dott. Paolo Montemurro
Ordinanza ingiunzione
Sintesi del provvedimento
Il Garante accerta la violazione degli articoli 5 e 9 GDPR e dell'art. 2-septies del Codice Privacy per la diffusione non autorizzata di fotografie relative a un intervento chirurgico su Instagram. Sebbene le immagini fossero state rimosse tempestivamente e il professionista abbia agito con legittimo affidamento in un modello di consenso fornito da AICPE, il Garante riconosce un mancato accertamento effettivo dell'anonimizzazione. È comminata una sanzione di 5.000 euro con prescrizioni correttive entro 90 giorni.
La semplice rimozione del nome non realizza anonimizzazione di dati sanitari pubblicati su social media; occorre accertare l'impossibilità di identificazione indiretta attraverso tutti i mezzi ragionevolmente disponibili.
Approfondimento
Soggetti coinvolti
una paziente
Riferimenti normativi
Lettura del caso
Temi affrontati — Diffusione dati sanitari e anonimizzazione insufficiente
Conseguenze — Il dott. Montemurro è obbligato al pagamento di euro 5.000 entro 30 giorni dalla notificazione, ovvero euro 2.500 entro 30 giorni in caso di definizione della controversia. Deve rielaborare entro 90 giorni il documento informativo e di consenso, prevedendo anonimato per utilizzi didattici e scientifici e consenso specifico quando non possibile, eliminando consenso per cure, e specificando periodi di conservazione con indicazione della durata della pubblicazione su social. Deve comunicare iniziative di attuazione entro 20 giorni dalla scadenza del termine di 90 giorni. Il Garante comunicherà il provvedimento ad AICPE affinché uniformi i modelli proposti.
- rimozione immediata delle immagini a seguito delle doglianze
- assenza di precedenti violazioni pertinenti
- piena collaborazione durante il procedimento
- legittimo affidamento riposto nel modello fornito da AICPE quale associazione di categoria principale. Gravità ritenuta alta in relazione alla tipologia di dati (dati sanitari) e al mezzo di diffusione (social media pubblico)
L'anonimizzazione non si realizza mediante mera rimozione delle generalità: occorre valutare concretamente se il dato non consenta identificazione indiretta con mezzi ragionevolmente disponibili, anche in funzione del contesto di pubblicazione.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.