Prescrizioni del Garante n. 16 del 18/01/2023

Limitazione provvisoria della diffusione di dati sanitari su Adnkronos

Il Garante per la protezione dei dati personali interviene in via d’urgenza nei confronti di GMC – Giuseppe Marra Communications S.p.A., titolare del trattamento effettuato tramite il sito www.adnkronos.com, a seguito della pubblicazione di un articolo contenente informazioni dettagliate sullo stato di salute di una persona identificata o identificabile e la diffusione di un referto di laboratorio integralmente riprodotto.

Fatto e origine del procedimento

L’istruttoria prende le mosse dalla pubblicazione, in data 16 gennaio 2023, di un articolo che riportava dettagli sulla patologia dell’interessato e allegava un documento clinico con dati sanitari molto specifici. Il Garante considera rilevante non solo il contenuto dell’articolo, ma anche la presenza del referto, in quanto ulteriore veicolo di diffusione di categorie particolari di dati personali ai sensi dell’art. 9 GDPR.

Quadro normativo richiamato

Il provvedimento richiama l’art. 137 del Codice privacy, che consente il trattamento di dati sanitari anche senza consenso nell’ambito dell’attività giornalistica, ma solo nel rispetto delle Regole deontologiche di cui all’art. 139 del Codice. Viene inoltre ribadito il limite dell’"essenzialità dell’informazione riguardo a fatti di interesse pubblico" per la diffusione di dati per finalità giornalistiche.

Il Garante richiama in particolare l’art. 10 delle Regole deontologiche, secondo cui il giornalista, nel riferire lo stato di salute di una persona identificata o identificabile, deve rispettarne dignità, riservatezza e decoro personale, astenendosi dalla pubblicazione di dati analitici di interesse strettamente clinico, salvo i casi in cui la pubblicazione sia comunque giustificata dall’essenzialità dell’informazione e dalla particolare rilevanza sociale o pubblica del soggetto.

Valutazione del Garante

Secondo l’Autorità, la diffusione dei dati relativi alla malattia dell’interessato, nei termini descritti, è in contrasto con le disposizioni richiamate. In particolare, la pubblicazione di dati sanitari dettagliati e del referto di laboratorio eccede il perimetro dell’essenzialità informativa consentita in ambito giornalistico e non rispetta il necessario livello di tutela rafforzata per i dati idonei a rivelare lo stato di salute.

Misura adottata: limitazione provvisoria del trattamento

Ai sensi dell’art. 58, par. 2, lett. f), GDPR, il Garante dispone in via d’urgenza la limitazione provvisoria del trattamento, da intendersi come blocco dell’ulteriore diffusione:

• dei dati sanitari indicati nell’articolo;
• dei dati contenuti nel referto di laboratorio pubblicato a corredo;
• di ogni altra analoga informazione eventualmente riportata in altri articoli presenti sul medesimo sito.

La limitazione ha effetto immediato dalla data di ricezione del provvedimento. Il Garante si riserva ogni ulteriore determinazione all’esito della definizione dell’istruttoria avviata sul caso.

Obbligo di riscontro e profili sanzionatori

Il destinatario del provvedimento è invitato, ai sensi dell’art. 58, par. 1, GDPR, a comunicare entro 3 giorni dalla ricezione le iniziative intraprese per dare attuazione alla misura, fornendo un riscontro adeguatamente documentato. Il provvedimento avverte che il mancato riscontro alla richiesta del Garante è punito con la sanzione amministrativa prevista dall’art. 83, par. 5, lett. e), GDPR.

Inoltre, viene ricordato che l’inosservanza della misura disposta può integrare anche il reato previsto dall’art. 170 del Codice privacy.

Tutela giurisdizionale

Avverso il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011. Il ricorso va depositato entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.