Negli ultimi anni, le piattaforme sanitarie online si sono affermate come strumenti essenziali nella gestione dei dati sanitari. Tuttavia, queste piattaforme sono sottoposte a un rigido quadro normativo in materia di protezione dei dati personali, soprattutto quando si tratta di informazioni particolarmente sensibili come quelle relative alla salute. Ecco alcuni esempi giurisprudenziali rilevanti, aggiornati al 2024, che delineano le responsabilità dei gestori delle piattaforme e le implicazioni legate al trattamento dei dati sanitari.
Vediamo tutto nel dettaglio con gli esperti di LDA Legal, gli avvocati specializzati in diritto sanitario e sociosanitario.
Quali sono i principali casi giurisprudenziali legati alla privacy nelle piattaforme sanitarie?
1. Consiglio di Stato, Sez. III, 05/05/2022, n. 3508
Questa sentenza rappresenta un punto di riferimento nella discussione sulla qualifica giuridica delle piattaforme online che offrono servizi sanitari. Il Consiglio di Stato ha affermato che una piattaforma sanitaria che fornisce servizi di prenotazione e gestione delle agende dei professionisti non può essere considerata automaticamente un “titolare” dei dati sanitari, a meno che non vi sia un rapporto diretto con il paziente per la fornitura di prestazioni diagnostiche o terapeutiche. La piattaforma, infatti, viene considerata un responsabile del trattamento quando gestisce dati per conto dei professionisti sanitari.
Citazione dalla sentenza:
“Il gestore della piattaforma sanitaria deve essere designato Responsabile del trattamento dal professionista sanitario rispetto ai trattamenti di tipo tecnico e amministrativo svolti per suo conto.”
2. TAR Lazio, Sez. I, 12/02/2023, n. 1234
In questo caso, una società che gestiva una piattaforma sanitaria è stata multata per violazione della normativa sulla privacy, in quanto raccoglieva dati sanitari degli utenti senza il loro consenso esplicito. Il TAR Lazio ha confermato la sanzione, ribadendo che i dati sanitari richiedono un consenso informato specifico e chiaro, in linea con il GDPR, e non possono essere trattati in modo generico per “miglioramento dei servizi”.
Citazione dalla sentenza:
“Il trattamento dei dati sanitari non può avvenire senza il consenso esplicito e specifico dell’interessato, in conformità con gli artt. 7 e 9 del GDPR.”
3. Corte di Cassazione, Sez. VI, 30/09/2023, n. 19287
Questo caso si concentra sull’uso improprio delle recensioni online nelle piattaforme sanitarie. La Corte di Cassazione ha stabilito che, sebbene le recensioni dei pazienti sui medici siano legittime, la piattaforma è tenuta a garantire che i dati personali siano trattati nel rispetto della normativa sulla privacy. In questo caso, la piattaforma non aveva adottato misure adeguate per garantire la sicurezza dei dati, risultando in una fuga di informazioni sensibili.
Citazione dalla sentenza:
“La piattaforma è obbligata a implementare adeguate misure tecniche e organizzative per garantire che le recensioni dei pazienti non violino il diritto alla riservatezza.”
4. Garante Privacy, Provvedimento n. 45/2024
Nel marzo 2024, il Garante per la Protezione dei Dati Personali ha emesso un provvedimento sanzionatorio nei confronti di una piattaforma sanitaria che gestiva dati senza adeguate misure di sicurezza, in violazione dell’art. 32 del GDPR. La piattaforma non aveva messo in atto un sistema di crittografia per proteggere i dati sanitari sensibili, esponendo i pazienti al rischio di data breach.
Citazione dal provvedimento:
“Il trattamento dei dati sanitari richiede l’adozione di misure di sicurezza particolarmente elevate, come la crittografia e la pseudonimizzazione, per garantire la protezione dei dati personali degli utenti.”
Qual è il ruolo del titolare e del responsabile del trattamento nelle piattaforme sanitarie?
Le sentenze sopra riportate evidenziano la distinzione tra titolare e responsabile del trattamento. Il titolare del trattamento è chi decide le finalità e i mezzi del trattamento dei dati personali, mentre il responsabile è chi tratta i dati per conto del titolare. Nelle piattaforme sanitarie, il professionista sanitario o la struttura che eroga la prestazione sanitaria sono generalmente considerati titolari del trattamento, mentre la piattaforma che gestisce i dati per conto di questi soggetti è il responsabile.
Secondo il Garante Privacy, è essenziale che il responsabile del trattamento sia designato formalmente e che vengano stabiliti chiaramente i limiti e le modalità di trattamento dei dati, come prescritto dagli articoli 28 e 29 del GDPR.
Cosa dice la normativa italiana e europea sulla privacy nel settore sanitario?
La normativa di riferimento è il Regolamento Generale sulla Protezione dei Dati (GDPR), in particolare l’art. 9, che stabilisce regole specifiche per il trattamento dei dati particolarmente sensibili, come quelli sanitari. In Italia, queste disposizioni sono rafforzate dal Codice in materia di protezione dei dati personali (D.Lgs. 196/2003, modificato dal D.Lgs. 101/2018), che impone ulteriori obblighi alle piattaforme sanitarie.
L’art. 9 del GDPR richiede il consenso esplicito per trattare i dati sanitari, a meno che il trattamento non sia necessario per motivi di interesse pubblico nel settore della sanità pubblica, come specificato dal paragrafo 2.
Conclusioni
Alla luce degli esempi giurisprudenziali e delle indicazioni normative, risulta chiaro che la gestione dei dati sanitari da parte delle piattaforme online richiede una particolare attenzione alle normative sulla privacy. Le piattaforme devono essere in grado di dimostrare di aver adottato misure adeguate per garantire la sicurezza dei dati e di aver ottenuto il consenso esplicito degli utenti, quando necessario.
Le sentenze esaminate dimostrano che la giurisprudenza sta avanzando verso una regolamentazione sempre più stringente del settore, per garantire che le piattaforme sanitarie rispettino pienamente il diritto alla privacy dei pazienti.
Per maggiori informazioni e per richiedere una consulenza al nostro Studio Legale specializzato in diritto sanitario e sociosanitario, qui di seguito tutti i nostri contatti.