L’utilizzo a scopo di propaganda elettorale di dati personali raccolti in ambito sanitario costituisce trattamento di dati illecito

di Stefano Corso -

Con provvedimento del 14 febbraio 2019 il Garante per la protezione dei dati personali ha irrogato a un medico una sanzione amministrativa pecuniaria pari a sedicimila euro, per aver utilizzato gli indirizzi di circa 3.500 ex pazienti al fine di inviare lettere a sostegno di un candidato alle elezioni politiche regionali del 4 marzo 2018 senza alcun consenso specifico degli interessati.

L’ordinanza ingiunzione è stata emessa una volta accertata la responsabilità del professionista in ordine alle violazioni previste dagli artt. 161 (“Omessa o inidonea informativa all’interessato”), e 162, comma 2-bis (“Altre fattispecie”, nel dettaglio, trattamento illecito di dati), del Codice in materia di protezione dei dati personali (nella versione antecedente alle modifiche apportate dal d. lgs. n. 101 del 2018, alla quale si fa interamente riferimento in questo provvedimento), in relazione agli artt. 13, comma 4, 23 e 26 del medesimo Codice, per aver omesso di rendere l’informativa e di acquisire il consenso in merito all’invio di e-mail di propaganda elettorale.

A seguito di alcuni articoli di stampa in cui si segnalava l’utilizzo, da parte del medico, degli indirizzi di posta elettronica dei propri pazienti allo scopo citato, era avviata un’istruttoria preliminare per verificare l’osservanza delle disposizioni contenute nel “Provvedimento in materia di trattamento di dati personali presso i partiti politici e di esonero dell’informativa per fini di propaganda elettorale”, adottato dal Garante in data 6 marzo 2014 [doc. web n. 3013267], istruttoria che si concludeva con l’accertamento dell’illiceità del trattamento dei dati personali posto in essere dal professionista: cessato il rapporto di lavoro con la struttura presso cui operava, egli aveva acquisito gli indirizzi di posta elettronica dei pazienti che aveva visitato o seguito in quell’Istituto e li aveva usati per l’invio di missive di propaganda elettorale, senza rendere l’informativa e ottenere il consenso degli interessati.

«Per quanto concerne la violazione di cui all’art. 161 del Codice – scrive l’Autorità – si osserva che, in base all’art. 13, comma 4, del Codice, quando i dati non sono raccolti presso l’interessato, l’informativa deve essere resa al momento della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione. Nel caso di specie, risulta accertato che la parte ha acquisito dall’[Istituto] la mailing list contenente i nominativi e gli indirizzi e-mail dei propri pazienti, al momento della cessazione del proprio rapporto di lavoro; tuttavia, non risulta provato né documentato in atti che sia stata resa l’informativa agli interessati, al momento dell’acquisizione da parte del [dottore] dei suddetti dati, così come previsto dall’art. 13, comma 4, del Codice. Per quanto riguarda, invece, la violazione di cui all’art. 162, comma 2-bis, del Codice, si rappresenta che la condotta illecita contestata alla parte si riferisce all’utilizzo dei dati personali per finalità differenti da quelli di cura (che avevano giustificato l’originario trattamento), senza che gli interessati avessero espresso il proprio specifico e autonomo consenso. Infatti, la missiva oggetto dell’istruttoria, non si limitava a rendere noto ai pazienti gli spostamenti del professionista, ma indicava chiaramente il sostegno a un candidato nell’ambito delle consultazioni elettorali che si sarebbero svolte di lì a poco in Lombardia. Aspetto senz’altro censurabile sotto il profilo della protezione dei dati personali, posto che si tratta di una finalità perseguita dal [dottore] senza che gli interessati avessero espresso alcuna manifestazione di consenso al riguardo».

Il menzionato provvedimento del 6 marzo 2014, al punto 5.4.2, nel paragrafo sui dati non utilizzabili, precisa infatti che “i dati personali raccolti nell’ambito dell’attività di tutela della salute da parte di esercenti la professione sanitaria e di organismi sanitari, non sono utilizzabili per fini di propaganda elettorale e connessa comunicazione politica. Tale finalità non è infatti riconducibile agli scopi legittimi per i quali i dati sono stati raccolti”.

Nonostante la sanzione sia stata irrogata in virtù di quanto contemplato dal vecchio Codice – aggiunge la newsletter del Garante del 29 aprile 2019 [doc. web n. 9106415] – «i principi che la ispirano restano validi anche in base al nuovo Regolamento Ue, come di recente precisato nel provvedimento dell’Autorità del 7 marzo 2019» (v. a tal proposito il commento di Busca, presente nel sito di questa Rivista, al seguente link: http://www.rivistaresponsabilitamedica.it/chiarimenti-sullapplicazione-della-disciplina-protezione-dei-dati-ambito-sanitario/).

Il testo del provvedimento esaminato [doc. web n. 9106367] è reperibile nel sito del Garante per la protezione dei dati personali (in https://www.garanteprivacy.it/).