[doc. web n. 10006933]

Provvedimento del 22 febbraio 2024

Registro dei provvedimenti
n. 110 del 22 febbraio 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore l'avv. Guido Scorza;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, la dott.ssa XX, che esercita la libera professione medica, ha lamentato, per il tramite del proprio avvocato, una presunta violazione della normativa in materia di protezione dei dati personali da parte dell’Ordine dei Medici Chirurghi e degli Odontoiatri della provincia di Padova (di seguito, l’“Ordine”).

In particolare, è stato lamentato che l’Ordine avrebbe inviato a numerosi soggetti pubblici la delibera del proprio Consiglio Direttivo n. XX del XX1, con la quale era stata disposta la sospensione della reclamante per il mancato possesso del requisito vaccinale anti SARS-CoV-2.

La reclamante ha, altresì, lamentato di non aver ricevuto un’informativa sul trattamento dei dati personali da parte dell’Ordine.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità (v. nota prot. n. XX del XX), l’Ordine, con nota prot. n. XX del XX, ha dichiarato, in particolare, che:

“l’[Ordine] ha trasmesso la delibera n. XX datata XX […] all’interessata in data XX con Prot. N. XX”;

“nella medesima data ha altresì trasmesso la comunicazione della sospensione ex art. 4 comma 7 del D.L. n. 44/2021, con Prot. N. XX […], all’interessata medesima, al Direttore Generale e al Direttore Sanitario dell’ULSS 6 Euganea (a riscontro dell’avvenuto compimento del procedimento iniziato con il loro atto di accertamento dell’inottemperanza all’obbligo vaccinale), agli Enti indicati negli articoli 2 e 49 del D.P.R. n. 221/1950 integrati dal Presidente del Tribunale territorialmente competente (per equivalenza rispetto al Procuratore della Repubblica), dal Presidente Enpam (per ogni eventuale valutazione previdenziale connessa alla sospensione) e dalle autorità locali incaricate di compiti di sorveglianza e sicurezza pubblica e sanitaria (Assessore Regionale alla Sanità, Questore, Sindaco di Padova), tutti soggetti coinvolti nella gestione dell’emergenza sanitaria ai sensi dell’art. 17 bis del decreto legge n. 18 del 17 marzo 2020”;

“la comunicazione agli Enti è stata effettuata sul presupposto che il compito informativo che spettava all’Ordine in questa prima fase degli accertamenti dell’inottemperanza all’obbligo vaccinale (quindi nella vigenza della prima versione dell’art. 4 del decreto legge n. 44/2021) dovesse essere svolto in analogia a quanto avviene nel caso di sospensione di un sanitario per motivi disciplinari”;

“in data successiva all’invio della delibera riguardante la [reclamante] (ovvero solo in data XX), la Federazione Nazionale, con comunicazione n. XX […] ha trasmesso all’Ordine una circolare del Ministero della Salute in cui lo stesso, rispondendo a dei quesiti sollevati dalle Federazioni delle professioni sanitarie, esprimeva l’opinione per cui le sospensioni dall’esercizio professionale per inadempimento dell’obbligo vaccinale, non avendo natura disciplinare, non dovessero essere comunicate agli Enti di cui agli artt. 2 e 49 del D.P.R. n. 221/1950, né agli ulteriori enti coinvolti nella gestione della pandemia. L’Ordine […] da quel momento in avanti ha omesso le suddette comunicazioni”;

“la reclamante ha presentato domanda di iscrizione all’[Ordine] il […].[…].XX [e] in [tale] sede […] ha ricevuto informazioni in merito alle finalità e modalità di trattamento dei dati personali da parte dell’Ente, ai sensi dell’art. 13 del D. Lgs 196/2003 nel testo allora vigente”;

“in data 25 maggio 2018, all’entrata in vigore del Regolamento […], l’Ente ha pubblicato sul proprio sito internet la “Politica sulla Protezione dei Dati Personali dell’Ordine dei Medici e degli Odontoiatri della provincia di Padova” e ha provveduto all’invio massivo di una newsletter a tutti gli iscritti (all’epoca più di 7.000 tra medici e odontoiatri) contenente la medesima politica […]”;

“l’[Ordine] nel proprio sito istituzionale https://www.omco.pd.it/ in home page nella sezione professionale pubblica ordinariamente a favore dei suoi iscritti tutta la modulistica relativa alle pratiche professionali corredata dalle specifiche informative di cui agli artt. 12,13 e 14 [del Regolamento] sia in forma breve che estesa […]”;

“inoltre, dal sito istituzionale ciascun medico può accedere ad un Portale digitale https://omceopd.irideweb.it/ registrandosi ad una propria area riservata (tramite spid o cie) ove poter usufruire di servizi digitali senza dover recarsi presso gli uffici dell'Ente. Al momento della registrazione vengono date all’iscritto tutte le informazioni ex art. 13 del Regolamento e per ogni pratica, se necessaria viene fornita l’informativa”;

“dopo l’entrata in vigore del D.L 172/2021 a decorrere dal XX, l’Ordine in quanto titolare del trattamento dei dati ha redatto apposita informativa sul trattamento dei dati personali in merito agli obblighi vaccinali ai sensi degli artt. 13 e 14 del [Regolamento], informativa che è stata comunicata via pec, alla reclamante in data XX (prot. N. XX) unitamente all’invito a documentare il proprio stat[o] vaccinale”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Ordine, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, lett. b), del Regolamento, nonché 2-ter del Codice, per aver l’Ordine comunicato a terzi dati personali della reclamante in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), l’Ordine ha presentato una memoria difensiva, dichiarando, in particolare, che:

“indubbiamente l’Ordine non ha indicato una disposizione che espressamente prevedesse la necessità della comunicazione del provvedimento di sospensione ai soggetti in questione, ma ciò […] non determina de plano un’assenza di presupposto normativo per il trattamento effettuato”;

“all’epoca dei fatti contestati il provvedimento di sospensione non era affatto adottato dall’Ordine, ma dall’Azienda Sanitaria territorialmente competente: l’Ordine si limitava a prendere atto dell’avvenuta sospensione e ad effettuare le comunicazioni”;

“ne deriva che il Direttore Generale e il Direttore Sanitario dell’ULSS 6 sapevano già che la [reclamante] era stata sospesa dall’esercizio professionale per mancata vaccinazione nel momento in cui hanno ricevuto la comunicazione da parte dell’Ordine, atteso che era stata l’Azienda Sanitaria da loro diretta che aveva provveduto ad emettere la sospensione”;

“quindi […] la comunicazione ai ruoli apicali dell’Azienda Sanitaria territorialmente competente di sicuro non ha superato il principio di offensività. E questo perché comunicare una notizia a una persona che già la conosce non può, per definizione, ledere il diritto o la riservatezza di alcuno”;

in merito all’“invio della delibera di sospensione all’Assessore Regionale alla Sanità, al Questore e al Sindaco di Padova” [occorre considerare che] la novella introdotta dal decreto-legge 8 ottobre 2021, n. 139 (convertito, con modificazioni, dalla legge 3 dicembre 2021) all’art. 2 ter del Codice […] ha inserito ex novo il comma 1-bis”, che “va letto in uno con il primo comma”, avendo “il legislatore […] espressamente sdoganato la liceità di tutti i trattamenti posti in essere dalla pubblica amministrazione quando necessari per l'adempimento di un compito svolto nel pubblico interesse o per l'esercizio di pubblici poteri ad essa attribuiti”;

“[…] il Cons[.] n. 4 del [Regolamento] ricorda che il trattamento dei dati personali "dovrebbe essere al servizio dell'uomo" e che il diritto alla protezione dei dati "non è una prerogativa assoluta, ma va considerata alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità"”;

“[…] l’Ordine […] ha una funzione di tutela dei cittadini e della salute complessivamente intesa. A chiarire in via definitiva il compito di interesse pubblico degli Ordini è la Legge 11 gennaio 2018 n. 3 […], che all’art. 4, comma 3, prevede che Ordini e le relative Federazioni nazionali: promuovono e assicurano l'indipendenza, l'autonomia e la responsabilità delle professioni e dell'esercizio professionale, la qualità tecnico-professionale, la valorizzazione della funzione sociale, la salvaguardia dei diritti umani e dei principi etici dell'esercizio professionale indicati nei rispettivi codici deontologici, al fine di garantire la tutela della salute individuale e collettiva”;

“l’Ordine […], ente pubblico avente come finalità statutaria la tutela della salute individuale e collettiva, di certo va considerato una pubblica amministrazione autorizzata ai trattamenti dei dati personali necessari per l'adempimento del suddetto compito ai sensi del nuovo comma 1 bis dell’art. 2 ter del Codice”;

“che l’obbligo vaccinale imposto agli operatori sanitari durante la pandemia perseguisse finalità di salute pubblica è elemento altrettanto indubitabile, scandito a chiare lettere dall’incipit del comma 1 dell’art. 44 del decreto legge n. 44/2021”;

“l’Ordine ha ritenuto necessario inviare la comunicazione della sospensione anche alle istituzioni coinvolte, a livello locale, nella gestione della pandemia (ai sensi dell’art. 17 bis del decreto legge n. 18/2020), ovvero il Sindaco e il Questore di Padova e l’Assessore Regionale alla Sanità. Questo è stato fatto perché si è ritenuto che fosse funzionale al miglior perseguimento della finalità di tutela della salute la conoscenza anche da parte di queste istituzioni delle avvenute sospensioni, oltre che da parte degli Enti di cui all’art. 49 comma 2 D.P.R. n. 221/1950 […,] tutela della salute […] non solo dei potenziali pazienti, ma anche dei medici non vaccinati che, se contagiati, avrebbero potuto andare incontro a notevoli complicazioni: quindi tutela della salute anche della [reclamante], salute ritenuta dall’Ordine più importante, soprattutto nel pieno di una pandemia, rispetto alla riservatezza”;

“a XX la priorità era quella di evitare che medici non vaccinati potessero lavorare (o essere costretti a lavorare), e questo a tutela della salute di tutti. Affermare nel 2023, a pandemia conclusa, che le comunicazioni che perseguivano la suddetta finalità in realtà non servivano a contenere la diffusione dei contagi appare un fuor d’opera”;

“anche perché […] il dato della [reclamante] che è stato trasmesso non era un dato relativo alla salute, ma solo ad un temporaneo requisito per l’esercizio della professione, ed era un dato già pubblico in quanto pubblicato nell’Albo dei Medici”;

“il coinvolgimento delle altre autorità non ricomprese negli articoli 2 e 49 del D.P.R. n. 221/1950 era dettato dalla necessità di comunicare siffatta informazione anche alle Istituzioni preposte al controllo della pandemia, tale compito era percepito dall’Ente quale adempimento necessario allo svolgimento di un compito dispiegato per l'esercizio di pubblici poteri, attribuiti all’Ordine […]”.

In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX (v. verbale prot. n. XX della medesima data), l’Ordine ha dichiarato, in particolare, che:

“l’Ordine è tenuto a garantire la sussistenza dei requisiti previsti dalla legge per l’esercizio della professione. Al venir meno di tali requisiti, l’Ordine è parimenti tenuto a informare di tale circostanza tutte le autorità competenti, tra cui quelle – come il Sindaco - che hanno competenze in materia sanitaria”;

“l’Ordine ha adempiuto gli obblighi previsti dal quadro normativo adottato al fine di contrastare l’epidemia da SARS-CoV-2, effettuando le comunicazioni necessarie per tutelare la salute pubblica”;

“si è trattato di una presa d’atto di una sanzione amministrativa, che non ha comportato la divulgazione di alcun dato sensibile”;

“il diritto alla protezione dei dati personali deve considerarsi recessivo dinnanzi alla primaria esigenza di tutelare la salute pubblica e l’incolumità dei pazienti e dei medici”;

“in un quadro di evidente incertezza giuridica e nel difficile contesto emergenziale, l’Ordine ha comunque fatto una valutazione della base giuridica sul piano della ragionevolezza, ritenendo applicabile l’art. 2-ter, comma 1-bis, del Codice […]”;

“pertanto, l’Ordine ha agito in assoluta buona fede, al fine esclusivo di perseguire l’interesse pubblico e la tutela della salute di cittadini e medici, non ritenendosi, in ogni caso, sussistente l’elemento soggettivo della colpa”.

3. Esito dell’attività istruttoria.

I soggetti pubblici possono trattare dati personali, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1, del Regolamento), se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (artt. 6, par. 1, lett. c) ed e), e 9, par. 2, lett. g) del Regolamento, nonché 2-ter e 2-sexies del Codice).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di comunicazione a terzi di dati personali, da parte di soggetti pubblici, è ammessa solo alle condizioni previste dall’art. 2-ter del Codice.

Il titolare del trattamento è, in ogni caso, tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

Con riguardo ai trattamenti di dati personali relativi alla vaccinazione anti SARS-CoV-2, il legislatore - con l’art. 4 del d.l. 1° aprile 2021, n. 44, convertito in legge 28 maggio 2021, n. 76, nel testo applicabile al tempo dei fatti oggetto di reclamo - aveva stabilito che la vaccinazione costituiva “requisito essenziale per l'esercizio della professione e per lo svolgimento delle prestazioni lavorative” per gli esercenti le professioni sanitarie e gli operatori di interesse sanitario espressamente indicati dalla legge.

L’art. 4, comma 6, prevedeva che “decorsi i termini per l'attestazione dell'adempimento dell'obbligo vaccinale […], l'azienda sanitaria locale competente accerta l'inosservanza dell'obbligo vaccinale e, previa acquisizione delle ulteriori eventuali informazioni presso le autorità competenti, ne dà immediata comunicazione scritta all'interessato, al datore di lavoro e all'Ordine professionale di appartenenza. L'adozione dell'atto di accertamento da parte dell'azienda sanitaria locale determina la sospensione dal diritto di svolgere prestazioni o mansioni che implicano contatti interpersonali o comportano, in qualsiasi altra forma, il rischio di diffusione del contagio da SARS-CoV-2”. 

Il successivo comma 7 specificava che “la sospensione di cui al comma 6 è comunicata immediatamente all'interessato dall'Ordine professionale di appartenenza”.

In tale quadro, a seguito di interlocuzioni tra l’Autorità, le Federazioni nazionali degli Ordini delle professioni sanitarie e il Ministero della Salute, quest’ultimo aveva indirizzato alle Federazioni nazionali la nota interpretativa del XX (prot. n. XX), con oggetto “Art. 4 del decreto legge 01 aprile 2021, n. 44 convertito con modificazioni dalla legge 28 maggio 2021, n. 76. Adempimenti da parte degli Ordini”, riprendendo e integrando le precedenti indicazioni fornite con nota del XX (prot. n. XX). 

In particolare, nella predetta nota interpretativa del XX, si precisava che l’art. 4, sopra citato, era “nell’intenzione del legislatore, un requisito imprescindibile perché i medesimi siano considerati idonei a svolgere la propria attività professionale, nonché condizione legittimante per l’esercizio della stessa, in qualunque forma giuridica”. Ciò con la conseguenza che “l’attività dell’Ordine prevista dal […] comma 7, consiste in un mero onere informativo, ossia nella comunicazione all’interessato […] senza alcuna valutazione di merito, della sospensione derivante ex lege dall’atto di accertamento dell’ASL, riportando l’annotazione relativa nell’albo, nel rispetto delle norme sulla tutela della riservatezza dei dati personali”. Pertanto, dall’inosservanza di tale requisito professionale “non può che discendere per il sanitario […] la sospensione ex lege dall’esercizio dell’attività professionale sanitaria tout court”.

Il quadro normativo sopra richiamato era stato successivamente riformato dal legislatore (v. d.l. 26 novembre 2021, n. 172), introducendo un diverso procedimento di verifica del requisito vaccinale da parte degli Ordini professionali per il tramite delle rispettive Federazioni nazionali.

Nel premettere che, a seguito dell’emanazione del d.l. 31 ottobre 2022, n. 162 e a partire dal 1° novembre 2022, il requisito vaccinale non è più previsto per gli esercenti le professioni sanitarie e gli operatori di interesse sanitario, si evidenzia quanto segue.

In vigenza del quadro normativo sopra richiamato, i vari soggetti coinvolti (datori di lavoro, regioni, aziende sanitarie, ordini professionali), nell’effettuare i trattamenti in questione (che trovano la propria base giuridica nella predetta disposizione normativa) erano tenuti ad assicurare il rispetto dei principi di protezione dei dati (art. 5 del Regolamento), nonché a trattare i dati mediante il personale autorizzato e debitamente istruito in merito all’accesso ai dati (artt. 4, n. 10, 29, 32, par. 4, del Regolamento), tenuto, altresì, conto della particolare delicatezza degli stessi (art. 9, parr. 2 e 4, nonché art. 4, n. 15, e cons. 35 del Regolamento).

Nel sistema del Regolamento e del Codice tali norme di settore costituivano la base giuridica per le operazioni di trattamento necessarie alle verifiche della sussistenza (o meno) del requisito professionale, perimetrando, in modo uniforme a livello nazionale, l’ambito del trattamento consentito a ciascuno dei soggetti istituzionali coinvolti nel processo di verifica (v. i numerosi provvedimenti del Garante nel periodo emergenziale e, in particolare, i pareri resi sulle disposizioni di attuazione del predetto quadro, con specifico riguardo a quello reso con provv. 13 dicembre 2021, n. 430, doc. web n.  9727220, v. anche i provv.ti ivi richiamati). Come tradizionalmente affermato dal Garante, in particolare in un contesto lavorativo altrettanto delicato come quello del trasporto aereo di passeggeri, i trattamenti effettuati per finalità di accertamento dei requisiti per l’accesso e lo svolgimento di talune professioni previsti da specifiche disposizioni di legge devono essere svolti nel rigoroso rispetto dei limiti e delle condizioni previste da tale cornice di riferimento (v. provv. 27 aprile 2016, n. 194 , doc. web n. 5149198).

Nel caso di specie, l’Ordine, in data XX, ha inviato la nota prot. n. XX, avente ad oggetto “comunicazione della sospensione ex art. 4 comma 7 del D.L. del 1/4/2021, n. 44, convertito dalla l. 28 maggio 2021, n. 76”, con la quale era stata disposta la sospensione della reclamante per mancanza del requisito professionale della vaccinazione da SARS-CoV-2, ai seguenti soggetti: la reclamante, il Procuratore della Repubblica di Padova, il Ministero della Salute, il Ministero di Grazia e Giustizia, il Ministero dell’Istruzione dell’Università e della Ricerca, il Ministero del Lavoro e Politiche Sociali, il Presidente FNOMCeO, il Presidente ENPAM, l’Assessore Regionale alla Sanità, il Prefetto di Padova, il Questore di Padova, il Presidente del Tribunale di Padova, il Sindaco del Comune di Padova, il Direttore Generale Ulss 6 Euganea, il Direttore Sanitario Ulss 6 Euganea, tutti gli Ordini dei Medici Chirurghi e degli Odontoiatri d’Italia.

Al riguardo, si evidenzia che, in base all’art. 49, comma 2, del D.P.R. n. 221/50, “i provvedimenti di sospensione dall’esercizio professionale e di radiazione, quando siano divenuti definitivi, sono comunicati a tutti gli Ordini o Collegi della categoria a cui appartiene il sanitario sospeso o radiato e alle autorità ed agli enti ai quali deve essere inviato l’Albo a norma dell’art. 2”, ovvero a “al prefetto [,…] all'Alto Commissariato per l'igiene e la sanità pubblica [ora Ministero della Salute] ai Ministeri di grazia e giustizia [ora Ministero della Giustizia], della pubblica istruzione [ora Ministro dell'Istruzione e del Merito] e del lavoro e della previdenza sociale [ora Ministero del Lavoro e delle Politiche Sociali], agli Uffici giudiziari della provincia, nonché alla Federazione da cui dipende l'Ordine o Collegio e all'Ente nazionale di previdenza ed assistenza della categoria”.

Con nota prot. n. XX del XX, il Ministero della Salute ha chiarito - successivamente ai fatti oggetto di reclamo - che, “tenuto conto che gli atti di accertamento dell’inadempimento dell’obbligo vaccinale […], da cui discende l’immediata sospensione dell’esercizio professionale, non hanno natura disciplinare, [il Ministero] […] è dell’avviso che le relative comunicazioni non dovranno essere inviate anche agli enti di cui all’articolo 49 del DPR 221 del 1950”. Pertanto, alla luce dei sopravvenuti chiarimenti del Ministero, la comunicazione ai predetti enti in merito alla sospensione del professionista non era in tal caso dovuta.

Tuttavia, considerato che la nota dell’Ordine del XX è anteriore alla data in cui il Ministero ha fornito i predetti chiarimenti e tenuto conto dell’incertezza del quadro giuridico di riferimento, si ritiene che la comunicazione ai soggetti contemplati dall’art. 49 del d.P.R. 5 aprile 1950, n. 221 del provvedimento di sospensione che ha interessato la reclamante non configuri una violazione della normativa in materia di protezione dei dati, difettando l’elemento soggettivo della colpa (cfr. art. 3 della l. 24 novembre 1981, n. 689; v., in senso conforme, provv.ti 17 maggio 2023, n. 194, doc. web n. 9910245 e 24 novembre 2022, n. 385, doc. web n. 9839018).

In ogni caso, la corrispondenza in questione non ha comunque comportato la comunicazione di “dati relativi alla salute” (art. 4, par. 1, n. 15, del Regolamento), in quanto, sebbene tale definizione includa anche la prestazione di servizi sanitari (v., ancorché con riguardo al diverso contesto delle vaccinazioni obbligatorie per gli alunni, la “Nota del Presidente del Garante, Antonello Soro, in tema di obblighi vaccinali” del 20 ottobre 2018, doc web n. 7037400), nel caso di specie, tenuto conto dello specifico quadro normativo sopra richiamato, la mancata vaccinazione anti SARS-CoV-2 non poteva essere correlata a specifiche ragioni di esenzione o differimento, connesse a situazioni di morbilità, pregresse o attuali, temporanee o permanenti dell’interessata (cfr. provv.ti 17 maggio 2023, n. 194, cit. e 24 novembre 2022, n. 385, cit.). Diversamente, infatti, ove l’Azienda sanitaria avesse accertato la ricorrenza delle predette condizioni di salute, la sospensione della professionista non sarebbe stata disposta, secondo quanto espressamente previsto dall’art. 4, commi 5 e 6, del d.l. 44/2021 sopra citato (nel testo al tempo vigente, ai sensi del quale “ricevuta la segnalazione di cui al comma 4, l'azienda sanitaria locale di residenza invita l'interessato a produrre, entro cinque giorni dalla ricezione dell'invito, la documentazione comprovante l'effettuazione della vaccinazione o l'omissione o il differimento della stessa […], ovvero la presentazione della richiesta di vaccinazione o l'insussistenza dei presupposti per l'obbligo vaccinale […] Decorsi i termini per l'attestazione dell'adempimento dell'obbligo vaccinale […] l'azienda sanitaria locale competente accerta l'inosservanza dell'obbligo vaccinale”).

Occorre, tuttavia, considerare che l’Ordine ha inviato copia della delibera d’urgenza di sospensione non solo ai soggetti previsti dal d.P.R. 5 aprile 1950, n. 221 ma anche all’Assessore Regionale alla Sanità, al Questore di Padova, al Sindaco del Comune di Padova, al Direttore Generale Ulss 6 Euganea e al Direttore Sanitario Ulss 6 Euganea.

Premesso che la comunicazione a tali soggetti dell’intervenuta sospensione esula certamente dall’ambito di applicazione dell’art. 49, comma 2, del d.P.R. 5 aprile 1950, n. 221, si osserva che l’Ordine, nel corso dell’istruttoria, non ha indicato un’idonea disposizione (cfr. art. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, lett. b), del Regolamento, nonché 2-ter del Codice) che espressamente prevedesse la comunicazione del provvedimento di sospensione ai soggetti in questione.

Quanto alla circostanza che, ad avviso dell’Ordine, la comunicazione indirizzata al Direttore Generale e al Direttore Sanitario dell’ULSS 6 Euganea sia stata effettuata “a riscontro dell’avvenuto compimento del procedimento iniziato con il loro atto di accertamento dell’inottemperanza all’obbligo vaccinale”, si osserva che, come sopra illustrato, l’art. 4, comma 6, del d.l. 44/2021, nel testo vigente al tempo dei fatti oggetto di reclamo, prevedeva che “decorsi i termini per l'attestazione dell'adempimento dell'obbligo vaccinale […], l'azienda sanitaria locale competente accerta l'inosservanza dell'obbligo vaccinale e, previa acquisizione delle ulteriori eventuali informazioni presso le autorità competenti, ne dà immediata comunicazione scritta all'interessato, al datore di lavoro e all'Ordine professionale di appartenenza. L'adozione dell'atto di accertamento da parte dell'azienda sanitaria locale determina la sospensione dal diritto di svolgere prestazioni o mansioni che implicano contatti interpersonali o comportano, in qualsiasi altra forma, il rischio di diffusione del contagio da SARS-CoV-2”. Il successivo comma 7 specificava che “la sospensione di cui al comma 6 è comunicata immediatamente all'interessato dall'Ordine professionale di appartenenza”. Pertanto, in tale quadro, la comunicazione del provvedimento di sospensione adottato dall’Ordine al Direttore Generale e al Direttore Sanitario dell’Azienda sanitaria non era comunque necessaria.

Non può essere, altresì, accolta la tesi difensiva dell’Ordine, in base alla quale l’invio del provvedimento di sospensione all’Assessore Regionale alla Sanità, al Questore di Padova e al Sindaco di Padova si sarebbe reso necessario in quanto gli stessi sono “autorità locali incaricate di compiti di sorveglianza e sicurezza pubblica e sanitaria), tutti soggetti coinvolti nella gestione dell’emergenza sanitaria ai sensi dell’art. 17 bis del decreto legge n. 18 del 17 marzo 2020”. Al riguardo, si osserva, anzitutto, che l’Ordine non ha indicato alcuna specifica disposizione di settore in materia di sicurezza pubblica e sanità che espressamente prevedesse la comunicazione in questione. Né appare pertinente il richiamo a quanto disposto dall’art. 17-bis del d.l. 17 marzo 2020 n. 18, atteso che i trattamenti di dati personali in questione erano previsti da uno specifico quadro normativo di settore, che disciplinava in dettaglio i flussi di dati tra i diversi soggetti coinvolti ai fini dell’accertamento della sussistenza del requisito professionale (datori di lavoro, regioni, aziende sanitarie, ordini professionali). In ogni caso, l’art. 17-bis del d.l. 17 marzo 2020, n. 18, pur prevedendo che i soggetti individuati dalla norma possano effettuare trattamenti di dati personali che risultino necessari all'espletamento delle funzioni ad essi attribuite nell'ambito dell'emergenza determinata dal diffondersi del SARS-CoV-2, faceva salva la necessità che tali trattamenti dovessero essere effettuati adottando misure appropriate a tutela dei diritti e delle libertà degli interessati e nel rispetto dei princìpi di cui all'art. 5 del Regolamento, tra cui il principio di minimizzazione dei dati, secondo cui i dati devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. c), del Regolamento; v. provv.ti 17 maggio 2023, n. 194, cit; 24 novembre 2022, n. 385, cit.; 11 novembre 2021, n. 400, doc. web n. 9726426; 15 aprile 2021, n. 140, doc. web n. 9587053; 13 maggio 2021, n. 202, doc. web n. 9678535).

Nel caso di specie, la comunicazione dei dati personali della reclamante ai predetti enti, per le ragioni sopra esposte, non era comunque necessaria non solo per adempiere un obbligo di legge o per esercitare un pubblico potere o un compito di interesse pubblico, ma anche, sul piano generale, ai fini del contenimento della pandemia da SARS-CoV-2, che è condizione indispensabile affinché potesse trovare applicazione la norma in questione (v. provv.ti 17 maggio 2023, n. 194, cit. e 24 novembre 2022, n. 385, cit.).

Anche l’argomento difensivo, in base al quale la comunicazione di dati personali in questione, ancorché non espressamente prevista dalla legge, possa ritenersi lecita ai sensi dell’art. 2-ter, comma 2-bis, del Codice, in quanto necessaria per l'adempimento di un compito svolto nel pubblico interesse o per l'esercizio di pubblici poteri attribuiti all’Ordine, non può essere accolto. Ciò in quanto, nel contesto della normativa emergenziale adottata per fronteggiare l’epidemia da SARS-CoV-2, è stato lo stesso legislatore, adottando il citato art. 4 del d.l. 1° aprile 2021, n. 44, a definire, bilanciando i diversi interessi in gioco con disposizioni uniformi per tutto il territorio nazionale, i flussi comunicativi tra i diversi soggetti pubblici coinvolti, ritenuti necessari ai fini dell’accertamento del possesso del requisito vaccinale e della conseguente sospensione dall’esercizio di determinate professioni, anche in ragione delle implicazioni di tale condizione per la tutela della salute pubblica.

In tale quadro, che, come detto, costituiva la base giuridica dei predetti trattamenti, la comunicazione dei dati personali della reclamante, posta in essere dall’Ordine, non può essere ritenuta “necessari[a]” per l'adempimento di un compito svolto nel pubblico interesse o per l'esercizio di pubblici poteri (art. 6, par. 1, lett. e), del Regolamento).

Alla luce di tutte le considerazioni che precedono, deve concludersi che l’Ordine, effettuando la comunicazione di dati personali in questione, ha agito in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), e parr. 2 e 3, lett. b), del Regolamento, nonché 2-ter del Codice.

Da ultimo, si prende atto di quanto dichiarato dall’Ordine in merito alla circostanza che lo stesso, in data 25 maggio 2018, avesse pubblicato sul proprio sito web istituzionale la “Politica sulla Protezione dei Dati Personali dell’Ordine dei Medici e degli Odontoiatri della provincia di Padova” e inviato copia della stesa a tutti gli iscritti, informandoli anche del fatto che i propri dati personali sarebbero stati trattati, come nel caso in questione, per “tenere ed aggiornare l'Albo dei Medici Chirurghi e l'Albo degli Odontoiatri” e che gli stessi avrebbero potuto essere comunicati ad “altre pubbliche autorità in adempimento agli obblighi di legge”. Per tali ragioni, il reclamo deve ritenersi infondato, limitatamente a tale profilo.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Ordine, per aver comunicato i dati personali della reclamante in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione a tali elementi, occorre considerare che, nel caso di specie, la violazione: ha riguardato i dati personali relativi a un solo interessato (cfr. art. 83, par. 2, lett. a), del Regolamento); ha carattere colposo, avendo l’Ordine agito in buona fede, nella convinzione che la comunicazione dei dati personali in questione fosse necessaria per il perseguimento delle proprie finalità istituzionali e per concorrere alla tutela della salute pubblica, nonché ha avuto luogo nel contesto emergenziale dovuto alla pandemia da SARS-CoV-2, in cui l’Ordine, come altre Amministrazioni, ha dovuto assumere decisioni complesse in tempi rapidi, a fronte di un quadro normativo dell’emergenza particolarmente complesso e in continua evoluzione, tanto che attualmente il requisito professionale della vaccinazione non è più richiesto per il personale sanitario a decorrere dal 1° novembre 2022, per effetto del d.l. 31 ottobre 2022, n. 162 (cfr. art. 83, par. 2, lett. b), del Regolamento); non ha riguardato categorie particolari di dati personali (cfr. art. 83, par. 2, lett. g), del Regolamento).

Si ritiene, pertanto, che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia basso (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60).

Ciò premesso, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze attenuanti:

- l’Ordine ha offerto un buon livello di cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento);

- non risultano precedenti violazioni pertinenti commesse dall’Ordine (art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5.000 (cinquemila) per la violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto dell’ampio ambito di circolazione dei dati personali della reclamante per effetto della condotta dell’Ordine, si ritiene, altresì, che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dall’Ordine per violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione;

ORDINA

all’Ordine dei Medici Chirurghi e Odontoiatri di Padova, in persona del legale rappresentante pro-tempore, con sede legale in Via San Prosdocimo, 6/8 - 35139 Padova (PD), C.F. 80037160282, di pagare la somma di euro 5.000 (cinquemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Ordine, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 5.000 (cinquemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 22 febbraio 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei