Molto spesso, alla base di una gestione scorretta dei dati personali, c’è la convinzione di aver effettuato un’adeguata operazione di pseudonimizzazione. Con questa espressione si intende quell’intervento sui dati tale da impedire che essi siano immediatamente riconducibili ad un determinato interessato. In altri termini: il dato continua ad essere personale, ma, per poter risalire alla persona cui si riferisce, servono degli elementi aggiuntivi. L’operatore, quindi, attua alcune modifiche al documento in suo possesso e, pensando di aver sufficientemente schermato i dati personali, si comporta con leggerezza. Spesso, però, finisce per combinare qualche guaio.
Una delle tecniche più utilizzate e che spesso si rivela fallace è quella di sbianchettare i nomi sui documenti o, in alternativa, passarci sopra il pennarello. Non sempre, però, questo accorgimento è sufficiente per consentire di trattare liberamente questi documenti. Ci si deve infatti sempre accertare se, nonostante la correzione, dal testo del documento non sia comunque possibile risalire ai diretti interessati. Se l’individuazione resta possibile dalla lettura del testo non sbianchettato, non si può ritenere di essere davanti ad una pseudonimizzazione.
Pubblicazione online di documenti contenenti dati sanitari
Ne sa qualcosa l’Azienda Sanitaria che recentemente ha impattato contro la normativa privacy e contro il Garante. Sotto la lente dell’Autorità, nello specifico, è finita un’iniziativa consistente nella pubblicazione online degli elogi e dei ringraziamenti ricevuti dalla Struttura. Il materiale a disposizione proveniva dai moduli cartacei che i pazienti potevano trovare nei vari reparti, compilare e inserire negli appositi raccoglitori. L’Azienda, semplicemente, ha raccolto questi documenti, ha cancellato i nomi contenuti, li ha scansionati e pubblicati sul proprio sito.
Peccato però che nessuno si è preoccupato di verificare se le sbianchettature fossero sufficienti. Quello che è emerso, infatti, è che l’intervento è stato piuttosto maldestro, poiché i nomi degli interessati, per quanto non immediatamente leggibili, restavano comunque ricostruibili. Insomma: leggendo il documento scansionato e caricato in rete, si poteva capire a chi si riferisse il suo contenuto.
L’importanza della base giuridica
È perfino superfluo notare che, trattandosi di documenti relativi a trattamenti sanitari, i dati ivi contenuti sono relativi alla salute e – pertanto – vanno applicate le norme in materia di dati cosiddetti sensibili. Secondo il GDPR, per poter trattare questi dati serve una precisa base giuridica, che in questo caso, però, manca. La pubblicazione degli elogi ricevuti, infatti, faceva parte di un programma volto ad incentivare il dialogo con l’utenza. Iniziativa sicuramente apprezzabile, ma che non rientra in nessuna delle basi giuridiche che, a norma di Regolamento, legittima il trattamento di dati sanitari.
La superficialità nella gestione di documenti così delicati è costata cara. Il Garante, infatti, ha riscontrato un trattamento illecito di dati sanitari, ingiungendo una sanzione di 50.000 euro. Cifra piuttosto elevata, che si giustifica con la delicatezza dei dati trattati e la mole di documenti caricati in rete. La lezione che si può trarre, in ogni caso, è che non si può pensare che un tratto di pennarello sia sufficiente per rendere “a prova di privacy” un documento delicato.
Avv. Andrea MARTINIS
diritto civile (responsabilità civile, assicurazioni, recupero crediti), privacy, diritto penale