[doc. web n. 10084436]

Provvedimento del 13 novembre 2024

Registro dei provvedimenti
n. 665 del 13 novembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, il dott. XX, libero professionista e Presidente dell’Ordine dei Medici Veterinari della Provincia di XX, ha lamentato una presunta violazione della disciplina in materia di protezione dei dati personali da parte della Federazione Nazionale Ordini Veterinari Italiani - FNOVI (di seguito, la “Federazione”).

In particolare, è stato rappresentato che, a seguito di un esposto, la Federazione ha avviato un procedimento disciplinare nei confronti del reclamante, conclusosi in data XX con l’irrogazione della sanzione disciplinare dell’avvertimento, provvedimento poi impugnato dal reclamante innanzi alla Commissione Centrale per gli Esercenti le Professioni Sanitarie del Ministero della salute (di seguito, la “Commissione”), ai sensi del d.P.R. 5 aprile 1950, n. 221.

Il reclamante ha lamentato che, nonostante la pendenza dell’impugnazione e il conseguente effetto sospensivo del provvedimento disciplinare comminatogli, la Federazione avrebbe notificato all’autore dell’esposto (di seguito, l’“Esponente”) l’esito del procedimento disciplinare, comunicando, pertanto, allo stesso dati personali relativi al reclamante, in violazione della disciplina in materia di protezione dei dati.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità (v. nota prot. n. XX del XX), la Federazione, con nota del XX, ha dichiarato, in particolare, che:

“alla Federazione [è attribuito, tra gli altri,] il compito di esercitare il potere disciplinare nei confronti dei componenti dei Consigli Direttivi degli Ordini provinciali”;

“avverso i provvedimenti disciplinari adottati dal Comitato Centrale della Federazione è esperibile ricorso dinanzi alla Commissione […] che è un organo di giurisdizione speciale, istituito presso il Ministero della Salute con il D. Lgs. C.P.S. 13 settembre 1943 n. 233”;

“la proposizione del ricorso sospende l'esecuzione del provvedimento”;

“in data XX (prot. n. XX), la Direzione Generale delle professioni sanitarie e delle risorse umane del Servizio sanitario Nazionale del Ministero della Salute informava la Federazione, [a] mezzo posta elettronica certificata, del ricevimento di un esposto sull’operato del [reclamante]. In ragione di quanto rappresentato nell’esposto, invitava la Federazione - individuata come soggetto competente - ad effettuare gli opportuni accertamenti circa la rilevanza, sotto il profilo disciplinare, della condotta descritta/imputata, ed a comunicare tutte le informazioni assunte e le eventuali azioni intraprese”;

“la Federazione in data XX (prot. n. XX) […] informa[va] dell’avvenuto avvio dell’istruttoria. [L’Esponente] scriveva direttamente alla Federazione, […] sollecitando la trattazione dell’esposto inviato”;

“in data XX (prot. n. XX) la Federazione […] notificava al [reclamante] […] la decisione di comminare la sanzione disciplinare dell’avvertimento”;

“in data XX (prot. n. XX del XX) la Federazione riceveva a cura dei difensori del [reclamante] la notifica ex art. 3bis l. n. 53/1994 del ricorso alla Commissione […] per l’annullamento provvedimento disciplinare comminato”;

“in data XX (prot. XX) […] il Ministero della Salute, quale espressione del Dicastero preposto alla vigilanza sul sistema ordinistico delle professioni dell’area sanitaria, sollecitava la Federazione a comunicare al[l’Esponente] l’esito del provvedimento disciplinare avviato in seguito all’esposto”;

"quale diretta conseguenza della sua natura amministrativa, deve segnalarsi l’assenza nel procedimento disciplinare, di un espresso richiamo al principio del contraddittorio. L’esponente non è parte del procedimento disciplinare che pur origina dalla sua denuncia/esposto, e resta titolare di una situazione giuridica soggettiva giuridicamente rilevante”;

“il diritto dell’esponente di ottenere informazioni in merito al procedimento disciplinare scaturito dalle notizie contenute nell’esposto, trova la sua fonte nella Legge n. 241/90 integrata da una giurisprudenza puntuale applicabile anche ai procedimenti disciplinari riguardanti i medici veterinari”;

“nel caso di specie, l’esponente ha chiaramente espresso tale volontà indicando (vedi allegato alla già citata nota del XX - prot. XX di aver inoltrato denuncia alla […] Corte europea dei diritti dell’uomo) e di essere in attesa di risposta; dichiara inoltre la volontà di non far decadere la questione, e di voler agire anche oltre gli organi di controllo coinvolti nel procedimento disciplinare. Tale condizione lo identifica come portatore di un interesse giuridicamente rilevante”;

“la Federazione, per scongiurare il rischio di lesione dell’interesse alla privacy del [reclamante], si è [comunque] limitata a fornire una informazione che atteneva solo ed esclusivamente all’esito della fase procedimentale amministrativa che si era celebrata e conclusa innanzi a sé, e sotto la sua diretta responsabilità omettendo scientemente di fornire informazioni - circa l’impugnazione proposta dal [reclamante] avverso il provvedimento disciplinare adottato”.

In riscontro a un’ulteriore richiesta d’informazioni dell’Autorità (v. nota prot. n. XX del XX), la Federazione, con nota del XX (prot. n. XX), ha dichiarato, in particolare, che:

“nel caso in esame non si è […] provveduto ad annotare [nell’Albo dell’Ordine provinciale e nell’Albo unico nazionale tenuto dalla Federazione] il provvedimento disciplinare adottato stante la mancata esecutività della sanzione comminata in conseguenza dell’impugnazione promossa dinanzi alla [Commissione]”;

“nelle comunicazioni intercorse […] con [l’Esponente], la Federazione non ha mai fornito copia del provvedimento disciplinare adottato”;

la Federazione ha “indica[to] al[l’Esponente] il provvedimento adottato […] [con] nota del XX – n. prot. XX”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato alla Federazione, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver la Federazione comunicato all’Esponente dati personali del reclamante in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento, nonché 2-ter del Codice.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), la Federazione ha presentato una memoria difensiva, dichiarando, in particolare, che:

“l’aver comunicato l’esito del procedimento disciplinare instaurato/conclusosi presso la Federazione rispondeva primariamente alla espressa sollecitazione ricevuta, proprio sul punto, dal Ministero della Salute”;

“la contestata violazione ai principi di liceità, correttezza e trasparenza ha avuto inizio e fine il XX con la trasmissione via PEC di un’unica comunicazione, ha coinvolto un unico interessato, i dati personali valutati eccedenti sono stati comunicati unicamente al ‘denunciante’ ed al Ministero della Salute, che è il Dicastero che esercita la vigilanza sugli Ordini provinciali e sulle relative Federazioni nazionali delle professioni sanitarie”;

“i dati personali interessati dalla comunicazione dell’esito del procedimento disciplinare non ricadono in alcun modo nel trattamento dei dati particolari di cui all’art. 9 e 10 del GDPR - Regolamento generale sulla protezione dei dati”;

“non risultano essere derivate [per il reclamante] conseguenze di alcun tipo”;

la Federazione ha adottato una serie di misure tecniche e organizzative, nonché promosso iniziative formative, per evitare il verificarsi di simili episodi in futuro.

3. Esito dell’attività istruttoria.

Dall’istruttoria relativa al reclamo è emerso che, con nota del XX (prot. n. XX), la Direzione Generale delle professioni sanitarie e delle risorse umane del Servizio sanitario Nazionale del Ministero della Salute (di seguito, la “Direzione”) ha inoltrato per competenza alla Federazione una segnalazione relativa alla potenziale rilevanza ai fini disciplinari della condotta del reclamante, e che la Federazione, con nota del XX (prot. n. XX), ha notificato al reclamante la propria decisione di comminargli la sanzione disciplinare dell’avvertimento.

Successivamente, con nota dei legali difensori del reclamante, acquisita al protocollo della Federazione in data XX (prot. n. XX), il predetto provvedimento disciplinare è stato impugnato con ricorso alla Commissione, organo di giurisdizione speciale, istituito presso il Ministero della Salute ai sensi del d.lgs. C.P.S. 13 settembre 1943, n. 233.

In tale contesto, risulta accertato che la Federazione ha comunicato all’Esponente dati personali relativi al procedimento disciplinare avviato nei confronti del reclamante. In particolare, con nota del XX (prot. n. XX), la Federazione ha informato l’Esponente dell’avvenuto avvio dell’istruttoria con riguardo alla vicenda oggetto di segnalazione.

Su sollecito della Direzione (v. nota prot. n. XX del XX), la Federazione, con nota del XX (prot. n. XX), inviata all’Esponente e in copia per conoscenza alla medesima Direzione, ha poi informato lo stesso “che, con decisione depositata in FNOVI in data 24 giugno u.s. il Comitato Centrale della FNOVI, conclusa l’istruttoria nei confronti del sanitario, ha valutato la condotta posta in essere dal dottor [nome e cognome del reclamante], come segnalata, idonea a integrare violazione del Codice deontologico” e che “al sanitario è stata, pertanto, comminata la sanzione dell’avvertimento”.

Ciò premesso, deve osservarsi che la Federazione non ha indicato alcuna disposizione della normativa ordinistica applicabile che espressamente prevedesse la comunicazione all’Esponente dell’avvio dell’istruttoria e dell’esito del procedimento disciplinare avviato nei confronti del reclamante (v. i già richiamati artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter, commi 1, 1-bis, 2, e 4, lett. a), del Codice).

D’altra parte, la Federazione ha dichiarato che “l’esponente non è parte del procedimento disciplinare che pur origina dalla sua denuncia/esposto” ed ha evidenziato “l’assenza nel procedimento disciplinare di un espresso richiamo al principio del contraddittorio”, non prevedendo, pertanto, la disciplina ordinistica di settore alcun coinvolgimento del soggetto esponente nell’ambito del procedimento disciplinare.

Né può essere accolta la ricostruzione prospettata dalla Federazione, secondo la quale il messaggio di posta elettronica certificata, allegato alla nota della Direzione del XX (prot. n. XX), configurasse un’istanza di accesso documentale ai sensi degli artt. 22 ss. della l. 7 agosto 1990, n. 241. Con tale messaggio di posta elettronica certificata, l’Esponente ha, infatti, soltanto sollecitato la trattazione della propria segnalazione, chiedendo “per questo ancora un intervento al Ministero della Salute”. Non risulta, pertanto, che l’Esponente avesse avanzato alla Federazione alcuna istanza di accesso documentale, ai sensi degli artt. 22 ss. della l. 7 agosto 1990, n. 241, volta ad acquisire copia di specifici documenti amministrativi relativi al procedimento disciplinare avviato nei confronti del reclamante.

Deve, a tal proposito, farsi presente che per “diritto di accesso” si intende il “il diritto degli interessati di prendere visione e di estrarre copia di documenti amministrativi”, ossia “ogni rappresentazione grafica, fotocinematografica, elettromagnetica o di qualunque altra specie del contenuto di atti, anche interni o non relativi ad uno specifico procedimento, detenuti da una pubblica amministrazione e concernenti attività di pubblico interesse, indipendentemente dalla natura pubblicistica o privatistica della loro disciplina sostanziale” (art. 22, comma 1, lett. a) e d), della l. 7 agosto 1990, n. 241). La richiesta di accesso ai documenti “deve essere motivata” (art. 25, comma 2, della medesima legge), dovendo l’instante comprare di avere “un interesse diretto, concreto e attuale, corrispondente ad una situazione giuridicamente tutelata e collegata al documento al quale è chiesto l'accesso” (art. 22, comma 1, lett. b), della medesima legge; v. anche art. 2, comma 1, del d.P.R. 12 aprile 2006, n. 184). Il diritto di accesso “si esercita con riferimento ai documenti amministrativi materialmente esistenti al momento della richiesta e detenuti alla stessa data da una pubblica amministrazione”, tenuto conto che “la pubblica amministrazione non è tenuta ad elaborare dati in suo possesso al fine di soddisfare le richieste di accesso” (art. 3, comma 1, del predetto decreto).

Nel caso di specie, l’instante non ha, invece, avanzato alcuna richiesta di acquisire copia di specifici documenti amministrativi in possesso della Federazione e attinenti al procedimento disciplinare cha ha interessato il reclamante. Tant’è che all’Esponente non è stata fornita copia di alcun documento afferente al procedimento disciplinare, bensì soltanto una mera informazione, relativa all’esito dello stesso. Non risulta, pertanto, che la Federazione abbia avviato uno specifico procedimento amministrativo relativo a tale asserita istanza di accesso documentale, non avendo né informato il reclamante della stessa quale soggetto controinteressato (v. art. 3 del d.P.R. 12 aprile 2006, n. 184) né assunto alcun formale provvedimento di accoglimento (v. art. 7 del d.P.R. 12 aprile 2006, n. 184).

Ciononostante, la Federazione ha reso edotto l’Esponente sia dall’avvio del procedimento disciplinare a carico del reclamante sia della natura del provvedimento disciplinare adottato, informazioni che non erano nella disponibilità né dell’Esponente né, più in generale, del pubblico, atteso che, come peraltro dichiarato dalla stessa Federazione, l’annotazione nell’albo dei provvedimenti disciplinari adottati nei confronti degli iscritti avviene solamente dopo che la sanzione comminata dall’organismo ordinistico giudicante è diventata esecutiva, in quanto il provvedimento non è stato impugnato, nei termini previsti, dinanzi alla Commissione, oppure perché il provvedimento è stato confermato all’esito del procedimento d’appello instauratosi dinanzi alla Commissione. Diversamente, nel caso di specie, avendo il reclamante tempestivamente impugnato il provvedimento disciplinare, non era stata effettuata alcuna annotazione dello stesso sull’albo professionale. Come, infatti, anche di recente ribadito dal Garante “tutte le fasi del procedimento disciplinare, incluse quelle prodromiche allo stesso, devono svolgersi nel rispetto della riservatezza del professionista coinvolto, in conformità alla normativa in materia di protezione dei dati personali, sino alla conclusione dello stesso. Soltanto nel caso in cui, all’esito del procedimento disciplinare, sia effettivamente adottato un provvedimento disciplinare, che a qualsiasi titolo incida sull'esercizio della professione, è ammessa la menzione dello stesso nell’albo, anche online, nel rispetto della disciplina ordinistica applicabile (v. art. 61, comma 2, del Codice)” (provv. 15 dicembre 2022, n. 418, doc. web n. 9855545).

Alla luce delle considerazioni che precedono, deve concludersi che la comunicazione all’Esponente, da parte della Federazione, dei dati personali del reclamante, relativi al procedimento e al provvedimento disciplinare adottato, è avvenuta in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento, nonché 2-ter del Codice.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l'illiceità del trattamento di dati personali effettuato dalla Federazione, per aver la stessa comunicato all’Esponente dati personali relativi al reclamante in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice.

Ciò premesso, tenuto conto che:

la violazione ha riguardato i dati personali relativi a un solo interessato e la comunicazione dei dati personali in questione è stata circoscritta al solo Esponente, il quale era, in ogni caso, a conoscenza dei fatti in relazione ai quali è stato adottato il provvedimento disciplinare; inoltre, all’Esponente è stata fornita soltanto l’informazione relativa alla tipologia di sanzione disciplinare comminata ma non anche la copia del provvedimento disciplinare (cfr. art. 83, par. 2, lett. a), del Regolamento);

la Federazione era stata sollecitata dal Ministero della salute, che esercita la vigilanza sugli Ordini provinciali e regionali e sulle relative Federazioni nazionali delle professioni sanitarie, a comunicare all’ Esponente l’esito del provvedimento disciplinare avviato in seguito all’esposto (cfr. art. 83, par. 2, lett. b), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (cfr. art. 83, par. 2, lett. e), del Regolamento);

la Federazione ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria (cfr. art. 83, par. 2, lett. f), del Regolamento);

la violazione non ha riguardato dati personali appartenenti alle categorie particolari di cui all’art. 9 del Regolamento (cfr. art. 83, par. 2, lett. g), del Regolamento);

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi dell’art. 83, par. 2, e del cons. 148 del Regolamento, nonché delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire la Federazione per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che i dispositivi video in questione sono stati disinstallati, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dalla Federazione Nazionale degli Ordini dei Veterinari Italiani - FNOVI, in persona del legale rappresentante pro-tempore, con sede legale in Via Del Tritone, 125 - 00187 Roma (RM), C.F. 96203850589, per violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce la Federazione Nazionale degli Ordini dei Veterinari Italiani - FNOVI, per aver violato gli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice, come sopra descritto;

c) dispone, ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità; ciò tenuto conto di quanto disposto dall’art. 166, comma 7, del Codice;

d) dispone, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 13 novembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei