Ordinanza ingiunzione o revoca n. 527 del 16/11/2023

Cluster s.r.l. - trattamento di dati sanitari e giudiziari in materiale didattico medico diffuso online

Il provvedimento riguarda Cluster s.r.l., organizzatrice di un evento formativo in ambito medico-scientifico, cui è stata contestata la diffusione online di materiale didattico contenente dati personali, dati sulla salute e dati giudiziari riferiti a un paziente deceduto e ad altri soggetti. Il procedimento trae origine da un reclamo dell’interessata e dagli approfondimenti istruttori svolti dall’Autorità.

Origine del reclamo e svolgimento dell’istruttoria

La reclamante ha segnalato che sul web risultavano accessibili relazioni di perizie psichiatriche inserite in un documento qualificato come materiale clinico non diffusibile e soggetto a segreto professionale. Nel materiale erano presenti numerose informazioni sul figlio della reclamante, poi deceduto, tra cui dati anagrafici, anamnesi, medicinali assunti, vicende giudiziarie e informazioni sulla madre, nonché dati relativi a un altro soggetto.

Nel corso dell’istruttoria il medico autore del documento ha spiegato che il materiale era stato predisposto per un evento formativo e condiviso con i partecipanti in quanto utile a illustrare casi clinici. Ha sostenuto di aver apposto l’avvertenza sul vincolo di segreto professionale e di non aver autorizzato la diffusione online del documento. Il Garante ha poi richiesto informazioni anche a Cluster s.r.l., che ha confermato di aver ricevuto la documentazione dal medico, di averla caricata sul proprio CMS e di averla resa disponibile ai 26 iscritti al corso mediante un URL inviato via e-mail.

Posizioni difensive di Cluster s.r.l.

La società ha sostenuto di aver operato come mera destinataria del materiale, affermando che l’onere di anonimizzare i dati e di raccogliere l’eventuale consenso spettasse al medico autore delle perizie. Ha inoltre dedotto che l’URL generato dal sistema fosse di per sé un semplice collegamento interno, non idoneo a provocare la diffusione sul web, e che la successiva pubblicazione fosse dipesa esclusivamente da condotte di terzi, cioè dei partecipanti che avrebbero violato il segreto professionale.

Cluster s.r.l. ha anche evidenziato: la natura eccezionale del trattamento rispetto alla propria ordinaria attività; la rimozione del link dal sistema gestionale non appena appresa la vicenda; la pretesa assenza di dolosità; la limitata dimensione aziendale; e la richiesta, in subordine, di declaratoria di prescrizione dell’illecito amministrativo, assumendo che l’eventuale violazione si fosse consumata al momento dell’invio dell’URL dopo la fine dell’evento.

Valutazioni del Garante su dati personali, anonimizzazione e tutela dei dati dei deceduti

L’Autorità ha ricordato che costituisce dato personale qualsiasi informazione riferita a persona fisica identificata o identificabile, e che i dati anonimi sono tali solo quando non consentono più l’identificazione, diretta o indiretta, dell’interessato. In applicazione del considerando 26 del GDPR e della documentazione WP29 richiamata, il Garante ha chiarito che la semplice rimozione delle generalità o la sostituzione con un codice non equivale automaticamente ad anonimizzazione.

È stato inoltre ribadito che le tutele privacy continuano ad applicarsi anche ai dati personali di persone decedute, richiamando precedenti provvedimenti del Garante. Quanto al trattamento per finalità didattiche e scientifiche di dati sulla salute, l’Autorità ha richiamato il proprio orientamento secondo cui l’utilizzo di tali dati richiede specifiche misure di anonimizzazione e pseudonimizzazione e, ove l’anonimizzazione non sia possibile, uno specifico consenso dell’interessato.

Violazione degli obblighi di sicurezza

Il punto centrale dell’accertamento riguarda l’art. 32 GDPR. Il Garante ha osservato che il titolare e il responsabile del trattamento devono adottare misure tecniche e organizzative adeguate al rischio, tenendo conto della natura, dell’oggetto, del contesto e delle finalità del trattamento. Tra tali misure rientra la capacità di garantire riservatezza, integrità, disponibilità e resilienza dei sistemi, nonché la verifica periodica dell’efficacia delle misure stesse.

Nel caso concreto, l’Autorità ha ritenuto che Cluster s.r.l. non avesse predisposto misure adeguate a garantire in modo permanente la riservatezza dei dati né avesse verificato con sufficiente attenzione l’adeguatezza dell’accesso ai contenuti. È stato evidenziato, in particolare, che sarebbe stata opportuna una procedura di autenticazione informatica per l’accesso al materiale contenente dati personali e che la società non aveva compiuto una valutazione adeguata sull’anonimizzazione dei dati presenti nei documenti caricati.

Esito sulla responsabilità della società e sull’archiviazione

Il Garante non ha accolto la richiesta di archiviazione. Pur tenendo conto che la società aveva rimosso il link dal sistema gestionale, l’Autorità ha ritenuto che tale intervento non escludesse l’illiceità del trattamento per violazione degli artt. 5 e 32 GDPR. Non sono invece state adottate misure correttive ulteriori ex art. 58, par. 2, GDPR, in considerazione della rimozione già avvenuta.

L’Autorità ha distinto tra la possibile prescrizione della condotta di invio dell’URL, che la società aveva ricondotto alla conclusione dell’evento formativo, e la persistenza della violazione degli obblighi di sicurezza, considerata perdurante fino all’accertamento dell’Autorità. Di conseguenza, la prescrizione invocata non è stata ritenuta idonea a escludere la sanzionabilità della violazione contestata.

Sanzione amministrativa pecuniaria e criteri di quantificazione

La violazione degli artt. 5 e 32 GDPR è stata qualificata come soggetta alla sanzione amministrativa pecuniaria prevista dall’art. 83, paragrafi 4 e 5, GDPR. Poiché le violazioni derivavano da un’unica condotta, il Garante ha richiamato anche l’art. 83, par. 3, GDPR. In astratto, la violazione più grave avrebbe potuto essere sanzionata fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo totale dell’esercizio precedente, se superiore.

Nella quantificazione concreta sono stati considerati, tra gli altri elementi:

• la durata della violazione;
• le categorie di dati coinvolte, cioè dati personali, dati sulla salute e dati giudiziari;
• la circostanza che l’Autorità ha conosciuto i fatti tramite reclamo dell’interessata;
• la successiva rimozione del link dal sistema gestionale.

Ritenuta elevata la gravità complessiva, il Garante ha determinato la sanzione in euro 18.000, ritenendola effettiva, proporzionata e dissuasiva.

Dispositivo e conseguenze operative

Il Garante ha dichiarato l’illiceità del trattamento di dati personali effettuato da Cluster s.r.l. per violazione degli artt. 5 e 32 GDPR. Ha quindi ordinato il pagamento della sanzione amministrativa pecuniaria di euro 18.000 entro 30 giorni dalla notificazione del provvedimento, con possibilità di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice privacy.

È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice. Avverso il provvedimento è stato indicato il ricorso all’autorità giudiziaria ordinaria nei termini di cui all’art. 78 GDPR, agli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.