Privacy: sanzione da 50.000 euro all’ASL di Bari

Dal Registro dei Provvedimenti del Garante per la Tutela dei Dati Personali n. 74 del  2 marzo 2023 (vedi anche la newsletter del Garante del 17 aprile 2023). 

L’ ASL di Bari “apriva” una pagina del proprio sito internet denominata “Parlano bene di noi”  nei quali inseriva i complimenti e gli elogi ricevuti da pazienti, consistenti in copie scansionate dei documenti ricevuti (lettere, e mail etc.) e nella quale totalità dei casi era possibile identificare il paziente in quanto i dati anagrafici erano stati cancellati in modo approssimativo con un pennarello nero – o con il “bianchetto” -che tuttavia non impediva di leggere le parti oscurate. Ovviamente il paziente, nel “complimentarsi” faceva riferimento, ad esempio, all’intervento subito, alle diagnosi ed alle prestazioni ricevute, alle anamnesi. 

Il Garante ha quindi richiesto informazioni all’ASL di Bari che ha comunicato di aver adottato misure correttive, consistenti nel disporre l’immediata rimozione dei documenti contenenti gli elogi pubblicati; disporre al personale il divieto di oscuramento dei dati con il pennarello; definire una procedura interna che prevede l’estrazione dal documento ricevuto, delle sole informazioni pertinenti e non eccedenti, in modo da rispettare il principio di minimizzazione ed omettendo il nominativo, il periodo di ricovero, ogni dato ulteriore che consenta anche indirettamente l’identificazione dell’interessato; l’ ASL ha inoltre riferito di aver programmato un’attività formativa per tutti i responsabili/addetti  al procedimento di pubblicazione degli atti e di aver rafforzato la procedura di controllo interno sulle pubblicazioni di documenti sul proprio sito web. 

Il Garante, tra l’altro, osserva che sin dal 2014 ha rappresentato che “è vietata la pubblicazione di qualsiasi informazione da cui si possa desumere lo stato di malattia o l’esistenza di patologie dei soggetti interessati, compreso qualsiasi riferimento alle condizioni di invalidità, disabilità o handicap fisici e/o psichici. A tale scopo, fin dalla fase di redazione degli atti e dei documenti oggetto di pubblicazione, nel rispetto del principio di adeguata motivazione, non dovrebbero essere inseriti dati personali “eccedenti”, “non pertinenti”, “non indispensabili” (e, tantomeno, “vietati”). In caso contrario, occorre provvedere, comunque, al relativo oscuramento” (cfr. Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati, parte II, par. 1, del 15.5.2014, doc. web n. 3488002)”.

La pubblicazione di documenti contenenti informazioni personali su una pagina del sito dell’Asl di Bari accessibile a chiunque configura una diffusione di dati personali, idonei ad identificare gli autori degli stessi; l’uso del pennarello nero o del bianchetto, invero, non può neppure definirsi una procedura di “pseudonimizzazione” -giusta la definizione di cui all’art. 4, par. 1, n. 4 del Regolamento – in quanto, anche laddove eseguita in modo efficace, essendo piuttosto una semplice procedura manuale di oscuramento delle generalità degli interessati (cfr. al riguardo provvedimenti del 17.9.2020 doc. web n. 9479364 e n. 9479382). 

Per tali motivi il Garante accerta a violazione degli artt. 5, par.1, lett. a), c) e f), 9 e 25, parr. 1 e 2, del Regolamento, dell’art. 2 septies del Codice, causata dalla condotta posta in essere dall’Asl di Bari, è soggetta all’applicazione della sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 4 e 5, del Regolamento e dell’art. 166, comma 2 del Codice.

Valutata la situazione e tenuto conto dei principi di effettività, proporzionalità e dissuasività, indicati nell’art. 83, par. 1, del Regolamento, alla luce degli elementi previsti all’art. 85, par. 2, del Regolamento il Garante determina la sanzione amministrativa in euro 50.000,00 (definibile entro 30 giorni con il pagamento di un mezzo) oltre alla sanzione accessoria prevista dall’art. 166 comma 7 del Codice e dall’art. 16 del Regolamento del Garante n. 1/2019 consistente nella pubblicazione sul sito del Provvedimento del Garante.