Il Garante per la protezione dei dati personali si è pronunciato, con provvedimento n. 39 del 2026, in materia di trattamento dei dati sanitari.
La vicenda è sorta dalla diffusione su un social media di immagini rappresentanti una procedura chirurgica di rinosettoplastica da parte di un medico. La paziente ha presentato reclamo al Garante affermando di non aver acconsentito alla diffusione di tali fotografie, nonostante le stesse riportassero la dicitura “immagini con il consenso della paziente”.
Nelle proprie difese, il professionista ha innanzitutto affermato di aver fatto sottoscrivere alla paziente un modello informativo di consenso per l’intervento chirurgico, fornito dall’AICPE, ossia l’Associazione Italiana Chirurgia Plastica Estetica, al cui interno era espressamente prevista la possibilità per il professionista di utilizzare le immagini e i filmati, con garanzia di anonimato. Inoltre, ha riferito di aver agito in buona fede e di aver rimosso le immagini dopo le doglianze della paziente. Infine, ha insistito sulla circostanza che tali immagini debbano essere ritenute come “immagini anonime” poiché l’interessata è difficilmente identificabile, ad esclusione dei suoi familiari.
All’esito dell’istruttoria, il Garante ha ritenuto che i dati contenuti nelle fotografie divulgate integrassero dati personali idonei a rilevare lo stato di salute dell’interessata.
Con riferimento a tale tipologia di dati, secondo il Garante, non è necessario il consenso dell’interessato al trattamento dei dati per la prestazione sanitaria richiesta dal paziente. Tuttavia, “nel caso in cui il trattamento non sia strettamente necessario per finalità di cura e la base giuridica sia rappresentata dal consenso dell’interessato, tenuto conto della natura di tali dati particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, tale consenso deve essere prestato attraverso un atto positivo con il quale l’interessato manifesta una volontà libera, specifica, informata e inequivocabile relativa al trattamento dei dati personali che lo riguardano”. Se, invece, i dati sanitari vengono anonimizzati prima della loro pubblicazione, allora non si applica la normativa in materia di protezione dei dati personali. A tal proposito, il Garante sottolinea che “l’anonimizzazione non può considerarsi realizzata attraverso la mera rimozione delle generalità dell’interessato. Il dato anonimizzato, invero, è tale solo se non consente in alcun modo l’identificazione diretta o indiretta di una persona, tenuto conto di tutti i mezzi nella disponibilità di chi provi a utilizzare tali strumenti per identificare un interessato”.
Nel caso di specie, le fotografie pubblicate dal medico integrano dati personali idonei a rilevare lo stato di salute dell’interessata, la quale è identificabile, anche se solo da pochi individui. Dunque, il Garante ha ritenuto che il trattamento effettuato dal medico fosse illegittimo poiché le misure adottate dallo stesso non sono risultate sufficienti per effettuare l’anonimizzazione. Il consenso prestato dalla paziente non è valido ai fini della diffusione delle immagini oggetto di analisi poiché esso non si riferisce alla diffusione di dati sanitari, ma di dati anonimi, che non si è tuttavia verificato e che, in ogni caso, non avrebbe richiesto il consenso ma un’informativa a riguardo.
Il Garante ha dunque ingiunto il medico a modificare il documento che fornisce ai propri pazienti, rendendolo coerente con la normativa e lo ha condannato al pagamento di una sanzione pecuniaria di € 5.000,00 e alla pubblicazione del provvedimento sul sito del Garante.