Prescrizioni del Garante n. 548 del 12/09/2024

Ammonimento al medico per consegna di documentazione sanitaria a un terzo senza delega scritta

Il Garante per la protezione dei dati personali ha esaminato il reclamo presentato da una interessata nei confronti del medico di medicina generale del padre deceduto, in relazione alla consegna di documentazione clinica al marito della reclamante, soggetto privo di delega scritta. Il provvedimento conclude per l’illiceità del trattamento limitatamente al profilo della violazione delle misure di sicurezza e adotta un ammonimento, qualificando il caso come violazione minore.

Origine del reclamo e istruttoria

La reclamante ha riferito che, a fronte della richiesta di consegna dello storico clinico e della documentazione sanitaria del genitore deceduto, il medico avrebbe consegnato la documentazione al marito della stessa, non autorizzato al ritiro. L’Ufficio ha inizialmente parzialmente archiviato il reclamo nella parte relativa all’eventuale inidoneità del riscontro alla richiesta di accesso, ritenendo tale profilo sostanzialmente riconducibile a un’istanza di accesso alla documentazione sanitaria ai sensi della legge n. 241/1990.

Successivamente, il Garante ha chiesto informazioni al titolare del trattamento ai sensi dell’art. 157 del Codice. Il medico ha dichiarato di avere consegnato in buona fede la documentazione in busta chiusa al marito della reclamante, ritenendo che fosse autorizzato al ritiro in ragione del contesto familiare e del fatto che la reclamante aveva detto che sarebbero tornati a ritirarla.

Trattamento esaminato e dati coinvolti

La documentazione consegnata consisteva nel diario clinico relativo al paziente deceduto, contenente dati attinenti alla salute. Il Garante ha ribadito che i dati personali relativi a persone decedute continuano a essere protetti dalla disciplina privacy, richiamando anche l’art. 2-terdecies del Codice e precedenti provvedimenti dell’Autorità.

Violazioni accertate e norme applicate

L’Autorità ha ritenuto che il medico, consegnando documentazione sanitaria a un soggetto terzo senza delega scritta, abbia violato:

• il principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), GDPR;
• gli obblighi di sicurezza di cui all’art. 32 GDPR.

Il Garante ha richiamato il proprio orientamento consolidato secondo cui la documentazione medica può essere ritirata da soggetti diversi dall’interessato solo in presenza di una delega scritta, anche se la consegna avviene in busta chiusa. La sola busta chiusa, infatti, non esclude il rischio di accesso non autorizzato se il destinatario materiale della consegna non è legittimato al ritiro.

Valutazione della buona fede e della colpa

Il medico ha invocato la buona fede, sostenendo di aver interpretato il comportamento dell’interessata e la presenza del marito come indice di autorizzazione implicita. Il Garante ha però escluso che ricorressero i presupposti dell’errore scusabile, osservando che la verifica della delega scritta era doverosa e poteva essere effettuata con l’ordinaria diligenza. La violazione è stata quindi ricondotta a una condotta colposa, seppur lieve.

Esito finale e misura adottata

Pur accertando l’illiceità del trattamento, il Garante ha rilevato che la condotta aveva già esaurito i suoi effetti e che non sussistevano i presupposti per ulteriori misure correttive ex art. 58, par. 2, GDPR. Considerati:

• l’episodio isolato;
• l’assenza di dolo;
• la colpa lieve;
• la collaborazione del titolare;
• l’assenza di precedenti violazioni pertinenti,

l’Autorità ha qualificato il caso come violazione minore ai sensi del considerando 148 GDPR e delle linee guida WP29 sulle sanzioni amministrative pecuniarie, ritenendo sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Dispositivo e tutela giurisdizionale

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato dal medico;
• ammonito il titolare del trattamento per la violazione degli artt. 5, par. 1, lett. f), e 32 GDPR;
• dato atto della ricorrenza dei presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

È stato infine indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero, ai sensi degli artt. 78 GDPR, 152 Codice e 10 d.lgs. n. 150/2011.