Ordinanza ingiunzione del Garante Privacy verso un Ordine professionale per negligente annotazione dei dati personali nell’albo e comunicazione a terzi

Il Garante Privacy, in esito ad un procedimento avviato da un iscritto, ha sanzionato un Ordine per trattamento illecito dei dati personali del professionista; in particolare il Garante ha rilevato che sia l’annotazione del provvedimento di sospensione nell’albo, sia la comunicazione e successivamente di revoca della sospensione agli enti terzi è avvenuta in maniera non conforme al principio di liceità, correttezza, trasparenza e in assenza di base giuridica, in violazione pertanto degli artt. 5, par. 1, lett. a), e 6 del Regolamento (UE) 2016/679, artt. 2-ter e 2-sexies del Codice in materia di protezione dei dati personali (D.lgs. 196/2003).

Secondo l’Autorità, l’Ordine ha proceduto all’annotazione e alle comunicazioni sopra indicate senza effettuare alcuna valutazione in merito alla pertinenza dei dati personali comunicati, nonché alla base giuridica del trattamento e comunicando, pertanto, informazioni eccedenti rispetto a quanto necessario.

Premesso che l’annotazione e le comunicazioni afferiscono alla sospensione collegata all’inadempimento dell’obbligo vaccinale del professionista, il Garante ha individuato i seguenti diversi profili di irregolarità da parte dell’Ordine:

• relativamente all’annotazione nell’albo, al fine di evitare la diffusione di informazioni particolari relative al professionista, la stessa avrebbe dovuto essere fatta con la sola menzione dell’intervenuta sospensione dall’esercizio della professione di cui all’art. 4, co. 4 e 5 del DL n. 44 del 2021, senza ulteriori specificazioni dalle quali sarebbe stato possibile risalire alla violazione dell’obbligo vaccinale ex art. 17-quinquies, co. 5, del d.P.C.M. 17 giugno 2021; in questo caso, però, l’Autorità rilevando che la disposizione appena citata è entrata in vigore successivamente all’annotazione nell’albo ed altresì che gli Ordini professionali hanno dovuto assumere, in tempi rapidi, decisioni relative a un quadro normativo di complessa interpretazione, ha ritenuto -rispetto a tale irregolarità- l’insussistenza dell’elemento soggettivo della colpa in capo all’Ordine, titolare del trattamento;
• relativamente alla comunicazione agli Ordini ed enti terzi, il Garante evidenzia che, ai sensi dell’art. 49, co. 2, D.P.R. n. 221/50, i provvedimenti di sospensione dall’esercizio professionale e di radiazione, quando siano divenuti definitivi, sono comunicati a tutti gli Ordini della categoria a cui appartiene il sanitario sospeso o radiato e alle autorità ed agli enti ai quali deve essere inviato l’Albo; in relazione a tale obbligo, il Ministero della Salute ha chiarito che data la natura non disciplinare degli atti di accertamento correlati all’obbligo vaccinale, le relative comunicazioni non devono essere inviate anche agli enti sopra citati. Anche in questo caso, il Garante ha evidenziato che l’invio della comunicazione da parte dell’Ordine è anteriore alla data in cui il Ministero ha fornito i chiarimenti circa la natura non disciplinare della sospensione de qua e pertanto la comunicazione del provvedimento di sospensione ai soggetti terzi non configura una violazione della normativa in materia di protezione dei dati, difettando l’elemento soggettivo della colpa;
• relativamente alla comunicazione della cessazione della sospensione fatta agli enti, tra cui il Comune quale ente locale, il Garante chiarisce che la comunicazione doveva limitarsi all’informazione dell’intervenuta cessazione degli effetti della sospensione, senza rivelare la specifica ragione che ne era alla base poiché sempre afferente agli obblighi vaccinali e a circostanze collegate al Covid e senza che assumesse rilievo che l’Ordine avesse in passato ottenuto il “consenso informato” del reclamante al trattamento dei dati personali sensibili, contenente l’autorizzazione all’Ordine di comunicarli a terzi, tra cui alle pubbliche autorità ed amministrazioni, per le finalità connesse all’adempimento di obblighi legali. In questo caso, secondo il Garante, l’Ordine ha comunicato dati personali del reclamante in violazione dei principi di “liceità, correttezza e trasparenza” e in assenza di base giuridica.

Alla luce delle considerazioni che precedono e tenuto conto che la complessiva condotta dell’Ordine ha avuto luogo nel contesto emergenziale dovuto alla pandemia da Covid19 caratterizzato da un quadro normativo complesso e che i fatti oggetto di reclamo sono occorsi antecedentemente all’ intervento del legislatore, con il quale è stato definitivamente chiarito che l’annotazione della sospensione nell’albo professionale deve avvenire senza ulteriori specificazioni, l’Autorità ha valutato la condotta dell’Ordine come violazione minore ed ha ritenuto sufficiente ammonire quest’ultimo ai sensi dell’art. 58, par. 2, lett. b) del Regolamento UE 2016/679.