Prescrizioni del Garante n. 423 del 28/09/2023

Casa di cura Salvator Mundi International Hospital s.r.l. – accesso alle prestazioni sanitarie e certificazione verde Covid-19

Il provvedimento riguarda una casa di cura privata che, nel contesto dell’emergenza Covid-19, aveva previsto regole di accesso alla struttura e alle prestazioni sanitarie collegate al possesso della certificazione verde Covid-19. L’istruttoria è stata avviata a seguito di una segnalazione e ha riguardato anche le informazioni pubblicate sul sito web della struttura.

Origine dell’istruttoria e contestazione iniziale

A seguito della segnalazione, l’Ufficio ha verificato che nella pagina web dedicata alle misure di sicurezza per l’accesso in clinica era riportata la necessità di esibire la certificazione verde per entrare nella struttura. Sono state quindi richieste informazioni alla casa di cura, che ha richiamato la propria organizzazione interna, la valutazione del rischio epidemiologico e la disciplina emergenziale applicata nel tempo.

Ricostruzione fornita dalla casa di cura

La struttura ha sostenuto di avere inizialmente disciplinato gli accessi sulla base delle prescrizioni governative, poi di avere adottato un regolamento accessi che prevedeva l’esibizione del green pass o, in alternativa, un tampone negativo per i pazienti, con esclusione di alcune ipotesi ambulatoriali. Ha inoltre affermato di avere successivamente introdotto misure più restrittive per l’evoluzione della pandemia e, in seguito al d.l. 24 marzo 2022, di avere aggiornato il regolamento consentendo anche l’accesso con tampone negativo per i pazienti ambulatoriali.

La casa di cura ha anche dichiarato che i controlli venivano svolti da personale autorizzato tramite l’applicazione ufficiale VerificaC19 e che, in caso di urgenza o pronto soccorso, era previsto un percorso dedicato con accesso separato e, se necessario, tampone effettuato in struttura.

Ulteriori difese e precisazioni

Nel corso delle memorie e dell’audizione, la struttura ha ridimensionato quanto dichiarato inizialmente, precisando che:

• non avrebbe mai limitato l’accesso alle prestazioni sanitarie soltanto ai titolari di certificazione verde;
• ai pazienti non provvisti di green pass sarebbe stata offerta gratuitamente la possibilità di effettuare un tampone rapido;
• in caso di rifiuto del tampone, la prestazione sarebbe stata comunque erogata in locali appositi con misure anticontagio rafforzate;
• i controlli sulle certificazioni verdi sarebbero stati effettuati solo “a campione” e non su tutti i pazienti e visitatori;
• il regolamento accessi sarebbe stato formalmente adottato ma non attuato, mentre la permanenza sul sito sarebbe dipesa da una dimenticanza materiale;
• il trattamento sarebbe stato svolto in un arco temporale limitato e non sarebbero stati conservati dati ulteriori oltre a quelli gestiti tramite VerificaC19.

Valutazioni del Garante sulla liceità del trattamento

Il Garante ha richiamato i principi di liceità, correttezza, trasparenza e limitazione della finalità di cui all’art. 5, par. 1, lett. a) e b), GDPR, osservando che il trattamento dei dati effettuato mediante la verifica delle certificazioni verdi, in quanto connesso alla sanità pubblica, può trovare base giuridica solo nella disciplina di settore e non nel consenso dell’interessato.

L’Autorità ha ribadito che le certificazioni verdi possono essere richieste solo nei casi espressamente previsti dalla legge e che la competenza a introdurre limitazioni di diritti fondamentali che implichino trattamento di dati personali spetta alla legge statale. A sostegno di tale impostazione, il provvedimento richiama anche la giurisprudenza costituzionale e la propria precedente attività interpretativa in materia di certificazioni verdi.

Ambito applicativo della disciplina emergenziale

Nel caso di specie, il Garante ha rilevato che la normativa non ha mai previsto la necessità della certificazione verde per l’accesso alle strutture sanitarie per esigenze di prevenzione, diagnosi e cura. Ha richiamato, invece, le disposizioni che consentivano l’accesso alle strutture sanitarie per tali finalità anche senza green pass e quelle che disciplinavano, in modo specifico e limitato, l’accesso dei visitatori ai reparti di degenza.

Il provvedimento evidenzia inoltre che, anche nel regime emergenziale, l’eventuale possibilità per i direttori sanitari di adottare misure più restrittive riguardava il contesto dei visitatori e doveva comunque garantire un accesso minimo giornaliero, non potendo essere estesa in via generale ai pazienti che accedevano per ricevere cure.

Giudizio sull’operato della casa di cura

Secondo il Garante, la misura adottata dalla casa di cura, che subordinava o condizionava l’accesso alle prestazioni sanitarie alla certificazione verde ovvero alla produzione di un tampone o a percorsi differenziati, non era supportata da una previsione di rango primario e risultava in contrasto con i principi di liceità, correttezza e limitazione della finalità.

L’Autorità ha osservato che tale impostazione determinava anche un trattamento differenziato e potenzialmente discriminatorio nei confronti dei pazienti privi di certificazione verde, inoltre non coerente con le indicazioni nazionali e con le FAQ istituzionali che escludevano la subordinazione delle cure al green pass. Sono state ritenute inconferenti sia la giustificazione fondata sulle indicazioni regionali, sia l’argomento relativo alla mancata osservazione da parte della ASL in occasione del rinnovo dell’autorizzazione sanitaria.

Esito finale e misure adottate

Il Garante ha concluso dichiarando l’illiceità del trattamento di dati personali effettuato dalla casa di cura per violazione:

• dell’art. 5, par. 1, lett. a) e b), GDPR;
• dell’art. 9 GDPR;
• dell’art. 75 del Codice privacy;
• della disciplina di settore richiamata, cioè legge n. 87/2021, d.l. n. 44/2021 e dPCM 17 giugno 2021.

Non sono state disposte misure correttive ai sensi dell’art. 58, par. 2, GDPR, perché la condotta era già cessata e la struttura aveva dichiarato di avere aggiornato le procedure di accesso. Il provvedimento dispone inoltre la pubblicazione sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Profili processuali

Il provvedimento richiama la possibilità di ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni per il ricorrente residente all’estero.