Il dottor A., chirurgo oncologo, decide di candidarsi alle elezioni comunali presso il suo comune di residenza, dove opera come medico. Durante la campagna elettorale decide di mandare ad alcune sue pazienti affette da una malattia oncologica specifica (tumore alla mammella) una lettera in cui dopo aver ripercorso – in linea generale – il percorso diagnostico e terapeutico effettuato, formula una richiesta elettorale ben precisa, con la seguente frase: “Le chiedo pertanto, come quando ha avuto fiducia in me per la malattia, di averla anche su questa scelta che, le assicuro, nasce da motivazioni assolutamente legate alla volontà di essere ancora una volta utile al Comune di A.” Una volta recapitate alle destinatarie, le lettere vengono consegnate ad alcuni giornalisti, che danno molta eco alla singolare vicenda, tanto che il dottor A. ha subito provveduto a bloccare ulteriori invii ancora non partiti, porgendo ufficialmente a mezzo stampa le proprie scuse nei confronti delle destinatarie, laddove ne avesse urtato la sensibilità o le avesse messe a disagio.
Il caso del medico e le lettere alle pazienti: quando la fiducia viene tradita
La vicenda arriva sul tavolo del Garante Privacy grazie a una segnalazione ed agli articoli di stampa di cui sopra. Durante l'istruttoria, il dottor A. si giustifica sostenendo: di avere instaurato con le pazienti contattate per fini elettorali, dopo la conclusione del rapporto di cura, un rapporto di natura privata in ragione del quale, in assoluta buona fede e senza dolo, riteneva di non aver violato la loro privacy, i nominativi delle destinatarie, infatti, erano registrati nella sua rubrica personale, non potendo essere estratti da alcun database sanitario, gli indirizzi non sono stati presi da alcun database dello studio, bensì dalle liste elettorali comunali, pubblici elenchi contenenti i nominativi e gli indirizzi degli aventi diritto al voto, accessibili a chiunque.
GDPR e privacy sanitaria: perché i dati medici non possono essere usati in politica
Secondo il GDPR i dati relativi alla salute sono quei dati attinenti alla salute fisica o mentale di una persona fisica, comprese le prestazioni di servizi di assistenza sanitaria, che sono idonei a rivelare informazioni sullo stato di salute della persona stessa.
I dati sanitari – così come quelli personali – sono soggetti al rispetto dei seguenti principi generali:
- liceità, correttezza e trasparenza,
- limitazione della finalità, nel senso che i dati devono essere raccolti solo per finalità esplicite, determinate e legittime, e trattati in modo compatibile con tali finalità,
- minimizzazione dei dati, che devono essere adeguati, pertinenti e limitati a quanto strettamente necessario rispetto alle finalità per cui sono stati trattati,
- esattezza, in quanto i dati raccolti devono essere esatti e – se necessario – aggiornati, con adozione di tutte le misure ragionevoli per cancellare o rettificare con tempestività eventuali dati inesatti,
- limitazione della conservazione, in quanto i dati devono essere conservati in forma tale da consentire l'identificazione di chi li ha forniti solo per un arco di tempo limitato, non superiore a quello necessario per conseguire le finalità per i quali sono stati trattati,
- integrità e riservatezza, poiché i dati devono essere trattati in maniera tale da garantirne un'adeguata sicurezza, adottando misure di protezione da trattamenti illeciti o non autorizzati, nonché da eventuali perdite, distruzione o danno accidentale ai dati,
- responsabilizzazione, nel senso che il titolare del trattamento dei dati deve esser in grado di dimostrare di aver rispettato tutti i principi di cui sopra.
Facendo applicazione dei suddetti principi, pertanto, se un dato sanitario viene raccolto per finalità di diagnosi e cura di una patologia oncologica all'interno di uno studio medico, non può essere utilizzato per altri scopi se non quelli legati a diagnosi e cura.
Se, ad esempio, il paziente è un allevatore di cani di razza e voglio comprare un esemplare, per contattarlo non potrò attingere certamente al mio database sanitario di studio, bensì a una guida telefonica online o a pagine social o su Google; inoltre, nel momento in cui contatto il mio ex paziente per un appuntamento, non posso e non devo assolutamente fare riferimento alla patologia per cui l'ho avuto in cura.
Recentemente, con riferimento ai dati sanitari, la Cassazione ha stabilito che il fatto stesso di comunicare l'esigenza di un trattamento sanitario e, quindi, l'esistenza di una malattia in senso lato, consiste nella comunicazione di un dato attinente alla salute, indipendentemente dalla specificazione del tipo di trattamento o di malattia (così Cassazione n. 28417/2023).
Per quanto concerne il trattamento di dati personali in materia elettorale, già nel 2019 il Garante ha emanato un provvedimento contenente garanzie e adempimenti che partiti, organismi politici, sostenitori di liste e candidati devono osservare per raccogliere ed utilizzare correttamente i dati personali dei cittadini che intendono contattare a fini di comunicazione e propaganda elettorale.
Il provvedimento del 2019 precisa, in particolare, che i dati personali raccolti nell'ambito dell'attività di tutela della salute da parte di esercenti la professione sanitaria e di organismi sanitari non possono essere utilizzati per fini di propaganda elettorale e connessa a comunicazione politica, trattandosi di una finalità non riconducibile agli scopi legittimi per i quali i dati personali sono stati raccolti (la tutela della salute), salvo che vi sia l'espresso consenso dell'interessato (il paziente) a tale ulteriore trattamento dei dati personali.
Leggi anche
La sanzione del Garante sui dati medici in politica: cosa ha deciso e perché
Il dottor A., pur in buona fede, ha violato i principi generali in materia di privacy, poiché ha utilizzato i dati delle sue pazienti oncologiche affette da tumore alla mammella per inviare loro una lettera di propaganda elettorale in cui faceva specifico riferimento alla patologia per cui le aveva in cura, e lo ha fatto senza il loro consenso, andando così a violare gli articoli 5 e 9 del GDPR.
Il Garante, tenendo conto del fatto che il dottor A. non è stato precedentemente destinatario di provvedimenti prescrittivi o sanzionatori in materia di privacy e che durante l'attività istruttoria ha collaborato con il Garante, ha comminato nei suoi confronti una sanzione amministrativa di ben diecimila euro.