Sanzionata struttura sanitaria per diffusione di dati sanitari

Comunicate mezzo stampa informazioni di dettaglio sullo stato di salute dell’interessato deceduto per COVID-19

Francesca Gardini, Ufficio giuridico della Sede nazionale

Il Garante per la protezione dei dati personali, sulla base del reclamo presentato dall’erede di un soggetto deceduto a causa del COVID-19, con provvedimento del 27 gennaio 2021, ha sanzionato una struttura sanitaria resasi colpevole di aver diffuso, tramite la diramazione di un comunicato stampa, poi ripreso da alcune testate giornalistiche telematiche locali, numerose informazioni di dettaglio sullo stato di salute dell’interessato deceduto per COVID-19.

Il reclamante, figlio del soggetto deceduto, durante il ricovero del padre, pur avendo reso nota la storia dei vari accessi di quest’ultimo presso la struttura sanitaria, precisa l’Autorità, differentemente da quanto sostenuto dalla difesa della struttura sanitaria, ha fatto solo genericamente riferimento allo stato di salute dell’interessato, senza mai riportare i dettagli anamnestici, clinici e terapeutici, indicati, invece, nel comunicato stampa diramato dalla struttura sanitaria. E, d’altra parte, chiarisce il Garante, la finalità di assicurare la popolazione in merito alle cure offerte dalla predetta struttura ai pazienti COVID-19, posta a fondamento della difesa della struttura stessa, poteva essere utilmente raggiunta anche senza la diffusione di informazioni cliniche di dettaglio che risultano lesive della dignità dell’interessato.

Sulla base delle predette risultanze istruttorie l’Autorità ha qualificato la diramazione del comunicato stampa, così formulato, come una diffusione di dati sulla salute di un soggetto espressamente vietata dall’art. 2-septies, comma 8, del codice privacy, ritenendo, altresì, che la struttura abbia posto in essere un trattamento di dati personali in violazione dei principi di base del trattamento di cui agli artt. 5, par. 1, lett. a) e 9 del Regolamento. I dati personali, infatti, si legge nel provvedimento dell’Autorità devono essere «trattati in modo lecito, corretto e trasparente nei confronti dell’interessato» e devono essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (art. 5, par. 1, lett. a) e c) del Regolamento). Le informazioni sullo stato di salute, inoltre, in base alla normativa vigente, possono essere comunicate solo all’interessato e, eventualmente, a terzi solo sulla base di un idoneo presupposto giuridico o su indicazione dell’interessato stesso previa delega scritta di quest’ultimo.

Il Garante, del resto, è già intervenuto in merito alla diffusione dei dati idonei a rilevare lo stato di salute degli interessati, anche in una situazione di emergenza quale quella attuale, precisando che, nonostante le caratteristiche di servizio indispensabile per la collettività che riveste l’informazione in tale situazione, «non possono essere disattese alcune garanzie a tutela della riservatezza e della dignità delle persone colpite dalla malattia contenute nella normativa vigente e nelle regole deontologiche relative all’attività giornalistica». Né vale ad escludere la responsabilità del titolare, in tale fattispecie, la circostanza che il trattamento in esame concerna una persona deceduta.

Il riconoscimento della possibilità di esercitare i diritti in materia di protezione dei dati personali da parte di chi agisce a tutela dell’interessato (deceduto) o per ragioni familiari meritevoli di tutela, prevista espressamente dall’art. 2-terdecies, comma 1, del codice privacy, comporta, come sottolinea il Garante, che ai dati personali concernenti le persone decedute continuino ad applicarsi le tutele previste dalla disciplina in materia di dati personali a quali, comunque, va garantito un alto grado di riservatezza laddove siano inerenti la salute di un individuo. A tale ultimo proposito il Garante, tra l’altro, richiama il codice di deontologia medica ove si legge che la «la morte della persona assistita non esime il medico dall’obbligo del segreto professionale».

Alla luce di quanto sopra esposto il Garante ha determinato l’ammontare della sanzione amministrativa irrogata alla struttura sanitaria, attesa, altresì, la situazione emergenziale attuale che ha investito in particolar modo l’attività sanitaria e amministrativa delle strutture sanitarie, in euro 70.000,00; somma ritenuta, ai sensi dell’art. 83, par. 1 del Regolamento effettiva, proporzionata e sufficientemente dissuasiva.