Ordinanza ingiunzione o revoca n. 136 del 13/04/2023

Suditaly Imprese Meridionali Soc. coop. - diffusione illecita di dati sanitari in un articolo giornalistico

Il Garante per la protezione dei dati personali ha esaminato la diffusione, da parte della testata online "Dayitalianews", di un articolo contenente dettagli sulla salute di una persona identificata o identificabile e la riproduzione integrale di un referto di laboratorio. Il procedimento è stato avviato dopo un primo intervento di limitazione provvisoria del trattamento adottato dall’Autorità il 18 gennaio 2023.

Origine del procedimento e provvedimento provvisorio

L’Autorità ha rilevato che l’articolo divulgava dati sanitari estremamente dettagliati e un documento clinico completo, disponibile online e corredato di immagine. Già in sede cautelare il Garante aveva imposto, ai sensi dell’art. 58, par. 2, lett. f), la limitazione provvisoria della ulteriore diffusione dei dati sanitari contenuti nell’articolo e di ogni analoga informazione presente sul medesimo sito.

La società destinataria del provvedimento ha poi comunicato di aver rimosso l’articolo e l’immagine di apertura, dichiarando di essersi conformata alla richiesta dell’Autorità.

Quadro normativo richiamato

Nel motivare il successivo provvedimento, il Garante ha richiamato:

• l’art. 9 GDPR, relativo al trattamento delle categorie particolari di dati personali, tra cui i dati sulla salute;
• l’art. 5, par. 1, lett. a) e c), GDPR, che impone liceità, correttezza e minimizzazione;
• l’art. 137 del Codice privacy, che consente il trattamento dei dati per finalità giornalistiche nel rispetto delle Regole deontologiche e del limite dell’"essenzialità dell’informazione";
• l’art. 2-quater del Codice, che attribuisce alle Regole deontologiche rilevanza quale condizione essenziale di liceità e correttezza;
• gli artt. 5, comma 1, 6, comma 1, e 10 delle Regole deontologiche dei giornalisti, con specifico riferimento al trattamento dei dati idonei a rivelare lo stato di salute.

Valutazione sulla liceità del trattamento

L’Autorità ha ritenuto che la diffusione dei dati sanitari fosse in contrasto con il quadro normativo indicato e, quindi, illecita. In particolare, ha sottolineato che, pur potendo sussistere un interesse pubblico alla notizia, la pubblicazione non rispettava il canone dell’essenzialità dell’informazione e non garantiva adeguatamente la dignità e la riservatezza dell’interessato.

Il Garante ha evidenziato che le Regole deontologiche impongono al giornalista di astenersi dalla pubblicazione di dati analitici di interesse strettamente clinico e che la pubblicazione è ammessa solo entro i limiti dell’essenzialità e sempre nel rispetto della dignità della persona.

Rilievo della pubblicazione del referto

Un passaggio centrale della decisione riguarda la copia integrale del referto di laboratorio. Secondo il Garante, la sua pubblicazione ha ampliato notevolmente la portata mediatica della notizia, presentando le condizioni di salute dell’interessato nella loro completezza e in una forma di particolare incisività, perché associata all’ufficialità medica del documento.

L’Autorità ha inoltre respinto l’argomento del titolare secondo cui la notizia sarebbe già circolata su altri media, osservando che ciò non elimina la specifica lesività della diffusione del documento sanitario.

Difese della società e valutazione finale

La società ha sostenuto di aver agito nel legittimo esercizio del diritto di cronaca, richiamando la ripresa della notizia da parte di agenzie e quotidiani nazionali, il suo orientamento editoriale antimafia e l’interesse delle indagini e dei lettori. Ha anche evidenziato la propria dimensione economica ridotta.

Il Garante ha preso atto della tempestiva rimozione dell’articolo, ma ha ritenuto che non fossero emersi elementi nuovi tali da mutare le valutazioni già espresse nel provvedimento cautelare. Ha quindi confermato che il trattamento era da considerarsi illecito.

Misure adottate, divieto e sanzione

In esito al procedimento, l’Autorità ha disposto:

• il divieto del trattamento dei dati sanitari indicati nell’articolo, inclusi quelli contenuti nel referto di laboratorio;
• il divieto di trattare ogni altra informazione analoga eventualmente presente in altri articoli del medesimo sito;
• la mera conservazione dei dati solo ai fini di un eventuale utilizzo in sede giudiziaria.

Sul piano sanzionatorio, il Garante ha emesso ordinanza-ingiunzione ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, applicando una sanzione amministrativa pecuniaria di euro 2.500,00.

Criteri di quantificazione della sanzione

Per determinare l’importo, l’Autorità ha considerato i parametri dell’art. 83, par. 2, GDPR. Tra le circostanze aggravanti sono state valorizzate:

• la lesività della condotta per dignità e riservatezza dell’interessato;
• la particolare natura dei dati trattati.

Tra le circostanze attenuanti sono state considerate:

• le finalità riconducibili al diritto di cronaca e all’interesse pubblico della notizia;
• la tempestiva rimozione dell’articolo dopo l’intervento dell’Autorità;
• le condizioni economiche, organizzative e professionali del contravventore.

Il Garante ha richiamato anche i principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR.

Pubblicazione del provvedimento e mezzi di impugnazione

È stata disposta la pubblicazione integrale del provvedimento sul sito web del Garante come sanzione accessoria, nonché l’annotazione nel registro interno dell’Autorità ai sensi dell’art. 57, par. 1, lett. u), del GDPR e del regolamento interno richiamato.

Contro il provvedimento è prevista opposizione davanti all’autorità giudiziaria ordinaria, da proporre nei termini di legge ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.