Ordinanza ingiunzione o revoca n. 378 del 20/06/2024

Medico titolare del trattamento sanzionato per ritardo nell’accesso a fotografie preoperatorie e informativa incompleta

Il provvedimento riguarda un medico, qualificato come titolare del trattamento, destinatario di un reclamo per il mancato riscontro a una richiesta di accesso ex art. 15 GDPR avente ad oggetto fotografie preoperatorie relative a un intervento chirurgico. Nel corso dell’istruttoria il Garante ha inoltre esaminato l’informativa resa ai pazienti, rilevando carenze sull’indicazione del periodo di conservazione dei dati.

Origine del procedimento e svolgimento dell’istruttoria

La paziente, tramite il proprio legale, aveva chiesto copia delle fotografie preoperatorie e lamentava di non aver ricevuto riscontro. L’Ufficio ha dapprima invitato i soggetti interessati ad aderire alla richiesta e, preso atto del successivo riscontro tardivo del medico, ha avviato il procedimento nei suoi confronti ai sensi dell’art. 166, comma 5, del Codice. La struttura sanitaria presso cui l’intervento era stato eseguito è stata invece archiviata, in ragione dell’articolazione dei ruoli privacy emersa in atti.

Natura dei dati trattati

Il Garante ha ribadito che le fotografie preoperatorie costituiscono dati personali ai sensi dell’art. 4, par. 1, n. 1, GDPR e, nel caso concreto, dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15. A sostegno di tale qualificazione sono stati richiamati il Considerando 35, secondo cui rientrano nei dati relativi alla salute anche le informazioni ricavate da esami e controlli su una parte del corpo, e l’orientamento consolidato dell’Autorità già espresso in precedenti decisioni. Di conseguenza, tali immagini erano pienamente soggette al diritto di accesso dell’interessata.

Violazione dell’art. 12, par. 3, in relazione all’art. 15 GDPR

L’Autorità ha accertato che il medico non ha fornito riscontro all’istanza di accesso entro il termine di un mese previsto dall’art. 12, par. 3, GDPR. Il titolare non ha neppure comunicato nei termini eventuali ragioni di ritardo o di impossibilità a soddisfare la richiesta, come richiesto dall’art. 12, par. 4, e dal Considerando 59. Il riscontro è stato reso solo dopo l’invito ad aderire formulato dal Garante, con un ritardo complessivo di 302 giorni rispetto alla richiesta originaria.

Violazione dell’art. 13, par. 2, lett. a) GDPR sull’informativa

Il Garante ha ritenuto non conforme l’informativa prodotta dal medico, nella parte in cui indicava in modo generico che i dati sarebbero stati conservati "solo per il tempo necessario ai fini per cui sono raccolti". Tale formulazione non soddisfa l’obbligo di indicare il periodo di conservazione oppure i criteri utilizzati per determinarlo, previsto dall’art. 13, par. 2, lett. a), GDPR. L’Autorità ha richiamato, oltre al principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), il provvedimento n. 55 del 7 marzo 2019 sui dati sanitari in ambito sanitario e le linee guida sulla trasparenza del Gruppo Art. 29 (WP260 rev.01), che escludono formule eccessivamente generiche.

Valutazione complessiva e sanzione

Il Garante ha qualificato la condotta come illecita per la violazione congiunta dell’art. 12, par. 3, in relazione all’art. 15 GDPR, e dell’art. 13, par. 2, lett. a), GDPR. Ai fini della quantificazione della sanzione ex art. 83 GDPR, ha ritenuto la gravità complessiva bassa, trattandosi di un caso isolato, senza dolo e riguardante un solo interessato e dati sulla salute. Sono stati valorizzati in senso attenuante l’assenza di precedenti provvedimenti, la cooperazione del titolare e il fatto che l’Autorità sia venuta a conoscenza dei fatti tramite reclamo. La sanzione è stata quindi determinata in euro 4.000,00.

Misure correttive e prescrizioni

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ordinato al medico di rielaborare l’informativa ai sensi degli artt. 13 e 14 GDPR, integrando le informazioni sul periodo di conservazione dei dati personali o sui criteri per determinarlo, nel rispetto del principio di limitazione della conservazione. L’adeguamento deve essere effettuato entro 40 giorni dalla notifica del provvedimento. Inoltre, ai sensi dell’art. 58, par. 1, lett. a), e dell’art. 157 del Codice, il medico deve comunicare entro 20 giorni dalla scadenza di tale termine quali iniziative abbia adottato, fornendo riscontro documentato.

Dispositivo finale e rimedi

Nel dispositivo il Garante ha ordinato il pagamento della sanzione di euro 4.000,00, richiamando la facoltà di definizione agevolata prevista dall’art. 166, comma 8, del Codice, pari alla metà dell’importo entro 30 giorni. Ha inoltre disposto la pubblicazione integrale del provvedimento sul sito dell’Autorità ai sensi dell’art. 166, comma 7, del Codice. Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro i termini di legge.