Ordinanza ingiunzione o revoca n. 163 del 27/04/2023

Roma Capitale - diffusione illecita dei dati sanitari di donne sulle sepolture di feti e prodotti abortivi

Il provvedimento riguarda Roma Capitale, in relazione ai trattamenti svolti tramite Ama S.p.a. nei servizi cimiteriali capitolini. L’istruttoria è stata avviata d’ufficio a seguito di notizie stampa e ha riguardato la prassi di riportare sulle targhette delle sepolture i dati identificativi delle donne che avevano interrotto la gravidanza, nonché le modalità di gestione dei registri cimiteriali e delle istruzioni impartite al responsabile del trattamento.

Origine del procedimento e fatti accertati

Il Garante ha ricostruito una situazione emersa presso il Cimitero Flaminio di Roma Capitale, dove sulle croci relative a sepolture di prodotti abortivi comparivano etichette con le generalità delle donne e una data. Dalle informazioni acquisite risultava che, nei casi di sepoltura disposta su richiesta della ASL, Ama S.p.a. apponeva targhette con il nome e cognome della madre, la data di estrazione o espulsione e altri elementi identificativi. La documentazione sanitaria trasmessa dalle ASL ai servizi cimiteriali conteneva, inoltre, dati molto dettagliati: autorizzazioni al trasporto e seppellimento, certificati medico-legali, generalità della donna, dati clinici del feto e ulteriori informazioni sulla gravidanza e sull’aborto.

L’istruttoria ha riguardato anche i registri cimiteriali informatizzati, nei quali risultavano inseriti il nome e cognome della donna, la data di arrivo, la provenienza, la tipologia della salma, la data di inumazione e l’ubicazione del feretro. Il Garante ha inoltre considerato le modalità con cui i dati potevano essere resi disponibili all’utenza tramite URP e call center.

Quadro normativo richiamato

L’Autorità ha richiamato il GDPR, con particolare riferimento ai principi di:

• liceità, correttezza e trasparenza;
• limitazione delle finalità;
• minimizzazione dei dati;
• esattezza;
• integrità e riservatezza.

Sono stati richiamati anche gli artt. 6, 9, 24, 25, 28, 29 e 32 del GDPR, nonché gli artt. 2-ter, 2-sexies e 2-septies del Codice privacy. In materia di sepoltura, il Garante ha esaminato il d.P.R. 10 settembre 1990, n. 285, in particolare gli artt. 7, 50, 52, 53 e 70, oltre alla legge n. 194/1978, che tutela in modo rigoroso l’anonimato e la riservatezza della donna che ricorre all’interruzione volontaria di gravidanza.

Valutazione sulla prassi di indicare i nomi delle donne sulle targhette

Il Garante ha ritenuto che la prassi di riportare sulle targhette apposte sulle sepolture le generalità delle donne fosse illegittima. I dati delle donne rientrano tra i dati relativi alla salute e, come tali, sono soggetti a un divieto di diffusione. L’art. 70 del d.P.R. 285/1990, che impone la targhetta con i dati del defunto, non può essere interpretato come base giuridica per esporre i dati di una persona viva, quale è la donna in relazione alla quale è avvenuta l’interruzione di gravidanza.

L’Autorità ha quindi escluso che vi fosse una valida base giuridica per il trattamento e ha ravvisato la violazione dei principi di:

• liceità, correttezza e trasparenza;
• limitazione delle finalità;
• minimizzazione;
• esattezza.

Secondo il Garante, la finalità di tracciabilità poteva essere perseguita con strumenti meno invasivi, come codici identificativi, senza ricorrere alla divulgazione delle generalità delle donne.

Responsabilità di Roma Capitale come titolare del trattamento

Roma Capitale è stata ritenuta responsabile non solo della diffusione illecita, ma anche della carenza originaria di istruzioni verso Ama S.p.a. Il Comune aveva inizialmente sostenuto che la disciplina di settore fosse lacunosa e che l’indicazione dei dati delle madri fosse necessaria per adempiere agli obblighi di tracciabilità. Il Garante ha invece osservato che tale lacuna normativa non autorizza il trattamento di categorie particolari di dati in assenza di una base giuridica espressa.

Inoltre, il titolare non aveva impartito prima dell’istruttoria specifiche istruzioni sul trattamento dei dati nei casi di sepoltura di feti e prodotti abortivi, né aveva dimostrato un controllo adeguato sull’operato del responsabile. Da ciò è derivata la contestazione della violazione degli artt. 28 e 29 GDPR.

Esito degli accertamenti ispettivi

La visita ispettiva ha evidenziato che l’attuazione delle nuove istruzioni era stata solo parziale. In particolare:

• alcune targhette erano state sostituite correttamente;
• altre erano state solo cancellate con vernice coprente, poi risultata inefficace nel tempo;
• in tali casi il nome e cognome della donna restavano visibili;
• nel sistema informatizzato dei registri cimiteriali risultavano ancora visibili i dati identificativi delle donne.

Il Garante ha rilevato anche la mancanza, almeno iniziale, di evidenze sufficienti sulla formale individuazione e istruzione specifica degli autorizzati al trattamento e sulla predisposizione di un piano formativo mirato. È stata invece ritenuta non provata, in modo pieno, l’asserita diffusione telefonica delle informazioni a terzi, poiché la procedura prevedeva la formalizzazione scritta della richiesta.

Interventi successivi e superamento delle criticità

Dopo l’avvio dell’istruttoria, Roma Capitale ha adottato misure correttive rilevanti. Ha impartito ad Ama S.p.a. istruzioni dettagliate, avviato il procedimento di modifica del regolamento cimiteriale e poi approvato la nuova disciplina. La modifica dell’art. 4 del Regolamento di Polizia Cimiteriale prevede ora che le sepolture dei feti siano contraddistinte da un codice alfanumerico o da altri segni identificativi richiesti dalla donna, con accesso ai dati riservato alla donna stessa o agli aventi diritto.

Il Comune ha inoltre predisposto un nuovo sistema informatico nel quale il dato personale della donna non è più visibile agli impiegati, salvo accesso autorizzato a un numero ristretto di addetti. Alla luce di tali interventi, il Garante ha ritenuto superate le criticità per il futuro e ha escluso l’adozione di ulteriori misure correttive.

Conclusioni e sanzione

Il Garante ha dichiarato illecita la condotta di Roma Capitale per la violazione degli artt. 5, par. 1, lett. a), b), c), d) e f), 9, 28, 29 e 32 GDPR, nonché degli artt. 2-sexies e 2-septies del Codice privacy. Ha ritenuto applicabile la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR, e ha quantificato la sanzione in euro 176.000.

Nella quantificazione sono stati considerati, tra gli altri elementi:

• la natura particolarmente delicata dei dati trattati;
• la gravità della diffusione di dati sanitari;
• il numero elevato degli interessati;
• il danno prodotto;
• precedenti violazioni o provvedimenti pertinenti;
• la collaborazione prestata da Roma Capitale e gli interventi correttivi avviati tempestivamente.

È stata inoltre disposta la pubblicazione del provvedimento sul sito web del Garante. Il provvedimento informa infine della possibilità di proporre ricorso all’autorità giudiziaria ordinaria nei termini previsti dalla normativa applicabile.