Ordinanza ingiunzione o revoca n. 389 del 31/08/2023

Ordinanza ingiunzione per trattamenti illeciti di dati sanitari e mancato riscontro ai diritti dell'interessato

Il Garante ha adottato un'ordinanza ingiunzione nei confronti di Marco Giugni, già titolare dell'impresa individuale "Mednow Medical Center di Giugni Marco", in relazione alla gestione di un referto sanitario con dati anagrafici inesatti, all'invio dell'esito dell'esame a un indirizzo email di un terzo non autorizzato e al mancato riscontro tempestivo alle istanze dell'interessato. Il procedimento è scaturito da reclamo e successiva istruttoria ai sensi dell'art. 157 del Codice privacy.

Origine del reclamo e richieste dell'interessato

L'interessato aveva esercitato i diritti previsti dagli artt. 15, 16, 17 e 18 GDPR, chiedendo accesso, rettifica, cancellazione e limitazione di alcuni dati contenuti nel referto di un prelievo/tampone, poiché riportava una data di nascita e un codice fiscale errati. Contestualmente, aveva segnalato che il referto dell'esito del tampone molecolare era stato inizialmente inviato a un indirizzo email non corrispondente a quello da lui comunicato al momento della prenotazione.

Attività istruttoria e posizioni delle parti

A seguito del reclamo, l'Ufficio ha chiesto chiarimenti al titolare e al responsabile del trattamento. Il titolare ha sostenuto, tra l'altro, che l'impresa era stata cancellata dal Registro delle imprese il 5 aprile 2022, che l'errore era imputabile al responsabile del trattamento e che non vi sarebbero state conseguenze pregiudizievoli per l'interessato. Il responsabile, invece, ha dichiarato di aver ricevuto dal titolare i dati anagrafici e di non avere responsabilità sull'errore, riferendo inoltre che il rapporto contrattuale era cessato.

Dati oggetto di trattamento e qualificazione giuridica

Il Garante ha qualificato i dati trattati come dati relativi alla salute, ai sensi dell'art. 4 GDPR, richiamando la maggiore protezione prevista per tale categoria di dati. Il referto riguardava infatti una prestazione sanitaria effettuata nei confronti dell'interessato.

Violazione del principio di esattezza

È stata accertata la violazione dell'art. 5, par. 1, lett. d), GDPR, poiché il titolare aveva trasmesso al laboratorio dati anagrafici inesatti dell'interessato, con conseguente refertazione contenente data di nascita e codice fiscale errati. Il Garante ha quindi escluso che l'inesattezza fosse imputabile al laboratorio, ricondotta invece alla comunicazione iniziale del titolare.

Invio del referto a terzo non autorizzato e obblighi di sicurezza

Il Garante ha ritenuto che l'invio del referto a un indirizzo email di un terzo non autorizzato integri una comunicazione illecita di dati relativi alla salute, in assenza di base giuridica e in violazione dell'art. 9 GDPR e dell'art. 84 del Codice privacy, in combinato disposto con l'art. 22, comma 11, d.lgs. 101/2018. La condotta è stata altresì qualificata come violazione del principio di integrità e riservatezza e degli obblighi di sicurezza di cui agli artt. 5, par. 1, lett. f), e 32 GDPR. Il Garante ha escluso che l'errore umano potesse escludere la responsabilità, sottolineando che il referto conteneva anche altri elementi identificativi dell'interessato, tali da renderlo comunque identificabile.

Mancato riscontro alle istanze dell'interessato

È stata inoltre accertata la violazione dell'art. 12 GDPR in relazione agli artt. 15, 16, 17 e 18, poiché il titolare non ha risposto alle istanze dell'interessato nei termini di legge. Il riscontro è stato fornito solo dopo l'invito ad aderire dell'Autorità ed è stato ritenuto comunque inidoneo dall'interessato. Nella valutazione del Garante è stato considerato il contesto emergenziale pandemico e l'elevato carico di lavoro dell'attività, come elemento attenuante ma non esimente.

Esito finale e sanzione

Il Garante ha dichiarato l'illiceità del trattamento per violazione degli artt. 5, par. 1, lett. d) e f), 9, 12 in relazione agli artt. 15, 16, 17 e 18, nonché dell'art. 32 GDPR. Ha ritenuto che non vi fossero i presupposti per l'adozione di misure correttive ex art. 58, par. 2, GDPR, anche perché l'attività imprenditoriale era cessata.

La sanzione amministrativa pecuniaria è stata quantificata in 10.000 euro, in base ai criteri dell'art. 83, par. 1 e 2, GDPR, valorizzando: episodicità delle violazioni, assenza di precedenti, cooperazione con l'Autorità, buona fede dichiarata per parte degli errori materiali e contesto pandemico particolarmente gravoso. È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito web del Garante ai sensi dell'art. 166, comma 7, del Codice privacy.

Termini e rimedi

Il provvedimento prevede la possibilità di definizione agevolata mediante pagamento, entro 30 giorni, della metà della sanzione comminata, ai sensi dell'art. 166, comma 8, del Codice. In caso di mancata definizione, il pagamento della sanzione deve avvenire entro 30 giorni dalla notificazione del provvedimento, con la possibilità di ricorso all'autorità giudiziaria ordinaria nei termini di cui all'art. 78 GDPR, agli artt. 152 Codice privacy e 10 d.lgs. 150/2011.