Prescrizioni del Garante n. 289 del 06/07/2023

Istituto Spallanzani e raccolta di dati sensibili in fase di prenotazione del vaccino Monkeypox

Il Garante ha esaminato la procedura adottata dall’Istituto nazionale per le malattie infettive Lazzaro Spallanzani per la prenotazione della vaccinazione contro il vaiolo delle scimmie. Il caso riguarda la raccolta, tramite questionario inviato via e-mail, di informazioni su salute, vita sessuale e orientamento sessuale degli interessati, utilizzate per valutare l’eleggibilità al vaccino e l’eventuale priorità di accesso.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato a seguito di reclami e segnalazioni. Gli interessati dovevano compilare una scheda di valutazione del rischio, con domande, tra le altre, su appartenenza a categorie come gay, transgender, bisessuale o MSM, rapporti con più partner, partecipazione a sesso di gruppo, infezioni sessualmente trasmesse e pratiche di chemsex.

L’Autorità ha chiesto chiarimenti all’Istituto e al Ministero della salute. L’Istituto ha spiegato che, nella fase iniziale dell’emergenza Monkeypox, le richieste di vaccinazione erano molto superiori alle dosi disponibili e che era necessario selezionare rapidamente i soggetti da vaccinare. Ha anche dichiarato che l’informativa ex art. 13 GDPR era stata omessa per errore materiale nella scheda, pur essendo presente in sede di vaccinazione.

Successivamente, l’Istituto ha rappresentato di aver modificato la procedura: non vengono più raccolti i dati sulla eleggibilità in fase di prenotazione, l’informativa viene resa al momento della richiesta e le e-mail sono cancellate entro 24 ore. Ha inoltre affermato che non è mai stata creata una banca dati con i dati contenuti nelle e-mail.

Quadro normativo e valutazioni del Garante

Il Garante ha richiamato i principi di liceità, correttezza e trasparenza, nonché il principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. a), c) e f), GDPR, e l’obbligo informativo dell’art. 13 GDPR. Ha inoltre sottolineato che i dati in questione rientrano tra le categorie particolari di dati ex art. 9 GDPR, in quanto attinenti alla salute, alla vita sessuale e all’orientamento sessuale, per i quali vige un generale divieto di trattamento salvo specifiche eccezioni.

L’Autorità ha preso atto della circolare ministeriale del 5 agosto 2022 sulla strategia vaccinale contro il Monkeypox, che indicava soggetti a maggior rischio in base a particolari comportamenti sessuali o condizioni di salute, ma ha evidenziato che il Ministero aveva escluso l’identificazione preventiva della platea e l’indicazione della categoria di rischio nella scheda vaccinale, in linea con il principio di minimizzazione.

Illiceità della raccolta dei dati in fase di prenotazione

Secondo il Garante, la raccolta di numerose e dettagliate informazioni sensibili già in fase di prenotazione, e non nel contesto del rapporto medico-paziente, ha violato i principi di liceità, correttezza, trasparenza e integrità e riservatezza. Il trattamento è risultato illecito anche perché l’informativa non era stata resa nel momento in cui i dati venivano acquisiti, come invece impone l’art. 13 GDPR.

Il Garante ha rilevato inoltre che la circostanza che l’informativa fosse disponibile solo al momento della vaccinazione non sana la violazione, soprattutto per i soggetti che, pur avendo fornito i dati, non sono poi stati vaccinati e non hanno ricevuto successivamente l’informativa.

Esito del procedimento e misure adottate

Pur confermando l’illiceità del trattamento, il Garante ha considerato il caso una violazione minore ai sensi del considerando 148 GDPR e delle linee guida WP 253 sulle sanzioni amministrative pecuniarie. Tale valutazione è dipesa dal contesto di emergenza sanitaria, dall’unicità del centro vaccinale regionale, dall’elevatissimo numero di richieste rispetto alle dosi disponibili, dalla cancellazione dei dati, dalla mancanza di una banca dati, dalla successiva modifica delle procedure e dalla collaborazione dell’Istituto.

Per tali ragioni, il Garante ha disposto un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, dichiarando l’illiceità del trattamento ma senza applicare una sanzione pecuniaria.