Ordinanza ingiunzione o revoca n. 424 del 17/07/2025

Poliambulatorio San Liberale S.r.l. - sanzione per mancato riscontro all'accesso, informativa incompleta e comunicazione illecita di dati sanitari

Il provvedimento riguarda il Poliambulatorio San Liberale S.r.l., titolare del trattamento nell’ambito di prestazioni odontoiatriche. Il Garante è intervenuto a seguito di reclamo dell’interessato e di successiva attività istruttoria, culminata nell’adozione di un’ordinanza-ingiunzione con sanzione amministrativa pecuniaria.

Origine del procedimento e sviluppo istruttorio

L’interessato aveva chiesto l’accesso ai propri dati personali e alla documentazione sanitaria detenuta dalla struttura, ai sensi degli artt. 15 e 12 GDPR, senza ottenere un riscontro tempestivo. Nel corso dell’istruttoria l’Ufficio ha invitato la struttura ad aderire alle richieste del reclamante e ha acquisito chiarimenti anche sull’informativa privacy utilizzata nei confronti dei pazienti.

La struttura sanitaria ha rappresentato di non avere disponibilità di parte della documentazione richiesta e ha successivamente fornito ulteriori spiegazioni sulla gestione delle prestazioni, sui rapporti con altro poliambulatorio del medesimo gruppo e sulla circolazione della TAC e di altri dati sanitari dell’interessato.

Violazione del diritto di accesso ai dati personali

Il Garante ha accertato la violazione dell’art. 12, par. 3, in relazione all’art. 15 GDPR, perché il titolare non ha risposto all’istanza di accesso entro il termine previsto. Il riscontro è stato fornito solo dopo l’intervento dell’Autorità.

Secondo il provvedimento, la tardiva risposta integra una lesione del diritto dell’interessato a ottenere conferma del trattamento e copia dei dati personali, compresi quelli relativi alla salute.

Inosservanza degli obblighi informativi ex art. 13 GDPR

L’Autorità ha ritenuto non conforme l’informativa privacy sottoscritta dall’interessato, in particolare per la carenza di indicazioni adeguate sui destinatari o sulle categorie di destinatari dei dati personali, richiesta dall’art. 13, par. 1, lett. e) GDPR.

Il Garante ha richiamato i principi di trasparenza e chiarezza desumibili dal considerando 39 e dalle Linee guida sulla trasparenza WP 260 rev. 01, sottolineando che l’interessato deve poter conoscere con precisione chi riceve i suoi dati o, quantomeno, categorie di destinatari descritte in modo specifico.

Nel provvedimento si osserva anche che l’informativa conteneva indicazioni non corrispondenti al trattamento effettivo o ridondanti, con riferimenti al dossier sanitario, alla cartella clinica, alla ricerca scientifica, all’informativa dettagliata e alla profilazione, che il titolare ha dichiarato essere frutto di refusi o di eccessiva prolissità. La successiva riformulazione dell’informativa è stata considerata ai fini della valutazione complessiva.

Comunicazione illecita di dati relativi alla salute

Il Garante ha accertato una duplice comunicazione di dati sanitari in assenza di base giuridica legittimante:

• la trasmissione delle risultanze della TAC a Perla Odontoiatria Veneta S.r.l. mediante chiavetta USB consegnata al medico;
• l’invio, a seguito di interlocuzioni con l’Autorità, di una PEC contenente dati relativi alla salute dell’interessato anche a Perla Odontoiatria Veneta S.r.l., oltre che all’interessato e al Garante.

Tale condotta è stata qualificata come violazione del principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f) GDPR e dell’art. 9 GDPR, poiché i dati relativi alla salute possono essere comunicati a terzi solo in presenza di un idoneo presupposto giuridico o su specifica indicazione/delega dell’interessato.

Il Garante ha ritenuto non idonee le difese della struttura, osservando che la comunicazione tra titolari del trattamento non può avvenire in via informale o per il solo fatto che i soggetti appartengano al medesimo gruppo o che il medico operi presso entrambe le strutture. Ha inoltre valorizzato la circostanza che l’interessato aveva negato il consenso alla comunicazione dei propri dati a terzi nel modulo sottoscritto.

Valutazioni difensive e ulteriori rilievi

La struttura ha sostenuto che le contestazioni fossero il risultato di condotte colpose e che il reclamante avesse progressivamente ampliato l’oggetto delle doglianze nel corso del procedimento. Il Garante ha respinto l’eccezione, rilevando che alle ulteriori violazioni emerse sono stati comunque assicurati gli strumenti difensivi previsti dall’art. 166 del Codice e dalla legge n. 689/1981.

Determinazione della sanzione

Il Garante ha applicato l’art. 83, par. 5 GDPR e l’art. 166 del Codice privacy, quantificando separatamente le due aree di illecito:

• 4.500 euro per la violazione degli obblighi di risposta all’istanza di accesso e di trasparenza/informativa;
• 8.000 euro per la comunicazione illecita di dati relativi alla salute.

La sanzione complessiva è stata quindi fissata in 12.500 euro. Nella quantificazione sono stati considerati, tra gli altri elementi, la natura delle violazioni, la gravità medio-alta, l’assenza di precedenti pertinenti, il fatto che l’Autorità sia venuta a conoscenza dei fatti tramite reclamo, la successiva riformulazione dell’informativa e l’esigenza di una sanzione effettiva, proporzionata e dissuasiva.

Esito finale e misure accessorie

Il Garante ha dichiarato l’illiceità del trattamento effettuato dal Poliambulatorio San Liberale S.r.l. e ha ordinato il pagamento della sanzione entro 30 giorni dalla notificazione, con possibilità di definizione agevolata ai sensi dell’art. 166, comma 8, del Codice mediante pagamento della metà dell’importo comminato.

È stata inoltre disposta:

• la pubblicazione dell’ordinanza-ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento ai sensi dell’art. 154-bis, comma 3, del Codice;
• l’annotazione delle violazioni nel registro interno dell’Autorità.

È stata infine indicata la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dall’art. 152 del Codice e dall’art. 10 del d.lgs. n. 150/2011.