Centro di medicina estetica sanzionato per aver pubblicato video senza consenso: cosa impariamo

Il Garante per la protezione dei dati personali, con il provvedimento n. 10 del 11 gennaio 2024, ha inflitto una sanzione di 8.000 euro nei confronti di un centro medico, per trattamento illecito di dati sanitari per aver diffuso su Instagram un video in cui un paziente era stato ripreso durante una procedura di medicina estetica.

Con questo provvedimento, l’Autorità ha sottolineato che diffondere immagini e informazioni riferite a casi clinici per scopi divulgativi e scientifici, visti i valori in campo, è un’attività che merita la massima attenzione. Prima di farlo, in ogni caso, occorre che il paziente sia stato preventivamente informato e abbia dato il proprio specifico consenso o che i suoi dati siano stati resi anonimi.

La sanzione al medico per aver esposto ricette senza protezioni sia monito per tutti: ecco perché

Il video diffuso sui social e il nodo dell’esplicito consenso

Nel mese di marzo 2023 un paziente che si era sottoposto a un intervento di rinoplastica non chirurgica presso un centro estetico ha sporto reclamo all’Autorità Garante per la protezione dei dati personali.

Nella segnalazione lamentava che aveva riconosciuto il proprio viso in un video postato su Instagram. Il centro di medicina estetica al quale si era rivolto, infatti, non solo lo aveva filmato e registrato durante tutto lo svolgimento della procedura medica, ma poi aveva anche postato su Instagram il video dell’intervento, sul proprio profilo pubblico, senza che il paziente avesse prestato alcun consenso.

Quest’ultimo, in particolare, ha rilevato come la diffusione del video sul social sarebbe avvenuta in assenza di un valido presupposto giuridico, in quanto l’informativa resa dal centro estetico e la manifestazione di consenso da lui sottoscritta non sarebbero state conformi alla disciplina in materia di protezione dei dati personali.

Il paziente ha, quindi, documentato all’Autorità, l’esistenza di questo video che nel frattempo era stato rimosso da Instagram proprio su sua richiesta.

Nel corso dell’istruttoria avviata a seguito del detto reclamo, il centro estetico si è difeso dicendo che il paziente aveva sottoscritto e rilasciato un documento con il quale esprimeva «il proprio libero e incondizionato consenso al trattamento dei suoi dati».

Nell’informativa rilasciata – sempre secondo il centro di medicina estetica – era anche contenuto «l’espresso avvertimento e chiara previsione che i dati e le immagini acquisite nel corso dei trattamenti sarebbero state utilizzate anche per la pubblicazione sui social network a scopi divulgativi/scientifici/pubblicitari», quindi il consenso prestato dal paziente era specifico e autorizzava alla pubblicazione di dati e immagini sui social network.

Il trattamento non solo sarebbe stato filmato e “registrato” ma in presa diretta è stato diffuso durante una “live” di Instagram.

Il centro estetico ha anche rilevato che il tempo in cui il ricorrente sarebbe rimasto riconoscibile era limitato in pochi secondi considerato che il volto del paziente era sempre coperto dalle mani dell’operatrice.

Il tempo di permanenza del video su Instagram, inoltre, sarebbe stato limitato a soli 45 giorni con pochissime visualizzazioni e il soggetto ritratto non sarebbe stato taggato sui social.

L’istruttoria dell’Autorità: l’informativa scorretta

Nel prendere in considerazioni le argomentazioni del centro estetico, il Garante ha ricordato che, ai sensi del GDPR per “dato personale” si intende «qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)» e che «si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale» (art. 4, n. 1 del Regolamento) e si considerano “dati relativi alla salute” i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute (art. 4, par. 1, n. 15, del Regolamento).

Il Garante non ha mancato di sottolineare che con specifico riferimento alle particolari categorie di dati, tra cui rientrano i dati sulla salute, l’art. 9 del Regolamento sancisce un generale divieto al trattamento di tali dati a meno che non ricorra una delle specifiche esenzioni previste dalla norma.

All’esito dell’istruttoria, il Garante ha rilevato che il centro estetico, durante la procedura di medicina estetica, attraverso la ripresa e diffusione su Instagram del video della durata di 34 secondi nel quale è riconoscibile il volto del paziente, ha svolto un trattamento di dati sulla salute dell’interessato.

Così facendo ha, di fatto, diffuso informazioni sullo stato di salute del paziente in modo non conforme alla disciplina in materia di protezione dei dati personali che ne dispone un esplicito divieto (art. 2-septies del Codice). Si ricorda che un dato si può considerare relativo allo stato di salute dell’interessato anche se non si fa esplicito riferimento alla patologia eventualmente sofferta, ma solo ad informazioni ad essa correlate.

Le finalità divulgative-scientifiche avrebbero dovuto essere perseguite dal centro estetico attraverso il trattamento di dati anonimizzati o, qualora per la peculiarità del caso trattato non fosse stato possibile, il centro avrebbe dovuto acquisire uno specifico e informato consenso dell’interessato, raccolto il quale i dati avrebbero dovuto comunque essere sottoposti a pseudonimizzazione.

Il consenso acquisito prima dell’intervento non è stato reputato, dal Garante, come valido, in quanto non esplicito, specifico e non informato in ordine alla finalità in questione.

Infatti, nell’informativa fornita dal titolare del trattamento, nella sezione sulle “finalità”, non veniva specificato che sarebbero stati diffusi dati sulla salute dell’interessato sui profili pubblici del centro, senza che questi venissero sottoposti a pseudonimizzazione ma si riportava solamente un generico riferimento «alla pubblicazione di articoli su social media e magazine».

E anche la circostanza che l’intervento di medicina estetica fosse stato registrato non all’insaputa dell’interessato, non equivale – secondo il Garante – ad aver acquisito dallo stesso un consenso informato, specifico ed esplicito circa le modalità con cui i dati sarebbero stati trattati.

In conclusione, l’informativa fornita dal centro estetico non era idonea ed è stata considerata carente degli elementi essenziali di cui all’art. 13 del Regolamento in quanto, tra le altre cose:

1. Il titolare del trattamento era stato erroneamente indicato.
2. Le finalità del trattamento sono risultate generiche e contraddittorie: laddove prima si è provveduto ad indicare come finalità l’organizzazione e la gestione degli eventi e dei convegni, la pubblicità degli strumenti medici e la pubblicazioni di articoli su social media o sui magazine, subito dopo, il centro indicava quale finalità del trattamento unicamente il corretto svolgimento delle attività necessarie per l’erogazione dei trattamenti di medicina estetica. La finalità oggetto di contestazione (la diffusione del video tramite social network), invece, non era nemmeno indicata.
3. Non sono state indicate le diverse basi giuridiche dei trattamenti effettuati e quelle indicate sono risultate errate essendo erroneamente prevista, quale base giuridica per il trattamento dei dati per finalità di cura, il consenso dell’interessato, non più previsto dall’art. 9 par. 2 lett. h) del Regolamento.
4. Non è stato menzionato il diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca, per i trattamenti che si fondano su tale condizione di liceità (art. 13, par. 2, lett. c)) del Regolamento).
5. Non sono stati indicati tra i destinatari tutti i soggetti terzi che avrebbero potuto ricevere i dati coerentemente con le finalità indicate (quali, ad esempio. i proprietari delle piattaforme di social media) (art. 13, par. 1, lett. e del Regolamento).

La sanzione comminata al centro di medicina estetica

In conseguenza dell’espletata istruttoria, l’Autorità ha rilevato l’illiceità del trattamento di dati personali effettuato dal centro di medicina estetica ed ha ingiunto allo stesso di adottare entro novanta giorni dalla notifica del provvedimento, alcune misure correttive, tra le quali:

1. rielaborare l’informativa privacy chiarendo nella sezione denominata “Finalità del trattamento” che i dati personali oggetto di diffusione non saranno i dati sulla salute, tenuto conto del divieto di diffusione di tale tipologia di dati (art. 2-septies, comma 8 del Codice) e integrando tale sezione con l’indicazione della base giuridica del trattamento (art. 13, par. 1, lett. c) del Regolamento);
2. correggendo la sezione “obbligatorietà del consenso” in quanto fuorviante e contraddittoria. Da un lato era indicato, infatti, che «il conferimento dei […] dati è facoltativo, se non strettamente correlato al funzionamento dell’attività o al servizio proposto» e dall’altro che «il mancato consenso non permetterà l’utilizzo delle immagini e/o delle riprese audiovisive del soggetto interessato per le finalità sopraindicate»;
3. integrando la sezione “Diritti degli interessati” con il diritto di accesso ai dati e il diritto di revoca del consenso prestato dall’interessato, esercitabile in qualsiasi momento.

Si sottolinea che il centro di medicina estetica si è dimostrato collaborativo con l’Autorità nel corso dell’istruttoria, ponendo in essere alcune misure volte ad adeguare il trattamento dei dati personali al quadro normativo vigente in materia di protezione dei dati personali: in particolare ha organizzato specifici corsi di formazione cui hanno partecipato i dipendenti e collaboratori coinvolti nel trattamento dei dati e avviato un processo di revisione di tutte le procedure interne; ha nominato un DPO esterno; ha modificato le informative e la modulistica relativa al consenso al trattamento dei dati dei pazienti, adottando specifiche disposizioni sull’utilizzo dei dati sanitari ai fini di presentazioni, pubblicazioni o divulgazioni scientifiche, anche sui social media” (art. 83, par. 2, lett. f) del Regolamento).

Considerato, però, che il trattamento effettuato ha pur sempre riguardato la diffusione per 45 giorni sul social network Instagram di una ripresa video della durata di 34 secondi del volto dell’interessato durante una procedura di medicina estetica, il Garante privacy ha ritenuto di determinare l’ammontare della sanzione pecuniaria prevista dall’art. 83, par. 5, lett. a) e b), del Regolamento, nella misura di 8.000 euro.