Ordinanza ingiunzione o revoca n. 356 del 20/10/2022

Policlinico Casilino di Roma: illecito trattamento per richiesta del green pass agli accessi ambulatoriali

Il Garante per la protezione dei dati personali ha esaminato la condotta del Policlinico Casilino di Roma, relativa alla richiesta della certificazione verde per l’accesso alle prestazioni ambulatoriali e alla presenza di tale indicazione sul sito della struttura. Il procedimento è stato avviato a seguito di segnalazione e si è concluso con un’ordinanza ingiunzione per trattamento illecito di dati personali.

Origine del procedimento e attività istruttoria

L’istruttoria è partita da una segnalazione in cui si lamentava che l’accesso agli ambulatori fosse subordinato al possesso del green pass. L’Ufficio ha verificato che l’indicazione risultava anche pubblicata sul sito del Policlinico e ha chiesto informazioni al titolare del trattamento.

Il Policlinico ha rappresentato che:

• effettuava la rilevazione della temperatura corporea;
• richiedeva l’esibizione volontaria della certificazione verde, sostenendo che ciò servisse a tutelare la salute pubblica e a contenere la diffusione del Covid-19;
• garantiva comunque la prestazione sanitaria anche in assenza di green pass, eventualmente con un successivo appuntamento;
• riteneva la misura giustificata dall’art. 2-bis del d.l. n. 52/2021 e dalla necessità di adottare misure di prevenzione.

Nel corso del procedimento il Policlinico ha ribadito che la richiesta era su base volontaria e che i pazienti privi di certificazione venivano comunque assistiti, anche tramite percorsi dedicati.

Quadro normativo richiamato dal Garante

L’Autorità ha richiamato i principi del GDPR, in particolare:

• art. 5, par. 1, lett. a) e b), sul trattamento lecito, corretto, trasparente e sulla limitazione della finalità;
• art. 9, sul trattamento di dati relativi alla salute;
• art. 83, in tema di sanzioni amministrative pecuniarie.

Sono stati inoltre richiamati l’art. 75 del Codice privacy e la disciplina di settore sulle certificazioni verdi, tra cui il d.l. n. 52/2021, la legge n. 87/2021 e il dPCM 17 giugno 2021, oltre ai successivi interventi normativi sul tema.

Il Garante ha ribadito che il trattamento dei dati connesso all’uso delle certificazioni verdi per motivi di sanità pubblica trova base giuridica nella disciplina di settore e non nel consenso dell’interessato. Ha inoltre ricordato che l’impiego delle certificazioni verdi è consentito solo nei casi previsti dalla legge statale, in coerenza con la riserva di legge in materia di limitazioni dei diritti fondamentali e con la giurisprudenza costituzionale richiamata nel provvedimento.

Valutazioni sull’illiceità della richiesta di green pass

L’Autorità ha ritenuto che, nel caso concreto, la normativa vigente non prevedesse la richiesta della certificazione verde come condizione per accedere alle prestazioni ambulatoriali del Policlinico.

Il provvedimento sottolinea che:

• per esigenze di prevenzione, diagnosi e cura, l’accesso alle strutture sanitarie non era subordinato all’esibizione del green pass;
• la disciplina di settore consentiva, in alcuni casi specifici, l’uso della certificazione verde per accompagnatori o visitatori, ma non per i pazienti diretti alle prestazioni ambulatoriali;
• dal 1° aprile 2022, con la fine dello stato di emergenza, l’accesso degli utenti alle strutture sanitarie per finalità di cura era consentito senza certificazione verde;
• la misura adottata dal Policlinico, comprensiva di percorsi separati per chi non esibiva il green pass, rischiava di risultare non proporzionata e discriminatoria.

Il Garante ha quindi dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a) e b), e 9 del GDPR, dell’art. 75 del Codice privacy e della disciplina di settore applicabile.

Esito del procedimento e sanzione

Pur prendendo atto che il Policlinico aveva dichiarato di avere modificato le procedure e che la condotta era cessata, il Garante ha ritenuto non necessari provvedimenti correttivi ex art. 58, par. 2, GDPR.

Ha invece applicato una sanzione amministrativa pecuniaria di euro 15.000 ai sensi dell’art. 83, par. 5, GDPR e dell’art. 166 del Codice privacy.

Ai fini della quantificazione, l’Autorità ha considerato:

• la provenienza della conoscenza dell’illecito da una segnalazione;
• la durata del trattamento, protrattosi fino a giugno 2022;
• l’elevato numero potenziale di interessati coinvolti, stimato in 150.000/200.000 accessi ambulatoriali annui;
• i precedenti interventi del Garante sul tema;
• la cooperazione del Policlinico;
• la dichiarata buona fede del titolare;
• un precedente provvedimento sanzionatorio nei confronti della struttura per violazioni diverse ma attinenti agli artt. 5 e 9 GDPR.

Misure accessorie, pubblicazione e ricorsi

Il Garante ha disposto:

• la pubblicazione integrale del provvedimento sul sito istituzionale;
• l’annotazione nel registro interno dell’Autorità;
• la possibilità di definizione agevolata della controversia mediante pagamento in misura ridotta entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice privacy.

È stato infine richiamato il diritto di proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.