Ordinanza ingiunzione o revoca n. 619 del 17/10/2024

Ordinanza-ingiunzione al dott. Giancarlo Francini per omessa informativa, mancato riscontro all’accesso e mancata risposta al Garante in relazione a sedute di psicoterapia

Il provvedimento riguarda un medico/psicoterapeuta, quale titolare del trattamento, cui sono state contestate violazioni connesse a sedute di psicoterapia effettuate con registrazione audio o comunque con trattamento di dati relativi alla salute. Il procedimento è stato avviato a seguito di reclamo dell’interessato e di successive richieste istruttorie dell’Autorità.

Origine del reclamo e oggetto del trattamento

L’interessato ha lamentato di non aver ricevuto un’adeguata informativa prima o durante le sedute e di non aver ottenuto riscontro alla richiesta di conoscere quali dati fossero detenuti dal professionista, di ottenere copia delle registrazioni e di ricevere la documentazione privacy presente nello studio. Le sedute richiamate nel provvedimento risalgono al 6 e 16 settembre 2019 e riguardano il contesto di un percorso di psicoterapia, con trattamento di dati personali, inclusi dati relativi alla salute ai sensi dell’art. 4, par. 1, punto 2, GDPR.

Attività istruttoria e mancato riscontro all’Autorità

A seguito del reclamo, l’Ufficio del Garante ha richiesto informazioni al titolare ai sensi dell’art. 157 del Codice privacy. Non essendo pervenuto alcun riscontro, l’Autorità ha notificato la violazione dell’art. 157 e ha poi riunito il procedimento con quello relativo al reclamo, trattandosi della medesima vicenda e dello stesso titolare del trattamento. Solo successivamente il professionista ha inviato memorie difensive, sostenendo di aver fornito oralmente le informazioni e di aver informato l’interessato sulla gestione delle eventuali registrazioni.

Valutazione sulla trasparenza e sull’informativa

Il Garante ha ritenuto che l’argomento del titolare, secondo cui l’informativa sarebbe stata rimandata al terzo incontro perché la terapia non era ancora iniziata, non fosse idoneo a escludere la violazione. Anche la fase preliminare degli incontri, infatti, comportava la raccolta di dati personali sulla salute e, quindi, un trattamento soggetto agli obblighi di trasparenza e informativa di cui agli artt. 5, par. 1, lett. a), e 13 GDPR. L’interessato avrebbe dovuto essere reso edotto in modo chiaro circa modalità, finalità e base giuridica del trattamento.

Valutazione sul diritto di accesso

Quanto al diritto di accesso ex art. 15 GDPR, l’Autorità ha accertato che il titolare non ha risposto nei termini previsti dall’art. 12 GDPR all’istanza formulata tramite il legale dell’interessato. La risposta successiva, intervenuta solo dopo il reclamo, non ha eliminato l’inadempimento originario. Il Garante ha tuttavia preso atto che, per quanto riguarda le registrazioni, il titolare aveva dichiarato di non esserne più in possesso perché distrutte secondo il periodo di conservazione indicato.

Violazione dell’art. 157 del Codice privacy

L’Ufficio ha accertato anche la violazione dell’art. 157 del Codice privacy per il mancato riscontro alla richiesta di informazioni formulata dal Garante. Il titolare ha poi risposto solo a seguito della reiterazione della richiesta da parte dell’Autorità. Tale circostanza è stata considerata ai fini della quantificazione sanzionatoria, ma non ha escluso la violazione.

Esito finale, sanzione e criteri di quantificazione

Il Garante ha dichiarato l’illiceità del trattamento per:

• violazione del principio di trasparenza ex art. 5, par. 1, lett. a), GDPR;
• violazione degli obblighi informativi ex art. 13 GDPR;
• violazione dell’art. 12, in relazione all’art. 15, GDPR;
• violazione dell’art. 157 del Codice privacy.

Ai fini dell’art. 83 GDPR, il Garante ha ritenuto alta la gravità delle violazioni relative a trasparenza, informativa e accesso, considerando che il titolare aveva risposto solo dopo la proposizione del reclamo. Per tale blocco di violazioni ha determinato una sanzione di 6.000 euro. Per la violazione dell’art. 157 del Codice privacy ha invece valutato la gravità come lieve, anche perché il titolare aveva comunque poi risposto alla richiesta reiterata, fissando la sanzione in 500 euro. L’importo complessivo è quindi pari a 6.500 euro.

Misure accessorie e termini

Il provvedimento dispone inoltre:

• la pubblicazione dell’ordinanza-ingiunzione sul sito internet del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento n. 1/2019;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni nel registro interno.

Il pagamento della sanzione deve avvenire entro 30 giorni dalla notificazione del provvedimento, con facoltà di definizione agevolata nei limiti previsti dall’art. 166, comma 8, del Codice. È ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.