Ordinanza ingiunzione o revoca n. 227 del 01/06/2023

AUSL Toscana Sud Est - diffusione illecita di dati sanitari in un cartellone pubblicitario

Il Garante ha esaminato il reclamo presentato da un interessato contro l’Azienda USL Toscana Sud Est per la presenza, presso il Pronto Soccorso dell’Ospedale San Donato di Arezzo, di un cartellone pubblicitario nel quale era riconoscibile il reclamante associato a una prestazione sanitaria. Il procedimento è stato avviato anche a seguito della notifica di violazione presentata dal titolare ai sensi dell’art. 33 GDPR.

Origine del procedimento e attività istruttoria

L’istruttoria è partita da un reclamo in cui si segnalava che nel cartellone pubblicitario, raffigurante un operatore sanitario seduto a una postazione di lavoro, erano visibili dati riferibili all’interessato. Nel corso del procedimento l’AUSL ha riferito di avere comunicato la violazione all’interessato ai sensi dell’art. 34 GDPR e di avere rimosso il cartellone, collocandolo in un locale chiuso a chiave e accessibile solo a personale autorizzato, poiché utile come elemento probatorio in un contenzioso risarcitorio.

L’Azienda ha inoltre rappresentato che:

• non risultavano presenti altri esemplari del cartellone nelle altre sedi;
• non erano presenti immagini del cartellone sul sito internet, sulla pagina Facebook o nella intranet aziendale;
• erano state avviate iniziative di formazione obbligatoria del personale;
• era in corso di predisposizione una procedura aziendale per sottoporre a presidio centralizzato la realizzazione di materiali comunicativi con immagini.

Valutazione del Garante sui dati trattati

L’Autorità ha ricostruito il contenuto del cartellone sulla base della documentazione acquisita e delle immagini trasmesse dall’AUSL. Ha rilevato che nel cartellone erano riconoscibili il nome e il cognome del reclamante, collegati alla circostanza che questi aveva ricevuto una prestazione di pronto soccorso.

Il Garante ha richiamato la nozione di dati relativi alla salute di cui all’art. 4, par. 1, n. 15, GDPR e il considerando 35, osservando che tali informazioni comprendono anche i dati raccolti nel corso della registrazione per ricevere servizi di assistenza sanitaria. Ha quindi ritenuto che l’esposizione del cartellone in un corridoio principale di ingresso del Pronto Soccorso, quindi in un luogo accessibile al pubblico, integrasse una diffusione illecita di dati sulla salute.

Violazioni accertate e norme richiamate

Il Garante ha ritenuto violati:

• l’art. 5, par. 1, lett. a), c) e f), GDPR, per difetto di liceità/correttezza/trasparenza, minimizzazione e integrità e riservatezza;
• l’art. 25, parr. 1 e 2, GDPR, per carenza di misure adeguate di protezione fin dalla progettazione e per impostazione predefinita;
• l’art. 9 GDPR, per il trattamento di dati relativi alla salute in assenza di idoneo presupposto;
• l’art. 2-septies, comma 8, del Codice privacy, che vieta la diffusione dei dati idonei a rivelare lo stato di salute.

L’Autorità ha anche richiamato le Linee guida del 15 maggio 2014 in materia di trattamento di dati personali contenuti in atti e documenti amministrativi per finalità di pubblicità e trasparenza, per ribadire che non devono essere pubblicati dati eccedenti, non pertinenti, non indispensabili e, tanto meno, dati vietati.

Difese del titolare e loro valutazione

L’AUSL ha sostenuto che l’episodio fosse ascrivibile a una mera disattenzione in un contesto eccezionale di emergenza sanitaria e che il cartellone fosse rimasto esposto per un periodo non superiore a poche settimane. Ha inoltre richiamato la circostanza che, in quel periodo, il Pronto Soccorso era interessato da procedure di limitazione degli accessi dovute al Covid-19.

Il Garante ha tuttavia ritenuto che tali elementi non fossero idonei a escludere l’illiceità del trattamento, osservando che la presenza del cartellone in un luogo accessibile al pubblico comportava comunque la diffusione di informazioni sullo stato di salute dell’interessato. Non ha quindi ravvisato i presupposti per misure correttive ulteriori, considerata la rimozione già avvenuta del cartellone.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato la sanzione amministrativa pecuniaria prevista dall’art. 83, parr. 4 e 5, GDPR, determinandola in euro 20.000. Nella quantificazione ha considerato, tra gli altri elementi:

• la conoscenza dell’evento tramite notifica di violazione e reclamo;
• la diffusione di dati anagrafici associati a una prestazione sanitaria su un unico cartellone in luogo accessibile al pubblico;
• la durata limitata dell’esposizione;
• il contesto emergenziale pandemico;
• la pronta cooperazione dell’AUSL nella rimozione del cartellone e nella diffusione di notizie all’interessato;
• le iniziative formative già svolte e quelle programmate;
• la predisposizione di una nuova procedura aziendale di controllo sui materiali comunicativi;
• il fatto che eventuali precedenti sanzioni a carico dell’AUSL non riguardavano la diffusione di dati sulla salute.

La sanzione è stata ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo finale

Il provvedimento:

• dichiara l’illiceità del trattamento effettuato dall’AUSL Toscana Sud Est;
• ordina il pagamento di euro 20.000 a titolo di sanzione amministrativa pecuniaria;
• precisa la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice privacy;
• ingiunge il pagamento integrale entro 30 giorni dalla notificazione, in mancanza di definizione della controversia;
• dispone la pubblicazione integrale del provvedimento sul sito del Garante e la sua annotazione nel registro interno dell’Autorità.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di cui all’art. 78 GDPR, agli artt. 152 Codice privacy e 10 d.lgs. 150/2011.