[doc. web n. 9910245]

Provvedimento del 17 maggio 2023

Registro dei provvedimenti
n. 194 del 17 maggio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal vice segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, il dott. XX, professionista iscritto all’Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Rimini (di seguito, l’“Ordine”), ha rappresentato, per il tramite dei propri avvocati, di non essersi “sottoposto alla vaccinazione obbligatoria anti Sars-Cov19” e di essere stato, pertanto, “sospeso dall’esercizio della professione”, con provvedimento prot. n. XX del XX, notificato al reclamante con nota dell’Ordine prot. n. XX del XX.

L’Ordine avrebbe poi proceduto all’annotazione della sospensione nell’albo online con la dicitura “sospensione D.L. 1 aprile 2021 n. 44 art. 4 decreto-Legge convertito con modificazioni della L. 28 maggio 2021, n. 76 (in G.U. 31/05/2021 n. 128) dall'Albo degli Odontoiatri dal XX al XX", con ciò, ad avviso del reclamante, “viola[ndo] pubblicamente la [propria] privacy […], rendendo note informazioni sensibili […] quali quelle relative alla salute”.

È stato, inoltre, lamentato che l’Ordine, con nota prot. n. XX del XX, avrebbe inviato copia della delibera d’urgenza, con la quale era stata disposta la sospensione, ai seguenti soggetti: “Procuratore della Repubblica di Rimini, Ministro della Salute, Ministero di Grazia e Giustizia, Ministero dell’Istruzione Università e Ricerca, Ministero del Lavoro e Politiche Sociali Roma Presidente FNOMCeO, Presidente ENPAM, Assessore Regionale alla Sanità, Prefetto di Rimini, Questore di Rimini, Presidente del Tribunale di Rimini, Sindaco del Comune di Rimini, Direttore Generale AUSL della Romagna, Direttore Sanitario AUSL della Romagna”.

A seguito di tale comunicazione, “il Comune di Rimini, in data XX, notificava al [reclamante] il provvedimento prot. n. XX [adottato dal] Settore Sistema e Sviluppo Economico […], con il quale il Comune […] sospendeva l’autorizzazione sanitaria rilasciata e diffidava, con effetto immediato, il [reclamante] a non esercitare la propria attività di odontoiatra nei locali in via […]”.

L’Ordine, con nota XX (prot. n. XX), notificava poi al reclamante un nuovo provvedimento di sospensione, adottato con delibera n. XX Consiglio Direttivo del XX, disponendo di “annotare […] la sospensione […] nell’albo […] senza indicazione delle ragioni sottese alla sospensione” (v. all. 5 al reclamo).

Successivamente, l’Ordine, “in data XX, con nota prot. n. XX, stante la documentazione inviata dal [reclamante] […] comprovava l'avvenuta positività al Covid-19 e pertanto l'impossibilità ad adempiere all’obbligo vaccinale, [nonché] deliberava di dichiarare la perdita di efficacia della sospensione ex lege provvedendo alla cancellazione dell'annotazione della sospensione dall'esercizio professionale […]”.

Conseguentemente, il Comune di Rimini, con nota dell'XX, prot. n. XX, comunicava al [reclamante] la revoca del proprio provvedimento, anche in considerazione della “comunicazione inviata in data XX, […] con cui la Segreteria dell'Ordine […] trasmette la [predetta] nota [dell’Ordine] Prot.n. XX del XX”, nella quale, come sopra illustrato, si faceva riferimento allo stato di positività al SARS-CoV-2 del reclamante.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità (nota prot. n. XX del XX), l’Ordine, con nota prot. n. XX del XX, ha dichiarato, in particolare, che:

“la qualifica del sindaco come autorità sanitaria comunale […] risale al regio decreto 27 luglio 1934 n. 1265 che all'articolo 2 lo definiva “autorità sanitaria del comune” e nello stesso anno l’art 55 R.D. 3823/1934 dava al “sindaco, allora definito podestà”, il potere di adottare dei provvedimenti contingibili e urgenti in materia anche di sanità”;

“successivamente la Costituzione ha ascritto la salute tra i diritti fondamentali all’articolo 32 e quindi la competenza in materia sanitaria è condivisa tra vari soggetti: Ministro della Salute, Regioni, aziende sanitarie provinciali e locali, nonché i sindaci e dagli anni Novanta vi è stata la svolta regionalista in materia sanitaria che è da ascrivere alle riforme del Sistema sanitario nazionale (SSN) confermando la figura del sindaco quale autorità sanitaria locale”;

“questo ruolo viene confermato e rafforzato dalla stessa legge n. 833 del 1978 che all'articolo 32 prevede la possibilità per il sindaco di adottare ordinanze contingibili e urgenti in ambito comunale”;

“tale potere è stato ribadito dapprima dall’articolo 38 della legge 8 giugno 1990, n. 142, che dà la possibilità al primo cittadino, quale ufficiale del Governo, di adottare, con atto motivato e nel rispetto dei principi generali dell'ordinamento giuridico, provvedimenti contingibili e urgenti in materia di sanità ed igiene, poi, dall’articolo 117 del D.lgs. 112/1998 che prevede che “in caso di emergenze sanitarie o di igiene pubblica a carattere esclusivamente locale le ordinanze contingibili urgenti sono adottate dal sindaco, quale rappresentante della comunità locale””;

l’art. 5 della legge regionale per l’Emilia Romagna del 4 maggio 1982, n. 19 prevede che “il Sindaco quale autorità sanitaria locale, emana ordinanze contingibili e urgenti, ai sensi del TU della legge comunale e provinciale e per l'adozione e l'esecuzione dei provvedimenti di sua competenza, il Sindaco si avvale dei servizi della Unità Sanitaria Locale. L'organizzazione dei servizi dell'Unità Sanitaria Locale garantisce al Sindaco le condizioni per lo svolgimento delle sue attribuzioni”;

“è chiaro, dunque, il ruolo centrale che il Sindaco ha assunto quale autorità sanitaria soprattutto in situazioni emergenziali”;

“[…] la diffusione del virus Covid-19 […] ha portato al ripensamento […] di qualche strumento giuridico, quantomeno momentaneamente, creando non poca confusione tra gli operatori del diritto e non”;

“l'Ordine in qualità di ente pubblico non economico e quindi di soggetto pubblico può, di regola, trattare dati personali se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l'esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento […;] inoltre l’Ordine per la gestione dei dati ha ottenuto dal [reclamante] in data XX ai sensi dell’articolo 23 del [Codice] il consenso informato a seguito della presa visione delle informazioni di cui [al]l’articolo 13 consentendo i trattamenti dei dati personali sensibili ed in particolare lo stesso autorizzava l’Ordine a comunicare a terzi, tra cui alle pubbliche autorità ed amministrazioni, per le finalità connesse all’adempimento di obblighi legali e l’autorizzava alla diffusione online dei dati indicando anche quella relativa ai provvedimenti che incidono sull’esercizio della professione”;

“tenuto conto della legislazione, del consenso del sanitario, dell’urgenza e della incertezza dovuta al periodo storico, la comunicazione dell’Ordine [al Comune di Rimini] […], ha ottenuto per il sanitario una immediata revoca del provvedimento restrittivo [che aveva adottato il Comune] […] Il Comune […] [infatti], con nota dell'XX comunicava al [reclamante] la revoca del proprio provvedimento, in considerazione della “comunicazione inviata in data XX dallo stesso Ordine””.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, delle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Ordine, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo) e 2-sexies del Codice, invitando il predetto Ordine a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), l’Ordine ha presentato la propria memoria difensiva, dichiarando, in particolare, che:

“[…] i fatti oggetto di reclamo sono occorsi antecedentemente [all’] […] intervento del legislatore, con il quale è stato definitivamente chiarito che l’annotazione della sospensione nell’albo professionale deve avvenire senza ulteriori specificazioni […]”;

“[…] la […] comunicazione è stata inviata d[a]ll’Ordine non solo ai soggetti contemplati dal d.P.R. 5 aprile 1950, n. 221, ma anche all’Assessore Regionale alla Sanità, al Questore di Rimini, al Sindaco del Comune di Rimini, al Direttore Generale dell’AUSL della Romagna e al Direttore Sanitario AUSL della Romagna […]. Tale trasmissione […] è stata attuata in presenza di una concreta base giuridica […]. Infatti l’Ordine, tenuto conto della urgenza e della […] pandemia di Covid-19 […] ha ritenuto applicabile anche la legge regionale per l’Emilia Romagna del 4 maggio 1982, n. 19 che regola le norme per l'esercizio delle funzioni in materia di igiene e sanità pubblica. Tale situazione patologica di urgenza, nell’ambito delle attività di sanità pubblica, ha comportato per l’intero comparto sanitario una serie di effetti a cascata per i quali i vari enti, fra cui gli Ordini, hanno cercato di sopperire, nel complesso contesto emergenziale, alla carenza di “linee guida” utilizzando la normativa ritenuta idonea a limitare i “danni” conseguenziali provocati da eventuali carenze di comunicazione agli enti preposti alla tutela della salute pubblica […]”;

“[…] non si nega che con PEC del XX, l’Ordine comunicava al Comune di Rimini la positività del reclamante al Covid-19 procedendo alla cancellazione della sospensione dall’albo. Tale comunicazione veniva trasmessa tempestivamente, anche al fine di far riconsiderare i provvedimenti adottati in precedenza dal Comune di Rimini e cioè revocare il provvedimento inibitorio dell’utilizzo dell[o] studio del reclamante […;] non vi è stata [in ogni caso] “alta diffusione” ma diffusione limitata a un solo soggetto fra l’altro detentore dell’autorità sanitaria locale”;

“il trattamento dei dati personali del [reclamante] pareva per l’Ordine essere necessario al fine di adempiere ad obblighi legali rinvenendone la base giuridica nell’art. 4 del Decreto [legge n. 44/2021] e nell’art. 49, comma 2 del D.P.R. n. 221/50 e s.m.i.”;

“la circostanza che il [reclamante] non si fosse sottoposto alla vaccinazione costituisce il fondamento stesso del provvedimento di sospensione dall’esercizio della professione emesso nei suoi confronti e pertanto appariva evidente come tale dato non potesse essere omesso”;

“i destinatari della comunicazione erano e sono Enti pubblici od Organismi di diritto pubblico ai quali si applica, per la durata del periodo emergenziale, l’art. 17-bis del D.L. 17 marzo 2020 n. 18, convertito, con modificazioni, con L. 24 aprile 2020, n. 70”;

la vicenda si è verificata “in un periodo storico complesso, caratterizzato dalla pandemia Covid-19 e da incertezza sulla reazione al fenomeno pandemico e sulla corretta applicazione di norme spesso poco organiche o armoniche alle quali andavano a sommarsi – creando ulteriore confusione – le interpretazioni, le FAQ e le altre disposizioni che sovente parevano voler sovvertire la gerarchia delle fonti del diritto”;

“l’Ordine si è, comunque, immediatamente adeguato alle indicazioni del Ministero della Salute del 28 dicembre 2021”, fermo restando che “il chiarimento fornito dal Ministero in relazione al DPR 16 maggio 1950 è pervenuto successivamente ai fatti oggetto di reclamo”;

“l’Ordine ha agito nel contesto estremamente delicato dell’emergenza pandemica, caratterizzato da un elevato grado di complessità giuridica”.

3. Esito dell’attività istruttoria.

3.1 Il quadro giuridico applicabile

I soggetti pubblici possono trattare dati personali, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1, del Regolamento), se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (artt. 6, par. 1, lett. c) ed e), e 9, par. 2, lett. g) del Regolamento, nonché 2-ter e 2-sexies del Codice).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che le operazioni di diffusione e comunicazione a terzi di dati personali, da parte di soggetti pubblici, sono ammesse solo alle condizioni previste dall’art. 2-ter del Codice, fermo restando che, ove i dati oggetto di comunicazione appartengano a categorie particolari, trovano applicazione gli artt. 9 del Regolamento e 2-sexies del Codice (cui occorre aver riguardo, tenuto conto del lasso temporale in cui si sono svolti i fatti oggetto di reclamo, sia nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139 sia nel testo attualmente vigente).

Il titolare del trattamento è, in ogni caso, tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

Con riguardo ai trattamenti di dati personali relativi alla vaccinazione anti SARS-CoV-2, il legislatore - con l’art. 4 del d.l. 1° aprile 2021, n. 44, convertito in legge 28 maggio 2021, n. 76, nel testo applicabile al tempo dei fatti oggetto di reclamo – aveva stabilito che la vaccinazione costituiva “requisito essenziale per l'esercizio della professione e per lo svolgimento delle prestazioni lavorative” per gli esercenti le professioni sanitarie e gli operatori di interesse sanitario espressamente indicati dalla legge. L’art. 4, comma 6, prevedeva che “decorsi i termini per l'attestazione dell'adempimento dell'obbligo vaccinale […], l'azienda sanitaria locale competente accerta l'inosservanza dell'obbligo vaccinale e, previa acquisizione delle ulteriori eventuali informazioni presso le autorità competenti, ne dà immediata comunicazione scritta all'interessato, al datore di lavoro e all'Ordine professionale di appartenenza. L'adozione dell'atto di accertamento da parte dell'azienda sanitaria locale determina la sospensione dal diritto di svolgere prestazioni o mansioni che implicano contatti interpersonali o comportano, in qualsiasi altra forma, il rischio di diffusione del contagio da SARS-CoV-2”.  Il successivo comma 7 specificava che “la sospensione di cui al comma 6 è comunicata immediatamente all'interessato dall'Ordine professionale di appartenenza”.

In tale quadro, a seguito di interlocuzioni tra l’Autorità, le Federazioni nazionali degli Ordini delle professioni sanitarie e il Ministero della Salute, quest’ultimo aveva indirizzato alle Federazioni nazionali la nota interpretativa del XX (prot. n. XX), con oggetto “Art. 4 del decreto legge 01 aprile 2021, n. 44 convertito con modificazioni dalla legge 28 maggio 2021, n. 76. Adempimenti da parte degli Ordini”, riprendendo e integrando le precedenti indicazioni fornite con nota del XX (prot. n. XX).  In particolare, nella predetta nota interpretativa del XX, si precisava che l’art. 4, sopra citato, era “nell’intenzione del legislatore, un requisito imprescindibile perché i medesimi siano considerati idonei a svolgere la propria attività professionale, nonché condizione legittimante per l’esercizio della stessa, in qualunque forma giuridica”. Ciò con la conseguenza che “l’attività dell’Ordine prevista dal […] comma 7, consiste in un mero onere informativo, ossia nella comunicazione all’interessato […] senza alcuna valutazione di merito, della sospensione derivante ex lege dall’atto di accertamento dell’ASL, riportando l’annotazione relativa nell’albo, nel rispetto delle norme sulla tutela della riservatezza dei dati personali”. Pertanto, dall’inosservanza di tale requisito professionale “non può che discendere per il sanitario […] la sospensione ex lege dall’esercizio dell’attività professionale sanitaria tout court”.

Il quadro normativo sopra richiamato era stato successivamente riformato dal legislatore. L’art. 4, comma 4, del d.l. 1° aprile 2021, n. 44, come sostituito dall'art. 1, comma 1, lett. b), del d.l. 26 novembre 2021, n. 172 (che aveva, peraltro, introdotto un diverso procedimento di verifica del requisito vaccinale da parte degli Ordini professionali per il tramite delle rispettive Federazioni nazionali), prevedeva, infatti, che “l'atto di accertamento dell'inadempimento dell'obbligo vaccinale è adottato da parte dell'Ordine territoriale competente […] ha natura dichiarativa, non disciplinare, determina l'immediata sospensione dall'esercizio delle professioni sanitarie ed è annotato nel relativo Albo professionale”. Al riguardo, l’Autorità, nel fornire il proprio parere in relazione allo schema di decreto del Presidente del Consiglio dei Ministri, da adottarsi ai sensi dell’art. 9, comma 10, del d.l. n. 52/2021, di concerto con il Ministro della salute, il Ministro per l’innovazione tecnologica e la transizione digitale e il Ministro dell’economia e delle finanze, per dare applicazione alle disposizioni di cui al decreto-legge 26 novembre 2021, n. 172 (provv. 13 dicembre 2021, n. 430, doc. web n. 9727220), aveva evidenziato che “al fine di evitare la diffusione, anche online, di informazioni particolarmente delicate relative al professionista iscritto all’Ordine, tale annotazione dovrebbe essere effettuata con la sola menzione dell’intervenuta sospensione, senza ulteriori specificazioni, dalle quali sia possibile risalire alla violazione dell’obbligo vaccinale (ad esempio, mediante riferimenti espliciti alla violazione di tale obbligo e/o richiami espressi all’art. 4 del d.l. n. 44/2021 o altre similari locuzioni, quali “sospensioni ex. L.76/21”, e/o alla natura temporanea – fino al XX – della sospensione)”.

Recependo tale indicazione, l’art. 1, comma 1, lett. l), del d.P.C.M. 17 dicembre 2021 aveva introdotto l’art. 17-quinquies, comma 5, del d.P.C.M. 17 giugno 2021, ai sensi del quale “la sospensione dall'esercizio delle professioni sanitarie di cui all'art. 4, commi 4 e 5, del decreto-legge n. 44 del 2021, è annotata sull'albo dell'Ordine territoriale, nonché, ove esistente, nell'albo della Federazione nazionale, senza ulteriori specificazioni dalle quali sia possibile desumere il mancato rispetto dell'obbligo vaccinale da parte dell'esercente la professione sanitaria”.

Nel premettere che il requisito vaccinale non è più previsto per varie categorie professionali a far data del 15 giugno 2022 (v. d.l. n. 24 del 24 marzo 2022) e che, da ultimo, a seguito dell’emanazione del d.l. 31 ottobre 2022, n. 162, tale requisito non è più previsto, a partire dal 1° novembre 2022, neanche per gli esercenti le professioni sanitarie e gli operatori di interesse sanitario, si evidenzia quanto segue. In vigenza del quadro normativo sopra richiamato, i vari soggetti coinvolti (datori di lavoro, regioni, aziende sanitarie, ordini professionali), nell’effettuare i trattamenti in questione (che trovano la propria base giuridica nella predetta disposizione normativa) erano tenuti ad assicurare il rispetto dei principi di protezione dei dati (art. 5 del Regolamento), nonché a trattare i dati mediante il personale autorizzato e debitamente istruito in merito all’accesso ai dati (artt. 5 e 4, par. 10, 29, 32, par. 4, del Regolamento), tenuto, altresì, conto della particolare delicatezza degli stessi (art. 9, parr. 2 e 4, nonché art. 4, punto 15, e cons. 35 del Regolamento).

Nel sistema del Regolamento e del Codice tali norme di settore costituivano la base giuridica per le sole operazioni di trattamento necessarie alle verifiche della sussistenza (o meno) del requisito professionale, perimetrando, in modo uniforme a livello nazionale, l’ambito del trattamento consentito a ciascuno dei soggetti istituzionali coinvolti nel processo di verifica (v. i numerosi provvedimenti del Garante nel periodo emergenziale e, in particolare, i pareri resi sulle disposizioni di attuazione del predetto quadro, tra cui, in particolare, provv. 13 dicembre 2021, n. 430, cit.). Come tradizionalmente affermato dal Garante, i trattamenti effettuati per finalità di accertamento dei requisiti per l’accesso e lo svolgimento di talune professioni previsti da specifiche disposizioni di legge devono essere svolti nel rigoroso rispetto dei limiti e delle condizioni previste da tale cornice di riferimento (v. provv. 27 aprile 2016, n. 194 , doc. web n. 5149198).

3.2 Le modalità di annotazione sull’albo online del provvedimento di sospensione

All’esito dell’istruttoria relativa al reclamo, è emerso che l’Ordine, dopo aver disposto la sospensione d’urgenza del reclamante dall’esercizio della professione per mancato possesso del requisito vaccinale (v. nota prot. n. XX del XX), ai sensi dell’art. 4 del d.l. 1° aprile 2021, n. 44, nel testo al tempo vigente, ha proceduto all’annotazione della sospensione nell’albo online con la seguente dicitura: “sospensione D.L. 1° aprile 2021 n. 44 art. 4 decreto-Legge convertito con modificazioni della L. 28 maggio 2021, n. 76 (in G.U. 31/05/2021 n. 128) dall'Albo degli Odontoiatri dal XX al XX”.

L’annotazione in questione è stata riportata nell’albo online antecedentemente all’entrata in vigore dell’art. 1, comma 1, lett. l), del d.P.C.M. 17 dicembre 2021 che, introducendo l’art. 17-quinquies, comma 5, del d.P.C.M. 17 giugno 2021, ha disposto, chiarendo e completando definitivamente il quadro giuridico di settore, che “la sospensione dall'esercizio delle professioni sanitarie di cui all'art. 4, commi 4 e 5, del decreto-legge n. 44 del 2021, è annotata sull'albo dell'Ordine territoriale, nonché, ove esistente, nell'albo della Federazione nazionale, senza ulteriori specificazioni dalle quali sia possibile desumere il mancato rispetto dell'obbligo vaccinale da parte dell'esercente la professione sanitaria”. Né vi è evidenza in atti che l’Ordine non abbia tempestivamente conformato le proprie procedure alle previsioni da ultimo introdotte dall’art. 1, comma 1, lett. l), del d.P.C.M. 17 dicembre 2021.

Alla luce delle considerazioni che precedono, e nel rilevare, in ogni caso, che gli Ordini professionali hanno dovuto assumere, in tempi rapidi, decisioni relative a un quadro normativo in evoluzione e di complessa interpretazione, si ritiene che, nel caso di specie, con riguardo a tale motivo di reclamo, difetti l’elemento soggettivo della colpa in capo al titolare del trattamento (cfr. art. 3 della l. 24 novembre 1981, n. 689).

Si precisa, in ogni caso, che, sebbene la definizione di “dati relativi alla salute” (art. 4, par. 1, n. 15) includa anche la prestazione di servizi sanitari, l’informazione sulla mancata vaccinazione anti SARS-CoV-2, senza specifici riferimenti alle ragioni di esenzione o differimento (connesse a situazioni di morbilità, pregresse o attuali, temporanee o permanenti), non costituisce di per sé un dato personale sulla salute dell’interessato (v., ancorché con riguardo al diverso contesto delle vaccinazioni obbligatorie per gli alunni, la “Nota del Presidente del Garante, Antonello Soro, in tema di obblighi vaccinali” del 20 ottobre 2018, doc web n. 7037400). Per tali ragioni, come peraltro recentemente affermato dal Garante proprio con riguardo a un caso relativo alle procedure di accertamento del requisito vaccinale (v. provv. 24 novembre 2022, n. 385, doc. web n. 9839018), il riferimento nell’albo online alla sospensione disposta ai sensi del d.l. n. 44/2021 non ha, in ogni caso, comportato la diffusione di dati personali relativi alla salute dell’interessato.

3.3 La comunicazione a soggetti terzi dei dati personali del reclamante contenuti nel provvedimento di sospensione

All’esito dell’istruttoria è stato, altresì, accertato che l’Ordine, con nota prot. n. XX del XX, ha inviato copia della deliberazione d’urgenza, con la quale veniva disposta la sospensione del reclamante, ai seguenti soggetti: Procuratore della Repubblica di Rimini, Ministro della Salute, Ministero di Grazia e Giustizia, Ministero dell’Istruzione Università e Ricerca, Ministero del Lavoro e Politiche Sociali, Presidente FNOMCeO, Presidente ENPAM, Assessore Regionale alla Sanità, Prefetto di Rimini, Questore di Rimini, Presidente del Tribunale di Rimini, Sindaco del Comune di Rimini, Direttore Generale AUSL della Romagna, Direttore Sanitario AUSL della Romagna, tutti gli Ordini dei Medici Chirurghi e degli Odontoiatri d’Italia.

Al riguardo, si evidenzia che, in base all’art. 49, comma 2, del D.P.R. n. 221/50, “i provvedimenti di sospensione dall’esercizio professionale e di radiazione, quando siano divenuti definitivi, sono comunicati a tutti gli Ordini o Collegi della categoria a cui appartiene il sanitario sospeso o radiato e alle autorità ed agli enti ai quali deve essere inviato l’Albo a norma dell’art. 2”, ovvero a “al prefetto [,…] all'Alto Commissariato per l'igiene e la sanità pubblica [ora Ministero della Salute] ai Ministeri di grazia e giustizia [ora Ministero della Giustizia], della pubblica istruzione [ora Ministro dell'Istruzione e del Merito] e del lavoro e della previdenza sociale [ora Ministero del Lavoro e delle Politiche Sociali], agli Uffici giudiziari della provincia, nonché alla Federazione da cui dipende l'Ordine o Collegio e all'Ente nazionale di previdenza ed assistenza della categoria”.

Con nota prot. n. XX del XX, il Ministero della Salute ha chiarito che, “tenuto conto che gli atti di accertamento dell’inadempimento dell’obbligo vaccinale […], da cui discende l’immediata sospensione dell’esercizio professionale, non hanno natura disciplinare, [il Ministero] […] è dell’avviso che le relative comunicazioni non dovranno essere inviate anche agli enti di cui all’articolo 49 del DPR 221 del 1950”. Pertanto, alla luce dei sopravvenuti chiarimenti del Ministero, la comunicazione ai predetti enti in merito alla sospensione del professionista non era in tal caso dovuta.

Tuttavia, considerato che la nota dell’Ordine del XX è anteriore alla data in cui il Ministero ha fornito i predetti chiarimenti e tenuto conto dell’incertezza del quadro giuridico di riferimento, si ritiene che la comunicazione ai soggetti contemplati dall’art. 49 del d.P.R. 5 aprile 1950, n. 221 del provvedimento di sospensione che ha interessato il reclamante, non configuri una violazione della normativa in materia di protezione dei dati, difettando, anche in questo caso, l’elemento soggettivo della colpa (cfr. art. 3 della l. 24 novembre 1981, n. 689; v., in senso conforme, provv. 24 novembre 2022, n. 385, cit.).

In ogni caso, per le ragioni illustrate al precedente par. 3.2, la corrispondenza in questione non ha comunque comportato la comunicazione di dati personali del reclamante relativi allo stato di salute.
Occorre, tuttavia, considerare che l’Ordine ha inviato copia della delibera d’urgenza di sospensione non solo ai soggetti previsti dal d.P.R. 5 aprile 1950, n. 221 ma anche all’Assessore Regionale alla Sanità, al Questore di Rimini, al Sindaco del Comune di Rimini, al Direttore Generale dell’AUSL della Romagna e al Direttore Sanitario dell’AUSL della Romagna.

Premesso che la comunicazione a tali soggetti dell’intervenuta sospensione esula certamente dall’ambito di applicazione dell’art. 49, comma 2, del d.P.R. 5 aprile 1950, n. 221, si osserva che l’Ordine, nel corso dell’istruttoria, non ha indicato un’idonea norma di legge o, nei casi previsti dalla legge, di regolamento che espressamente prevedesse la comunicazione del provvedimento di sospensione ai soggetti in questione (cfr. art. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), del Regolamento, nonché 2-ter del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

L’Ordine ha, infatti, invocato le norme nazionali e regionali che disciplinano la figura del Sindaco quale autorità di sanitaria locale, con particolare riguardo all’art. 5 della legge regionale dell’Emilia-Romagna del 4 maggio 1982, n. 19, ai sensi del quale “il Sindaco quale autorità sanitaria locale, emana ordinanze contingibili e urgenti, ai sensi del TU della legge comunale e provinciale e per l'adozione e l'esecuzione dei provvedimenti di sua competenza, il Sindaco si avvale dei servizi della Unità Sanitaria Locale. L'organizzazione dei servizi dell'Unità Sanitaria Locale garantisce al Sindaco le condizioni per lo svolgimento delle sue attribuzioni”. Premesso che tale norma è, comunque, inconferente rispetto alle comunicazioni indirizzate all’Assessore Regionale alla Sanità, al Questore di Rimini, al Direttore Generale dell’AUSL della Romagna e al Direttore Sanitario dell’AUSL della Romagna, potendo astrattamente rilevare solo in relazione a quanto comunicato al Sindaco del Comune di Rimini, si osserva, in ogni caso, che la stessa si limita a definire in via generale i poteri del Sindaco quale autorità sanitaria locale, ma non prevede alcuno specifico obbligo per gli Ordini professionali di comunicare a tutti gli altri soggetti sopra elencati l’adozione di provvedimenti che incidono sull’esercizio della professione ai fini dell’eventuale revoca di autorizzazioni sanitarie concesse dagli Enti locali a professionisti iscritti all’Albo.

Né appare pertinente il richiamo, da parte dell’Ordine, a quanto disposto dall’art. 17-bis del d.l. 17 marzo 2020 n. 18, atteso che i trattamenti di dati personali in questione erano previsti da uno specifico quadro normativo di settore, che disciplina in dettaglio i flussi di dati tra i diversi soggetti coinvolti ai fini dell’accertamento della sussistenza del requisito professionale (datori di lavoro, regioni, aziende sanitarie, ordini professionali). In ogni caso, l’art. 17-bis del d.l. 17 marzo 2020, n. 18, pur prevedendo che i soggetti individuati dalla norma possano effettuare trattamenti di dati personali che risultino necessari all'espletamento delle funzioni ad essi attribuite nell'ambito dell'emergenza determinata dal diffondersi del SARS-CoV-2, fa salva la necessità che tali trattamenti debbano essere effettuati adottando misure appropriate a tutela dei diritti e delle libertà degli interessati e nel rispetto dei princìpi di cui all'art. 5 del Regolamento, tra cui il principio di minimizzazione dei dati, secondo cui i dati devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. c), del Regolamento; v. provv.ti 11 novembre 2021, n. 400, doc. web n. 9726426; 15 aprile 2021, n. 140, doc. web n. 9587053; 13 maggio 2021, n. 202, doc. web n. 9678535).

Nel caso di specie, la comunicazione dei dati personali del reclamante ai predetti enti, per le ragioni sopra esposte, non era comunque necessaria non solo per adempiere a un obbligo di legge o per esercitare un pubblico potere o un compito di interesse pubblico, ma anche, sul piano generale, ai fini del contenimento della pandemia da SARS-CoV-2, che è condizione indispensabile affinché potesse trovare applicazione la norma in questione (v. provv. 24 novembre 2022, n. 385, doc. web n. 9839018).

Alla luce delle considerazioni che precedono, la comunicazione ai predetti Enti dei dati personali del reclamante, relativi all’intervenuta sospensione per mancato possesso del requisito vaccinale, è, pertanto, avvenuta in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

3.3 La comunicazione al Comune di Rimini di dati relativi alla salute del reclamante

Risulta, altresì, accertato che l’Ordine, con messaggio di posta elettronica certificata del XX, ha inviato al Comune di Rimini copia della nota del XX (prot. n. XX), con la quale l’Ordine informava il reclamante che “con deliberazione n. XX, a seguito della documentazione da Lei trasmessa in data XX comprovante l’avvenuta positività al Covid-19 in data XX e pertanto l’impossibilità ad adempiere all’obbligo vaccinale […] [, l’Ordine] ha provveduto ad accertare la sussistenza dei […] requisiti per procedere alla cancellazione della sospensione dall’albo”.

Premesso che la comunicazione di dati personali in questione non era dovuta ai sensi del richiamato quadro giuridico di settore che disciplinava le procedure di accertamento del mancato possesso del requisito vaccinale (art. 4, comma 4, del d.l. 44/2021), l’Ordine, nel corso dell’istruttoria, non ha indicato alcuna disposizione normativa che potesse giustificare l’operazione stessa (cfr. art. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e 9 del Regolamento, nonché 2-¬ter e 2-sexies del Codice).

D’altra parte, al fine di mettere a conoscenza il Comune della revoca della sospensione e consentire allo stesso di riconsiderare i provvedimenti a sua volta adottati nell’ambito delle proprie competenze, sarebbe stato sufficiente informare l’Ente dell’intervenuta cessazione degli effetti della sospensione, senza rivelare la specifica ragione che ha determinato la stessa, ovvero la positività del reclamante al SARS-CoV-2.

A conferma che anche l’Ordine fosse consapevole dell’ultroneità di tale informazione rispetto alla finalità perseguita, vi è la circostanza che in calce alla predetta nota del XX (prot. n. XX), inviata dall’Ordine al reclamante, veniva espressamente specificato che la comunicazione della “cancellazione dell’annotazione della sospensione […] alle Autorità di cui agli artt. 2 e 49 del DPR n. 221/1950” sarebbe stata effettuata dall’Ordine “senza indicazione delle ragioni sottese alla stessa”.

Non assume, peraltro, rilievo, in tale contesto, la circostanza che, come sostenuto nel corso dell’istruttoria, l’Ordine avesse a suo tempo ottenuto il “consenso informato” del reclamante ai “trattamenti dei dati personali sensibili” e che il reclamante “stesso autorizzava l’Ordine a comunicare a terzi, tra cui alle pubbliche autorità ed amministrazioni, per le finalità connesse all’adempimento di obblighi legali”.

Premesso, infatti, che i soggetti pubblici, come l’Ordine, non possono trattare dati personali, nello svolgimento dei propri compiti istituzionali, sulla base del consenso degli interessati - non potendosi lo stesso ritenere una “manifestazione di volontà libera” (art. 4, par. 1, n. 11) del Regolamento), in ragione dello squilibrio della posizione degli interessati rispetto al titolare del trattamento che agisce per lo svolgimento di funzioni istituzionali (cfr. cons. n. 43 del Regolamento) – si osserva, in ogni caso, che la dichiarazione di consenso prodotta agli atti dall’Ordine si riferisce “all’invio di materiale presso [l’] indirizzo postale, numero di cellulare, indirizzo e-mail”, essendo, pertanto, comunque inconferente rispetto ai fatti oggetto di reclamo.

Alla luce delle considerazioni che precedono, risulta accertato che l’Ordine ha comunicato al Comune di Rimini dati personali del reclamante, relativi allo stato di salute, in maniera non conforme al principio di liceità, correttezza e trasparenza, e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nonché 2-sexies del Codice.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Ordine, per aver comunicato a terzi dati personali del reclamante, anche relativi alla salute (limitatamente alla nota inviata al Comune di Rimini), in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo) e 2-sexies del Codice.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Ciò premesso, tenuto conto che:

la violazione, per quanto risulta in atti, ha riguardato un solo interessato e i dati oggetto di comunicazione, diversi da quelli sanitari, erano comunque in gran parte già stati oggetto di diffusione sull’albo online, con particolare riferimento all’intervenuta sospensione del reclamante ai sensi della sopra richiamata disciplina di settore (v. precedente par. 3.2);

l’Ordine ha agito – ancorché in assenza di un’idonea base giuridica - nella convinzione che la comunicazione dell’intervenuta sospensione, anche a soggetti non contemplati dal d.P.R. 5 aprile 1950, n. 221, potesse fondarsi sulla necessità di informare altre autorità pubbliche, ritenute competenti ad adottare propri conseguenti provvedimenti ai fini del contenimento della pandemia da SARS-CoV-2, avendo, pertanto, la violazione natura colposa;

l’Ordine, ancorché comunicando al Comune di Rimini un dato eccedente, relativo alla salute, ha comunque agito con l’intenzione di apportare un beneficio all’interessato, ovvero al fine di dare impulso alla revoca dell’atto di sospensione dell’autorizzazione sanitaria adottato dal Comune. Peraltro, lo stesso Ordine si era determinato a dare notizia della revoca della sospensione “senza indicazione delle ragioni sottese alla stessa”;

la complessiva condotta dell’Ordine ha avuto luogo nel contesto emergenziale dovuto alla pandemia da SARS-CoV-2, in cui lo stesso, come altre Amministrazioni, ha dovuto assumere decisioni complesse in temi rapidi, a fronte di un quadro normativo dell’emergenza particolarmente complesso e in continua evoluzione (peraltro, il requisito professionale della vaccinazione non è più richiesto per il personale sanitario a decorrere dal 1° novembre 2022, per effetto del d.l. 31 ottobre 2022, n. 162);

l’Ordine ha cooperato in maniera proattiva con l’Autorità nel corso dell’istruttoria;

non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento, aventi la medesima natura di quelle accertate in relazione ai fatti di reclamo, o precedenti provvedimenti di cui all’art. 58 del Regolamento;

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire il titolare del trattamento per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 del Regolamento).

Considerato che la condotta ha ormai esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dall’Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Rimini, in persona del legale rappresentante pro-tempore, con sede legale in Via Flaminia, 185/B - 47923 Rimini (RN), C.F. 91030170400, per violazione degli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo) e 2-sexies del Codice, nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce l’Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Rimini, quale titolare del trattamento in questione, per aver violato gli artt. 5, par. 1, lett. a), 6 e 9 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo) e 2-sexies del Codice, come sopra descritto;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 17 maggio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL VICE SEGRETARIO GENERALE
Filippi