Ordinanza ingiunzione o revoca n. 425 del 28/09/2023

Comunicazione illecita di un referto sanitario a un terzo e sanzione al medico

Il Garante ha esaminato il reclamo di un interessato che contestava l’invio, da parte del medico, del referto di un esame polisonnografico a una società terza fornitrice di dispositivi medici. La vicenda riguarda un trattamento di dati relativi alla salute e si conclude con la dichiarazione di illiceità del trattamento e con l’irrogazione di una sanzione amministrativa pecuniaria.

Origine del procedimento e oggetto del trattamento

Il reclamante aveva rappresentato che, dopo una visita pneumologica e un esame polisonnografico, il medico gli aveva inviato il referto via e-mail, allegandolo in un documento di quattro pagine, ma aveva anche inoltrato la stessa mail in copia conoscenza alla società Linde Care Point, senza un consenso espresso, specifico e valido.

L’Ufficio ha acquisito informazioni dal medico e dalla società Aesthetic Medical Care s.r.l., presso cui la prestazione era stata eseguita, per chiarire il rapporto tra le parti e il presupposto giuridico della comunicazione dei dati sanitari al terzo fornitore.

Posizioni difensive del medico e della struttura

Il medico ha sostenuto di avere agito per finalità di cura, in una situazione di urgenza clinica, per consentire al paziente di ottenere rapidamente il ventilatore meccanico/CPAP necessario. Ha affermato che la comunicazione alla ditta Linde era funzionale ad accelerare la titolazione e l’accesso alla terapia, e che il paziente avrebbe comunque autorizzato la trasmissione dei dati.

La società Aesthetic Medical Care s.r.l. ha invece chiarito di avere designato il medico quale responsabile del trattamento, precisando che la specifica operazione di invio del referto alla società Linde era stata compiuta autonomamente dal medico, senza comunicazione preventiva né successiva al titolare, in difformità rispetto alla nomina.

Qualificazione soggettiva del medico

Il Garante ha ritenuto che, per la concreta operazione di comunicazione a terzi, il medico avesse agito come titolare autonomo del trattamento ai sensi dell’art. 4, par. 1, n. 7 GDPR, poiché aveva determinato da sé finalità e mezzi dell’operazione.

È stato richiamato anche l’art. 29 GDPR, per ribadire che il responsabile del trattamento o chi agisce sotto l’autorità del titolare non può trattare dati se non istruito in tal senso. In assenza di specifiche istruzioni della clinica, l’iniziativa del medico non poteva essere ricondotta alla posizione di responsabile.

Natura dei dati e requisiti di liceità

Il provvedimento qualifica le informazioni trasmesse come dati relativi alla salute ai sensi dell’art. 4, par. 1, nn. 1 e 15 GDPR, meritevoli di protezione rafforzata in ragione dei rischi connessi al loro trattamento.

Il Garante ha ricordato che tali dati possono essere comunicati a terzi soltanto in presenza di un idoneo presupposto giuridico o su indicazione dell’interessato, e che il trattamento in ambito sanitario può essere esentato dal consenso solo quando sia strettamente necessario per finalità di cura, ai sensi dell’art. 9, par. 2, lett. h) e par. 3 GDPR, come precisato dal provvedimento del Garante n. 55 del 7 marzo 2019.

Esclusione della finalità di cura come base legittimante

Secondo il Garante, l’invio del referto alla società fornitrice non era "essenziale" per la cura del paziente. Il paziente aveva già ricevuto l’indicazione della società cui rivolgersi e avrebbe potuto attivarsi autonomamente; infatti dallo scambio di e-mail emergeva che era stato informato della necessità di acquistare il dispositivo e aveva manifestato l’intenzione di provvedere quanto prima.

L’anticipazione dei dati alla ditta Linde, pur presentata come misura per accelerare la titolazione e la fornitura del macchinario, non è stata considerata indispensabile per il perseguimento della finalità terapeutica.

Inidoneità del presunto consenso

Il Garante ha escluso che la condotta fosse coperta da un valido consenso dell’interessato. Il consenso, per essere valido ai sensi degli artt. 4, n. 11, 7 e 9 GDPR, deve essere libero, specifico, informato, inequivocabile ed esplicito quando riguardi categorie particolari di dati.

La mail del paziente, con cui questi comunicava che avrebbe provveduto ad acquistare il macchinario, non è stata ritenuta una manifestazione esplicita di consenso alla trasmissione dei suoi dati sanitari a un terzo. Inoltre, il modulo di consenso prodotto dal medico era relativo al rapporto con la clinica e non alla specifica comunicazione dei dati alla società fornitrice.

Violazioni accertate

Il Garante ha quindi dichiarato l’illiceità del trattamento per violazione dei principi di:

• liceità, correttezza e trasparenza, ex art. 5, par. 1, lett. a) GDPR;
• minimizzazione dei dati, ex art. 5, par. 1, lett. c) GDPR;
• integrità e riservatezza, ex art. 5, par. 1, lett. f) GDPR;
• disciplina speciale sui dati relativi alla salute, ex art. 9 GDPR.

È stato inoltre osservato che, per la sola attività di titolazione, non sarebbe stato necessario trasmettere l’intero referto, ma soltanto gli elementi strettamente pertinenti alla patologia, in ossequio al principio di minimizzazione.

Valutazioni sanzionatorie e quantificazione

Poiché la violazione integrava un illecito sanzionabile ai sensi dell’art. 83, par. 5, lett. a) GDPR, il Garante ha applicato una sanzione pecuniaria di 5.000 euro.

Nella quantificazione sono stati valorizzati i criteri di cui all’art. 83, par. 2 GDPR:

• numero limitato di interessati e di destinatari coinvolti;
• comportamento collaborativo del medico nel corso dell’istruttoria;
• assenza di ulteriori reclami o segnalazioni;
• assenza di precedenti provvedimenti sanzionatori pertinenti nei confronti del medesimo medico.

Esito finale e pubblicazione

Il Garante ha ordinato il pagamento della sanzione entro 30 giorni dalla notifica, con facoltà di definizione agevolata mediante pagamento della metà dell’importo nei termini di legge, e ha disposto la pubblicazione integrale del provvedimento sul sito istituzionale ai sensi dell’art. 166, comma 7, del Codice.

Non sono state adottate misure correttive ulteriori, poiché la condotta contestata aveva già esaurito i propri effetti.