Prescrizioni del Garante n. 18 del 18/01/2023

Citynews S.p.A. - limitazione provvisoria per diffusione di dati sanitari in un articolo giornalistico

Il Garante per la protezione dei dati personali interviene in via d’urgenza nei confronti di Citynews S.p.A., titolare del trattamento del quotidiano online PalermoToday, a seguito della pubblicazione di un articolo contenente informazioni molto dettagliate sullo stato di salute di una persona identificata o identificabile e di un referto di laboratorio integralmente diffuso a corredo del pezzo. Il provvedimento mira a impedire l’ulteriore circolazione dei dati sanitari oggetto di contestazione, in attesa della definizione dell’istruttoria.

Fatto e origine del procedimento

L’Autorità rileva la pubblicazione di un articolo dal titolo omissato, reperibile online, nel quale veniva data notizia in maniera dettagliata della patologia da cui risultava affetto l’interessato, indicato anche con un alias, con allegata copia integrale di un referto di laboratorio estremamente analitico. Il contenuto è qualificato come diffusione di dati relativi alla salute, dunque di dati appartenenti a una categoria particolare ai sensi dell’art. 9 GDPR.

Norme richiamate e limiti alla diffusione giornalistica

Il Garante richiama l’art. 137 del Codice privacy, che consente il trattamento dei dati sanitari anche senza consenso nell’esercizio dell’attività giornalistica, purché nel rispetto delle Regole deontologiche di cui all’art. 139 del Codice. Viene inoltre richiamato il comma 3 del medesimo articolo, secondo cui nella diffusione per finalità giornalistiche resta fermo il limite dell’"essenzialità dell’informazione riguardo a fatti di interesse pubblico".

Particolare rilievo assume l’art. 10 delle Regole deontologiche, che impone al giornalista di rispettare dignità, riservatezza e decoro personale quando fa riferimento allo stato di salute di una persona identificata o identificabile, specie nei casi di malattie gravi o terminali. La norma vieta la pubblicazione di dati analitici di interesse strettamente clinico e ammette la pubblicazione solo nell’ambito dell’essenzialità dell’informazione, sempre nel rispetto della dignità della persona; la deroga è contemplata in modo più ampio solo per soggetti che rivestano una particolare rilevanza sociale o pubblica.

Valutazione del Garante

L’Autorità osserva che il Codice privacy, in ambito giornalistico, fa discendere dalla regola dell’essenzialità dell’informazione un criterio di selezione e contenimento della diffusione dei dati personali. Le Regole deontologiche rafforzano tale approccio, richiedendo un maggiore rigore quando si trattino dati idonei a rivelare lo stato di salute.

Alla luce del contenuto dell’articolo e del referto pubblicato, il Garante ritiene che la diffusione dei dati relativi alla malattia dell’interessato sia in contrasto con le disposizioni richiamate, poiché eccede il perimetro dell’informazione essenziale e veicola dati clinici analitici non divulgabili in quel contesto.

Misura adottata: limitazione provvisoria del trattamento

In base all’art. 58, par. 2, lett. f), GDPR, il Garante dispone in via d’urgenza nei confronti di Citynews S.p.A. la limitazione provvisoria del trattamento. La misura è specificamente riferita all’ulteriore diffusione:

• dei dati sanitari contenuti nell’articolo oggetto di esame;
• dei dati riportati nel referto di laboratorio pubblicato in allegato;
• di ogni altra analoga informazione presente in eventuali altri articoli pubblicati sul medesimo sito.

La limitazione ha effetto immediato dalla data di ricezione del provvedimento. L’Autorità precisa che ogni ulteriore determinazione è riservata all’esito della definizione dell’istruttoria avviata sul caso.

Obblighi di riscontro e profili sanzionatori

Il Garante, ai sensi dell’art. 58, par. 1, GDPR, invita il titolare a comunicare entro 3 giorni dalla ricezione del provvedimento quali iniziative siano state intraprese per dare attuazione alla misura e a trasmettere un riscontro adeguatamente documentato.

Viene altresì ricordato che:

• l’inosservanza della misura disposta può integrare il reato di cui all’art. 170 del Codice privacy;
• si applicano le sanzioni amministrative previste dall’art. 83, par. 5, lett. e), GDPR;
• il mancato riscontro a una richiesta formulata ai sensi dell’art. 58 è anch’esso sanzionato ai sensi dell’art. 83, par. 5, lett. e), GDPR.

Implicazioni operative

Il provvedimento conferma che, anche nell’attività giornalistica online, la diffusione di dati sanitari richiede una valutazione rigorosa del criterio di essenzialità dell’informazione. La mera rilevanza della notizia non legittima la pubblicazione di dettagli clinici o documenti sanitari integrali, quando questi eccedano il necessario per informare il pubblico su fatti di interesse pubblico nel rispetto della dignità e riservatezza dell’interessato.