Violazione della privacy: la pubblicazione non autorizzata delle immagini di una paziente.

Un medico sanzionato per aver diffuso sui social le foto di un intervento estetico, in violazione delle normative sulla protezione dei dati personali.

La tutela della privacy, come ormai ben noto, è garantita, oltre che dal cd. Codice della privacy, dal Regolamento (UE) 2016/679, meglio noto come GDPR (General Data Protection Regulation). Il GDPR definisce un quadro generale in materia di tutela dei dati personali, imponendo a chi tratti informazioni sensibili di adottare misure appropriate per garantire la sicurezza dei soggetti coinvolti. Per "trattamento" si fa riferimento a qualsiasi operazione o insieme di operazioni che, utilizzando o meno processi automatizzati, coinvolga dati personali. Per "dato personale" si intende invece qualsiasi informazione riguardante una pesona fisica identificata o identificabile. Oltre alla categoria generale di dato personale, il GDPR all'art. 9 individua alcune categorie di dati personali particolari, come per esempio i dati relativi alla salute, il cui trattamento è vietato in ragione della loro natura, ad eccezione dei casi specificatamente previsti dalla legge.

Un interessante e attuale caso di applicazione del GDPR è quello relativo alla sanzione applicata ad un medico chirurgo per aver pubblicato sui social le foto di un lifting eseguito ad una sua paziente. Quest'ultima ha presentato reclamo al Garante della Privacy, lamentando la diffusione non autorizzata delle proprie immagini prima e dopo un intervento di medicina estetica da parte del chirurgo. Le fotografie sono accompagnate dal logo del medico e mostrano chiaramente il volto della paziente, senza il suo consenso per la divulgazione.

A seguito dell'istruttoria, il Garante ha dichiarato illecito il trattamento dei dati della paziente, in quanto avvenuto in violazione del GDPR. La pubblicazione delle immagini relative alla paziente su Instagram, senza idonea base giuridica per tale uso, ha costituito una diffusione non autorizzata di dati di categoria particolare, violando anche le disposizioni dell'art. 2-septies, comma 8, del Codice Privacy. La suddetta disposizione vieta la diffusione di dati relativi alla salute, genetici e biometrici.

Il Garante Privacy evidenzia, altresì, di aver ribadito in diversi provvedimenti analoghi, che "non è consentita la pubblicazione di informazioni relative alla malattia, invalidità, disabilità o altre condizioni di salute, e che i documenti pubblici devono evitare il trattamento di dati "eccedenti" o "non pertinenti" alle finalità del trattamento". In caso contrario, è necessario oscurare tali informazioni.

Il Garante ha quindi deciso di applicare una sanzione amministrativa pecuniaria di Euro 20.000 euro al medico per la violazione degli articoli 5 e 9 del GDPR, nonché dell'art. 2-septies, comma 8, del Codice Privacy.

Il caso evidenzia quanto la tutela della privacy sia un principio fondamentale e, soprattutto in ambito sanitario, sia un diritto inviolabile. Tutti coloro che trattano dati e, in particolare, i professionisti della salute devono essere consapevoli delle implicazioni legali legate al trattamento dei dati particolari e della necessità di proteggere adeguatamente la privacy dei pazienti, rispettando in ogni momento la normativa sul trattamento dei dati personali. Prima di procedere alla pubblicazione di immagini di pazienti sui social è necessario fornire al paziente una informativa chiara e precisa delle finalità del trattamento, nonchè ottenere il suo consenso esplicito e specifico; inoltre, il paziente deve poter revocare il proprio consenso in qualsiasi momento ex art. 7, par. 3, GDPR.

In definitiva, questo caso ci ricorda che il rispetto delle normative sulla privacy non è un'opzione, ma un obbligo legale oltreché etico.

Copyright Leexè 2026 | riproduzione riservata