Prescrizioni del Garante n. 17 del 18/01/2023

Suditaly Imprese Meridionali Società Cooperativa: limitazione provvisoria della diffusione di dati sanitari in un articolo giornalistico online

Il Garante per la protezione dei dati personali adotta un provvedimento urgente nei confronti della società titolare della testata online Dayitalianews, a seguito della pubblicazione di un articolo che riportava in modo dettagliato la patologia di una persona identificata o identificabile e allegava un referto di laboratorio integralmente riprodotto. Il caso è esaminato alla luce della disciplina sulla diffusione di dati personali per finalità giornalistiche e delle regole deontologiche applicabili ai giornalisti.

Fatti e origine dell’intervento

L’Autorità rileva la pubblicazione di un articolo intitolato "XX", nel quale, richiamando Adnkronos come fonte, veniva data notizia in modo dettagliato della malattia dell’interessato, indicato anche con un alias, con ulteriore diffusione di un referto di laboratorio contenente dati estremamente analitici. Il contenuto era quindi idoneo a rivelare dati relativi alla salute.

Quadro normativo richiamato

Il provvedimento richiama innanzitutto l’art. 137 del Codice privacy, che consente il trattamento dei dati di cui all’art. 9 GDPR anche senza consenso, purché siano rispettate le Regole deontologiche di cui all’art. 139. Viene inoltre ribadito il limite dell’"essenzialità dell’informazione riguardo a fatti di interesse pubblico" in caso di diffusione di dati per finalità giornalistiche.

Il Garante richiama in particolare l’art. 10 delle Regole deontologiche relative all’attività giornalistica, secondo cui:

• il giornalista, nel riferire sullo stato di salute di una persona identificata o identificabile, deve rispettarne dignità, riservatezza e decoro personale;
• deve astenersi dalla pubblicazione di dati analitici di interesse strettamente clinico;
• la pubblicazione è ammessa solo nell’ambito dell’essenzialità dell’informazione e nel rispetto della dignità della persona, specie se riveste una posizione di particolare rilevanza sociale o pubblica.

Valutazione sulla liceità della diffusione

Secondo il Garante, la diffusione delle informazioni sanitarie nel caso concreto non rispetta il canone dell’essenzialità dell’informazione e si pone in contrasto con le disposizioni richiamate. In particolare, l’Autorità ritiene non consentita la pubblicazione di dati così dettagliati sullo stato di malattia e del referto di laboratorio, poiché eccedono quanto necessario per informare il pubblico.

Misura urgente adottata

Ai sensi dell’art. 58, par. 2, lett. f), GDPR, il Garante dispone in via d’urgenza nei confronti di Suditaly Imprese Meridionali Società Cooperativa la limitazione provvisoria del trattamento, da intendersi riferita:

• all’ulteriore diffusione dei dati sanitari contenuti nell’articolo oggetto di esame;
• ai dati contenuti nel referto di laboratorio pubblicato a corredo;
• a ogni altra analoga informazione eventualmente riportata in altri articoli pubblicati sul medesimo sito.

La limitazione ha effetto immediato dalla data di ricezione del provvedimento, con riserva di ogni ulteriore determinazione all’esito dell’istruttoria avviata.

Adempimenti richiesti al titolare e profili sanzionatori

Il Garante, ai sensi dell’art. 58, par. 1, GDPR, invita il titolare a comunicare entro 3 giorni dalla ricezione del provvedimento quali iniziative siano state intraprese per dare attuazione alla misura e a fornire un riscontro adeguatamente documentato.

Viene altresì ricordato che:

• l’inosservanza della misura disposta dal Garante è punita con la sanzione penale di cui all’art. 170 del Codice;
• il mancato riscontro alla richiesta formulata ai sensi dell’art. 58 è punito con la sanzione amministrativa di cui all’art. 83, par. 5, lett. e), GDPR.

Impatto operativo

Il provvedimento conferma l’attenzione dell’Autorità nei confronti della pubblicazione online di dati sanitari, soprattutto quando la notizia giornalistica incorpora documenti clinici integralmente riprodotti o dettagli eccedenti l’essenzialità informativa. Per i titolari editoriali e per i consulenti privacy, il caso ribadisce che la mera finalità giornalistica non consente una diffusione indiscriminata di dati sulla salute, dovendo sempre prevalere il rispetto delle regole deontologiche e del principio di proporzionalità informativa.