Gruppo WhatsApp, dati sanitari e foto sui social: privacy e deontologia
Un'agenzia di assicurazioni ha creato un gruppo WhatsApp «Clienti Vita» con 280 contatti, dove pubblica offerte e promemoria delle scadenze; i numeri di telefono di tutti sono visibili. Un collaboratore, per chiudere una pratica, invia con la propria email personale il questionario sanitario di un cliente, compilato con diagnosi di diabete e cardiopatia, all'ufficio sottoscrizione della compagnia; il file non è protetto da password. Inoltre l'agenzia pubblica su Instagram la foto di una cliente con la polizza e la scritta «Finalmente assicurata!». La cliente chiede la cancellazione dei suoi dati e la rimozione della foto; l'agenzia risponde che «i dati servono per il contratto» e che «la foto è stata autorizzata a voce». La cliente aveva firmato solo il consenso al trattamento necessario per la polizza.
1. Quali violazioni privacy emergono e quali sono i ruoli dell'agenzia e del collaboratore?
Read the worked answer
L'agenzia è titolare o responsabile del trattamento a seconda del mandato; il collaboratore è incaricato e deve seguire le istruzioni. Il gruppo WhatsApp con 280 numeri visibili viola riservatezza e sicurezza: i dati dei clienti non possono essere comunicati agli altri partecipanti. Il questionario sanitario contiene dati particolari (art. 9 GDPR): va inviato con canali sicuri e cifrati, non con email personale non protetta.
La foto con nome e polizza richiede un consenso specifico e documentato; il consenso orale non è dimostrabile. manca inoltre la minimizzazione: non tutti i dati pubblicati sono necessari.
2. La richiesta di cancellazione della cliente può essere accolta?
Read the worked answer
La richiesta va riscontrata entro un mese. Non può essere accolta per i dati necessari al contratto e agli obblighi di legge (conservazione contrattuale, antiriciclaggio, fiscali); può essere accolta per la foto e per i dati non necessari, come l'iscrizione al gruppo WhatsApp.
L'agenzia deve indicare le basi giuridiche e i tempi di conservazione. Se il gruppo non è necessario per la gestione del rapporto, va chiuso; la foto va rimossa perché il consenso non è documentato.
3. Quali profili deontologici e quali conseguenze si prospettano?
Read the worked answer
La riservatezza è un dovere professionale: la divulgazione dei numeri e dei dati sanitari è grave e può portare a sanzioni disciplinari, oltre a quelle GDPR e al risarcimento del danno. La pubblicazione della foto senza consenso scritto espone a reclamo e a responsabilità civile.
L'agenzia deve formare i collaboratori, adottare canali sicuri, nominare un responsabile della protezione dei dati se ricorrono i presupposti e notificare eventuali data breach al Garante quando c'è rischio per i diritti degli interessati.