 del 1950”. Pertanto, alla luce dei sopravvenuti chiarimenti del Ministero, la comunicazione ai predetti enti in merito alla sospensione del professionista non era in tal caso dovuta.

Considerato che la nota dell’Ordine del XX è anteriore alla data in cui il Ministero ha fornito i predetti chiarimenti e tenuto conto dell’incertezza del quadro giuridico di riferimento, si ritiene che la comunicazione ai soggetti contemplati dal d.P.R. 5 aprile 1950, n. 221 della mera informazione relativa all’intervenuta sospensione del reclamante non configuri una violazione della normativa in materia di protezione dei dati, difettando l’elemento soggettivo della colpa (cfr. art. 3 della l. 24 novembre 1981, n. 689).

Occorre, tuttavia, considerare che l’Ordine ha comunicato ai predetti destinatari anche gli ulteriori dati personali del reclamante, contenuti nella documentazione trasmessa dall’Azienda, afferenti allo specifico rapporto di lavoro con la stessa (mansione svolta dal reclamante; circostanza che lo stesso non potesse essere impiegato ad altre mansioni; possibile sospensione dell’interessato dal servizio senza retribuzione). La comunicazione di tali dati esula certamente dall’ambito di applicazione dell’art. 49, comma 2, del d.P.R. 5 aprile 1950, n. 221 e, pertanto, tale circostanza deve essere tenuta in considerazione ai fini della valutazione della condotta dell’Ordine.

Né appare pertinente il richiamo, da parte dell’Ordine, a quanto disposto dall’art. 17-bis del d.l. 17 marzo 2020 n. 18, atteso che i trattamenti di dati personali in questione erano previsti da uno specifico quadro normativo di settore, che disciplina in dettaglio i flussi di dati tra i diversi soggetti coinvolti ai fini dell’accertamento della sussistenza del requisito professionale (datori di lavoro, regioni, aziende sanitarie, ordini professionali). In ogni caso, l’art. 17-bis del d.l. 17 marzo 2020, n. 18, pur prevedendo che i soggetti individuati dalla norma possano effettuare trattamenti di dati personali che risultino necessari all'espletamento delle funzioni ad essi attribuite nell'ambito dell'emergenza determinata dal diffondersi del Covid-19, fa salva la necessità che tali trattamenti debbano essere effettuati adottando misure appropriate a tutela dei diritti e delle libertà degli interessati e nel rispetto dei princìpi di cui all'art. 5 del Regolamento, tra cui il principio di minimizzazione dei dati, secondo cui i dati devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. c), del Regolamento; v. provv.ti 11 novembre 2021, n. 400, doc. web n. 9726426; 15 aprile 2021, n. 140, doc. web n. 9587053; 13 maggio 2021, n. 202, doc. web n. 9678535). Nel caso di specie, la comunicazione dei dati personali del reclamante ai predetti enti, per le ragioni sopra esposte, non era comunque necessaria non solo per adempiere a un obbligo di legge o per esercitare un pubblico potere o un compito di interesse pubblico, ma anche, sul piano generale, ai fini del contenimento della pandemia da SARS-CoV-2, che è condizione indispensabile affinché potesse trovare applicazione la norma in questione.

Quanto alla tesi difensiva prospettata dall’Ordine, secondo la quale alcuni dei dati personali oggetto di comunicazione erano stati in ogni caso resi manifestamente pubblici dall'interessato o erano stati ad altro fine oggetto di pubblicazione obbligatoria nella sezione “Amministrazione Trasparente” dell’Azienda in adempimento degli obblighi di legge in materia di trasparenza di cui al d.lgs. 14 marzo 2013, n. 33, si osserva che i soggetti pubblici, come l’Ordine, possono comunicare a terzi dati personali solo al ricorrere dei presupposti di liceità previsti dalla normativa in materia di protezione dei dati, a nulla rilevando che i medesimi dati siano già stati diffusi dallo stesso interessato o da terzi per altre finalità e in diversi contesti (sul punto, ancorché con riguardo all’operazione di diffusione di dati personali, v. provv.ti 10 marzo 2022, n. 82, doc. web n. 9761383; 13 gennaio 2022, n. 7, doc. web n. 9745807; 13 febbraio 2020, n. 35, doc. web n. 9285411).

Alla luce delle considerazioni che precedono, la comunicazione ai predetti enti dei dati personali del reclamante, relativi al rapporto di lavoro in essere tra lo stesso e l’Azienda, è, pertanto, avvenuta in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

Sebbene la definizione di “dati relativi alla salute” (art. 4, par. 1, n. 15) includa anche la prestazione di servizi sanitari, deve, nel caso di specie, osservarsi che, contrariamente a quanto sostenuto dal reclamante, l’informazione sulla mancata vaccinazione anti Covid-19, senza specifici riferimenti alle ragioni di esenzione o differimento (connesse a situazioni di morbilità, pregresse o attuali, temporanee o permanenti), non costituisce di per sé un dato personale sulla salute dell’interessato. Per tali ragioni, si ritiene che la comunicazione oggetto di reclamo non abbia avuto ad oggetto dati personali relativi alla salute dell’interessato.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Ordine, per aver comunicato a terzi dati personali del reclamante in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).
Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stato considerato che la violazione si è verificata a causa della condotta negligente dell’Ordine, che nell’effettuare le comunicazioni ritenute dovute ai sensi del predetto d.P.R. 5 aprile 1950, n. 221, ha allegato copia integrale della documentazione inviata dall’Azienda, senza effettuare alcuna valutazione in merito alla pertinenza dei dati personali in essa contenuti, nonché alla base giuridica del trattamento.

Di contro, si è tenuta in considerazione la circostanza che la condotta dell’Ordine ha avuto luogo nel contesto emergenziale dovuto alla pandemia da SARS-CoV-2, in cui lo stesso, come altre Amministrazioni, ha dovuto assumere decisioni complesse in temi rapidi, a fronte di un quadro normativo dell’emergenza particolarmente complesso e in continua evoluzione (peraltro, il requisito professionale della vaccinazione non è più richiesto per il personale sanitario a decorrere dal 1° novembre 2022, per effetto del d.l. 31 ottobre 2022, n. 162). Si è, altresì, considerato che alcuni dei dati personali oggetto della comunicazione (circostanza che l’interessato non potesse essere adibito ad altre mansioni; possibile sospensione dal servizio senza retribuzione) riguardano eventualità comunque astrattamente contemplate dal quadro normativo di settore sopra richiamato in caso di insussistenza del requisito vaccinale e in quanto tali quantomeno prospettabili da parte di chiunque fosse a conoscenza dell’intervenuta sospensione del reclamante. Si è poi tenuto conto che la violazione ha riguardato un solo interessato e non ha avuto ad oggetto la violazione di dati personali relativi a categorie particolari. Non risultano, inoltre, precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 3.000 (tremila) per la violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto che la comunicazione in questione ha avuto ad oggetto dati personali relativi alla sfera lavorativa dell’interessato, si ritiene, altresì, che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dall’Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Cagliari per violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139), nei termini di cui in motivazione;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, all’Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Cagliari, con sede legale in Via Dei Carroz, 14 - 09131 Cagliari (CA), C.F. 80000050924, di pagare la somma di euro 3.000,00 (tremila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Ordine, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 3.000,00 (tremila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice (v. art. 16 del Regolamento del Garante n. 1/2019);

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento (v. art. 17 del Regolamento del Garante n. 1/2019).

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 24 novembre 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei