In sintesi

Il Garante della Privacy ha multato una dottoressa con 5.000 euro per aver diffuso online la foto di un bambino deceduto, insieme a dettagli clinici, in un poster scientifico. Anche se la dottoressa aveva oscurato gli occhi del bambino e pensava di aver reso i dati 'anonimi', il Garante ha chiarito che non era così. I dati, seppur parzialmente mascherati, erano ancora 'personali' e la pubblicazione richiedeva un consenso molto specifico che non era stato ottenuto. Questo caso mostra l'importanza di essere estremamente attenti quando si usano immagini o informazioni mediche, specialmente di persone vulnerabili.

Cosa fare

Se la vostra azienda tratta dati sensibili (come quelli medici) o immagini, assicuratevi di avere sempre un permesso (consenso) chiaro e specifico per ogni tipo di utilizzo, soprattutto per la pubblicazione online.
Non considerate i dati 'anonimi' se c'è ancora la possibilità, anche indiretta, di collegarli a una persona specifica.
Informate in modo completo e trasparente le persone su come userete i loro dati, prima di raccoglierli e usarli.

Cosa evitare

Non diffondete foto o informazioni mediche senza un consenso esplicito, anche se pensate di aver 'coperto' alcune parti.
Non sottovalutare la protezione dei dati dei minori o delle persone decedute; anche per loro valgono regole speciali e stringenti.

Contesto

Una madre ha segnalato al Garante la pubblicazione online di immagini del figlio minore deceduto, accompagnate da dettagli clinici, in una locandina relativa a un convegno della Società Italiana di Pediatria (SIP). Nonostante la locandina fosse stata rimossa, le immagini erano ancora rintracciabili tramite motori di ricerca. L'Azienda Ospedaliera Universitaria (AOU) ha negato di aver autorizzato la pubblicazione, attribuendo la responsabilità ai medici operanti individualmente. La dottoressa Guzzo, 'Submitter' del caso clinico, ha dichiarato di aver adottato misure per evitare l'identificazione (oscurando gli occhi) e di non aver autorizzato la pubblicazione, attivandosi per la rimozione. Ha sostenuto che i dati erano pseudonimizzati e non personali. La SIP ha chiarito che la dottoressa Guzzo, come 'Submitter', aveva accettato le linee guida che richiedevano il consenso per l'uso di foto e che gli atti sarebbero stati pubblicati sul sito web. Era presente un consenso del padre per la comunicazione di dati 'esclusivamente in forma anonima'.

La decisione

Il Garante ha dichiarato l'illiceità del trattamento di dati personali effettuato dalla dottoressa Guzzo, riscontrando la violazione degli artt. 5, par. 1, lett. a), b) e c) e 9 del Regolamento, nonché dell’art. 2-septies, comma 8, del Codice. La decisione si fonda sul fatto che l'oscuramento degli occhi non costituisce anonimizzazione efficace per dati sanitari complessi, rendendo le informazioni pseudonimizzate ancora personali. Il consenso acquisito, riferito a dati anonimi, è stato ritenuto non valido per la diffusione di dati pseudonimizzati. La dottoressa Guzzo, come 'Submitter', era consapevole della necessità di consenso per le immagini e della successiva pubblicazione. Poiché la locandina è stata rimossa, non sono state imposte misure correttive, ma è stata inflitta una sanzione amministrativa pecuniaria di 5.000 euro e la pubblicazione del provvedimento.

Ratio decidendi La motivazione giuridica chiave risiede nella distinzione tra anonimizzazione e pseudonimizzazione: la pseudonimizzazione non priva i dati della natura di personali, pertanto il loro trattamento richiede una base giuridica valida, in questo caso un consenso specifico, libero, informato e inequivocabile. Il consenso prestato per la comunicazione di dati 'esclusivamente in forma anonima' non può essere considerato valido per la diffusione di dati pseudonimizzati che consentono ancora l'identificazione indiretta, specialmente in presenza di dettagli clinici complessi e familiari. Il professionista (Submitter) aveva la responsabilità di assicurare il valido consenso per l'uso e la diffusione delle immagini.

Articoli GDPR violati

Articolo	Descrizione	Rilevanza
5 par.1 lett.a GDPR	Principi di liceità, correttezza e trasparenza	la diffusione di dati pseudonimizzati, ma identificabili, senza un valido consenso ha violato i principi di liceità, correttezza e trasparenza.
5 par.1 lett.b GDPR	Principio di limitazione della finalità	la pubblicazione dei dati per scopi scientifici, seppur legittima, è avvenuta con modalità non compatibili con il consenso limitato alla forma anonima.
5 par.1 lett.c GDPR	Principio di minimizzazione dei dati	l'oscuramento parziale non ha garantito la minimizzazione necessaria per la non identificabilità, rendendo i dati eccessivi rispetto alle finalità senza un consenso specifico.
9 GDPR	Trattamento di categorie particolari di dati personali (dati sulla salute)	la diffusione di dati sulla salute di un minore deceduto, senza una delle eccezioni previste dall'art. 9 par. 2, in particolare il consenso valido, costituisce una violazione di questa disposizione.
2-septies par.8 Codice Privacy	Trattamento dei dati relativi alla salute in casi particolari, vietando la diffusione salvo eccezioni.	la diffusione di dati idonei a rivelare lo stato di salute, senza un valido presupposto di liceità, ha contravvenuto al divieto espresso dal codice privacy.

Misure imposte

Pagamento sanzione amministrativa pecuniaria; Pubblicazione del provvedimento sul sito del Garante

Sanzione

Il Garante ha ordinato alla dottoressa Immacolata Guzzo di pagare la somma di euro 5.000 a titolo di sanzione amministrativa pecuniaria per la violazione degli artt. 5, par. 1, lett. a), b) e c) e 9 del Regolamento, nonché dell’art. 2-septies, comma 8, del Codice. La sanzione è stata determinata tenendo conto della categoria di dati personali interessata (salute, minore deceduto), della diffusione degli stessi e della mancanza di un atteggiamento intenzionale (buona fede nella convinzione di aver anonimizzato i dati). È stata altresì disposta la sanzione accessoria della pubblicazione del provvedimento sul sito del Garante.

Termini: entro 30 giorni dalla notificazione del presente provvedimento

Implicazioni pratiche

Questo provvedimento sottolinea l'importanza di una rigorosa interpretazione e applicazione dei principi di anonimizzazione e pseudonimizzazione, in particolare nel settore sanitario e della ricerca. Le organizzazioni e i professionisti devono essere pienamente consapevoli che la pseudonimizzazione non equivale all'anonimizzazione e che i dati pseudonimizzati rimangono dati personali, soggetti a tutte le garanzie del GDPR. La necessità di un consenso specifico, libero, informato e inequivocabile per la diffusione di dati sensibili (come quelli sanitari, di minori o deceduti) è ribadita con forza. Anche in contesti scientifici, la buona fede non esime dalla responsabilità di garantire la liceità del trattamento. È cruciale che le informative forniscano dettagli precisi sulle modalità e finalità della diffusione, specialmente quando si prevede la pubblicazione di immagini o dati che, anche se parzialmente mascherati, possano consentire l'identificazione indiretta. Le procedure post-congressuali e di pubblicazione scientifica devono essere chiaramente comunicate e prevedere meccanismi per garantire la conformità alla normativa privacy.

Azioni da fare

Implementare procedure robuste per distinguere e gestire l'anonimizzazione e la pseudonimizzazione, assicurando che i dati siano effettivamente anonimi prima della diffusione senza consenso.
Acquisire un consenso specifico, libero, informato e inequivocabile per la diffusione pubblica di immagini o dati clinici che, anche se pseudonimizzati, possano consentire l'identificazione indiretta.
Rivedere e aggiornare le informative sulla privacy e i moduli di consenso per assicurare che riflettano accuratamente le finalità e le modalità di trattamento, inclusa l'eventuale diffusione di dati, specificando la natura (anonima vs. pseudonimizzata).
Formare il personale, in particolare i professionisti sanitari e i ricercatori, sulle definizioni e implicazioni di anonimizzazione, pseudonimizzazione e sulle corrette procedure per la raccolta del consenso e la diffusione dei dati, soprattutto quelli sensibili e relativi a categorie vulnerabili.
Garantire che le condizioni contrattuali con società organizzatrici di eventi (es. segreterie congressuali) e piattaforme di pubblicazione includano clausole che assicurino il rispetto del GDPR e la necessità di valido consenso per la diffusione dei materiali.

Errori da evitare

Confondere la pseudonimizzazione con l'anonimizzazione, trattando i dati pseudonimizzati come se fossero anonimi e non soggetti al GDPR.
Diffondere dati sanitari, soprattutto di minori o persone decedute, con mascheramenti parziali (es. oscuramento degli occhi) considerandoli sufficientemente anonimi.
Utilizzare un consenso generico o un consenso specifico per dati anonimi per la diffusione di dati personali (anche se pseudonimizzati).
Ignorare le linee guida e i codici di condotta settoriali (es. Codice di deontologia medica, Codice di condotta per l'utilizzo di dati sulla salute a fini didattici e di pubblicazione scientifica) che specificano i requisiti per la pubblicazione scientifica.
Non verificare le implicazioni sulla privacy delle attività 'post-congressuali' o di pubblicazione previste dai capitolati tecnici o dalle linee guida degli organizzatori di eventi.

Domande di self-assessment

Le nostre procedure di anonimizzazione garantiscono che i dati non possano essere ricondotti a persone fisiche, tenendo conto di tutti i mezzi ragionevolmente disponibili?
Acquisiamo un consenso specifico e informato che copre esplicitamente la diffusione di immagini o dati clinici (anche se pseudonimizzati) e ne precisiamo la natura nell'informativa?
Il nostro personale è adeguatamente formato sulle distinzioni tra anonimizzazione e pseudonimizzazione e sulle implicazioni legali di ciascuna?
I contratti con i fornitori (es. organizzatori di eventi, piattaforme di pubblicazione) riflettono le nostre responsabilità GDPR e richiedono un'attenta gestione dei dati personali?
Abbiamo protocolli specifici per la gestione e la pubblicazione dei dati sanitari di minori o persone decedute, in linea con la normativa e i codici deontologici?

Riferimenti

Linee guida EDPB: Linee guida 5/2020 sul consenso ai sensi del Regolamento (UE) 2016/679 · WP216, 05/2014 sulle tecniche di anonimizzazione · WP29 Opinion 05/2014 on Anonymisation techniques · Linee guida “01/2025 on Pseudonymisation” · Guidelines 04/2022 on the calculation of administrative fines under the GDPR

Normativa nazionale: D.Lgs. 196/2003 · Codice di deontologia medica

Note

Il provvedimento ribadisce con chiarezza la distinzione tra anonimizzazione e pseudonimizzazione, un punto critico e spesso frainteso, con implicazioni dirette sulla base giuridica e le misure di sicurezza. L'attenzione ai dati di minori e persone decedute sottolinea un livello di tutela particolarmente elevato per categorie vulnerabili.