Privacy e procedimento disciplinare: la comunicazione all’Esponente dell’avvio e della conclusione del procedimento è illecita

Con provvedimento del 13 novembre u.s. il Garante Privacy ha fornito un chiarimento molto interessante sul rapporto tra procedimento disciplinare a carico di un professionista iscritto all’albo e tutela dei suoi dati personali.
In particolare, il Garante ha ammonito una Federazione poiché questa avrebbe comunicato all’autore di un esposto disciplinare (“Esponente”) l’avvio di un procedimento disciplinare a carico di un professionista (“Incolpato”) e il suo esito,  nonostante la pendenza dell’impugnazione e il conseguente effetto sospensivo del provvedimento disciplinare comminato.
La comunicazione all’Esponente di tali dati personali dell’Incolpato è risultata non conforme ai principi di liceità, correttezza e trasparenza e svolta in assenza di una base giuridica, con ovvia violazione o degli artt. 5, par. 1, lett. a), e 6 del GDPR, nonché 2-ter del Codice Privacy.
In particolare, il Garante ha sottolineato che la comunicazione all’Esponente della sanzione disciplinare inflitta all’Incolpato, pur se sollecitata dal Ministero della Salute (cui l’esponente si era in prima battuta rivolto e che è l’Autorità vigilante della Federazione),  in nessun caso avrebbe dovuto essere comunicata per i seguenti essenziali motivi:

1. in via preliminare, il procedimento disciplinare non era giunto a conclusione: il professionista sanzionato, infatti,  aveva impugnato il provvedimento disciplinato comminato dalla Federazione e tale impugnativa genera un effetto sospensivo della sanzione che ne elimina l’esecutività;
2. nel merito, l’Esponente non è parte del procedimento disciplinare che invero si svolge esclusivamente tra il professionista incolpato e l’organo disciplinare; da ciò deriva che all’Esponente non può essere comunicato l’esito dell’esposto avanzato a meno che lo stesso non presenti un’istanza di accesso agli atti del procedimento disciplinare ai sensi degli artt. 22 e ss della L. 241/1990 motivando il proprio interesse concreto, diretto e qualificato alla visione degli atti, incluso il provvedimento sanzionatorio.

Interessanti sono le considerazioni svolte dal Garante in sede di valutazione della fattispecie e qui di seguito riassunte:

• la comunicazione al segnalante dell’avvio del procedimento disciplinare verso un professionista e dell’esito del procedimento disciplinare costituiscono comportamenti illegittimi sotto il profilo della tutela dei dati, posto che nessuna norma ordinistica prevede l’inoltro al segnalante di tali informazioni; la Federazione, pertanto, ha agito in assenza di una base giuridica;
• poiché l’esponente non è parte del procedimento disciplinare, all’esponente è preclusa la conoscenza di dati, notizie e informazioni afferenti al suo svolgimento;
• l’esponente può avere conoscenza di dati afferenti al procedimento disciplinare solo mediante istanza di accesso documentale; l’istanza di accesso agli atti deve essere formalmente avanzata e non si può desumere da un generico interesse del segnalante a conoscer; in particolare il richiedente accesso deve dare conto della propria posizione giuridicamente rilevante e degli effetti che un eventuale provvedimento sanzionatorio possa produrre sulla propria sfera giuridica;
• l’istanza di accesso agli atti deve chiaramente indicare il provvedimento o l’atto di cui si chiede l’ostensione;
• la sanzione disciplinare diventa conosciuta o conoscibile sono con l’annotazione nell’albo professionale, ovvero quando diventa esecutiva; prima di allora la sanzione disciplinare non può considerarsi un dato pubblico e quindi la sua divulgazione deve essere fatta nel rispetto della normativa di privacy.

Interessante è altresì l’orientamento già espresso e qui ribadito dal Garante rispetto ai procedimenti disciplinari secondo cui “tutte le fasi del procedimento disciplinare, incluse quelle prodromiche allo stesso, devono svolgersi nel rispetto della riservatezza del professionista coinvolto, in conformità alla normativa in materia di protezione dei dati personali, sino alla conclusione dello stesso. Soltanto nel caso in cui, all’esito del procedimento disciplinare, sia effettivamente adottato un provvedimento disciplinare, che a qualsiasi titolo incida sull’esercizio della professione, è ammessa la menzione dello stesso nell’albo, anche online, nel rispetto della disciplina ordinistica applicabile (v. art. 61,comma 2, del Codice)” (cfr. provv.  15 dicembre 2022, n. 418, doc. web n. 9855545)”

In considerazione dello svolgimento dei fatti e delle considerazioni svolte, il Garante ha concluso che la comunicazione all’Esponente, da parte della Federazione, dei dati personali del reclamante, relativi all’avvio del procedimento e al provvedimento disciplinare adottato, è avvenuta in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica.
L’Autorità, tuttavia, ha valutato la condotta della Federazione come violazione minore, e ha comminato un’ammonizione ai sensi dell’art. 58, par. 2, lett. b) del Regolamento UE 2016/679 e la pubblicazione del provvedimento.

Il carattere minore della violazione deriva dalla valutazione delle seguenti circostanze:

• il grado di collaborazione offerto dalla Federazione all’Autorità nel corso dell’istruttoria;
• la violazione ha riguardato i dati personali relativi a un solo interessato e la comunicazione dei dati personali in questione è stata circoscritta al solo soggetto (Esponente) che, in ogni caso, era a conoscenza dei fatti in relazione ai quali è stato adottato il provvedimento disciplinare;
• l’informazione fornita concerne la tipologia di sanzione disciplinare comminata ma non anche la copia del provvedimento disciplinare;
• non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento;
• la violazione non ha riguardato dati personali appartenenti alle categorie particolari di cui all’art. 9 del Regolamento UE 2016/679