[doc. web n. 10223675]

Provvedimento del 12 febbraio 2026

Registro dei provvedimenti
n. 69 del 12 febbraio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, il dott. XX, professionista iscritto presso l’Ordine Provinciale dei medici chirurghi e degli odontoiatri di Macerata (di seguito, l’“Ordine”), ha lamentato una presunta violazione della disciplina in materia di protezione dei dati personali, in relazione a vicende risalenti nel tempo e che si collocano nel contesto dell’emergenza epidemiologica da SARS-CoV-2.

In particolare, è stato rappresentato che l’Ordine, con nota del XX (prot. n. XX), avrebbe inviato la comunicazione di sospensione dell’interessato, disposta ai sensi dell’art. 4 del d.l. 1° aprile 2021, n. 44 per mancato possesso del requisito vaccinale anti SARS-CoV-2, a numerosi soggetti pubblici, tra cui il Sindaco di Macerata e il Direttore ASUR Marche AV 2.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità, formulata ai sensi dell’art. 157 del Codice (v. nota prot. n. XX del XX), l’Ordine, con nota del XX (prot. n. XX), ha dichiarato, in particolare, che:

“in data XX, a seguito dell’atto di accertamento precedentemente pervenutogli il XX da parte dell’ASUR Marche, l’Ordine […] inviava, a mezzo pec, […] [al reclamante] comunicazione afferente [alla] sospensione, a tempo determinato, del [reclamante] dall’esercizio dell’attività professionale, con annotazione sull’Albo, disposta ai sensi di quanto previsto dagli artt. 4 e seguenti del D.L. 1.4.2021 n. 44, vigente al tempo […]”;

“in difetto di specifiche disposizioni, l’Ordine […] inviava a mezzo pec, sotto la medesima data del XX, analoga comunicazione a tutti gli Enti indicati negli artt. 49 e 2 del DPR 221/1950, in quanto destinatari ex lege della informativa circa gli esiti dei procedimenti disciplinari e cautelari riguardanti i sanitari iscritti, nonché destinatari della ricezione di copia, in forma cartacea, dell’Albo provinciale […]”;

l’Ordine “sulla base di un comportamento divenuto di prassi, in epoca di emergenza sanitaria (ai fini della tutela della salute pubblica) […] aveva ritenuto opportuno […] l‘invio di medesima comunicazione […] a tutti coloro che, istituzionalmente, potevano concorrere a diminuire la diffusione della circolazione di detto Covid”;

“avverso il provvedimento applicativo della misura della sospensione, disposta ex art. 4 e seguenti del D.L. 1.4.2021 n. 44, come convertito dalla L. 76/2021, proponeva tuttavia impugnativa avanti l’A.G.O. l’interessato […]”;

“[…] il Tribunale di Ancona […] rigetta[va] il ricorso per difetto di competenza (in favore del Giudice del Lavoro di Macerata)”;

“successivamente il [reclamante] […] proponeva [ricorso] avanti al Tribunale di Macerata [, tuttora] pendente […]”;

“con successivo atto in data […] il [reclamante] proponeva [reclamo al] [Garante]”;

l’Ordine “deduce [, pertanto,] la violazione […] del comma 2 del vigente art. 140 bis del Codice”, atteso che il reclamante ha “inserito la medesima doglianza, oltre che nel reclamo di cui trattasi, anche [nei] due ricorsi instaurati in precedenza”;

“l’attività comunicativa afferente [alla] sospensione in cui era incorso il [reclamante], era avvenuta in un contesto di piena emergenza sanitaria […], per cui si riteneva di dover dare precedenza e prevalenza ai principi istituzionali di salvaguardia della salute pubblica individuale e collettiva”;

“solo in data successiva all’invio della delibera riguardante il reclamante […], la Federazione Nazionale, con comunicazione n. XX del XX, aveva provveduto a trasmetteva all’Ordine una circolare [interpretativa degli] artt. 2 e 49 del D.P.R. n. 221/1950 […]”;

“l’Ordine [ha] comunque operato una valutazione della base giuridica su cui operava in un piano di ragionevolezza e proporzionalità, ritenendo applicabile l’art. 2-ter, comma 1-bis, del Codice”.

Con nota dell’XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Ordine, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver lo stesso posto in essere una comunicazione di dati personali in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice. Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del XX, l’Ordine ha presentato una memoria difensiva, dichiarando, in particolare, che:

“l’Ordine […] ha agito in […] buona fede, al fine di salvaguardare la salute pubblica, [… con] il coinvolgimento di numerosi [soggetti pubblici…] chiamati tutti ad interagire […] in pieno contesto emergenziale ed in assenza di disposizioni applicative univoche […]”;

“l’Ordine ha trasmesso la comunicazione della sospensione del [reclamante…] a numerosi soggetti pubblici coinvolti nella gestione dell’emergenza sanitaria tra cui […] al Direttore di Asur Marche, AV 2, in quanto datore di lavoro del sanitario inadempiente, ed anche al Sindaco del capoluogo provinciale”, trattandosi di “Autorità incaricate di compiti di sorveglianza e sicurezza pubblica e sanitaria”;

“all’epoca dei fatti contestati il provvedimento di sospensione non era affatto adottato dall’Ordine, ma dalla Azienda Sanitaria, territorialmente competente: l’Ordine si limitava a prendere atto della comunicazione relativa, che gli perveniva da detta Azienda sanitaria ed a provvedere, senza alcuna valutazione discrezionale a tal riguardo, alla sospensione dell’interessato ed infine ad effettuarne le dovute comunicazioni”;

“ne deriva, pertanto, che l’Asur Marche e il Direttore Sanitario AV2 […], non solo avevano già contezza che il [reclamante] doveva essere sospeso dall’esercizio professionale per mancata vaccinazione, ma tanto più doveva essere avvertita A.V. 2 dell’Azienda sanitaria regionale [… tenuto conto che] AV. 2 rappresentava per l’interessato il vero e proprio datore di lavoro […]”;

“in relazione poi alla somma autorità sanitaria nel Comune, essa risulta prevista in diverse disposizioni normative, tra cui, a titolo esemplificativo, il Regio Decreto 27 luglio 1934, n. 1265, art. 2; il R.D. n. 3823/1934, art. 55; Legge n. 833 del 1978, art. 32”;

“tale potere è stato ribadito dapprima dall’articolo 38 della Legge 8 giugno 1990, n. 142 e infine dall’art. 117 del D.Lgs. n. 112/1998, che prevede la possibilità per il Sindaco di adottare “in caso di emergenze sanitarie o di igiene pubblica a carattere esclusivamente locale le ordinanze contingibili urgenti che si rendano necessarie”;

“[…] la sospensione del sanitario […] comportava il contestuale venir meno dei requisiti […] per poter operare in campo sanitario, di guisa che l’Ordine era di conseguenza, doverosamente tenuto a comunicare tale sopravvenienza al Direttore dell’ASL, Area Vasta 2, quale datore di lavoro del [reclamante] ed al Sindaco del capoluogo provinciale, quale organo di tutela della salute della collettività territoriale”;

“il [reclamante] ricopriva specifico incarico [medico nell’…] Area Vasta 2 all’interno della quale il Direttore di questa non solo era il datore di lavoro del [reclamante], ma, al tempo stesso, inseriva il suddetto sanitario nell’organizzazione dei turni lavorativi nei comparti sopra indicati”.

In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX (v. verbale prot. n. XX della medesima data), l’Ordine ha dichiarato, in particolare, che “il reclamante non poteva esercitare nessuna attività professionale nel Comune […], né poteva partecipare quale medico vaccinatore alle attività dei c.d. hub vaccinali che si stavano allestendo nel periodo pandemico, in collaborazione con le aziende sanitarie […;] pertanto, la comunicazione dei dati del reclamante […] era strettamente necessaria e funzionale all’approntamento delle misure di sanità pubblica, essendoci una carenza generale di personale sanitario e dovendosi prevenire la partecipazione alle operazioni vaccinali da parte di professionisti sospesi dall’esercizio della professione per carenza del requisito vaccinale”.

3. Esito dell’attività istruttoria.

3.1. Sull’eccepita improponibilità del reclamo al Garante.

L’Ordine ha eccepito che il reclamo proposto dall’interessato al Garante debba considerarsi improcedibile, per aver lo stesso antecedentemente proposto, avverso la comunicazione di sospensione dall’albo professionale, prima un ricorso al Tribunale di Ancona, respinto per difetto di competenza, e poi un analogo ricorso al Tribunale di Macerata, tutt’ora pendente, nell’ambito del quale l’interessato avrebbe lamentato anche la violazione della normativa in materia di protezione dei dati. Ciò tenuto conto che, ai sensi dell’art. 140-bis, comma 2, del Codice, “il reclamo al Garante non può essere proposto se, per il medesimo oggetto e tra le stesse parti, è stata già adita l'autorità giudiziaria”.

Al riguardo, si osserva che dalla documentazione in atti emerge che l’interessato ha chiesto all’Autorità giudiziaria, in particolare, l’annullamento del provvedimento dell’azienda sanitaria ASUR AV3 di accertamento del mancato possesso del requisito vaccinale e di tutti gli altri atti impugnati, tra cui la “la conseguente determina del XX, prot. XX di sospensione dell’Ordine Dei Medici, con la quale è stata è stata prevista [la] sospensione”, senza, tuttavia, formulare espressamente alcun tipo di domanda volta all’accertamento di violazioni della normativa in materia di protezione dei dati, con particolare riguardo all’illecita comunicazione dei dati personali dell’interessato a soggetti terzi.

Infatti, soltanto in via del tutto incidentale, l’interessato, nell’ambito del predetto ricorso, ha rappresentato che “dal provvedimento emanato dall’Ordine […] emerge che la sospensione del [reclamante] veniva comunicata anche a vari enti, in violazione della normativa e violando in tal modo la privacy del ricorrente”.

Il petitum del ricorso all’Autorità giudiziaria e del successivo reclamo al Garante non è, pertanto, coincidente, non essendo, quindi, sussistente la condizione d’improcedibilità, connessa all’alternatività della tutela, di cui all’art. 140-bis, comma 2, del Codice.

Né, d’altra parte, un eventuale accoglimento del ricorso da parte dell’Autorità giudiziaria, con il conseguente annullamento della nota dell’Ordine del XX (prot. n. XX), oggetto di reclamo, potrebbe dispiegare effetti nell’ambito del procedimento relativo al reclamo dinnanzi al Garante o comunque condizionare le valutazioni dello stesso, atteso che il reclamo proposto dall’interessato non attiene al merito di detta nota (relativa all’accertamento della sussistenza del requisito vaccinale), bensì all’ambito di comunicazione dei dati personali dell’interessato, concernenti la sospensione dalla professione per effetto del mancato possesso del requisito vaccinale.

Si ritiene, pertanto, che l’eccezione procedurale sollevata dall’Ordine non possa essere accolta.

3.2 La comunicazione di dati personali posta in essere dall’Ordine.

I soggetti pubblici possono trattare dati personali, anche relativi a categorie particolari, se il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento oppure per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito lo stesso (v. artt. 6, parr. 1, lett. c) ed e), e parr. 2 e 3, 9, par. 2, lett. g), del Regolamento, nonché 2-ter e 2-sexies del Codice).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di comunicazione a terzi di dati personali, da parte di soggetti pubblici, è ammessa solo alle condizioni previste dall’art. 2-ter del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo.

Il titolare del trattamento è, in ogni caso, tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

Con riguardo ai trattamenti di dati personali relativi alla vaccinazione anti SARS-CoV-2, il legislatore - con l’art. 4 del d.l. 1° aprile 2021, n. 44, convertito in legge 28 maggio 2021, n. 76, nel testo applicabile al tempo dei fatti oggetto di reclamo - aveva stabilito che la vaccinazione costituiva “requisito essenziale per l'esercizio della professione e per lo svolgimento delle prestazioni lavorative” per gli esercenti le professioni sanitarie e gli operatori di interesse sanitario espressamente indicati dalla legge.

L’art. 4, comma 6, prevedeva che “decorsi i termini per l'attestazione dell'adempimento dell'obbligo vaccinale […], l'azienda sanitaria locale competente accerta l'inosservanza dell'obbligo vaccinale e, previa acquisizione delle ulteriori eventuali informazioni presso le autorità competenti, ne dà immediata comunicazione scritta all'interessato, al datore di lavoro e all'Ordine professionale di appartenenza. L'adozione dell'atto di accertamento da parte dell'azienda sanitaria locale determina la sospensione dal diritto di svolgere prestazioni o mansioni che implicano contatti interpersonali o comportano, in qualsiasi altra forma, il rischio di diffusione del contagio da SARS-CoV-2”.

Il successivo comma 7 specificava che “la sospensione di cui al comma 6 è comunicata immediatamente all'interessato dall'Ordine professionale di appartenenza”.

In tale quadro, a seguito di interlocuzioni tra l’Autorità, le Federazioni nazionali degli Ordini delle professioni sanitarie e il Ministero della Salute, quest’ultimo aveva indirizzato alle Federazioni nazionali la nota interpretativa del XX (prot. n. XX), con oggetto “Art. 4 del decreto legge 01 aprile 2021, n. 44 convertito con modificazioni dalla legge 28 maggio 2021, n. 76. Adempimenti da parte degli Ordini”, riprendendo e integrando le precedenti indicazioni fornite con nota del XX (prot. n. XX).

In particolare, nella predetta nota interpretativa del XX, si precisava che l’art. 4, sopra citato, era “nell’intenzione del legislatore, un requisito imprescindibile perché i medesimi siano considerati idonei a svolgere la propria attività professionale, nonché condizione legittimante per l’esercizio della stessa, in qualunque forma giuridica”. Ciò con la conseguenza che “l’attività dell’Ordine prevista dal […] comma 7, consiste in un mero onere informativo, ossia nella comunicazione all’interessato […] senza alcuna valutazione di merito, della sospensione derivante ex lege dall’atto di accertamento dell’ASL, riportando l’annotazione relativa nell’albo, nel rispetto delle norme sulla tutela della riservatezza dei dati personali”. Pertanto, dall’inosservanza di tale requisito professionale “non può che discendere per il sanitario […] la sospensione ex lege dall’esercizio dell’attività professionale sanitaria tout court”.

Il quadro normativo sopra richiamato era stato successivamente riformato dal legislatore (v. d.l. 26 novembre 2021, n. 172), introducendo un diverso procedimento di verifica del requisito vaccinale da parte degli Ordini professionali per il tramite delle rispettive Federazioni nazionali.

Nel premettere che, a seguito dell’emanazione del d.l. 31 ottobre 2022, n. 162 e a partire dal 1° novembre 2022, il requisito vaccinale non è più previsto per gli esercenti le professioni sanitarie e gli operatori di interesse sanitario, si evidenzia quanto segue.

In vigenza del quadro normativo sopra richiamato, i vari soggetti coinvolti (datori di lavoro, regioni, aziende sanitarie, ordini professionali), nell’effettuare i trattamenti in questione (che trovano la propria base giuridica nella predetta disposizione normativa) erano tenuti ad assicurare il rispetto dei principi di protezione dei dati (art. 5 del Regolamento), nonché a trattare i dati mediante il personale autorizzato e debitamente istruito in merito all’accesso ai dati (artt. 4, n. 10, 29, 32, par. 4, del Regolamento), tenuto, altresì, conto della particolare delicatezza degli stessi (art. 9, parr. 2 e 4, nonché art. 4, n. 15, e cons. 35 del Regolamento).

Nel sistema del Regolamento e del Codice tali norme di settore costituivano la base giuridica per le operazioni di trattamento necessarie alle verifiche della sussistenza (o meno) del requisito professionale, perimetrando, in modo uniforme a livello nazionale, l’ambito del trattamento consentito a ciascuno dei soggetti istituzionali coinvolti nel processo di verifica (v. i numerosi provvedimenti del Garante nel periodo emergenziale e, in particolare, i pareri resi sulle disposizioni di attuazione del predetto quadro, con specifico riguardo a quello reso con provv. 13 dicembre 2021, n. 430, doc. web n. 9727220, v. anche i provv.ti ivi richiamati). Come tradizionalmente affermato dal Garante, in particolare in un contesto lavorativo altrettanto delicato come quello del trasporto aereo di passeggeri, i trattamenti effettuati per finalità di accertamento dei requisiti per l’accesso e lo svolgimento di talune professioni previsti da specifiche disposizioni di legge devono essere svolti nel rigoroso rispetto dei limiti e delle condizioni previste da tale cornice di riferimento (v. provv. 27 aprile 2016, n. 194, doc. web n. 5149198).

Nel caso di specie, l’Ordine, in data XX, ha inviato la nota prot. n. XX, avente ad oggetto “comunicazione della sospensione ex art. 4 comma 7 del D.L. 44/2021”, al reclamante e ai seguenti soggetti: tutti gli Ordini dei Medici Chirurghi e degli Odontoiatri d’Italia, al Ministero della Salute, al Ministero della Giustizia, al Ministero dell’Istruzione, alla Federazione Nazionale degli Ordini dei Medici Chirurghi e degli Odontoiatri, alla Fondazione ENPAM, al Sindaco di Macerata, all’ASUR Marche e al Direttore ASUR Marche AV 2.

Al riguardo, si evidenzia che, in base all’art. 49, comma 2, del D.P.R. n. 221/50, “i provvedimenti di sospensione dall’esercizio professionale e di radiazione, quando siano divenuti definitivi, sono comunicati a tutti gli Ordini o Collegi della categoria a cui appartiene il sanitario sospeso o radiato e alle autorità ed agli enti ai quali deve essere inviato l’Albo a norma dell’art. 2”, ovvero a “al prefetto [,…] all'Alto Commissariato per l'igiene e la sanità pubblica [ora Ministero della Salute] ai Ministeri di grazia e giustizia [ora Ministero della Giustizia], della pubblica istruzione [ora Ministero dell'Istruzione e del Merito] e del lavoro e della previdenza sociale [ora Ministero del Lavoro e delle Politiche Sociali], agli Uffici giudiziari della provincia, nonché alla Federazione da cui dipende l'Ordine o Collegio e all'Ente nazionale di previdenza ed assistenza della categoria”.

Con nota prot. n. XX del XX1, il Ministero della Salute ha chiarito - successivamente ai fatti oggetto di reclamo - che, “tenuto conto che gli atti di accertamento dell’inadempimento dell’obbligo vaccinale […], da cui discende l’immediata sospensione dell’esercizio professionale, non hanno natura disciplinare, [il Ministero] […] è dell’avviso che le relative comunicazioni non dovranno essere inviate anche agli enti di cui all’articolo 49 del DPR 221 del 1950”. Pertanto, alla luce dei sopravvenuti chiarimenti del Ministero, la comunicazione ai predetti enti in merito alla sospensione del professionista non era in tal caso dovuta.

Tuttavia, considerato che la nota dell’Ordine del XX è anteriore alla data in cui il Ministero ha fornito i predetti chiarimenti e tenuto conto dell’incertezza del quadro giuridico di riferimento, si ritiene che la comunicazione ai soggetti contemplati dall’art. 49 del d.P.R. 5 aprile 1950, n. 221 del provvedimento di sospensione che ha interessato il reclamante non configuri una violazione della normativa in materia di protezione dei dati, difettando l’elemento soggettivo della colpa (cfr. art. 3 della l. 24 novembre 1981, n. 689; v., in senso conforme, provv.ti 22 febbraio 2024, n. 110, doc. web n. 10006933; 17 maggio 2023, n. 194, doc. web n. 9910245; 24 novembre 2022, n. 385, doc. web n. 9839018), dovendosi, pertanto, ritenere il reclamo non fondato con riguardo a tale profilo.

In ogni caso, la corrispondenza in questione non ha comunque comportato la comunicazione di “dati relativi alla salute” (art. 4, par. 1, n. 15, del Regolamento), in quanto, sebbene tale definizione includa anche la prestazione di servizi sanitari (v., ancorché con riguardo al diverso contesto delle vaccinazioni obbligatorie per gli alunni, la “Nota del Presidente del Garante, Antonello Soro, in tema di obblighi vaccinali” del 20 ottobre 2018, doc web n. 7037400), nel caso di specie, tenuto conto del quadro normativo sopra richiamato, la mancata vaccinazione anti SARS-CoV-2 non poteva essere correlata a specifiche ragioni di esenzione o differimento, connesse a situazioni di morbilità, pregresse o attuali, temporanee o permanenti dell’interessato (cfr. provv.ti 9 maggio 2024, n. 288, doc. web n. 10026235; 22 febbraio 2024, n. 110, cit.; 22 febbraio 2024, n. 102, doc. web n. 10006478; 17 maggio 2023, n. 194, cit.; 24 novembre 2022, n. 385, cit.). Diversamente, infatti, ove l’Azienda sanitaria avesse accertato la ricorrenza delle predette condizioni di salute, la sospensione del professionista non sarebbe stata disposta, secondo quanto espressamente previsto dall’art. 4, commi 5 e 6, del d.l. 44/2021 sopra citato (nel testo al tempo vigente, ai sensi del quale “ricevuta la segnalazione di cui al comma 4, l'azienda sanitaria locale di residenza invita l'interessato a produrre, entro cinque giorni dalla ricezione dell'invito, la documentazione comprovante l'effettuazione della vaccinazione o l'omissione o il differimento della stessa […], ovvero la presentazione della richiesta di vaccinazione o l'insussistenza dei presupposti per l'obbligo vaccinale […] Decorsi i termini per l'attestazione dell'adempimento dell'obbligo vaccinale […] l'azienda sanitaria locale competente accerta l'inosservanza dell'obbligo vaccinale”).

Occorre, tuttavia, considerare che l’Ordine ha inviato copia della nota in questione non solo ai soggetti previsti dal d.P.R. 5 aprile 1950, n. 221 ma anche al Direttore ASUR Marche AV 2 e al Sindaco di Macerata.

Premesso che la comunicazione a tali soggetti dell’intervenuta sospensione esula certamente dall’ambito di applicazione dell’art. 49, comma 2, del d.P.R. 5 aprile 1950, n. 221, si osserva che l’Ordine, nel corso dell’istruttoria, non ha indicato un’idonea disposizione (cfr. art. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, lett. b), del Regolamento, nonché 2-ter del Codice) che espressamente prevedesse la comunicazione del provvedimento di sospensione ai soggetti in questione.

Quanto alla circostanza che, ad avviso dell’Ordine, la comunicazione indirizzata al Direttore di Asur Marche, AV 2, sarebbe stata dovuta in quanto si trattava del datore di lavoro del reclamante, si osserva che, come sopra illustrato, l’art. 4, comma 6, del d.l. 44/2021, nel testo vigente al tempo dei fatti oggetto di reclamo, prevedeva che “decorsi i termini per l'attestazione dell'adempimento dell'obbligo vaccinale […], l'azienda sanitaria locale competente accerta l'inosservanza dell'obbligo vaccinale e, previa acquisizione delle ulteriori eventuali informazioni presso le autorità competenti, ne dà immediata comunicazione scritta all'interessato, al datore di lavoro e all'Ordine professionale di appartenenza. L'adozione dell'atto di accertamento da parte dell'azienda sanitaria locale determina la sospensione dal diritto di svolgere prestazioni o mansioni che implicano contatti interpersonali o comportano, in qualsiasi altra forma, il rischio di diffusione del contagio da SARS-CoV-2”. Il successivo comma 7 specificava che “la sospensione di cui al comma 6 è comunicata immediatamente all'interessato dall'Ordine professionale di appartenenza”. Pertanto, in tale quadro, la comunicazione del provvedimento di sospensione adottato dall’Ordine al Direttore di Asur Marche, AV 2, non era comunque necessaria.

Né la comunicazione dei dati personali del reclamante ai predetti soggetti poteva considerarsi necessaria, sul piano generale, ai fini del contenimento della pandemia da SARS-CoV-2, trattandosi, ad avviso dell’Ordine, di “Autorità incaricate di compiti di sorveglianza e sicurezza pubblica e sanitaria” (cfr. provv.ti 22 febbraio 2024, n. 110, cit., 17 maggio 2023, n. 194, cit. e 24 novembre 2022, n. 385, cit.). L’Ordine non ha, infatti, indicato alcuna specifica disposizione di settore in materia di sicurezza pubblica e sanità che espressamente prevedesse la comunicazione in questione. D’altra parte, l’Ordine ha affermato di aver “ritenuto [soltanto] opportuno […] l‘invio [della] comunicazione, nello svolgimento di una pubblica funzione, a tutti coloro che, istituzionalmente, potevano concorrere a diminuire la diffusione della circolazione di detto Covid”.

Anche l’argomento difensivo, in base al quale la comunicazione di dati personali in questione, ancorché non espressamente prevista dalla legge, possa ritenersi lecita ai sensi dell’art. 2-ter, comma 1-bis, del Codice, in quanto necessaria per l'adempimento di un compito svolto nel pubblico interesse o per l'esercizio di pubblici poteri attribuiti all’Ordine, non può essere accolto. Al riguardo, deve, anzitutto, osservarsi che la comunicazione oggetto di reclamo è stata posta in essere dall’Ordine anteriormente alla modifica apportata all’art. 2-ter del Codice dal d.l. 8 ottobre 2021, n. 139. In ogni caso, nel contesto della normativa emergenziale adottata per fronteggiare l’epidemia da SARS-CoV-2, è stato lo stesso legislatore, adottando il citato art. 4 del d.l. 1° aprile 2021, n. 44, a definire, bilanciando i diversi interessi in gioco con disposizioni uniformi per tutto il territorio nazionale, i flussi comunicativi tra i diversi soggetti pubblici coinvolti, ritenuti necessari ai fini dell’accertamento del possesso del requisito vaccinale e della conseguente sospensione dall’esercizio di determinate professioni, anche in ragione delle implicazioni di tale condizione per la tutela della salute pubblica (cfr. provv. 22 febbraio 2024, n. 110, cit.).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva la violazione, da parte dell’Ordine, degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

la violazione ha riguardato i dati personali relativi a un solo interessato (cfr. art. 83, par. 2, lett. a), del Regolamento);

la violazione ha carattere colposo, avendo l’Ordine agito in buona fede, nella convinzione che la comunicazione dei dati personali in questione fosse necessaria per il perseguimento delle proprie finalità istituzionali e per concorrere alla tutela della salute pubblica, nonché ha avuto luogo nel contesto emergenziale dovuto alla pandemia da SARS-CoV-2, in cui l’Ordine, come altre Amministrazioni, ha dovuto assumere decisioni complesse in tempi rapidi, a fronte di un quadro normativo dell’emergenza particolarmente complesso e in continua evoluzione, tanto che attualmente il requisito professionale della vaccinazione non è più richiesto per il personale sanitario a decorrere dal 1° novembre 2022, per effetto del d.l. 31 ottobre 2022, n. 162 (cfr. art. 83, par. 2, lett. b), del Regolamento);

la violazione non ha riguardato categorie particolari di dati personali (cfr. art. 83, par. 2, lett. g), del Regolamento);

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).Ciò premesso, nel considerare che il titolare del trattamento è un ordine professionale di rilevanza provinciale (con meno di 300 iscritti), si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

non risultano precedenti violazioni pertinenti commesse dall’Ordine (art. 83, par. 2, lett. e), del Regolamento);

l’Ordine ha offerto un buon livello di cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000 (quattromila) per la violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione delle possibili ripercussioni sulla sfera personale e professionale dell’interessato derivanti dal trattamento.

Si rileva, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dall’Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Macerata, per la violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione;

ORDINA

all’Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Macerata, in persona del legale rappresentante pro-tempore, con sede legale in Via Famiglia Palmieri, 6 - 62100 Macerata (MC), C.F. 80003270438, di pagare la somma di euro 4.000 (quattromila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Ordine, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 4.000 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 12 febbraio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori