Ordinanza ingiunzione o revoca n. 769 del 12/12/2024

Diffusione su Instagram di immagini di una paziente dopo intervento di medicina estetica

Il provvedimento riguarda un’ordinanza ingiunzione nei confronti di un medico, ritenuto responsabile della diffusione sul proprio profilo Instagram di fotografie di una paziente ripresa prima e dopo un intervento di medicina estetica. Il procedimento è stato avviato a seguito di reclamo dell’interessata e dell’istruttoria svolta dall’Autorità.

Origine del reclamo e istruttoria

La paziente ha lamentato che le immagini, scattate inizialmente per uso interno durante l’intervento, fossero state pubblicate online con il logo del medico e rese visibili su Instagram, senza un consenso alla divulgazione. Nel corso dell’istruttoria il medico ha sostenuto che vi fosse stato un equivoco legato ai consensi sottoscritti in struttura e che le fotografie fossero state poi rimosse. Ha anche riferito che la controversia era stata definita in via transattiva con riconoscimento economico alla paziente.

Qualificazione del trattamento e dei dati

Il Garante ha ritenuto che le immagini pubblicate costituissero dati personali e, in particolare, dati relativi alla salute, poiché consentivano di desumere lo stato di salute e il trattamento sanitario effettuato. La pubblicazione su Instagram è stata qualificata come diffusione di dati personali a soggetti indeterminati, ai sensi dell’art. 2-ter, comma 4, del Codice.

Violazioni accertate

L’Autorità ha ritenuto illecito il trattamento perché effettuato al di fuori delle finalità di cura e in violazione:

• dei principi di liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione e integrità/riservatezza di cui all’art. 5, par. 1, lett. a), b), c) e f), GDPR;
• del divieto generale di trattamento delle categorie particolari di dati di cui all’art. 9, par. 1, GDPR;
• del divieto di diffusione dei dati sanitari sancito dall’art. 2-septies, comma 8, del Codice.

Richiami normativi e orientamenti applicati

Nel motivare la decisione, il Garante ha richiamato:

• l’art. 4, par. 1, n. 1 e n. 15, GDPR, per la definizione di dato personale e di dato relativo alla salute;
• l’art. 2-ter, comma 4, del Codice, sulla nozione di diffusione;
• le Linee guida del 15 maggio 2014 sulla pubblicazione di dati personali nei documenti amministrativi sul web, con il principio per cui non devono essere pubblicati dati eccedenti, non pertinenti, non indispensabili o vietati;
• precedenti provvedimenti del Garante sulla pubblicazione di immagini e video di pazienti sottoposti a procedure mediche;
• l’art. 11 del Codice di deontologia medica, che impone la non identificabilità dei soggetti coinvolti in pubblicazioni o divulgazioni scientifiche di dati e studi clinici.

Esito: illiceità ma nessuna misura correttiva ulteriore

Il Garante ha respinto le argomentazioni difensive del medico e ha dichiarato l’illiceità del trattamento. Tuttavia, poiché le fotografie erano state rimosse, non ha adottato misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione amministrativa e criteri di quantificazione

È stata applicata una sanzione amministrativa pecuniaria di euro 20.000,00 ai sensi dell’art. 83 GDPR, richiamando in particolare:

• l’art. 83, par. 1, per i criteri di effettività, proporzionalità e dissuasività;
• l’art. 83, par. 3, per il trattamento collegato di più violazioni;
• l’art. 83, par. 5, per il massimo edittale applicabile. La gravità è stata considerata alta, in ragione della natura particolarmente sensibile dei dati, della modalità di trattamento tramite diffusione e del contesto professionale fiduciario medico-paziente. È stato valorizzato anche il fatto che l’Autorità abbia conosciuto i fatti tramite reclamo dell’interessata.

Dispositivo, pagamento e pubblicazione

Il Garante ha ordinato al medico di pagare la sanzione entro 30 giorni dalla notificazione del provvedimento, con avvertenza circa gli atti esecutivi in caso di mancato pagamento. È stata inoltre ricordata la possibilità di definire la controversia versando la metà della sanzione nei termini previsti dalla legge. In aggiunta, l’Autorità ha disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito internet, nonché l’annotazione delle violazioni nel registro interno previsto dal Regolamento del Garante n. 1/2019. È stato infine indicato il rimedio giurisdizionale esperibile davanti al giudice ordinario nei termini di legge.