Prescrizioni del Garante n. 791 del 13/11/2024

Ammonimento al dott. Stefano Bellandi per riscontro inidoneo a una richiesta di accesso a dati sanitari

Il provvedimento riguarda un odontoiatra, in qualità di titolare del trattamento, al quale una paziente aveva chiesto copia degli esami radiografici eseguiti presso il suo studio e informazioni sui trattamenti effettuati sulla propria persona. Il procedimento origina da un reclamo dell'interessata per mancata o non adeguata risposta all'istanza di accesso ex art. 15 GDPR.

Origine del reclamo e richieste dell'interessata

La reclamante aveva inviato due richieste al titolare, domandando:

• copia degli esami radiografici eseguiti in occasione di interventi odontoiatrici;
• informazioni, sempre ai sensi dell'art. 15 GDPR, sui dati contenuti nel registro delle attività di trattamento dello studio medico, con riferimento a denominazione, finalità e tipologia dei trattamenti eseguiti sulla sua persona.

Secondo quanto rappresentato nel procedimento, la paziente lamentava di non aver ricevuto un riscontro idoneo alle istanze formulate.

Svolgimento dell'istruttoria

Il Garante, ricevuto il reclamo, ha prima invitato il titolare ad aderire alle richieste dell'interessata ai sensi del Regolamento del Garante n. 1/2019, poi ha richiesto informazioni ex art. 157 Codice privacy. Il titolare ha risposto tramite il proprio legale, affermando, in sintesi, che:

• il computer di studio era stato danneggiato da un evento meteorologico con conseguente perdita dei dati;
• erano stati conservati gli hard disk danneggiati, ma il recupero delle immagini era risultato impossibile;
• gli esami radiografici sarebbero stati consegnati alla paziente al momento dell'esecuzione;
• il medico riteneva di aver effettuato solo un esame radiologico rilevante, salvo poi scoprire l'esistenza di ulteriori indagini nel registro dello studio.

Nella successiva memoria difensiva il titolare ha ribadito la perdita delle immagini, i tentativi di recupero e il fatto che, in base alla prassi dello studio, ai pazienti venissero consegnati i CD con le radiografie.

Valutazioni del Garante sulla violazione

L'Autorità ha qualificato gli esami radiografici e le informazioni richieste come dati personali, in particolare dati relativi alla salute ai sensi dell'art. 4, par. 1, nn. 1 e 15, e del considerando 35 GDPR. Ha quindi ricordato che, ai sensi dell'art. 12, par. 3, il titolare deve riscontrare la richiesta dell'interessato senza ingiustificato ritardo e comunque entro un mese, con eventuale proroga motivata nei casi previsti; in caso di mancato riscontro, deve informare l'interessato dei motivi dell'inottemperanza e della possibilità di reclamo e ricorso.

Nel caso concreto, il Garante ha ritenuto che il titolare avesse fornito un riscontro non idoneo perché:

• non aveva verificato, al momento della richiesta, il registro delle indagini radiologiche;
• aveva risposto come se non esistessero altri esami oltre a quello di cui riteneva di avere copia;
• non aveva spiegato correttamente, nelle risposte all'interessata, le ragioni per cui non disponeva più di copia dei dati relativi agli ulteriori esami radiografici.

L'errore non è stato ritenuto scusabile, perché evitabile con l'ordinaria diligenza richiesta al titolare. Il Garante ha richiamato l'art. 3 della legge n. 689/1981 e la giurisprudenza di legittimità sull'errore incolpevole, affermando che nella fattispecie la condotta negligente era pienamente imputabile al titolare.

Esito del procedimento e natura della misura adottata

Pur accertando l'illiceità del trattamento, il Garante ha osservato che non ricorrevano i presupposti per misure correttive ulteriori ex art. 58, par. 2 GDPR, poiché la condotta aveva esaurito i suoi effetti e il titolare non disponeva più di copia dei dati richiesti.

Ai fini della risposta sanzionatoria, l'Autorità ha considerato la vicenda una "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP29 sulle sanzioni amministrative pecuniarie, valorizzando:

• il carattere isolato dell'episodio;
• l'assenza di dolo;
• l'attivazione del titolare per rimediare;
• l'assenza di precedenti violazioni pertinenti.

Dispositivo

Il Garante ha quindi:

• dichiarato, ai sensi dell'art. 57, par. 1, lett. f), GDPR, l'illiceità del trattamento effettuato dal dott. Stefano Bellandi;
• ammonito il titolare ai sensi dell'art. 58, par. 2, lett. b), GDPR per la violazione dell'art. 12 in relazione all'art. 15 GDPR;
• richiamato, per completezza, l'art. 168 Codice privacy in tema di falsità nelle dichiarazioni al Garante.

Non è stata irrogata una sanzione pecuniaria. Il provvedimento indica infine la possibilità di ricorso all'autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.