Generalità cancellate con pennarello e rispetto privacy

Scarica PDF Stampa Allegati

Cancellare le generalità dell’interessato con un pennarello nero non è sufficiente per rispettare la privacy.
Volume consigliato: I ricorsi al Garante della privacy

Garante privacy -provvedimento n. 74 del 02-03-2023

GarantePrivacy-9870171-1.1.pdf 48 KB

Iscriviti alla newsletter per poter scaricare gli allegati

Grazie per esserti iscritto alla newsletter. Ora puoi scaricare il tuo contenuto.

Indice

1. I fatti


Il Garante per la protezione dei dati personali aveva ricevuto una segnalazione da parte di una persona, la quale riferiva che nel sito web di una ASL vi era una pagina denominata “parlano bene di noi”, in cui erano contenuti gli elogi che l’azienda aveva ricevuto dai propri utenti con i dati personali degli interessati visibili a chiunque.
L’Ufficio, quindi, effettuava dei controlli ed accertava che all’interno di detta pagine erano presenti diverse centinaia di documenti, consistenti in scansioni delle email, moduli e lettere di elogi che gli utenti della struttura sanitaria avevano inviato a quest’ultima dal 2016 al 2022, e che in quasi tutti detti documenti era possibile indentificare l’autore, poiché i dati anagrafici erano stati cancellati in modo approssimativo attraverso un tratto con un pennarello nero. Inoltre, detti documenti contenevano, nella stragrande maggioranza dei casi, anche molte informazioni relative allo stato di salute degli utenti che avevano presentato il documento di elogio, come i dettagli clinici degli interventi o delle prestazioni ricevute, la diagnosi e l’anamnesi).
In considerazione di quanto accertato, l’Ufficio avviava il procedimento sanzionatorio nei confronti della struttura sanitaria, invitandola a fornire le proprie memorie difensive.
L’ASL sosteneva, in particolare, che erano stati pubblicati sul sito internet n. 488 elogi e che in 394 di questi i dati degli assistiti erano stati oscurati tramite un tratto con il pennarello o tramite il bianchetto. Pertanto, detti elogi, in gran parte erano difficilmente riconducibili all’interessato o comunque era ragionevolmente improbabile che questi potesse essere re-identificato.
L’azienda sanitaria, inoltre, aggiungeva di non aver ricevuto alcuna istanza di esercizio dei diritti da parte degli interessati, né alcuna segnalazione o reclamo per aver pubblicato detti documenti nel proprio sito internet.
Infine, l’ASL precisava di aver provveduto a rimuovere i documenti dal sito e di aver dato indicazioni a tutto il personale che si occupa della pubblicazione dei documenti nella pagina “parlano di noi” di non oscurare più i dati personali mediante la tecnica della cancellazione attraverso il tratto di pennarello, ma di procedere con l’estrazione dall’elogio delle informazioni pertinenti (omettendo invece i dati identificativi dell’utente e in generale ogni altro dato ulteriore rispetto all’elogio).


Potrebbero interessarti anche:

2. Le valutazioni del Garante


Preliminarmente, il Garante ha ricordato che:

  • in primo luogo, i dati relativi alla salute sono tutti i dati personali che riguardano la salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute. Pertanto, in questa categoria, sono comprese anche le informazioni sulla persona che sono state raccolte nel corso della sua registrazione al fine di ricevere servizi di assistenza sanitaria;
  • in secondo luogo, i dati personali devono essere trattati in modo lecito, corretto e trasparente nei confronti dell’interessato nonché adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per cui sono trattati;
  • infine, il titolare deve trattare i dati in modo da garantire un’adeguata sicurezza e protezione da trattamenti illeciti e dalla loro perdita accidentale, attraverso misure tecniche e organizzative che siano adeguate, da mettere in atto fin dal momento della progettazione del trattamento.

Ciò premesso, il Garante ha evidenziato che la normativa in materia di trattamento dei dati personali prevede che i dati relativi alla salute non possono essere diffusi e possono essere comunicati a soggetti diversi dall’interessato solo se sussiste un idoneo presupposto giuridico o un’indicazione dell’interessato.
Per quanto concerne tale tipologia di dati, inoltre, il Garante, già da tempo, ha sostenuto che sussiste un generale divieto di pubblicazione delle informazioni da cui si possa ricavare lo stato di malattia o comunque l’esistenza di patologie degli interessati e che quando vengono redatti atti e documenti che saranno oggetto di pubblicazione, non devono essere inseriti dati personali che eccedono o che non sono pertinenti o che non sono indispensabili rispetto alla finalità per cui si compie il trattamento.
Nel caso di specie, la pubblicazione dei documenti di elogio sulla pagina web dell’ASL determina una diffusione di dati personali, anche relativi allo stato di salute degli interessati. Infatti, detti documenti contengono i dati anagrafici degli utenti del servizio sanitario e altre informazioni idonee a rivelare lo stato di salute dei medesimi, i quali sono stati cancellati con un tratto di pennarello nero che tuttavia non impedisce di leggere le parti oscurate.
Secondo il Garante, la procedura di cancellazione manuale con pennarello o con bianchetto non può essere definita idonea a rendere anonime le informazioni personali degli interessati che hanno presentato un elogio; ciò, in quanto tale procedura è per sua natura imprecisa e non definitiva e nel caso di specie consentiva di fatto la visibilità dei nomi, cognomi e dati di contatto dei pazienti.
Inoltre, l’uso del pennarello nero o del bianchetto non può neppure definirsi una procedura di “pseudonimizzazione” ai sensi del GPDR, in quanto, anche laddove eseguita in modo efficace, è piuttosto una semplice procedura manuale di oscuramento delle generalità degli interessati.
Infine – indipendentemente dalla inadeguatezza della misura tecnica scelta dalla ASL per proteggere i dati – i dati relativi alla salute pubblicati sul sito web istituzionale violano il principio di minimizzazione, in quanto non sono pertinenti rispetto alla finalità del trattamento, che era quella di comunicare con gli utenti e di fornire loro informazioni sul servizio sanitario volte a migliorare i rapporti azienda-utenti.

3. Il Parere del Garante


In considerazione di quanto sopra, il Garante ha ritenuto che il trattamento posto in essere dalla azienda sanitaria locale viola la normativa privacy e i relativi principi di protezione dei dati e di minimizzazione del trattamento.
Conseguentemente, il Garante ha ritenuto di comminare una sanzione amministrativa a carico della struttura sanitaria, che, tenendo conto che l’autorità ha avuto notizia della violazione a seguito di una segnalazione e che il trattamento riguarda la diffusione di dati relativi alla salute di un numero molto elevato di interessati nonché del fatto che la stessa autorità era già intervenuta molte altre volte su questo tema con numerosi provvedimenti e che la ASL è prontamente intervenuta per porre rimedio alla violazione compiuta, ha deciso di quantificare in €.50.000 (cinquantamila).

Volume consigliato

FORMATO CARTACEO

I ricorsi al Garante della privacy

Giunto alla seconda edizione, il volume affronta la disciplina relativa alla tutela dei diritti del titolare dei dati personali, alla luce delle recenti pronunce del Garante della privacy, nonché delle esigenze che nel tempo sono maturate e continuano a maturare, specialmente in ragione dell’utilizzo sempre maggiore della rete. L’opera si completa con una parte di formulario, disponibile online, contenente gli schemi degli atti da redigere per approntare la tutela dei diritti dinanzi all’Autorità competente. Un approfondimento è dedicato alle sanzioni del Garante, che stanno trovando in queste settimane le prime applicazioni, a seguito dell’entrata in vigore della nuova normativa. Michele Iaselli Avvocato, funzionario del Ministero della Difesa, docente a contratto di informatica giuridica all’Università di Cassino e collaboratore della cattedra di informatica giuridica alla LUISS ed alla Federico II, nonché Presidente dell’Associazione Nazionale per la Difesa della Privacy (ANDIP). Relatore in numerosi convegni, ha pubblicato diverse monografie e contribuito ad opere collettanee in materia di privacy, informatica giuridica e diritto dell’informatica con le principali case editrici.

Michele Iaselli | Maggioli Editore 2022

Avv. Muia’ Pier Paolo

Scrivi un commento

Accedi per poter inserire un commento