Ordinanza ingiunzione o revoca n. 385 del 28/05/2026

Croce Rossa Italiana – Presidio Anna Torrigiani: illecita divulgazione di dati sulla salute e mancato riscontro al Garante

Il provvedimento riguarda la Croce Rossa Italiana – Comitato regionale Toscana – Presidio Anna Torrigiani e trae origine da un reclamo della paziente, presentato tramite associazione, in relazione alla divulgazione della propria condizione di HIV e HCV nel contesto del ricovero ospedaliero. Il Garante ha inoltre esaminato il mancato riscontro iniziale alla richiesta di informazioni formulata dall’Autorità ai sensi dell’art. 157 del Codice.

Fatti e origine del reclamo

La reclamante ha riferito di aver comunicato al personale sanitario del reparto la propria condizione di persona con HIV e HCV. Il giorno successivo, secondo quanto lamentato, il vassoio del pranzo e quello della cena le sarebbero stati consegnati con un foglio recante l’indicazione della sua condizione di salute; sul vassoio del pranzo era inoltre riportato il nome e cognome. La paziente ha anche dichiarato di aver chiesto chiarimenti alla direzione sanitaria e al primario senza ricevere riscontro.

Istruttoria e cooperazione con l’Autorità

L’Autorità ha avviato l’istruttoria chiedendo informazioni al titolare del trattamento ai sensi dell’art. 157 del Codice. Poiché non vi era stato riscontro, è stato avviato un ulteriore procedimento per la contestazione della violazione dell’obbligo di fornire informazioni al Garante, ai sensi dell’art. 166, comma 5, del Codice. Successivamente il titolare ha reso un riscontro istruttorio e ha depositato memorie difensive, ma senza produrre scritti difensivi idonei a superare i rilievi contestati.

Quadro normativo richiamato

Il Garante ha richiamato:

• la nozione di dati relativi alla salute di cui all’art. 4, par. 1, n. 15, GDPR;
• i principi di minimizzazione e integrità/riservatezza di cui all’art. 5, par. 1, lett. c) e f), GDPR;
• l’art. 9 GDPR, relativo al trattamento delle categorie particolari di dati;
• l’art. 75 del Codice privacy, che fa salve le disposizioni di settore in materia di tutela della salute;
• l’art. 5, comma 1, della legge 5 giugno 1990, n. 135, che impone specifiche misure di riservatezza per i casi di HIV/AIDS;
• l’art. 157 del Codice, relativo alla richiesta di informazioni dell’Autorità;
• l’art. 58, par. 2, GDPR, in tema di poteri correttivi.

Sono stati inoltre richiamati precedenti e orientamenti del Garante sulla riservatezza dei dati relativi all’HIV e le linee guida 04/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR.

Valutazione dell’illecito trattamento dei dati sulla salute

Secondo il Garante, l’indicazione della condizione di HIV e HCV nel modulo destinato al servizio vitto, insieme al nome e cognome della paziente, non era giustificata dalla necessità di attivare misure di protezione per il personale. L’Autorità ha osservato che la normativa di settore prevede misure di protezione applicabili in via generale nei confronti di tutti i pazienti, non essendo possibile conoscere con certezza lo stato di sieropositività di ciascuno.

Il trattamento è stato quindi ritenuto in violazione dei principi di minimizzazione e di integrità e riservatezza, nonché delle norme di settore sulla protezione della riservatezza in caso di HIV e della disciplina sui dati sanitari.

Mancato riscontro alla richiesta di informazioni del Garante

Accanto alla violazione sostanziale in materia di dati sulla salute, il Garante ha ravvisato anche la violazione dell’art. 157 del Codice per il mancato tempestivo riscontro alla richiesta di informazioni. Non è stata fornita una giustificazione idonea per l’omissione.

Assenza di misure correttive

Pur dichiarando l’illiceità del trattamento, il Garante non ha adottato misure correttive ulteriori ai sensi dell’art. 58, par. 2, GDPR, rilevando che la condotta aveva già esaurito i propri effetti e che il titolare aveva dichiarato di aver sensibilizzato il personale coinvolto sul rispetto della disciplina applicabile.

Sanzione amministrativa pecuniaria

Ai fini sanzionatori, l’Autorità ha distinto due condotte:

• la violazione degli artt. 5, par. 1, lett. c) e f), e 9 GDPR, nonché dell’art. 75 del Codice, trattata unitariamente perché riferita a un unico trattamento;
• la violazione dell’art. 157 del Codice, relativa al mancato riscontro al Garante.

Per la prima condotta, il livello di gravità è stato ritenuto alto, considerata la natura particolarmente sensibile dei dati, ma anche l’assenza di dolo, l’assenza di precedenti, l’attivazione immediata per attenuare gli effetti, la conoscenza della violazione tramite reclamo, la natura di interesse pubblico dell’ente e il fatto che non vi fosse prova della conoscenza da parte della compagna di stanza. La sanzione è stata quantificata in euro 500,00.

Per il mancato riscontro ex art. 157 del Codice, il livello di gravità è stato ritenuto medio, con valorizzazione dell’assenza di precedenti e dei compiti svolti dall’Associazione. La sanzione è stata quantificata in euro 200,00.

L’importo complessivo ingiunto è pari a euro 700,00.

Pubblicazione e ulteriori effetti

Il Garante ha disposto:

• la pubblicazione dell’ordinanza-ingiunzione sul sito internet dell’Autorità;
• la pubblicazione del provvedimento sul sito del Garante;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È stato inoltre ricordato il diritto di proporre ricorso davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011.