Ordinanza ingiunzione o revoca n. 82 del 13/02/2025

Medico di medicina generale sanzionato per invio di e-mail elettorale ai pazienti

Il Garante ha accertato l'illiceità del trattamento effettuato da un medico di medicina generale, che in occasione delle elezioni comunali di Sanremo 2024 ha inviato ai propri pazienti un messaggio di propaganda elettorale utilizzando gli indirizzi e-mail raccolti nello svolgimento dell'attività professionale. Il procedimento è nato da una segnalazione e da notizie stampa.

Fatti e svolgimento dell'istruttoria

L'Ufficio ha contestato che il messaggio fosse stato inviato a circa 500 pazienti, tutti inseriti nel campo destinatario visibile, con conseguente conoscibilità reciproca degli indirizzi. Con nota del 23 maggio 2024 il Garante ha chiesto informazioni; il medico ha risposto il 5 giugno 2024 e successivamente ha presentato memorie difensive il 18 agosto 2024.

Nelle difese il titolare ha affermato che gli indirizzi erano stati raccolti direttamente dai pazienti o presso lo studio per finalità di comunicazione sanitaria, assistenza, appuntamenti e invio di ricette, e che l'invio delle e-mail si fondava sul consenso prestato nell'informativa dello studio. Ha anche sostenuto che il trattamento fosse occasionale, colposo e non doloso.

Dati trattati e qualificazione giuridica

L'Autorità ha ricordato che, ai sensi dell'art. 4, par. 1, punti 1 e 15, GDPR, costituiscono dati personali e dati relativi alla salute le informazioni idonee a identificare una persona fisica e quelle che rivelano informazioni sul suo stato di salute. Ha richiamato il considerando 35, la giurisprudenza della Cassazione e della CGUE sul concetto di dato sanitario, ribadendo che anche i dati di contatto di pazienti possono assumere tale qualificazione nel contesto del rapporto di cura.

Il Garante ha quindi osservato che gli indirizzi e-mail dei pazienti erano stati raccolti per finalità di assistenza medica e non per propaganda elettorale. La finalità politica era dunque estranea agli scopi originari del trattamento.

Valutazione sulla liceità del trattamento

L'Autorità ha ritenuto che il consenso richiamato dal medico nell'informativa non fosse idoneo a legittimare l'utilizzo degli indirizzi e-mail per fini di comunicazione politica, perché tale finalità non era espressamente prevista tra quelle indicate nell'informativa né poteva essere ricondotta alle clausole generali su attività promozionali, informazione telematica o newsletter.

Il Garante ha inoltre chiarito che la propaganda elettorale non è assimilabile a una newsletter, la quale consiste in una comunicazione sistematica a iscritti per aggiornamenti su un determinato settore. Per il trattamento dei dati dei pazienti a fini elettorali sarebbe stato necessario uno specifico e informato consenso di ciascun interessato, ai sensi dell'art. 9, par. 1, lett. a), GDPR.

Violazioni accertate

Il trattamento è stato qualificato come illecito per la violazione di:

• art. 5, par. 1, lett. a), b) e f), GDPR, sotto i profili di liceità, correttezza, trasparenza, limitazione della finalità e integrità/riservatezza;
• art. 9 GDPR, per assenza di un idoneo presupposto normativo per il trattamento di dati particolari.

In particolare, l'invio di un unico messaggio a 500 destinatari tramite campo c/c ha rivelato reciprocamente a tutti la qualità di pazienti degli altri destinatari, senza giustificato motivo e senza base giuridica adeguata.

Ulteriori rilievi dell'Autorità

Il Garante ha escluso che la scarsa conoscenza della materia o la mancata formazione specifica da parte dell'Ordine professionale possano costituire esimenti, osservando che il medico, quale titolare del trattamento, era tenuto a conoscere e rispettare la disciplina applicabile con l'ordinaria diligenza. Ha richiamato altresì il Codice di deontologia medica, rilevando che il medico non può abusare del proprio status professionale e deve evitare conflitti di interessi, anche alla luce del potenziale vantaggio elettorale derivante dal rapporto fiduciario instaurato con i pazienti.

Sanzione amministrativa e criteri di quantificazione

Ritenuta la violazione grave, anche in ragione della natura sensibile dei dati e del numero elevato degli interessati, il Garante ha applicato l'art. 83, par. 5, GDPR, considerando i criteri di cui all'art. 83, par. 2, tra cui:

• il trattamento di circa 500 pazienti;
• l'utilizzo dei dati per un vantaggio personale connesso alla candidatura elettorale;
• la conoscenza della violazione tramite segnalazione e stampa;
• l'assenza di precedenti provvedimenti e la collaborazione dell'interessato nel corso dell'istruttoria.

È stata quindi irrogata una sanzione amministrativa pecuniaria di euro 10.000,00.

Provvedimenti accessori e pubblicazione

Ai sensi dell'art. 166, comma 7, del Codice e delle norme regolamentari richiamate, il Garante ha disposto:

• la pubblicazione dell'ordinanza ingiunzione sul sito internet dell'Autorità;
• la pubblicazione del provvedimento;
• l'annotazione delle violazioni nel registro interno dell'Autorità;
• la trasmissione del provvedimento all'Ordine dei Medici Chirurghi e degli Odontoiatri di Imperia per le valutazioni di competenza.

Impugnazioni e termini

Avverso il provvedimento è ammessa opposizione all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all'estero. Il pagamento della sanzione deve avvenire entro trenta giorni dalla notifica, con la possibilità di definizione agevolata mediante il pagamento della metà dell'importo nei termini di legge.