Provvedimenti n. 264 del 24/04/2024

Archivazione del reclamo contro il Ministero dell’interno per comunicazione eccedente di dati sanitari in attività di polizia

Il Garante per la protezione dei dati personali ha esaminato un reclamo presentato da un’interessata nei confronti della Questura/Ministero dell’interno, relativo alla comunicazione di dati sanitari concernenti l’HIV emersi nel corso di un controllo di polizia stradale del 2015. Il procedimento ha riguardato, in particolare, la trasmissione di tali informazioni nell’ambito di una notizia di reato e verso ulteriori destinatari istituzionali.

Origine del procedimento e attività istruttoria

La reclamante aveva denunciato che, in occasione di un servizio della Sezione di Polizia Stradale finalizzato al contrasto della guida in stato di ebbrezza o sotto l’effetto di stupefacenti, un dato relativo al proprio stato di salute fosse stato raccolto e poi comunicato a soggetti pubblici, tra cui la Procura e la Prefettura. Il Garante ha svolto un’istruttoria estesa, richiedendo informazioni alla Questura e al Ministero dell’interno in più occasioni tra il 2017 e il 2022.

Il Ministero ha sostenuto che la comunicazione fosse imposta dall’art. 347 c.p.p. e che il referto medico fosse stato inviato alla Procura quale documentazione relativa all’elemento effettivo del fatto in una notizia di reato per tentate lesioni personali aggravate. Ha inoltre precisato che la notizia di reato, priva del documento medico, era stata inoltrata anche alla Prefettura in relazione a ulteriori fattispecie penali connesse alla guida in stato di ebbrezza.

Qualificazione giuridica del trattamento

L’Autorità ha ritenuto applicabile la disciplina vigente al momento dei fatti, cioè il Codice privacy nella versione precedente alla riforma del 2018. Ha richiamato l’art. 53 del Codice, che disciplina i trattamenti effettuati per finalità di polizia, e ha evidenziato che, pur essendo esclusa l’applicazione di varie disposizioni del Codice a tali trattamenti, restava comunque vincolante l’art. 11, relativo ai principi di pertinenza e non eccedenza dei dati rispetto alle finalità perseguite.

Violazione dell’art. 11 del Codice privacy

All’esito dell’istruttoria, il Garante ha riscontrato che la comunicazione in questione integrava un trattamento di dati personali riferiti all’interessata in violazione dell’art. 11 del Codice, perché eccedente rispetto alle finalità perseguite. In particolare, la trasmissione alla Prefettura di dati sensibili relativi allo stato di salute della reclamante è stata ritenuta non necessaria rispetto al procedimento concernente la violazione dell’art. 186, comma 2, lett. c), del Codice della strada.

Contestazione dell’assenza di misure specifiche sui dati sanitari

L’Autorità aveva inoltre contestato la violazione dell’art. 5 della legge n. 135/1990, come modificato dall’art. 178, comma 2, del Codice, disposizione speciale volta a proteggere la riservatezza delle persone affette da patologie fortemente stigmatizzanti, tra cui HIV/AIDS. Nel corso del procedimento, tuttavia, il Ministero ha rappresentato che non erano state elaborate misure specifiche per tali dati nel regime previgente e che, comunque, le misure concretamente adottate erano state idonee a ridurre al minimo il rischio di violazione.

Esclusione di sanzioni e provvedimenti correttivi

Pur avendo accertato la non conformità della comunicazione al principio di non eccedenza, il Garante ha escluso l’applicazione di sanzioni amministrative pecuniarie. La ragione principale è stata individuata nel principio del tempus regit actum: nel 2015 la violazione dell’art. 11 non era assistita, nel Codice allora vigente, da una sanzione amministrativa pecuniaria. L’Autorità ha quindi rilevato che non sussistevano i presupposti per adottare provvedimenti prescrittivi o inibitori ai sensi degli artt. 143 e 154 del Codice all’epoca vigenti.

Considerazioni finali e archiviazione

Il Garante ha osservato che la condotta era particolarmente risalente nel tempo e aveva ormai esaurito i suoi effetti, mentre il titolare aveva fornito assicurazioni ritenute idonee quanto al trattamento dei dati sanitari. Per tale ragione, ai sensi delle disposizioni richiamate nel provvedimento, il reclamo è stato archiviato.

Richiamo alla tutela delle persone fragili

Pur chiudendo il procedimento senza sanzioni, il Garante ha sottolineato l’opportunità di adottare la massima attenzione nella gestione di dati relativi a patologie che espongono a forte stigmatizzazione sociale. L’Autorità ha invitato il Ministero a vigilare costantemente sul rispetto dei diritti delle persone affette dalla specifica patologia richiamata, evidenziando che le esigenze di polizia non devono comprimere indebitamente la riservatezza delle persone particolarmente fragili.