Ordinanza ingiunzione o revoca n. 387 del 24/11/2022

Diffusione online di una tesi di specializzazione contenente dati personali e dati sulla salute

Il provvedimento riguarda una psicologa che aveva pubblicato sul proprio sito web una tesi di specializzazione relativa a un percorso di psicoterapia, contenente dettagli sulla vita familiare e personale di due reclamanti e informazioni riconducibili alle prestazioni sanitarie da essi ricevute. Il procedimento è stato avviato a seguito di reclamo degli interessati e di successiva attività istruttoria dell’Ufficio.

Fatti e istruttoria

Gli interessati hanno lamentato che la tesi, ospitata nella sezione "Pubblicazioni" del sito, consentisse la loro esatta identificazione attraverso nomi, età, professioni, luoghi e ulteriori elementi narrativi. La titolare ha sostenuto di avere espunto i cognomi e altri riferimenti diretti, di avere inteso la pubblicazione come divulgazione scientifica e di avere rimosso il documento dal sito subito dopo la diffida e la richiesta di esercizio dei diritti. Il difensore del tutor/supervisore ha dichiarato di non avere autorizzato la pubblicazione e di non essere stato informato.

Qualificazione dei dati e quadro normativo

L’Autorità ha richiamato la definizione di dato personale di cui all’art. 4, par. 1, n. 1 GDPR e quella di dato relativo alla salute dell’art. 4, par. 1, n. 15 GDPR. Ha inoltre ricordato che i dati devono essere trattati lecitamente, correttamente e in modo trasparente, nonché limitati a quanto necessario e protetti da adeguate misure di sicurezza (art. 5 GDPR e art. 32 GDPR). Per quanto riguarda le informazioni sulla salute, il Garante ha ribadito il divieto di diffusione previsto dall’art. 2-septies, comma 8, del Codice privacy e la necessità di un idoneo presupposto giuridico per qualsiasi comunicazione a terzi.

Valutazioni sulla pretesa anonimizzazione

Il Garante ha respinto l’argomento difensivo secondo cui la mera rimozione dei cognomi avrebbe reso il testo anonimo. L’anonimizzazione, infatti, presuppone che non sia possibile risalire, neppure indirettamente, all’identità delle persone, considerando tutti i mezzi ragionevolmente utilizzabili per la reidentificazione. Nel caso esaminato la tesi riportava numerosi dettagli della vicenda personale, familiare e professionale dei reclamanti, nonché riferimenti alle sedute terapeutiche, alla storia familiare, al problema, al processo terapeutico, al follow up e ad altri elementi narrativi che rendevano gli interessati riconoscibili.

Illiceità del trattamento

L’Autorità ha concluso che non risultava dimostrata alcuna delle condizioni di liceità previste dagli artt. 6 e 9 GDPR e che la diffusione aveva riguardato anche dati sulla salute, in quanto la circostanza che i reclamanti avessero ricevuto prestazioni di psicoterapia costituisce di per sé un’informazione sanitaria. La condotta è stata quindi ritenuta illecita per violazione degli artt. 5, 6, 9 e 32 GDPR e dell’art. 2-septies, comma 8, del Codice privacy.

Profili deontologici richiamati

Nel motivare la decisione, il Garante ha richiamato anche il Codice deontologico degli psicologi italiani, che impone la tutela della riservatezza, della non riconoscibilità e dell’anonimato, oltre al segreto professionale. È stato evidenziato che le comunicazioni scientifiche devono comunque salvaguardare l’anonimato del destinatario della prestazione, circostanza non rispettata nel caso concreto.

Sanzione, criteri di quantificazione e pubblicazione

Poiché la tesi era stata già rimossa dal sito, non sono state adottate misure correttive ulteriori ai sensi dell’art. 58, par. 2 GDPR. Il Garante ha applicato una sanzione amministrativa pecuniaria di 1.000 euro ai sensi dell’art. 83, par. 4, lett. a) e 5, lett. a) GDPR, tenendo conto dei criteri dell’art. 83, par. 2 GDPR: conoscenza del fatto tramite reclamo, natura sensibile dei dati, durata della violazione di circa 25 mesi, rimozione spontanea dopo la diffida, cooperazione con l’Autorità, esiguo fatturato e assenza di precedenti. È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice privacy.

Tutela giurisdizionale e definizione agevolata

Nel dispositivo è richiamata la facoltà di definire la controversia mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice privacy. È stato altresì indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.