Ordinanza ingiunzione o revoca n. 205 del 26/03/2026

MMG: sanzione per informativa privacy incompleta ai pazienti ex art. 13 GDPR

Il Garante è intervenuto nei confronti di un medico di medicina generale a seguito del reclamo di un paziente, che aveva lamentato sia il mancato accoglimento di una richiesta di cancellazione dei dati personali sia l'incompletezza dell'informativa resa ai pazienti. Il provvedimento conclude con l'irrogazione di una sanzione amministrativa pecuniaria e con la pubblicazione dell'ordinanza-ingiunzione sul sito dell'Autorità.

Origine del reclamo e attività istruttoria

Il reclamante aveva contestato al medico di non aver cancellato i propri dati personali, sostenendo che il titolare avesse subordinato la cancellazione alla scadenza dei termini di prescrizione dei diritti dell'interessato, anche in vista di un eventuale contenzioso. In parallelo, veniva segnalato che l'informativa ex art. 13 GDPR presentata ai pazienti risultava priva di alcuni elementi obbligatori.

L'Autorità ha avviato un'istruttoria ai sensi dell'art. 157 del Codice privacy, chiedendo chiarimenti sul diniego di cancellazione e sulla completezza dell'informativa. Il titolare ha poi prodotto riscontri documentali, compreso il provvedimento di archiviazione di un procedimento disciplinare avviato dall'Azienda ULSS competente, e ha trasmesso una versione aggiornata dell'informativa.

Esito sulla richiesta di cancellazione dei dati

Sulla censura relativa alla cancellazione dei dati, il Garante ha ritenuto accoglibile quanto rappresentato dal titolare. La conservazione dei dati era stata giustificata in funzione della gestione di un possibile contenzioso, con richiamo alla base giuridica e alle eccezioni previste dagli artt. 9, par. 2, lett. f), e 17, par. 2, lett. e), GDPR. Su questo punto, quindi, non è stata ravvisata una violazione.

Violazione dell'art. 13 GDPR: informativa incompleta

Diverso l'esito sull'informativa ai pazienti. Il Garante ha accertato che il testo originario non indicava in modo adeguato:

• i destinatari o le categorie di destinatari dei dati personali, in violazione dell'art. 13, par. 1, lett. e), GDPR;
• il periodo di conservazione dei dati, in violazione dell'art. 13, par. 2, lett. a), GDPR;
• l'esistenza dei diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità, nonché del diritto di proporre reclamo a un'autorità di controllo, in violazione dell'art. 13, par. 2, lett. b) e d), GDPR.

Nel motivare il rilievo, l'Autorità ha richiamato anche le Linee guida sulla trasparenza adottate il 29 novembre 2017 e emendate l'11 aprile 2018, ribadendo che il periodo di conservazione o i criteri per determinarlo devono essere espressi in modo da consentire all'interessato di comprendere la durata del trattamento.

Valutazione finale e assenza di ulteriori misure correttive

Il Garante ha osservato che la memoria difensiva del titolare, pur considerata, non era idonea a superare i rilievi contestati. Ha quindi dichiarato accertata l'illiceità del trattamento limitatamente alla violazione degli obblighi informativi ex art. 13 GDPR.

Tuttavia, poiché il titolare aveva nel frattempo riformulato l'informativa, l'Autorità ha escluso l'adozione di ulteriori misure correttive ex art. 58, par. 2, GDPR, ritenendo la condotta ormai esaurita.

Sanzione amministrativa e criteri di quantificazione

La violazione dell'art. 13 GDPR è stata ricondotta all'art. 83, par. 5, lett. b), GDPR, con un massimo edittale pari a 20.000.000 di euro. Ai fini della quantificazione, il Garante ha valutato:

• gravità media della violazione, per l'assenza di più elementi informativi obbligatori;
• assenza di dolo;
• presenza di un solo reclamo;
• riformulazione successiva dell'informativa;
• assenza di precedenti violazioni pertinenti;
• piena cooperazione del titolare con l'Autorità;
• iniziativa dell'Autorità a seguito del reclamo dell'interessato.

All'esito, è stata irrogata una sanzione pecuniaria di euro 2.000,00, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell'art. 83, par. 1, GDPR.

Misure accessorie, pagamento e tutela giurisdizionale

Oltre alla sanzione, il provvedimento dispone:

• la pubblicazione dell'ordinanza-ingiunzione sul sito internet del Garante ai sensi dell'art. 166, comma 7, del Codice;
• la pubblicazione del provvedimento sul sito dell'Autorità;
• l'annotazione delle violazioni e delle misure adottate nel registro interno previsto dal Regolamento del Garante n. 1/2019.

Il pagamento deve essere eseguito entro 30 giorni dalla notificazione. È richiamata la facoltà di definire la controversia mediante pagamento in misura pari alla metà della sanzione entro il termine previsto per la proposizione del ricorso. Contro il provvedimento è ammessa opposizione all'autorità giudiziaria ordinaria nei termini di legge.