Provvedimento GPDP n. 308 del 29 aprile 2026-La pubblicazione di foto del paziente, neonato malato, poi deceduto, in occasione di un convegno scientifico

La pubblicazione di foto del paziente, neonato malato, poi deceduto, in occasione di un convegno scientifico

Provvedimento GPDP n. 308 del 29 aprile 2026

Il Garante per la protezione dei dati personali, con il provvedimento n. 308 del 29 aprile 2026, si è pronunciato in un caso di illecito trattamento di dati personali e relativi alla salute di un minore. La segnalazione proveniva dalla madre, la quale lamentava la presenza online di un e-poster scientifico – pubblicato sul sito della Società Italiana di Pediatria (SIP) – contenente immagini del figlio, poi deceduto. Il materiale, relativo a un caso clinico di ‘Sindrome di Marfan ad esordio neonatale’, riportava la foto dell’intero corpo del neonato in una culla ospedaliera (con i soli occhi oscurati) unitamente a informazioni assai dettagliate sull’anamnesi familiare (tipo di fecondazione, età gestazionale, patologie dei congiunti).

L’istruttoria ha accertato che la dottoressa coinvolta aveva agito in qualità di ‘Submitter’ (referente della ricerca), caricando in autonomia il materiale sulla piattaforma congressuale e assicurando alla società organizzatrice di essere in possesso del consenso richiesto.

La foto del minore era stata modificata oscurandone gli occhi, tuttavia la combinazione fra i tratti somatici visibili e i peculiari dettagli clinico-familiari rendeva il neonato identificabile, quantomeno da una cerchia di soggetti terzi, configurando così un trattamento di dati personali sulla salute. La procedura posta in essere, infatti, poteva al massimo ritenersi una sorta di pseudonimizzazione e non certamente una anonimizzazione. Infatti la pseudonimizzazione è una misura di sicurezza che riduce la correlabilità dei dati, ma non priva gli stessi della natura di ‘dato personale’, giacché l’interessato rimane identificabile mediante informazioni aggiuntive, mentre l’anonimizzazione è un processo dinamico e sostanziale che deve impedire l’identificazione diretta o indiretta dell’interessato, tenuto conto di tutti i mezzi ragionevolmente disponibili.

L’Autorità inoltre ha rilevato che il consenso prestato dal padre del minore non poteva considerarsi valido ai sensi degli artt. 6 e 9 del GDPR. La scheda di consenso sottoscritta prevedeva, infatti, la comunicazione dei risultati della ricerca esclusivamente in “forma anonima”. Dal momento che la pubblicazione ha riguardato dati pseudonimizzati, si è verificata una carenza informativa che ha inficiato la validità del consenso, non essendo stato il genitore edotto della diffusione di fotografie e dati non anonimi.

Il provvedimento peraltro conferma che, ai sensi dell’art. 2-terdecies del Codice della privacy, le tutele in materia di protezione dei dati personali si estendono anche ai dati relativi alle persone defunte. In ambito sanitario, tale protezione è ulteriormente rafforzata dal segreto professionale che persiste oltre la morte dell’assistito.

Il Garante ha così accertato l’illiceità della diffusione dei dati sanitari, evidenziando come la dottoressa abbia agito uti singuli, senza autorizzazione dell’Azienda ospedaliera di appartenenza.

Nonostante l’assenza di intenzionalità nella condotta e la rimozione tempestiva dei contenuti, per la gravità della violazione – dovuta alla sensibilità dei dati e al coinvolgimento di un minore, poi deceduto – l’Autorità ha irrogato una sanzione amministrativa pecuniaria di euro 5.000 e la sanzione accessoria della pubblicazione del provvedimento sul sito web dell’Autorità.

Il provvedimento ribadisce un assunto fondamentale per la comunità scientifica, pure espresso dal Codice di condotta per l’utilizzo di dati sulla salute a fini didattici e di pubblicazione scientifica approvato dal Garante con il provvedimento del 14 gennaio 2021: il trattamento di dati personali consistente nella pubblicazione di casi clinici può avvenire solo previa corretta anonimizzazione o, qualora questa non sia tecnicamente possibile, previo consenso specifico, libero e informato sulla natura pseudonimizzata dei dati diffusi.

S.C.

Stefano Corso