Ordinanza ingiunzione o revoca n. 388 del 24/11/2022

Comunicazione illecita di dati sulla salute da parte di Lombarda Sport s.r.l.

Il provvedimento riguarda una società che gestisce servizi di medicina dello sport e la comunicazione, a una palestra convenzionata, di informazioni relative alla sospensione dell’idoneità sportiva di un’interessata. L’istruttoria è nata da reclamo dell’interessata e si è conclusa con l’accertamento dell’illiceità del trattamento e con l’irrogazione di una sanzione amministrativa pecuniaria.

Fatti e origine del procedimento

La reclamante aveva chiesto un certificato di idoneità alla pratica sportiva non agonistica presso la struttura di Lombarda Sport s.r.l., convenzionata con GClub s.r.l. per la copertura del costo del certificato per gli iscritti alla palestra. Dopo la visita, il medico aveva richiesto esami di accertamento e sospeso il rilascio del certificato. La società ha comunicato a GClub la sospensione della pratica, e tale comunicazione ha determinato il blocco dell’accesso dell’interessata alla palestra.

L’interessata ha quindi lamentato che GClub avesse ricevuto un’informazione sulla sua salute senza autorizzazione. L’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, Codice privacy, contestando la violazione dei principi di cui agli artt. 5, lett. a) e f), e 9 GDPR, nonché profili relativi alla designazione del DPO.

Posizione difensiva della società

Lombarda Sport ha sostenuto che la comunicazione non riguardasse dati sanitari, ma solo la sospensione della certificazione, e che ciò servisse alla gestione amministrativa del rapporto commerciale con GClub. Ha inoltre richiamato le linee guida ministeriali sui certificati medici sportivi, affermando che la richiesta di approfondimenti non equivale a diagnosi o comunicazione di patologie.

Nel corso del procedimento la società ha anche dichiarato di aver cessato le comunicazioni di questo tipo, cancellato le e-mail, aggiornato le informative, rilasciato nuove lettere di autorizzazione al personale, rivisto le procedure interne, previsto misure di cifratura per eventuali invii telematici di documenti sanitari e pianificato corsi di formazione privacy.

Valutazioni del Garante sulla natura dei dati

Il Garante ha chiarito che i dati relativi alla salute comprendono le informazioni attinenti alla salute fisica o mentale di una persona e che la notizia della sospensione dell’idoneità, resa necessaria da ulteriori accertamenti, è di per sé idonea a rivelare informazioni sullo stato di salute. Anche senza indicare i dettagli clinici, la sola sospensione per sospetto diagnostico o patologie croniche/conclamate integra un dato sanitario ai sensi dell’art. 4, par. 1, n. 15, GDPR.

È stato inoltre ribadito che, in ambito sanitario, la comunicazione a terzi di tali informazioni richiede un idoneo presupposto giuridico oppure la specifica indicazione/delega dell’interessato. Nel caso concreto, l’informativa sottoscritta dalla reclamante non prevedeva la comunicazione dei dati in questione a GClub, e dunque mancava un titolo idoneo a legittimare la comunicazione.

Norme richiamate e illecito accertato

L’Autorità ha ritenuto violati gli artt. 5, par. 1, lett. a) e f), e 9 GDPR, in quanto la comunicazione dei dati sulla salute è avvenuta in assenza di liceità e di adeguata protezione da trattamenti non autorizzati o illeciti.

Sono stati richiamati anche:

• l’art. 84 Codice privacy, in combinato disposto con l’art. 22, comma 11, d.lgs. 101/2018, sulla comunicazione dei dati sanitari;
• il d.m. 24 aprile 2013, art. 3, commi 2 e 4, sulla certificazione per attività sportiva non agonistica;
• il d.m. 8 agosto 2014, con particolare riferimento ai casi dubbi e agli accertamenti ulteriori che il medico può disporre.

DPO e assenza di misure correttive ulteriori

Nel corso dell’istruttoria, il Garante ha preso atto che la società aveva successivamente nominato un Responsabile della protezione dei dati e comunicato i relativi contatti. Considerato che la condotta contestata era già cessata e che la società aveva dichiarato di aver interrotto le comunicazioni non conformi, l’Autorità ha escluso, allo stato, l’adozione di misure correttive ex art. 58, par. 2, GDPR.

Sanzione amministrativa e criteri di quantificazione

Ritenuta la violazione degli artt. 5 e 9 GDPR, il Garante ha applicato la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a), GDPR, determinandola in euro 4.000,00.

Nel quantificare l’importo, l’Autorità ha valorizzato i criteri dell’art. 83, par. 2, GDPR, richiamando in particolare:

• la conoscenza del fatto tramite reclamo dell’interessata;
• la natura particolare dei dati trattati, idonei a rivelare informazioni sulla salute;
• l’atteggiamento intenzionale del titolare;
• l’effetto concreto della violazione, che aveva impedito all’interessata di accedere al servizio sportivo;
• la tempestiva interruzione della condotta e la cancellazione delle e-mail;
• la cooperazione con l’Autorità;
• l’assenza di precedenti specifici e la natura isolata del caso.

Dispositivo finale

Il Garante ha:

• dichiarato l’illiceità del trattamento di dati personali effettuato da Lombarda Sport s.r.l. per violazione degli artt. 5 e 9 GDPR;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 4.000,00;
• ricordato la facoltà di definizione agevolata mediante pagamento della metà dell’importo entro 30 giorni, ai sensi dell’art. 166, comma 8, Codice privacy;
• disposto la pubblicazione integrale del provvedimento sul sito dell’Autorità ai sensi dell’art. 166, comma 7, Codice privacy.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.