Prescrizioni del Garante n. 497 del 26/10/2023

Ammonimento e ingiunzione alla professionista osteopata per uso illecito di dati sulla salute nella tesi finale

Il provvedimento riguarda una professionista osteopata, destinataria di un reclamo per il trattamento di dati sulla salute di una paziente nell’ambito della redazione di una tesi finale di diploma presso una scuola di formazione professionale. Il Garante ha esaminato sia l’utilizzo dei dati clinici nel caso descritto in tesi, sia la qualità dell’informativa resa all’interessata, sia la comunicazione dei dati a terzi coinvolti nel percorso formativo.

Fatti e origine del reclamo

La reclamante ha lamentato che nella tesi dal titolo "Trattamento osteopatico per nevralgia del trigemino indotta da asportazione di neoplasia maligna al ganglio di Gasser" fossero riportati numerosi dettagli anamnestici, clinici, personali e documentali idonei a identificarla, anche se indirettamente. In particolare, la tesi conteneva un caso clinico corredato da elementi temporali, familiari e lavorativi, nonché un documento clinico con informazioni sullo stato di salute e dati anagrafici solo parzialmente oscurati.

La professionista ha sostenuto di aver raccolto un’informativa ex art. 13 GDPR e il consenso al trattamento dei dati sanitari per la prestazione professionale e per finalità di ricerca scientifica, affermando che la tesi non fosse pubblicata e che i dati fossero anonimizzati. Ha inoltre riferito che la tesi era stata condivisa soltanto con il relatore e con la segreteria della scuola per finalità burocratiche.

Quadro normativo richiamato

Il Garante ha richiamato, tra gli altri, i seguenti riferimenti:

• art. 4, n. 1 GDPR, sulla nozione di dato personale;
• art. 5, par. 1, lett. a), b), c) e f) GDPR, sui principi di liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione e sicurezza;
• art. 6 e art. 9 GDPR, con particolare riguardo ai dati relativi alla salute;
• artt. 12 e 13 GDPR, sugli obblighi informativi;
• art. 2-ter, comma 4, Codice privacy, sulle nozioni di comunicazione e diffusione;
• art. 2-septies, comma 8, e art. 166, comma 2, Codice privacy, sulla comunicazione dei dati sanitari;
• art. 58, par. 2, GDPR, per i poteri correttivi;
• il provvedimento del 7 marzo 2019 sui chiarimenti in materia di dati relativi alla salute in ambito sanitario;
• il Codice di condotta per l’utilizzo dei dati sulla salute a fini didattici e di pubblicazione scientifica;
• le Linee guida 5/2020 sul consenso.

Valutazioni del Garante sul trattamento dei dati sulla salute

L’Autorità ha accertato che i dati riportati nella tesi erano dati sulla salute riferibili, anche indirettamente, alla reclamante. La mera oscurazione manuale delle generalità non è stata considerata idonea a rendere anonimo il caso, né a escludere la riconducibilità delle informazioni all’interessata. Il Garante ha escluso che si trattasse di vera anonimizzazione e ha richiamato i criteri di single-out, linkability e inference elaborati in materia di anonimizzazione.

È stato inoltre evidenziato che, per la finalità di pubblicazione scientifica, il trattamento avrebbe dovuto riguardare dati anonimizzati oppure, se ciò non fosse stato possibile per la specificità del caso clinico, avrebbe richiesto uno specifico consenso informato. Il consenso acquisito in atti è stato ritenuto non sufficiente, perché riferito in modo generico alla ricerca scientifica e non alla concreta finalità di pubblicazione del caso clinico nella tesi.

Informativa resa all’interessata: criticità riscontrate

Il Garante ha ritenuto l’informativa fornita alla paziente carente e non conforme all’art. 13 GDPR. In particolare:

• non erano indicate tutte le finalità del trattamento, inclusa la pubblicazione scientifica;
• la base giuridica era erroneamente individuata, sia con riferimento al trattamento per cure sia con riferimento alla ricerca scientifica;
• non era indicato il diritto di proporre reclamo al Garante;
• il documento non chiariva correttamente i destinatari dei dati.

Nell’aggiornamento successivamente trasmesso dalla professionista sono state individuate ulteriori criticità: basi giuridiche non correttamente formulate per trattamenti diversi dai dati particolari, mancanza di chiarezza sul trasferimento all’estero, indicazioni contraddittorie sul periodo di conservazione e incoerenze sul trattamento per invio di newsletter/materiale promozionale.

Comunicazione dei dati a terzi e correttezza del trattamento

L’Autorità ha ritenuto che i dati fossero stati comunicati senza idoneo presupposto giuridico al relatore della tesi e alla scuola di formazione, soggetti non indicati tra i destinatari nell’informativa. È stato inoltre contestato un comportamento non corretto nei confronti della reclamante, poiché, a fronte di una richiesta di chiarimenti, la professionista aveva negato di aver redatto la tesi sul caso clinico dell’interessata e le aveva inviato una tesi diversa da quella effettivamente presentata.

Azioni correttive e valutazione finale

La professionista, dopo l’avvio del procedimento, ha comunicato di aver intrapreso misure correttive: formazione in materia privacy, revisione dell’informativa, adozione di modelli per la nomina dei responsabili del trattamento, redazione di una valutazione d’impatto ex art. 35 GDPR e introduzione di misure tecniche e organizzative. Il Garante ha preso atto di tali interventi ma ha rilevato che non superavano i rilievi originari.

Tenuto conto della limitazione della violazione nel tempo e nel numero di destinatari, della collaborazione prestata, dell’assenza di ulteriori reclami o sanzioni e della natura colposa della condotta, l’Autorità ha qualificato la vicenda come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP 253.

Dispositivo

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento dei dati personali effettuato dalla professionista per violazione degli artt. 5, par. 1, lett. a), 6, 9, 12 e 13 GDPR;
• ammonito la titolare ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• ingiunto, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di modificare e integrare l’informativa entro 30 giorni dalla notifica, con particolare riguardo alle basi giuridiche, all’eventuale trasferimento dei dati verso Paesi terzi e al periodo di conservazione.

È stato inoltre richiesto un riscontro documentato entro 20 giorni dalla scadenza del termine assegnato per adempiere all’ingiunzione, con avvertimento che l’eventuale mancato riscontro può comportare la sanzione pecuniaria di cui all’art. 83, par. 5, GDPR. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.