Ordinanza ingiunzione o revoca n. 74 del 02/03/2023

ASL di Bari: diffusione online di elogi dei pazienti con dati sulla salute oscurati in modo inidoneo

Il Garante per la protezione dei dati personali ha accertato l’illiceità del trattamento effettuato dall’ASL di Bari nella pagina web istituzionale dedicata agli elogi dei pazienti, ove erano stati pubblicati numerosi documenti contenenti dati personali e informazioni sullo stato di salute degli interessati. Il procedimento è stato avviato a seguito di segnalazione e si è concluso con un’ordinanza ingiunzione e con l’applicazione di una sanzione pecuniaria.

Fatti oggetto di istruttoria

L’istruttoria ha riguardato la sezione del sito denominata "Parlano bene di noi", nella quale erano accessibili centinaia di elogi presentati da utenti, associazioni e dalla direzione strategica aziendale. I documenti pubblicati coprivano il periodo dal 2016 al 2022 e, secondo quanto ricostruito dall’Autorità, erano complessivamente 488.

Nei documenti erano presenti:

• dati anagrafici e di contatto degli assistiti;
• informazioni relative alle prestazioni sanitarie ricevute;
• elementi idonei a rivelare lo stato di salute, come diagnosi, anamnesi e dettagli clinici degli interventi o delle cure.

Modalità di pubblicazione e inidoneità dell’oscuramento

L’ASL aveva oscurato i dati identificativi mediante tratto di pennarello nero o bianchetto. Il Garante ha ritenuto tale modalità non idonea, perché approssimativa e non definitiva, spesso tale da consentire comunque la lettura delle parti coperte e quindi la reidentificazione degli interessati.

L’Autorità ha chiarito che tale pratica non può essere considerata neppure una forma efficace di pseudonimizzazione ai sensi dell’art. 4, par. 1, n. 4, GDPR. In sostanza, la pubblicazione delle scansioni integrali degli elogi non garantiva l’anonimizzazione e rendeva possibile associare i dati anagrafici ai dati sanitari contenuti nei documenti.

Valutazione giuridica del Garante

Il Garante ha ritenuto violati i seguenti precetti:

• art. 5, par. 1, lett. a), c) e f), GDPR, per violazione dei principi di liceità, correttezza, trasparenza, minimizzazione e integrità/riservatezza;
• art. 9 GDPR, per la diffusione di dati relativi alla salute;
• art. 25, parr. 1 e 2, GDPR, per carenza di misure adeguate di privacy by design e privacy by default;
• art. 2-septies del Codice privacy, in tema di trattamento e comunicazione dei dati sulla salute;
• richiamo alle Linee guida del 15 maggio 2014 sui documenti amministrativi pubblicati per finalità di trasparenza e pubblicità sul web.

Secondo l’Autorità, i dati pubblicati erano eccedenti e non pertinenti rispetto alla finalità dichiarata dall’ASL, ossia una comunicazione finalizzata al miglioramento dei rapporti con gli utenti. La pubblicazione diretta delle scansioni degli elogi non rispettava il principio di minimizzazione, poiché avrebbe dovuto limitarsi ai contenuti essenziali e non includere elementi identificativi o sanitari non necessari.

Interventi correttivi comunicati dall’ASL

Nel corso del procedimento, l’ASL ha comunicato di aver già adottato alcune misure:

• rimozione immediata dei documenti dal sito;
• divieto di cancellazione manuale con pennarello dei dati personali;
• nuova procedura interna che prevede l’estrazione dei soli elementi pertinenti e non eccedenti degli elogi;
• esclusione della pubblicazione delle scansioni integrali;
• avvio di formazione per il personale addetto alle pubblicazioni;
• rafforzamento dei controlli interni.

Il Garante ha preso atto di tali iniziative, ma ha ritenuto che non escludessero l’accertata illiceità del trattamento già posto in essere. Ha inoltre osservato che non ricorrevano i presupposti per ulteriori misure correttive ex art. 58, par. 2, GDPR, tenuto conto della rimozione dei documenti.

Sanzione amministrativa e criteri di quantificazione

L’Autorità ha applicato la sanzione amministrativa pecuniaria di euro 50.000 ai sensi dell’art. 83, par. 4 e 5, GDPR e dell’art. 166, comma 2, del Codice privacy.

Nella quantificazione sono stati considerati, in particolare:

• la conoscenza dell’evento tramite segnalazione;
• l’elevato numero di interessati coinvolti (488 elogi pubblicati);
• la particolare sensibilità dei dati trattati, in quanto relativi alla salute;
• i precedenti interventi del Garante sul medesimo tema;
• la cooperazione dell’ASL nel rimuovere i contenuti;
• il fatto che precedenti sanzioni subite dall’ente non riguardassero la diffusione di dati sulla salute.

La sanzione è stata ritenuta conforme ai principi di effettività, proporzionalità e dissuasività.

Misure accessorie e tutela giurisdizionale

È stata disposta anche la pubblicazione integrale del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice privacy, nonché l’annotazione nel registro interno dell’Autorità.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.