Ordinanza ingiunzione o revoca n. 388 del 10/07/2025

Registrazione delle conversazioni medico-paziente senza base giuridica e senza informativa

Il Garante ha sanzionato una dottoressa, medico di base, per aver registrato le conversazioni con i pazienti durante le visite ambulatoriali senza un idoneo presupposto di liceità e senza aver predisposto un’informativa adeguata. Il procedimento è stato avviato a seguito di un reclamo di una paziente e si è poi sviluppato anche tramite richiesta di informazioni ex art. 157 Codice privacy.

Fatti e attività istruttoria

La reclamante ha riferito che, entrando nello studio medico, le era stato comunicato che la conversazione sarebbe stata registrata, senza ricevere alcun documento informativo. Nel corso dell’istruttoria la dottoressa ha dichiarato di aver iniziato a usare un registratore dall’estate/dicembre 2022 per tutelarsi da offese, aggressioni verbali e segnalazioni ritenute non veritiere da parte dei pazienti. Ha inoltre ammesso di non aver predisposto alcuna informativa cartacea, sostenendo di aver avvisato verbalmente i pazienti e che il loro silenzio valesse come assenso.

Valutazione sulla base giuridica del trattamento

Il Garante ha richiamato il principio di liceità, correttezza e trasparenza dell’art. 5, par. 1, lett. a) GDPR e ha precisato che, in ambito sanitario, il consenso non è richiesto per i trattamenti necessari a finalità di cura, quando svolti da professionisti soggetti al segreto professionale ai sensi dell’art. 9, par. 2, lett. h) e par. 3 GDPR. Tuttavia, la registrazione delle conversazioni non è stata considerata necessaria per la cura del paziente. È stata esclusa anche la possibilità di invocare l’art. 9, par. 2, lett. f) GDPR, poiché la tutela in sede giudiziaria presuppone l’esistenza di un procedimento effettivamente pendente e non una mera prospettiva difensiva preventiva. Ne è derivata la violazione degli artt. 6 e 9, par. 2 GDPR.

Violazione della trasparenza e degli obblighi informativi

L’Autorità ha poi accertato la violazione degli artt. 5, par. 1, lett. a) e 13 GDPR. La registrazione delle sedute mediche richiedeva una specifica informativa rivolta ai pazienti, che non risultava predisposta. Il Garante ha chiarito che l’informativa deve essere fornita ai sensi dell’art. 13 GDPR indipendentemente dalla base giuridica del trattamento e che l’art. 12 GDPR consente l’informazione orale solo su richiesta dell’interessato, non come sostituto ordinario dell’informativa scritta o comunque strutturata.

Mancato riscontro alla richiesta di informazioni dell’Autorità

È stata inoltre accertata la violazione dell’art. 157 Codice privacy, poiché la titolare non aveva risposto alla richiesta di informazioni formulata dall’Autorità. Il Garante ha valorizzato il fatto che il successivo contatto con la Guardia di Finanza abbia consentito l’acquisizione degli elementi istruttori, ma ciò non ha escluso l’illecito omissivo originario.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 83 GDPR, considerando le tre condotte come distinte ai sensi del par. 3. Ha qualificato come grave la violazione della base giuridica e quella sulla trasparenza, trattandosi di dati relativi alla salute, mentre ha valutato come media la violazione dell’art. 157 Codice privacy. In concreto, ha determinato:

• 3.000 euro per la violazione degli artt. 6 e 9, par. 2 GDPR;
• 3.500 euro per la violazione degli artt. 5, par. 1, lett. a) e 13 GDPR;
• 500 euro per la violazione dell’art. 157 Codice privacy.

La sanzione complessiva è quindi pari a 7.000 euro, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1 GDPR.

Misure correttive, termini e pubblicazione

In aggiunta alla sanzione pecuniaria, il Garante ha ordinato, ai sensi dell’art. 58, par. 2, lett. d) GDPR, di predisporre entro 60 giorni dalla notifica un’informativa da rendere ai pazienti con riferimento alla registrazione delle sedute mediche. Ha inoltre ingiunto il pagamento della sanzione entro 30 giorni dalla notifica, con possibilità di definizione agevolata nei limiti di legge, e ha disposto la pubblicazione dell’ordinanza-ingiunzione sul sito istituzionale. È stata infine ordinata la comunicazione delle iniziative adottate per dare attuazione alle prescrizioni.