Un paziente propone reclamo al Garante Privacy per un trattamento dati contrario al GDPR da parte di un dentista con cui entrava in contatto tramite una delle tante piattaforme che offrono a medici e altri professionisti di cercare nuova clientela. Il conseguente provvedimento del Garante, con cui sanziona il dentista per un ammontare di circa 20.000 euro, offre non pochi spunti di riflessione.

Il paziente, dopo essersi iscritto sulla piattaforma, si era presentato allo studio del professionista e gli era stato chiesto di compilare un modulo in cui indicare se avesse avuto, o sospettasse, patologie quali tubercolosi, epatite e HIV; alla risposta affermativa su quest’ultima il dentista si rifiutava di prestare la propria opera, "salvo altri accorgimenti, per scongiurare un possibile contagio del personale e degli altri pazienti”. Il paziente sporgeva quindi reclamo al Garante per le modalità del trattamento dati e il professionista opponeva come quella di chiedere dette informazioni fosse prassi e suo dovere per proteggere anche altri pazienti.

Il Garante riteneva, peraltro, che vi fosse stato da parte del professionista una violazione del principio di minimizzazione del dato in quanto, già in altri provvedimenti, aveva statuito come sia eccessivo, in fase di accettazione, chiedere informazioni relative alla sieropositività indipendentemente dal tipo di intervento da effettuare o di piano di cura da intraprendere.

La difesa del professionista ha opposto come non si potesse considerare il momento di ingresso nello studio come quello di accettazione, in quanto questa sarebbe avvenuta al momento dell’iscrizione del paziente sulla piattaforma e, pertanto, si fosse già nella fase esecutiva del rapporto che legittimerebbe il dentista a richiedere i dati sensibili. Il reclamante, tuttavia, puntualizzava come il questionario gli fosse stato sottoposto dal dentista che lavorava in un laboratorio sostanzialmente individuale.

All’esito della sua istruttoria il Garante ha quindi ritenuto che il dentista abbia effettuato un trattamento di dati personali in violazione dei principi di base del trattamento di cui all’art. 5 Regolamento, per aver effettuato un trattamento di dati non pertinente rispetto alle finalità per le quali sono stati trattati. Nel provvedimento, che chiama in causa tutte le piattaforme che offrono servizi, il Garante ha posto in evidenza come sia non semplice individuare il momento in cui il paziente entra per la prima volta in contatto con lo studio e la fase di diagnosi e cura ma, in ogni caso, eventuali informazioni sulla presenza di HIV devono essere raccolte se necessarie per lo specifico piano terapeutico, previa oltretutto adeguata informazione per il consenso.

Nello specifico, oltretutto, non essendo stata prestata la terapia, il Garante ha rilevato l’eccessività delle informazioni richieste e la loro non pertinenza. In conclusione, il trattamento dati ha riguardato informazioni sullo stato di salute, in particolare HIV, per le quali è prevista una tutela rafforzata dell’interessato e potenzialmente di tutti i pazienti del professionista; inoltre l’interessato ha subito conseguenze pregiudizievoli per l’effetto della condotta del medico non avendo ricevuto la prestazione sanitaria richiesta e, infine, la violazione non ha carattere colposo. Da qui la sanzione, ritenuta anche dissuasiva, di 20.000,00 euro e la pubblicazione del provvedimento con il nome del professionista.

Si pone, a questo punto, un problema in materia di informative e consensi per tutte le piattaforme che mettono in contatto domanda e offerta non solo in ambito medico, ma anche per altri professionisti, al fine di comprendere come meglio predisporle per evitare altre sanzioni o problemi interpretativi.