Ordinanza ingiunzione o revoca n. 39 del 29/01/2026

Diffusione su Instagram di immagini di paziente e trattamento illecito di dati sanitari

Il provvedimento riguarda il dott. Paolo Montemurro, destinatario di un reclamo per la pubblicazione sul proprio profilo pubblico Instagram di fotografie di una paziente relative a un intervento di rinosettoplastica. Il Garante ha ritenuto che le immagini costituissero dati personali idonei a rivelare lo stato di salute e che la diffusione fosse avvenuta in violazione della disciplina privacy, nonostante la presenza di una formula di consenso e il richiamo a finalità divulgative/scientifiche.

Origine del procedimento e difese del professionista

Il procedimento è stato avviato a seguito del reclamo della paziente, che contestava la diffusione delle immagini senza aver prestato un valido consenso alla pubblicazione. Nel riscontro istruttorio il medico ha sostenuto di aver utilizzato un modulo di consenso AICPE, di aver raccolto un’autorizzazione specifica per l’uso di immagini e filmati con finalità scientifiche e divulgative e di aver garantito l’anonimato della paziente. Ha inoltre affermato che le foto erano state pubblicate senza connotazioni commerciali e che la reclamante non fosse riconoscibile.

Inquadramento giuridico del trattamento

L’Autorità ha richiamato la nozione di dato personale e di dato relativo alla salute di cui all’art. 4 GDPR, nonché i principi di liceità, correttezza, trasparenza, limitazione della finalità e minimizzazione dei dati di cui all’art. 5, par. 1, lett. a), b) e c), GDPR. Ha inoltre ricordato che la diffusione di dati personali consiste nel dare conoscenza dei dati a soggetti indeterminati, in qualunque forma, anche mediante messa a disposizione o consultazione, ai sensi dell’art. 2-ter, comma 4, del Codice.

Anonimizzazione insufficiente e identificabilità della paziente

Secondo il Garante, l’assenza di dati anagrafici e l’oscuramento di un dettaglio del volto non erano idonei a realizzare una vera anonimizzazione. Il dato può dirsi anonimo solo se non consente in alcun modo l’identificazione diretta o indiretta dell’interessato, considerando i mezzi ragionevolmente disponibili a chiunque utilizzi quei dati. Nel caso concreto, la paziente è stata ritenuta identificabile almeno da una cerchia ristretta di soggetti, in ragione degli elementi fisiognomici visibili nelle immagini.

Illiceità della diffusione e invalidità del consenso

Le immagini sono state qualificate come dati relativi alla salute diffusi in assenza di un valido presupposto di liceità ai sensi dell’art. 9 GDPR e in violazione dell’art. 2-septies, comma 8, del Codice. Il consenso richiamato dal professionista non è stato ritenuto valido perché era stato prestato sulla base della rappresentazione che i dati sarebbero stati anonimi; poiché l’anonimizzazione non si è realizzata in concreto, tale consenso non ha potuto legittimare la diffusione.

Richiamo al consenso nel trattamento sanitario e alla deontologia medica

Il Garante ha ribadito che, per i trattamenti strettamente necessari alla prestazione sanitaria richiesta dal paziente, il professionista sanitario non deve acquisire il consenso al trattamento, essendo sufficiente la base giuridica di cui all’art. 9, par. 2, lett. h), e par. 3, GDPR. Diversamente, quando il trattamento non è necessario per la cura e riguarda finalità didattiche o di pubblicazione scientifica, il consenso deve essere specifico, libero, informato e inequivocabile. È stato richiamato anche l’art. 11 del Codice di deontologia medica, che impone la non identificabilità dei soggetti coinvolti in pubblicazioni o divulgazioni scientifiche.

Codice di condotta sui dati sulla salute e social media

L’Autorità ha valorizzato il Codice di condotta per l’utilizzo di dati sulla salute a fini didattici e di pubblicazione scientifica, approvato il 14 gennaio 2021, secondo cui la diffusione di tali dati è ammessa solo previa anonimizzazione e, in subordine, pseudonimizzazione; qualora ciò non sia possibile, occorre un consenso specifico dell’interessato e i dati devono comunque essere pseudonimizzati prima della diffusione. Il Garante ha richiamato anche precedenti provvedimenti relativi alla pubblicazione su social media di immagini e video di pazienti sottoposti a procedure mediche.

Valutazione della gravità e criteri sanzionatori

Ai fini della sanzione, il Garante ha considerato la natura particolarmente sensibile dei dati, la diffusione delle immagini per un determinato arco temporale, la mancanza di un intento doloso e la buona fede del professionista, che si era affidato a un modello AICPE ritenuto conforme. Sono stati inoltre valorizzati la tempestiva rimozione delle immagini dopo le doglianze della reclamante, l’assenza di precedenti violazioni pertinenti e la collaborazione prestata nel corso del procedimento. Sulla base di tali elementi è stata irrogata una sanzione pecuniaria di euro 5.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83 GDPR.

Misure correttive e prescrizioni

Il Garante ha ordinato al dott. Montemurro, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di rielaborare entro 90 giorni la documentazione informativa e di consenso da sottoporre ai pazienti. In particolare, il nuovo testo dovrà:

• prevedere che per l’uso di dati sulla salute a fini didattici e di pubblicazione scientifica sia garantito l’anonimato del paziente, e che, se ciò non è possibile, sia richiesto uno specifico consenso informato;
• eliminare il consenso al trattamento dei dati per finalità di cura, perché non necessario ai sensi dell’art. 9, par. 2, lett. h), e par. 3, GDPR;
• indicare i periodi di conservazione dei dati per ciascuna finalità, compresa la durata di pubblicazione delle immagini pseudonimizzate sui canali social del titolare.

Esiti finali e ulteriori misure

Oltre alla sanzione, è stata disposta la pubblicazione integrale del provvedimento sul sito del Garante e l’annotazione nel registro interno delle violazioni. Il provvedimento è stato inoltre trasmesso all’AICPE affinché adegui i modelli di informativa e consenso proposti ai propri iscritti alle indicazioni fornite dall’Autorità. Il Garante ha infine richiamato la possibilità di ricorso davanti all’autorità giudiziaria ordinaria nei termini di legge.