Prescrizioni del Garante n. 403 del 01/12/2022

Odontoiatra: comunicazione illecita di dati sanitari via PEC e ammonimento

Il provvedimento riguarda un medico odontoiatra che, rispondendo a una richiesta del paziente, ha trasmesso un file contenente immagini TAC Cone Beam anche al Consiglio dell’Ordine dei Medici e Odontoiatri di Genova, destinatario della stessa comunicazione PEC. Il Garante ha accertato l’illiceità del trattamento per assenza di un presupposto giuridico idoneo alla comunicazione a terzi di dati relativi alla salute.

Origine del reclamo e avvio dell’istruttoria

Il procedimento nasce da un reclamo dell’interessato, che lamentava la diffusione del proprio dato sanitario a un soggetto terzo. L’Ufficio ha richiesto informazioni al titolare del trattamento ai sensi dell’art. 157 del Codice e, all’esito dei primi riscontri, ha archiviato alcuni profili non rilevanti ai fini privacy, concentrandosi sulla comunicazione del file TAC all’Ordine professionale. Successivamente, con atto di avvio ai sensi dell’art. 166, comma 5, del Codice, è stato aperto il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, GDPR.

Difese del titolare

Il professionista ha sostenuto che l’invio all’Ordine fosse stato accidentale: il paziente avrebbe inserito l’indirizzo PEC dell’Ordine in copia e la risposta dell’odontoiatra avrebbe determinato, per automatismo del software, la trasmissione anche al terzo. Ha inoltre affermato che il file non sarebbe stato immediatamente leggibile dall’Ordine, privo del software necessario alla visualizzazione delle immagini 3D, e che l’Ordine stesso, in seguito, avrebbe richiesto quel medesimo file per acquisirlo agli atti nell’ambito di vicende disciplinari o contenziose relative al rapporto con il paziente.

Valutazioni giuridiche del Garante

Il Garante ha ricordato che i dati relativi alla salute sono dati particolarmente protetti ai sensi dell’art. 4, par. 1, n. 15, GDPR e del considerando 51. Tali dati possono essere comunicati a terzi solo in presenza di un idoneo presupposto giuridico o su indicazione dell’interessato munita di delega scritta. È stato quindi ritenuto che il titolare, nel rispondere alla PEC, abbia omesso di verificare che l’interessato fosse l’unico destinatario e abbia così comunicato a un terzo informazioni sanitarie senza base giuridica. Il Garante ha ravvisato anche la violazione dell’art. 5, par. 1, lett. f), GDPR, relativo all’integrità e riservatezza dei dati.

Elementi attenuanti e qualificazione del caso

Nel valutare la gravità dell’illecito, l’Autorità ha considerato diversi elementi favorevoli al titolare:

• trattandosi di una vicenda isolata riguardante un solo paziente;
• l’assenza di intenzionalità nella trasmissione al terzo;
• la circostanza che il dato non fosse immediatamente visualizzabile dall’Ordine;
• la successiva richiesta dell’Ordine di acquisire il file per finalità istituzionali;
• la collaborazione del titolare nel corso dell’istruttoria;
• l’assenza di precedenti provvedimenti pertinenti o eterogenei nei suoi confronti.

Sulla base di tali elementi, il Garante ha qualificato il caso come “violazione minore”, richiamando il considerando 148 GDPR e le linee guida WP 253 sulle sanzioni amministrative pecuniarie. Per questo motivo ha ritenuto sufficiente l’ammonimento, senza adottare ulteriori misure correttive, anche perché la condotta aveva già esaurito i propri effetti.

Provvedimenti adottati

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato dall’odontoiatra ai sensi dell’art. 57, par. 1, lett. f), GDPR;
• ammonito il titolare ai sensi dell’art. 58, par. 2, lett. b), GDPR per la violazione degli artt. 5, par. 1, lett. f), e 9 GDPR;
• ritenuto applicabile la pubblicazione del provvedimento sul sito istituzionale, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019.

Rimedio giurisdizionale

Il provvedimento indica la possibilità di proporre ricorso davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all’estero.