Ordinanza ingiunzione o revoca n. 308 del 29/04/2026

Diffusione illecita di dati sanitari di un minore in un e-poster scientifico

Il Garante ha dichiarato l’illiceità del trattamento effettuato dalla dottoressa Guzzo in relazione alla pubblicazione online di una locandina/e-poster contenente l’immagine di un minore defunto e informazioni cliniche e familiari idonee a renderlo identificabile. Il procedimento è stato avviato a seguito della segnalazione del genitore e si è concluso con un’ordinanza ingiunzione e la sanzione amministrativa pecuniaria di euro 5.000.

Fatti e attività istruttoria

La segnalazione riguardava la pubblicazione, sul sito della Società italiana di pediatria, della locandina relativa a un modulo scientifico su un caso clinico di sindrome di Marfan ad esordio neonatale. Pur risultando la pagina non più accessibile al momento della segnalazione, il contenuto era ancora rintracciabile tramite motori di ricerca e, in particolare, Google restituiva anche una miniatura dell’immagine del neonato.

L’Ufficio ha acquisito informazioni dall’Azienda ospedaliera universitaria e dalla professionista. L’AOU ha precisato di non avere autorizzato l’utilizzo delle immagini e che le condotte erano state poste in essere uti singuli. La professionista ha sostenuto di aver predisposto il materiale per fini scientifici, di aver oscurato gli occhi del bambino e di aver richiesto la rimozione del contenuto una volta appresa la pubblicazione. È stata inoltre acquisita la scheda di consenso sottoscritta dal padre, nella quale si prevedeva che i risultati di studi e ricerche sarebbero stati comunicati esclusivamente in forma anonima.

Ruolo della "Submitter" e dinamica della pubblicazione

La SIP ha chiarito che la professionista era la "Submitter" del contributo: aveva caricato l’abstract sulla piattaforma congressuale, ricevuto la conferma di accettazione come "e-poster" e ottenuto le linee guida per il successivo invio del poster in PDF. Tali linee guida contenevano l’indicazione che, in caso di utilizzo di foto o immagini, occorreva assicurarsi di avere il consenso all’utilizzo. La pubblicazione sul sito SIP è poi avvenuta nella fase post-congressuale, come previsto dal capitolato tecnico che contemplava la pubblicazione degli atti sul sito web della società.

Valutazioni giuridiche del Garante

Il Garante ha richiamato le definizioni di dato personale, dato relativo alla salute, pseudonimizzazione e anonimizzazione, ribadendo che:

• i dati pseudonimizzati restano dati personali;
• la pseudonimizzazione è una misura di sicurezza/minimizzazione, non una forma di anonimizzazione;
• l’anonimizzazione richiede che non sia possibile identificare direttamente o indirettamente l’interessato con mezzi ragionevolmente disponibili.

È stato altresì ricordato che la diffusione di dati idonei a rivelare lo stato di salute è in linea generale vietata, salvo i casi di liceità previsti dall’art. 9 GDPR, e che nel settore sanitario la pubblicazione di casi clinici richiede il rispetto delle regole deontologiche e del codice di condotta approvato dal Garante per l’uso dei dati sulla salute a fini didattici e di pubblicazione scientifica.

L’Autorità ha ritenuto che l’immagine del minore, pur con gli occhi oscurati, insieme ai dettagli clinici e alla storia familiare, consentisse l’identificazione indiretta del soggetto e integrasse quindi dati sulla salute. La mera rimozione delle generalità non è stata considerata sufficiente a trasformare il contenuto in anonimizzato.

Consenso e base giuridica del trattamento

Il Garante ha ritenuto che il consenso prestato dal legale rappresentante non fosse valido per la diffusione contestata, poiché la scheda di consenso faceva riferimento esclusivamente alla comunicazione dei risultati in forma anonima. Se i dati fossero stati realmente anonimi, il consenso non sarebbe stato necessario; poiché invece la pubblicazione ha riguardato dati personali non anonimi, sarebbe stato necessario un consenso specifico, libero e informato alla diffusione.

La carenza informativa sulla reale natura del materiale pubblicato ha quindi inficiato la validità del consenso. Inoltre, la professionista era stata espressamente avvertita, nelle linee guida della procedura congressuale, della necessità di disporre del consenso per foto e immagini, nonché della successiva pubblicazione degli atti sul sito della SIP.

Violazioni accertate

Il Garante ha accertato la violazione dei seguenti articoli:

• art. 5, par. 1, lett. a), b) e c) GDPR, in tema di liceità, limitazione della finalità e minimizzazione;
• art. 9 GDPR, per il trattamento di dati relativi alla salute senza valida base giuridica;
• art. 2-septies, comma 8, Codice privacy, in materia di divieto di diffusione dei dati idonei a rivelare lo stato di salute.

L’Autorità ha escluso che le difese svolte fossero idonee a superare i rilievi contestati.

Sanzione e criteri di quantificazione

La violazione è stata qualificata come di gravità elevata, considerata la natura particolarmente sensibile dei dati, la loro diffusione online, il fatto che riguardassero un minore deceduto e la mancanza di un intento intenzionale, essendo la professionista convinta di aver anonimizzato correttamente i dati.

Nella quantificazione della sanzione il Garante ha tenuto conto, ai sensi dell’art. 83, par. 2 GDPR, di:

• tempestiva richiesta di rimozione delle immagini dal web;
• assenza di precedenti violazioni pertinenti e di precedenti provvedimenti correttivi;
• piena collaborazione con l’Autorità.

È stata irrogata una sanzione pecuniaria di euro 5.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1 GDPR. È stato inoltre ricordato che, ai sensi dell’art. 166, comma 8, Codice privacy, è possibile definire la controversia con il pagamento in misura ridotta entro 30 giorni.

Misure accessorie e conclusioni

Poiché la locandina era già stata rimossa dal web, il Garante ha escluso l’adozione di misure correttive ulteriori ex art. 58, par. 2 GDPR, ritenendo cessata la produzione degli effetti della condotta.

È stata invece disposta:

• la pubblicazione integrale del provvedimento sul sito del Garante;
• l’annotazione nel registro interno delle violazioni e delle misure adottate.

Il provvedimento richiama infine la possibilità di proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.