L’Autorità ha accertato che il video, postato dal centro medico per scopi divulgativi, riprendeva il volto riconoscibile del paziente per più di 30 secondi, senza che l’interessato avesse rilasciato uno specifico consenso alle riprese e alla relativa diffusione. Inoltre, il filmato era rimasto online accessibile a chiunque per 45 giorni, prima di venire rimosso dal centro medico a seguito della richiesta di cancellazione del paziente.
Il caso
Il paziente di un centro di medicina estetica ha riconosciuto il proprio volto in un video postato sul profilo social del centro dove si era sottoposto ad alcuni trattamenti al naso. L’informativa utilizzata dal titolare, nella sezione rubricata “Finalità del trattamento”, reca un generico riferimento “alla pubblicazione di articoli su social media e magazine”. Non specificando che sarebbero stati diffusi dati sulla salute dell’interessato sul profilo pubblico social della Società, senza alcuna pseudonimizzazione degli stessi.
A ciò si aggiunge che non può ritenersi validamente prestato il consenso c.d. “tacito” dell’interessato, ciò in quanto il Regolamento, nell’individuare le deroghe al divieto di trattamento delle particolari categorie di dati, tra cui rilevano i dati sulla salute, prevede che essi possono essere oggetto di trattamento, tra le altre cose, sulla base del consenso esplicito dell’interessato (art. 9, par. 2, lett. a)).
Nell’informativa non era indicato il diritto di revocare il consenso. Il consenso può essere revocato in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca, per i trattamenti che si fondano su tale condizione di liceità (art. 13, par. 2, lett. c)) del Regolamento).
Infine, non era indicati tra i destinatari tutti i soggetti terzi che potrebbero ricevere i dati personali coerentemente con le finalità indicate (quali ad es. i proprietari delle piattaforme di social media).
La sanzione
Il Garante Privacy ha sanzionato il centro medico con una multa di 8mila euro per trattamento illecito di dati sanitari. L’Autorità ha ribadito che è necessario prestare particolare attenzione nel diffondere immagini e informazioni riferite a casi clinici per scopi divulgativi o scientifici. Bisogna sempre accertarsi che il paziente sia stato preventivamente informato. Il paziente deve aver dato il proprio specifico consenso o i suoi dati devono essere resi anonimi. Senza il consenso dell’interessato, è vietata la diffusione video di qualsiasi informazione sullo stato di salute.
(Provvedimento dell’11 gennaio 2024)