Cure solo a pazienti con green pass o tamponi rapidi: condotta illecita

Compie una condotta illecita la struttura sanitaria che presta i servizi di cura soltanto ai pazienti muniti di green pass o che si sottopongono a un tampone rapido.

Volume consigliato: Formulario commentato della privacy

1. I fatti

Il Garante per la protezione dei dati personali riceveva una segnalazione in ordine al fatto che una casa di cura laziale aveva deciso di limitare l’accesso a coloro i quali fossero in possesso di una certificazione verde Covid-19 (c.d. green pass). Pertanto, il Garante avviava una verifica d’ufficio sul sito web della casa di cura e appurava che l’indicazione sull’accesso alla struttura solo ai soggetti muniti di green pass era riportata anche su detto sito web.
Pertanto il Garante, dopo aver richiesto informazioni alla casa di cura, apriva il procedimento sanzionatorio nei suoi confronti, invitandola a depositare delle memorie difensive.
La struttura sanitaria sosteneva , in primo luogo, di non aver mai limitato l’accesso alle prestazioni sanitarie solo a coloro che fossero in possesso della certificazione verde. Infatti, qualora un paziente non era in possesso del green pass, la struttura offriva gratuitamente la possibilità di sottoporsi ad un test antigenico rapido o, in caso di rifiuto, permetteva di usufruire delle prestazioni all’interno di locali appositamente adibiti per l’erogazione dei servizi con misure anticontagio rafforzate.
In secondo luogo, la struttura sanitaria sosteneva che il controllo non aveva riguardato tutti i pazienti e i visitatori della clinica, ma era stato effettuato a campione sui medesimi e anche sui dipendenti. Inoltre, a partire da una certa data la struttura sanitaria aveva interrotto anche i controlli a campione.
Per quanto riguarda il regolamento degli accessi alla struttura sanitaria, che era stato rinvenuto dal Garante all’interno del sito web, la clinica sosteneva che lo stesso era stato formalmente adottato, ma non aveva avuto attuazione. Mentre era stato lasciato sul sito internet soltanto per una mera dimenticanza.
Infine, la struttura sanitaria sosteneva che le regole di accesso emanate dalla Regione Lazio relativamente alle strutture sanitarie presenti nel territorio aveva contribuito a rendere non chiara la disciplina, condizionando anche la stessa clinica nell’individuare le modalità di accesso ai locali. Ad ogni modo, la clinica aveva provveduto ad aggiornare detto regolamento.
In conclusione, la struttura sanitaria faceva presente di non aver conservato o trattato ulteriormente i dati che erano stati raccolti con riferimento al possesso o meno del green pass.
Per avere un quadro più chiaro sugli aspetti essenziali e procedurali legati al trattamento dei dati personali e a tutte le attività connesse, si consiglia il seguente volume, nel quale la normativa di riferimento viene commentata e analizzata, con un taglio che rende il volume un valido strumento pratico per approfondire la materia.

2. Cure solo a pazienti con green pass o tampone rapido: la valutazione del Garante

Il Garante, nell’esaminare il caso oggetto di segnalazione, ha in primo luogo evidenziato che i dati personali devono essere trattati in modo lecito, corretto e trasparente e devono essere raccolti per finalità determinate, esplicite e legittime.
Fin dall’inizio della pandemia, sono state adottate numerose normative d’urgenza contenenti anche disposizioni in ordine al trattamento dei dati personali: in particolare, per quanto riguarda il trattamento dei dati effettuato attraverso il controllo dei green pass, poiché lo stesso configura un trattamento effettuato per motivi di sanità pubblica, trova la sua legittimità nella normativa di settore e non anche nel consenso dell’interessato.
Per quanto riguarda, nello specifico, l’accesso alle strutture sanitarie, il Garante ha ricordato di aver più volte reso pareri in cui ha ritenuto che le certificazioni attestanti l’avvenuta vaccinazione o guarigione da Covid-19 o l’esito negativo di un test antigenico o molecolare non possano essere ritenute una condizione necessaria per consentire l’accesso a luoghi o servizi o per l’instaurazione o l’individuazione delle modalità di svolgimento di rapporti giuridici, se non nei limiti in cui ciò è previsto da una norma di rango primario, nell’ambito dell’adozione delle misure di sanità pubblica necessarie per il contenimento del virus. Tuttavia, alcuna normativa ha previsto che fosse richiesta la certificazione verde per esigenze di salute, per le quali è sempre stato infatti consentito l’accesso per l’approvvigionamento di farmaci e dispositivi medici e, comunque, per ogni finalità di prevenzione, diagnosi e cura.
Inoltre, dalla fine dello stato di emergenza, l’accesso degli utenti e dei loro accompagnatori a strutture sanitarie, sociosanitarie e studi medici, pubblici o privati, per ogni finalità di prevenzione, diagnosi e cura è stato consentito senza che gli stessi dovessero esibire la propria certificazione verde Covid-19.
Il Garante ha altresì ricordato di essere in precedenza intervenuto in relazione ad alcune iniziative locali nell’ambito delle quali veniva richiesta l’esibizione delle certificazioni verdi nel contesto sanitario, richiamando l’attenzione delle Regioni sulla necessità di soprassedere dall’adottare o dal dare attuazione ad iniziative territoriali che prevedano l’uso delle certificazioni verdi per finalità ulteriori e con modalità difformi rispetto a quelle espressamente previste dalla legge nazionale.
In considerazione di ciò, il Garante ha ritenuto che la condotta posta in essere dalla struttura sanitaria, oltre a non essere prevista da alcuna norma di rango primario, ha determinato un trattamento di dati in contrasto con i principi di liceità e correttezza del trattamento e di limitazione della finalità. Infatti, la decisione della Casa di cura di offrire gratuitamente a chi non era in possesso di certificazione verde la possibilità di sottoporsi ad un test antigenico rapido o, in caso di rifiuto, di consentire loro di usufruire delle prestazioni all’interno di locali appositamente adibiti, ha determinato un trattamento di dati dei pazienti che decidevano di non mostrare le loro certificazioni verdi in contrasto con il principio di liceità e correttezza del trattamento e di limitazione della finalità nonché ha determinato di fatto un trattamento differenziato e potenzialmente discriminatorio degli interessati.

3. La decisione del Garante

In considerazione di quanto sopra, il Garante ha ritenuto necessario sanzionare la struttura sanitaria mediante una sanzione amministrativa pecuniaria.
Per quanto riguarda la quantificazione della predetta sanzione, il Garante, da un lato, ha valutato di aver preso conoscenza dell’evento soltanto a seguito di una segnalazione e che il trattamento si è protratto per 5 mesi, riguardando un numero presumibile di interessati pari a 675, nonché il fatto che il Garante era già intervenuto sul tema con numerosi provvedimenti. Dall’altra parte, come circostanze attenuanti, il Garante ha tenuto conto del fatto che la società ha cooperato per porre rimedio alla violazione ed ha operato in buona fede al fine di tutelare lo stato di salute dei pazienti e dei professionisti ivi presenti.
Sulla base di tali presupposti, il Garante ha ritenuto di quantificare la sanzione amministrativa pecuniaria in €. 60.000 (sessantamila).