Ordinanza ingiunzione o revoca n. 226 del 01/06/2023

THIN Srl: trattamento illecito di dati sanitari nel progetto THIN

Il Garante per la protezione dei dati personali ha esaminato il progetto THIN, promosso da THIN Srl in collaborazione con il gestionale medico Medico 2000, volto alla raccolta di dati clinici dei pazienti dei medici di medicina generale per finalità di ricerca e miglioramento delle cure. Il procedimento è stato avviato a seguito di segnalazione e di una articolata istruttoria, comprensiva di richieste di informazioni, memorie difensive e audizione della società.

Contesto fattuale e funzionamento del progetto

Secondo la ricostruzione contenuta nel provvedimento, il progetto prevedeva l’installazione di un add-on sul software Medico 2000, capace di estrarre i dati dei pazienti, applicare tecniche di anonimizzazione e trasmetterli alla società THIN. In cambio della partecipazione, ai medici venivano prospettati benefici economici e servizi aggiuntivi, tra cui un sistema esperto avanzato e report scientifici. La società ha sostenuto che i dati trasferiti fossero anonimi e che il medico fosse l’unico titolare della fase di raccolta e anonimizzazione.

Ruoli privacy e qualificazione del trattamento

Il Garante ha ricostruito in senso sostanziale i ruoli coinvolti, ritenendo che THIN determinasse finalità e mezzi del trattamento relativi all’operazione di anonimizzazione e alla successiva raccolta dei dati per il progetto. Di conseguenza, THIN è stata qualificata come autonomo titolare del trattamento per le attività contestate. I medici di medicina generale restano titolari dei trattamenti di cura dei propri assistiti, ma non possono essere considerati titolari dell’operazione di presunta anonimizzazione predisposta per il progetto THIN.

Anonimizzazione, pseudonimizzazione e criticità tecniche

L’Autorità ha dato rilievo al fatto che le tecniche impiegate non garantivano la reale anonimizzazione dei dati. La sostituzione dell’ID paziente con un codice GUID/hash, l’uso di generalizzazioni e l’intervento di una terza parte non eliminavano la possibilità di re-identificazione né la singolarità del record. Per il Garante, si trattava quindi di pseudonimizzazione, cioè di trattamento di dati personali ancora soggetto al GDPR, e non di anonimizzazione in senso proprio.

Violazioni accertate e base giuridica

Sulla base di tale ricostruzione, il Garante ha ritenuto che THIN avesse trattato dati personali, inclusi dati sulla salute, senza una valida base giuridica e in violazione del principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a) GDPR, nonché dell’art. 9 GDPR. È stata inoltre accertata la violazione dell’art. 13 GDPR, poiché agli interessati non era stata fornita un’informativa adeguata e preventiva, essendo il progetto presentato come basato su dati anonimi.

Valutazioni del Garante sul modello contrattuale e sull’opt-out

Il provvedimento sottolinea che i dati personali dei pazienti venivano, di fatto, offerti come contropartita del progetto, mediante una struttura sinallagmatica che prevedeva benefici per i medici e l’estrazione dei dati. Il Garante ha ritenuto non valido il meccanismo di opt-out proposto ai pazienti come forma di manifestazione del consenso, evidenziando che per i dati sulla salute il consenso, quando richiesto, deve essere esplicito, libero, specifico e inequivocabile, non potendo essere sostituito da un semplice diniego alla partecipazione.

Misure correttive e avvertimento ai medici

L’Autorità ha ingiunto a THIN di conformare i trattamenti alle indicazioni contenute nel provvedimento, richiamando i profili di titolarità, di base giuridica, di anonimizzazione e di informativa. Ha inoltre rivolto un avvertimento ai medici di medicina generale che utilizzano Medico 2000, segnalando che l’adesione al progetto THIN, nelle modalità descritte e in assenza di adeguati accorgimenti, può esporli a loro volta a violazioni del GDPR.

Sanzione, pubblicazione e trasmissione agli Ordini

Per le violazioni accertate, il Garante ha applicato a THIN Srl una sanzione amministrativa pecuniaria pari a 15.000 euro, ritenuta proporzionata e dissuasiva alla luce dell’art. 83 GDPR. È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante e la trasmissione alla FNOMCeO e agli Ordini provinciali dei medici, al fine di sensibilizzare la categoria sulle criticità del progetto.