Ordinanza ingiunzione o revoca n. 425 del 17/07/2025

Perla Odontoiatria Veneta S.r.l. - accesso ai dati, informativa privacy e comunicazione illecita di dati sanitari

Il provvedimento riguarda una struttura sanitaria odontoiatrica destinataria di reclamo per mancato riscontro a un’istanza di accesso ai dati personali e, nel corso dell’istruttoria, per ulteriori criticità connesse all’informativa privacy e alla gestione di dati relativi alla salute. L’Autorità ha concluso per la sussistenza di più violazioni del GDPR e del Codice privacy, irrogando una sanzione amministrativa pecuniaria e disponendo la pubblicazione dell’ordinanza-ingiunzione.

Origine del procedimento e svolgimento dell’istruttoria

Il procedimento prende avvio dal reclamo di un interessato che aveva chiesto alla struttura sanitaria copia di tutti i dati personali nella sua disponibilità, compresi quelli relativi alla salute, in relazione a prestazioni odontoiatriche. Il reclamante lamentava di non avere ricevuto un idoneo riscontro alla richiesta di accesso ex art. 15 GDPR.

Nel corso dell’istruttoria il Garante ha:

• formulato un invito ad aderire alle richieste del reclamante;
• richiesto informazioni al titolare ai sensi dell’art. 157 Codice privacy;
• acquisito ulteriori osservazioni delle parti sulla documentazione sanitaria, in particolare su radiografie, TAC e ortopantomografie;
• rilevato un persistente disallineamento tra le ricostruzioni del titolare e quelle dell’interessato circa quali documenti fossero stati effettivamente trasmessi.

A fronte dell’assenza di riscontro completo alle richieste dell’Autorità, è stato coinvolto il Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza per la notifica degli atti e per l’acquisizione di elementi informativi.

Trattamenti esaminati

Il trattamento oggetto di esame concerneva principalmente:

• la gestione e l’ostensione della documentazione sanitaria dell’interessato;
• la redazione e consegna dell’informativa privacy ai pazienti;
• la comunicazione di dati sanitari a soggetti terzi nell’ambito delle risposte fornite dal titolare durante il procedimento;
• la gestione dei rapporti con l’Autorità Garante, compreso il riscontro alle richieste di informazioni.

Violazione del diritto di accesso ai dati personali

Il Garante ha accertato la violazione dell’art. 12, par. 3, in relazione all’art. 15 GDPR. La struttura sanitaria non ha fornito, nei termini previsti, un riscontro all’istanza di accesso presentata dall’interessato. Il riscontro è arrivato solo successivamente, a seguito dell’invito ad aderire e della richiesta di informazioni dell’Autorità.

Il provvedimento valorizza quindi non solo l’esistenza di un riscontro tardivo, ma soprattutto la mancata risposta entro il termine imposto dal Regolamento, con conseguente lesione del diritto dell’interessato di ottenere tempestivamente i dati personali detenuti dal titolare.

Informativa privacy e indicazione dei destinatari

È stata inoltre accertata la violazione dell’art. 13, par. 1, lett. e) GDPR, perché l’informativa resa ai pazienti non indicava in modo adeguato i destinatari o le categorie di destinatari dei dati personali.

Il Garante richiama le Linee guida sulla trasparenza WP 260 rev. 01, secondo cui:

• devono essere indicati i destinatari effettivi o categorie di destinatari quanto più specifiche possibile;
• le informazioni devono essere concrete, certe e non ambigue;
• l’interessato deve poter comprendere in anticipo la portata del trattamento e le relative conseguenze.

Nel caso concreto, il testo dell’informativa conteneva anche riferimenti ritenuti non coerenti o eccedenti rispetto al trattamento effettivamente svolto, tra cui richiami a dossier sanitario, cartella clinica, ricerca scientifica, informativa dettagliata e profilazione. Il Garante ha rilevato la necessità di espungere o correggere tali parti, fermo restando che il titolare aveva poi comunicato di aver riformulato il documento da consegnare ai pazienti.

Comunicazione illecita di dati relativi alla salute

Un ulteriore profilo di illecito riguarda la comunicazione di dati relativi alla salute dell’interessato a un soggetto terzo, oltre che all’interessato e all’Autorità, senza idonea base giuridica.

Il Garante ha ritenuto violati:

• l’art. 5, par. 1, lett. f) GDPR, sotto il profilo del principio di integrità e riservatezza;
• l’art. 9 GDPR, in quanto la trasmissione di dati sanitari richiede un presupposto legittimante specifico.

La fattispecie è stata considerata particolarmente grave per la natura dei dati coinvolti, ossia dati relativi alla salute, e per l’assenza di un valido titolo che giustificasse la comunicazione al terzo destinatario.

Omesso riscontro alle richieste dell’Autorità

Il provvedimento accerta anche la violazione dell’art. 157 Codice privacy, per non avere la struttura sanitaria risposto a una richiesta di informazioni del Garante.

L’Autorità evidenzia che il mancato riscontro è integrato anche quando il titolare risponda solo successivamente, in sede di attività eseguite dagli organi incaricati della notifica, poiché l’obbligo di collaborazione con l’Autorità deve essere adempiuto nei tempi e nelle forme richieste.

Valutazioni difensive del titolare e loro esito

Nella memoria difensiva la struttura sanitaria ha sostenuto, in sintesi, che:

• le criticità erano state conseguenza di condotte colpose e di una fase organizzativa complessa;
• erano stati predisposti nuovi testi di informativa, consenso e richiesta di portabilità;
• vi erano state circostanze interne, quali turnover del personale e trasformazione societaria, idonee a incidere sulla valutazione della colpa;
• la documentazione sanitaria era stata comunque consegnata progressivamente.

Il Garante ha ritenuto tali argomentazioni non idonee a superare i rilievi contestati. In particolare, non ha accolto la doglianza del titolare relativa a una pretesa lesione del diritto di difesa per il fatto che il reclamante avesse evidenziato ulteriori criticità nel corso del procedimento: l’Autorità osserva che, anche rispetto alle ulteriori violazioni emerse, il titolare ha avuto piena possibilità di difendersi attraverso memorie, documenti e richiesta di audizione.

Sanzione amministrativa pecuniaria

La violazione complessiva è stata sanzionata ai sensi dell’art. 83 GDPR e dell’art. 166 Codice privacy. Il Garante ha distinto tre gruppi di condotte ai fini della quantificazione:

• violazioni degli artt. 12 e 15 GDPR e dell’art. 13 GDPR: sanzione di 3.000 euro;
• violazione degli artt. 5, par. 1, lett. f) e 9 GDPR: sanzione di 4.000 euro;
• violazione dell’art. 157 Codice privacy: sanzione di 500 euro.

L’importo complessivo irrogato è quindi pari a 7.500 euro.

Nella quantificazione il Garante ha considerato, tra gli altri elementi dell’art. 83, par. 2 GDPR:

• la gravità delle violazioni e la natura dei dati coinvolti;
• il carattere isolato del caso per le violazioni su accesso e informativa;
• l’assenza di precedenti provvedimenti pertinenti a carico del titolare;
• il fatto che l’Autorità sia venuta a conoscenza dei fatti tramite reclamo;
• l’adozione di una nuova informativa da parte del titolare;
• per la violazione dell’art. 157, il fatto che il titolare abbia poi risposto in presenza degli agenti della Guardia di Finanza.

Misure finali e pubblicazione

Il Garante ha ritenuto che non vi fossero i presupposti per ulteriori misure correttive ex art. 58, par. 2 GDPR, considerando che il titolare aveva già riformulato l’informativa.

Sono stati quindi disposti:

• la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante, ai sensi dell’art. 166, comma 7, Codice privacy;
• la pubblicazione del provvedimento sul sito istituzionale dell’Autorità;
• l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità.

Implicazioni pratiche

Il provvedimento ribadisce alcuni punti di rilievo operativo per strutture sanitarie e, più in generale, per titolari del trattamento:

• il diritto di accesso deve essere riscontrato tempestivamente e in modo completo;
• l’informativa deve indicare destinatari o categorie di destinatari con sufficiente precisione;
• i dati sanitari non possono essere comunicati a terzi senza una base giuridica adeguata;
• l’obbligo di collaborazione con il Garante ex art. 157 Codice privacy è autonomo e va adempiuto nei termini richiesti.