Ordinanza ingiunzione o revoca n. 336 del 20/10/2022

Associazione Covid-Healer ODV - trattamento illecito di dati sulla salute tramite l’app C-Healer

Il provvedimento riguarda l’Associazione Covid-Healer ODV, titolare dell’applicazione mobile "Covid Healer" (o C-Healer), utilizzata per mettere in contatto utenti-pazienti e professionisti sanitari al fine di richiedere assistenza sanitaria da remoto, in particolare per problematiche collegate al Covid-19. L’istruttoria è stata avviata d’ufficio dal Garante a seguito di elementi emersi online e ha riguardato la conformità del trattamento dei dati personali, in specie dei dati relativi alla salute.

Fatti e attività istruttoria

L’Associazione aveva descritto l’app come uno strumento per agevolare il contatto tra paziente e medico volontario, sostenendo di trattare dati identificativi e dati sulla salute forniti dagli utenti in fase di registrazione o successivamente. Aveva inoltre affermato che i professionisti sanitari operassero come titolari autonomi e che il consenso degli utenti pazienti costituisse base giuridica per il trattamento dei dati particolari, compreso il trasferimento ai medici aderenti.

Nel corso dell’istruttoria l’Ufficio ha contestato, in sintesi, che:

• il trattamento dei dati sulla salute avveniva senza idonea base giuridica;
• la comunicazione dei dati ai professionisti sanitari avveniva in assenza di valido presupposto, anche perché non risultava una designazione ex art. 28 GDPR;
• l’informativa non rispettava i principi di correttezza e trasparenza;
• il registro dei trattamenti era incompleto e comunque tardivo;
• la valutazione d’impatto ex art. 35 GDPR non era stata svolta prima dell’avvio del trattamento.

L’Associazione ha risposto sostenendo di aver avviato un processo di adeguamento, di aver sospeso l’app dopo l’intervento del Garante e di aver predisposto nuove informative, un nuovo schema di consenso, uno schema di accordo con i medici e un registro aggiornato.

Liceità del trattamento e consenso

Il Garante ha richiamato il principio di liceità di cui all’art. 5, par. 1, lett. a), GDPR, nonché gli artt. 6, 7 e 9 GDPR. In particolare ha osservato che il consenso, quando è la base giuridica, deve essere libero, specifico, informato e inequivocabile; per i dati relativi alla salute deve essere anche esplicito.

Nel caso concreto, il consenso non poteva ritenersi valido perché:

• nell’informativa originaria non era indicato come base giuridica per i trattamenti contestati;
• l’accettazione dell’app avveniva mediante un unico atto di adesione che comprendeva insieme termini d’uso e informativa privacy;
• il consenso non risultava quindi separato per finalità diverse, né specifico rispetto al trattamento dei dati sulla salute e alla loro comunicazione ai professionisti sanitari.

Il Garante ha quindi ritenuto illecito sia il trattamento dei dati dei pazienti da parte dell’Associazione sia la successiva comunicazione dei dati sanitari ai professionisti.

Ruoli privacy tra Associazione e professionisti sanitari

Un nodo centrale del provvedimento riguarda l’individuazione dei ruoli. L’Associazione aveva sostenuto che, dopo la fase di registrazione e abbinamento, il professionista sanitario assumesse la responsabilità esclusiva delle attività di cura e trattamento dei dati del paziente. In alcuni passaggi, tuttavia, emergeva anche una prospettiva diversa, con l’Associazione che si qualificava come titolare autonomo per l’organizzazione del servizio e, nelle versioni aggiornate, come responsabile del trattamento per la gestione tecnica della piattaforma.

Il Garante ha evidenziato che, nella fase oggetto di contestazione, non era stata formalizzata una designazione ex art. 28 GDPR e che pertanto la comunicazione dei dati sulla salute ai professionisti sanitari non trovava un adeguato fondamento giuridico. Le successive modifiche organizzative e contrattuali sono state considerate utili sul piano dell’adeguamento, ma non idonee a sanare integralmente le violazioni pregresse.

Informativa privacy e principi di trasparenza

L’informativa originaria è stata ritenuta non conforme agli artt. 5, par. 1, lett. a), 12 e 13 GDPR. Il Garante ha rilevato che il documento:

• non distingueva in modo chiaro i trattamenti e i ruoli dell’Associazione e dei professionisti sanitari;
• non indicava in modo corretto le basi giuridiche, riportando formule generiche e plurime;
• non evidenziava la disciplina applicabile ai dati sulla salute;
• presentava contraddizioni tra facoltatività e obbligatorietà del conferimento;
• conteneva riferimenti ai diritti degli interessati non coerenti con i trattamenti effettivamente descritti, inclusi richiami a marketing e profilazione non riscontrati;
• non indicava in modo puntuale i tempi di conservazione;
• non riportava i dati di contatto del responsabile della protezione dei dati.

Il Garante ha considerato tali carenze incompatibili con il requisito di trasparenza e con la necessità che l’interessato sia messo in condizione di comprendere, prima del trattamento, finalità, basi giuridiche, eventuali comunicazioni a terzi e durata della conservazione.

Valutazione d’impatto e registro dei trattamenti

L’Autorità ha ritenuto che il trattamento imponesse la preventiva valutazione d’impatto ex art. 35 GDPR, in ragione di più criteri di rischio:

• trattamento di dati sensibili o altamente personali;
• trattamento di dati relativi a interessati vulnerabili, quali i pazienti;
• possibile trattamento su larga scala;
• uso di soluzioni tecnologiche innovative.

L’Associazione aveva sostenuto che non vi fosse "larga scala" e che il numero di pazienti fosse contenuto; il Garante ha però affermato che, per la natura e la struttura del trattamento, la DPIA era necessaria prima dell’avvio.

Quanto al registro delle attività di trattamento, il Garante ha rilevato la violazione dell’art. 30 GDPR perché il documento era stato predisposto dopo l’inizio del trattamento, pur dovendo essere tenuto contestualmente, anche in considerazione della presenza di dati particolari e di trattamenti non occasionali.

Misure correttive sopravvenute e valutazione finale

Nel corso del procedimento l’Associazione ha introdotto varie misure correttive, tra cui:

• sospensione dell’app;
• revisione dell’informativa per utenti-pazienti e professionisti sanitari;
• predisposizione di nuovi consensi separati per finalità diverse;
• schema di accordo con i medici;
• nomina dell’Associazione quale responsabile del trattamento in alcuni assetti;
• aggiornamento del registro trattamenti.

Il Garante ha preso atto di tali interventi e della cessazione dell’operatività dell’app, durata poco più di un mese, ma ha comunque dichiarato l’illiceità del trattamento per il periodo contestato, ritenendo insussistenti i presupposti per misure correttive ulteriori ex art. 58, par. 2, GDPR.

Sanzione, criteri di quantificazione e pubblicazione

Il Garante ha applicato l’art. 83 GDPR, richiamando i criteri di cui al par. 2 per la quantificazione della sanzione. In particolare ha valorizzato:

• la natura dei dati, relativi alla salute, di circa 550 interessati;
• la natura non profit dell’Associazione e la finalità solidaristica del progetto;
• l’immediata sospensione dell’app dopo l’avvio dell’istruttoria;
• l’adozione di misure di adeguamento;
• l’assenza di precedenti violazioni pertinenti;
• la piena collaborazione con l’Autorità;
• la mancanza di reclami.

Sulla base di tali elementi ha determinato la sanzione amministrativa pecuniaria in euro 500, ritenendola effettiva, proporzionata e dissuasiva. Ha inoltre disposto la pubblicazione integrale del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, Codice privacy.

Dispositivo e rimedi

Il provvedimento dichiara l’illiceità del trattamento di dati personali effettuato dall’Associazione Covid-Healer ODV in violazione degli artt. 5, par. 1, lett. a), 6, 7, 9, 12, 13, 30 e 35 GDPR. Con ordinanza ingiunzione il Garante ordina il pagamento della sanzione pecuniaria di euro 500 e richiama la facoltà di definizione agevolata ex art. 166, comma 8, Codice privacy, entro 30 giorni dalla notifica, per un importo pari alla metà della sanzione comminata. È inoltre indicata la possibilità di ricorso all’autorità giudiziaria ordinaria nei termini di legge.