50mila euro di multa ad un’infermiera per aver divulgato la terapia della paziente al marito

L'obbligo di comunicare la necessità di cure mediche e quindi l'esistenza di una condizione che richiede intervento sanitario costituisce una divulgazione di dati sensibili relativi alla salute, senza la necessità di specificare il particolare trattamento o la malattia coinvolta.

Tale principio è stato confermato dalla prima sezione della Cassazione civile in un'ordinanza emessa il 11 ottobre 2023, che ha ribaltato una precedente decisione del Tribunale di Ravenna.

Il caso in esame riguarda un'azienda sanitaria che aveva emesso un'ordinanza di pagamento di una sanzione di 50.000 euro a seguito di una violazione della privacy di una paziente. Durante un intervento di interruzione volontaria della gravidanza, un'infermiera aveva tentato di contattare la paziente per fornirle informazioni sul farmaco da assumere, ma aveva erroneamente utilizzato il numero di telefono del marito. Non aveva specificato la natura del trattamento, ma aveva semplicemente accennato a una terapia necessaria.

Il Tribunale aveva ritenuto che questa telefonata non costituisse una violazione delle normative sulla privacy, poiché non aveva fornito dettagli specifici sulla salute della paziente. Tuttavia, la Cassazione ha stabilito che anche la menzione di un'assenza dal lavoro "per malattia" costituisce un dato personale relativo alla salute e che la semplice indicazione di una situazione di invalidità, anche in modo generico, rientra nella medesima categoria.

Inoltre, l'ordinanza della Cassazione ha fornito una serie di criteri da considerare nella determinazione dell'entità delle sanzioni amministrative in situazioni analoghe. Questi criteri includono la natura e la gravità della violazione, il carattere doloso o colposo della violazione, le misure adottate per mitigare il danno, il grado di responsabilità del titolare del trattamento, eventuali violazioni precedenti rilevanti, la cooperazione con l'autorità di controllo, le categorie di dati personali coinvolti, la notifica della violazione e altri fattori che possono aggravare o attenuare la situazione.

La sentenza ha evidenziato che nel caso in oggetto, il giudice dovrà valutare diversi elementi concreti, tra cui il comportamento della paziente stessa, che aveva fornito un numero di telefono errato e si era allontanata dalla struttura senza attendere l'infermiera. Inoltre, è stato sottolineato che la notizia comunicata era generica e non aveva compromesso la dignità della paziente, mentre l'azienda sanitaria aveva prontamente notificato il Garante per la protezione dei dati personali. La situazione di emergenza dovuta all'epidemia di Covid-19, che richiedeva un grande sforzo del sistema sanitario per affrontare altre criticità e pericoli per la vita dei pazienti, è stata considerata come ulteriore elemento da valutare.