Ordinanza ingiunzione o revoca n. 81 del 13/02/2025

Ordinanza-ingiunzione al dott. Claudio Battaglia per invio di propaganda elettorale a pazienti oncologiche

Il Garante per la protezione dei dati personali ha accertato l'illiceità del trattamento posto in essere da un medico oncologo che, in occasione delle elezioni comunali di Sanremo, ha inviato lettere di propaganda a circa 50 pazienti, facendo leva sul rapporto di cura e sulla malattia sofferta. Il provvedimento conclude con l'irrogazione di una sanzione amministrativa pecuniaria e con misure accessorie di pubblicazione e trasmissione all'Ordine professionale.

Origine del procedimento e attività istruttoria

L'Autorità è intervenuta a seguito di una segnalazione e di notizie di stampa. Dagli atti è emerso che il dott. Claudio Battaglia, chirurgo oncologo iscritto all'Ordine dei Medici Chirurghi e degli Odontoiatri di Imperia, avrebbe spedito ad alcune pazienti affette da una specifica patologia oncologica una lettera elettorale nella quale richiamava il percorso diagnostico e terapeutico effettuato e invitava a concedergli fiducia anche per la candidatura alle elezioni comunali di Sanremo.

L'Ufficio ha chiesto chiarimenti con nota del 23 maggio 2024. Il medico ha risposto il 5 giugno 2024 dichiarando, tra l'altro, che erano state inviate meno di 100 lettere, che gli indirizzi erano stati ricavati da elenchi pubblici e che aveva ottenuto dal Comune di Sanremo l'elenco degli iscritti alle liste elettorali. Successivamente, l'interessato ha chiesto accesso ai documenti amministrativi, istanza accolta con provvedimento del 5 agosto 2024.

Contestazione delle violazioni e difese

Con nota del 15 luglio 2024 l'Ufficio ha notificato la violazione ai sensi dell'art. 166, comma 5, del Codice privacy, contestando il mancato rispetto dei principi di liceità, correttezza e trasparenza e di limitazione della finalità di cui all'art. 5, par. 1, lett. a) e b) GDPR, oltre all'assenza di un presupposto idoneo ex art. 9 GDPR per il trattamento di dati relativi alla salute.

Nelle memorie del 12 agosto 2024 il medico ha sostenuto di aver agito in buona fede, di aver contattato solo alcune pazienti con cui si era instaurato un rapporto più stretto e personale, di aver usato la propria rubrica per i nominativi e le liste elettorali comunali per gli indirizzi. Ha inoltre affermato di aver interrotto l'invio dopo le prime contestazioni e di aver chiesto scusa pubblicamente.

Qualificazione dei dati trattati come dati relativi alla salute

Il Garante ha ribadito che i dati relativi alla salute comprendono tutte le informazioni idonee a rivelare lo stato di salute di una persona, inclusa l'esigenza di un trattamento sanitario o l'esistenza di una malattia, anche senza specificarne la diagnosi. Sono stati richiamati l'art. 4 GDPR, il considerando 35, la giurisprudenza della Corte di cassazione e un orientamento della CGUE citato nel provvedimento.

Nel caso concreto, l'Autorità ha ritenuto che il trattamento avesse ad oggetto dati sulla salute perché le destinatarie erano pazienti oncologiche e il contenuto della missiva richiamava espressamente la malattia e il percorso di cura, facendo leva sul rapporto fiduciario instaurato in ambito sanitario.

Illiceità del trattamento e irrilevanza della provenienza pubblica degli indirizzi

Il Garante ha escluso che l'uso di indirizzi tratti da pubblici elenchi o liste elettorali possa sanare il trattamento dei dati sulla salute. L'art. 9, par. 1 GDPR vieta infatti in via generale il trattamento di categorie particolari di dati, salvo le eccezioni del par. 2, tra le quali non rientra l'acquisizione da elenchi pubblici.

È stato inoltre osservato che i dati sanitari raccolti nell'ambito dell'attività di cura non possono essere utilizzati per propaganda elettorale o comunicazione politica, poiché tale finalità è incompatibile con gli scopi originari del trattamento. Il rapporto più stretto e personale tra medico e paziente non giustificava, secondo l'Autorità, l'uso dei dati a insaputa delle interessate; il medico avrebbe potuto parlare della candidatura solo nelle normali occasioni di contatto.

Rilievi deontologici

Il provvedimento richiama anche il Codice di deontologia medica, evidenziando che il medico non deve abusare del proprio status professionale né trovarsi in conflitto di interessi, specialmente quando il comportamento professionale possa essere subordinato a vantaggi economici o di altra natura. L'uso del rapporto di cura per ottenere un possibile vantaggio elettorale è stato quindi valutato come elemento aggravante sul piano della liceità del trattamento.

Conclusioni del Garante

L'Autorità ha ritenuto che le difese svolte non fossero idonee a superare i rilievi contestati e ha dichiarato illecito il trattamento per violazione dei principi di cui all'art. 5, par. 1, lett. a) e b) GDPR e dell'art. 9 GDPR. Ha inoltre richiamato la disciplina interna del Garante e i presupposti per l'adozione dei provvedimenti correttivi e sanzionatori.

Sanzione amministrativa e criteri di quantificazione

Ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell'art. 166 del Codice, il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 10.000,00.

Nella quantificazione sono stati considerati:

• la particolare sensibilità dei dati trattati, trattandosi di dati sulla salute;
• il numero degli interessati coinvolti, pari a circa 50 pazienti;
• il vantaggio personale perseguito dal medico in vista delle elezioni comunali di Sanremo 2024;
• la modalità di conoscenza della violazione, avvenuta tramite segnalazione e stampa;
• l'assenza di precedenti provvedimenti sanzionatori o prescrittivi e la collaborazione nel corso dell'istruttoria;
• la circostanza che il trasgressore esercita la professione di medico oncologo nel medesimo territorio interessato dalla consultazione elettorale.

Il Garante ha richiamato il principio di effettività, proporzionalità e dissuasività della sanzione e l'art. 83, par. 3 GDPR per il cumulo delle violazioni relative allo stesso trattamento.

Dispositivo e adempimenti ulteriori

Il provvedimento dispone:

• il pagamento della sanzione di euro 10.000,00 entro 30 giorni dalla notifica, con possibilità di definizione in misura ridotta ai sensi dell'art. 166, comma 8, del Codice;
• la pubblicazione dell'ordinanza-ingiunzione sul sito Internet del Garante;
• la pubblicazione del provvedimento sul sito dell'Autorità;
• l'annotazione nel registro interno delle violazioni e delle misure adottate;
• la trasmissione del provvedimento all'Ordine dei Medici Chirurghi e degli Odontoiatri di Imperia per le valutazioni di competenza.

È inoltre indicata la possibilità di opposizione davanti all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all'estero.