Ordinanza ingiunzione o revoca n. 10 del 11/01/2024

David S.r.l. - diffusione su Instagram di video contenente dati sulla salute e informativa non conforme

Il provvedimento riguarda David S.r.l., titolare del Centro Estetico Dvora, per la pubblicazione su Instagram di un video che riprendeva un interessato durante una procedura di medicina estetica. L’istruttoria è nata da un reclamo e ha condotto all’accertamento dell’illiceità del trattamento, con applicazione di misure correttive e sanzionatorie.

Origine del procedimento e posizione delle parti

Nel marzo 2023 è pervenuto un reclamo per la diffusione, sul profilo pubblico Instagram "DvoraAncona", di un video relativo a una rinoplastica non chirurgica effettuata dalla legale rappresentante della società. Il reclamante ha sostenuto che la diffusione fosse avvenuta senza un valido presupposto giuridico e che informativa e consenso non fossero conformi alla disciplina privacy.

La società ha difeso la liceità del trattamento affermando, in sintesi, che:

• l’interessato aveva sottoscritto un consenso scritto e libero;
• il consenso comprendeva l’uso di dati e immagini anche per social network e finalità divulgative/scientifiche/pubblicitarie;
• il video era breve, l’interessato non sarebbe stato identificabile e il contenuto è stato rimosso immediatamente su richiesta;
• il trattamento sarebbe stato svolto in buona fede.

Qualificazione del trattamento e natura dei dati trattati

Il Garante ha ritenuto che il video, pur di durata limitata, mostrasse un soggetto riconoscibile durante una prestazione di medicina estetica e consentisse di desumere informazioni sul suo stato di salute. In applicazione dell’art. 4, par. 1, n. 15, GDPR e del considerando 35, tali informazioni rientrano nei dati relativi alla salute.

L’Autorità ha richiamato il principio secondo cui la natura sensibile del dato va valutata anche nel contesto: un dato può essere relativo alla salute anche senza menzionare espressamente una patologia, se consente di ricavare informazioni connesse alle condizioni fisiche dell’interessato.

Violazioni accertate

Il Garante ha ritenuto il trattamento illecito per violazione dei principi e delle norme seguenti:

• art. 5, par. 1, lett. a), GDPR, per difetto di liceità, correttezza e trasparenza;
• artt. 6 e 9 GDPR, per assenza di un idoneo presupposto giuridico al trattamento e alla diffusione di dati sulla salute;
• artt. 12 e 13 GDPR, per informativa inadeguata;
• art. 2-septies, comma 8, del Codice privacy, che vieta la diffusione di informazioni sullo stato di salute.

L’Autorità ha escluso che il video potesse essere legittimato da un consenso tacito o desunto dal mero fatto che l’interessato fosse consapevole della ripresa. Per i dati sulla salute, infatti, il consenso deve essere esplicito, specifico e informato.

Inidoneità del consenso e dell’informativa

Il consenso utilizzato dalla società è stato considerato non valido perché:

• non risultava espresso in modo esplicito per la diffusione di dati sulla salute sui social;
• era formulato in termini generici, con riferimento alla pubblicazione di articoli su social media e magazine;
• non indicava chiaramente che i dati sarebbero stati pubblicati sul profilo pubblico Instagram della società;
• non prevedeva la necessaria pseudonimizzazione, ove richiesta.

Anche l’informativa è stata ritenuta carente e contraddittoria, in particolare perché:

• indicava erroneamente come titolare la persona fisica e non la società;
• descriveva in modo incoerente le finalità del trattamento;
• non menzionava la specifica finalità di diffusione del video contestato;
• non indicava correttamente le basi giuridiche;
• attribuiva erroneamente al consenso un ruolo non previsto per i trattamenti di cura;
• non riportava il diritto di revoca del consenso;
• non indicava in modo completo i destinatari, inclusi i gestori delle piattaforme social.

Valutazione sulle finalità divulgative e sull’anonimizzazione

Quanto alle finalità divulgative/scientifiche invocate dalla società, il Garante ha ribadito che tali finalità avrebbero dovuto essere perseguite, ove possibile, mediante dati anonimizzati. Se l’anonimizzazione non fosse stata possibile, sarebbe stato necessario acquisire uno specifico consenso informato e procedere comunque a pseudonimizzazione, secondo quanto previsto anche dal Codice di condotta per l’utilizzo dei dati sulla salute a fini didattici e di pubblicazione scientifica.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ordinato alla società di rielaborare entro 90 giorni dalla notifica l’informativa denominata "Informativa sul trattamento dei dati personali ai sensi dell’art. 13 e 14 del Regolamento UE 2016/679 per il trattamento dei dati personali dedicati alle registrazioni audio, video e fotografie".

Le correzioni richieste comprendono:

• eliminazione del riferimento all’art. 14 GDPR, non pertinente quando i dati sono raccolti presso l’interessato;
• sostituzione del riferimento al responsabile del trattamento con i dati di contatto del DPO;
• chiarimento che non saranno diffusi dati sulla salute e indicazione della base giuridica;
• revisione della clausola sull’obbligatorietà del consenso, ritenuta fuorviante;
• correzione di un refuso sulla comunicazione/pubblicazione/diffusione dei dati;
• integrazione della sezione sui diritti con accesso e revoca del consenso.

Poiché il video era già stato rimosso dal profilo Instagram, il Garante ha escluso ulteriori misure correttive diverse da quelle indicate.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato la sanzione amministrativa pecuniaria di 8.000 euro, ai sensi dell’art. 83, par. 5, GDPR e dell’art. 166 del Codice privacy, ritenendola effettiva, proporzionata e dissuasiva.

Nel determinare l’importo, l’Autorità ha considerato:

• la diffusione sul social network per 45 giorni di un video di 34 secondi riferito a un solo interessato;
• l’assenza di intento doloso, essendo la violazione avvenuta in buona fede;
• la rimozione tempestiva del contenuto su richiesta dell’interessato;
• l’assenza di precedenti violazioni o di precedenti provvedimenti correttivi;
• la piena collaborazione della società e le misure adottate successivamente, tra cui formazione del personale, nomina di un DPO esterno e revisione della modulistica.

È stata altresì disposta la pubblicazione integrale del provvedimento sul sito del Garante e l’annotazione nel registro interno delle violazioni e delle misure adottate. Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria nei termini di legge.