Garante per la Privacy: social network e salute

Il Garante per la Privacy intende imporre a siti, blog e social network che si occupano di salute la pubblicazione di una speciale avvertenza: l’obiettivo è quello di ricordare agli utenti che parlare delle proprie condizioni di salute online può determinare una situazione di rischio.

Chi ha una formazione o un’esperienza adeguata già ben sa che ogni dato sensibile pubblicato online determina un possibile rischio. Soprattutto se è un dato sensibile. Soprattutto se si palesa una propria debolezza, quale ad esempio una patologia da curare. Il Garante intende agire ad un livello preventivo, facendo sì che tutti possano essere adeguatamente informati su quel che si va ad affrontare nel momento in cui ci si rivolge online per avere informazioni su temi tanto delicati quanto quelli sulla salute.

Più tutele per chi è iscritto a social network dedicati alla salute, partecipa a blog e a forum di discussione o segue siti web che si occupano esclusivamente di tematiche sanitarie. Da oggi in poi i gestori di questi siti saranno tenuti a fornire agli utenti una specifica “avvertenza”, che informi sui rischi di esporsi in rete con la propria patologia.

La Rete, del resto, è piena di siti, blog o forum nei quali utenti (non sempre con account anonimo) riversano i propri problemi: dal vezzo estetico alla grave patologia, un problema di salute porta impulsivamente a cercare informazioni ove lo scambio di opinioni genera importanti database di casi simili, percorsi problematici e possibili soluzioni. Le “Linee Guida” pubblicate dal Garante sulla Gazzetta Ufficiale andranno ad incidere su tutti questi riferimenti online, imponendo precise linee di comportamento a salvaguardia dell’utente finale.

In base alle Linee guida del Garante, i gestori di siti, blog, forum, social network dedicati a tematiche relative alla salute, che prevedano o meno la registrazione degli utenti, dovranno inserire nella loro home page una specifica “avvertenza di rischio“, il cui scopo sarà quello di richiamare l’attenzione sui rischi connessi al fatto di rendersi identificabili sul web in relazione alla propria patologia. E questo anche alla luce della possibilità che tali informazioni possano essere indicizzate dai motori di ricerca generalisti o conosciuti dalla generalità degli utenti Internet e non dai soli iscritti al sito.

Non solo l’avviso sarà pubblicato e disponibile, ma l’utente dovrà dare anche esplicito assenso per presa visione, così come spesso succede in relazione alle disposizioni previste circa le norme per la tutela della privacy:

L’utente, così avvisato, potrà fare attenzione e decidere in modo più consapevole se inserire o meno dati personali (es. nome, cognome e-mail etc.) che possano rivelare, anche indirettamente, la propria identità o quella di terzi, così come se pubblicare foto o video che consentano di rendere identificabili persone e luoghi. L’utente sarà invitato a dare conferma di aver preso visione dell’ “avvertenza di rischio”, barrando un’apposita casella.

Infine, i gestori di tali siti dovranno adoperare particolari cautele nel proteggere e gestire le informazioni personali raccolte poiché l’ambito è particolarmente sensibile e la responsabilizzazione di tutte le parti coinvolte è cosa essenziale per tutelare appieno la sicurezza della persona.

I siti che prevedono la registrazione saranno tenuti anche ad informare gli utenti sugli scopi per i quali i dati sono richiesti, sulle modalità del loro trattamento, sui tempi di conservazione,  sul diritto di cancellare, aggiornare, rettificare o integrare i dati così raccolti, come previsto dal Codice privacy.

Il Garante ha stabilito, infine, che i dati raccolti dai gestori dei siti dovranno essere protetti da rigorose misure di sicurezza, dovranno restare riservati e non essere comunicati o diffusi a terzi, e dovranno essere trattati solo da personale autorizzato.

Se la tutela della privacy di un comune cittadino è cosa importante, a maggior ragione lo è quando il cittadino è potenzialmente afflitto da patologie di vario tipo, quando le sue cautele mentali sono ridotte e quando la sua condizione generale impone ad un agente terzo regole specifiche per evitare che alcuno possa approfittarsi di un momento di debolezza.

Le Linee Guida sulla Gazzetta Ufficiale

1. Premessa
Il ricorso alle potenzialità del web con riferimento alle tematiche relative alla salute rappresenta una realtà in costante evoluzione.

Lo scambio quotidiano tra utenti di informazioni, consigli, commenti e testimonianze, nei siti che si occupano di tali tematiche, testimonia l’utilità e il valore di queste esperienze sia con riguardo alla condivisione di conoscenze scientifiche sia con riguardo alla creazione di uno spazio di solidarietà e di reciproco sostegno umano.

Anche per questo è opportuno che il trattamento dei dati personali identificativi e sensibili degli utenti nell’ambito di siti web dedicati esclusivamente alla salute, all’interno dei quali si richiedono consigli, si scambiano informazioni e si inviano commenti, avvenga oltre che nel rispetto della disciplina sulla protezione dei dati personali e, in particolare, dei principi di pertinenza e non eccedenza, di correttezza e buona fede (art. 11 del Codice), anche delle specifiche indicazioni contenute nelle presenti Linee-guida.

Con il presente provvedimento il Garante ritiene utile fornire indicazioni e raccomandazioni, allo scopo di prevenire i rischi connessi alla pubblicazione e diffusione dei dati relativi alla salute in Internet e, in particolare, di evitare un’impropria esposizione delle persone e dei loro dati più intimi nella rete. Ciò anche al fine di consentire agli utenti di partecipare, con maggior consapevolezza, a questi spazi di scambio di informazioni e di reciproca manifestazione di solidarietà.

2. Ambito considerato
Le presenti linee-guida riguardano i gestori dei siti web dedicati esclusivamente alla salute (specifici forum e blog, specifiche sezioni di portali che contengono informazioni sanitarie, nonché social network che si occupano di tematiche sulla salute attraverso specifici profili, aperti da soggetti privati con  finalità di  sensibilizzazione e confronto in tale ambito) in cui si svolge un’attività di carattere meramente divulgativo e conoscitivo, non solo con riferimento alle informazioni e ai commenti che si scambiano gli utenti, ma anche con riferimento ai consigli o alle “consulenze” mediche che vengono dagli stessi richieste.

Pertanto, non rientrano nell’ambito considerato dalle linee-guida i servizi di assistenza sanitaria on line e la telemedicina che, con riguardo alla cura della salute, si inquadrano invece nella prestazione medica in senso stretto.

3. Trattamento dei dati personali nei siti web esclusivamente dedicati alla salute
Nell’ambito dei diversi siti web dedicati esclusivamente alla salute, allo stato attuale è possibile individuare siti che prevedono la registrazione dell’utente per partecipare alle relative attività e siti che non prevedono tale registrazione.

a) Nei siti che prevedono la registrazione dell’utente, tramite la raccolta dei dati di iscrizione (quali, ad esempio, il nome e l’indirizzo di posta elettronica dell’utente, la data di nascita, la residenza, il domicilio o altri dati utili all’identificazione dello stesso) al gestore del sito che, in qualità di titolare del trattamento è tenuto a porre in essere gli adempimenti previsti dalla normativa in materia di protezione dei dati personali, si raccomanda anche di adottare le ulteriori misure, indicate di seguito al punto 4.1.
b) Nei siti che non prevedono la registrazione dell’utente, al gestore del sito si raccomanda comunque di conformare il proprio comportamento a profili di sicurezza idonei ad evitare i rischi connessi alla pubblicazione e diffusione nel web di dati relativi alla salute degli utenti, in particolare attraverso l’adozione della specifica avvertenza di rischio di seguito indicata al punto 4.2.1.

4. Adempimenti dei gestori dei siti

• 4.1. Siti web esclusivamente dedicati alla salute che prevedono la registrazione dell’utente
  • 4.1.1. Informativa (art. 13 del Codice)
    Con riguardo ai siti che prevedono la registrazione degli utenti, il gestore, in quanto titolare del trattamento, è tenuto, ai sensi dell’art. 13 del Codice, a:
    • fornire l’informativa agli interessati prima della compilazione del modulo (form) di raccolta dei dati di registrazione. Tale informativa deve essere consultabile in qualsiasi momento in un’apposita pagina del sito ad essa dedicata;
    • indicare le finalità per le quali i dati sono raccolti e le modalità del relativo trattamento;
    • specificare quali dati di registrazione sono ritenuti necessari per partecipare alle attività del sito e quali dati sono invece ritenuti facoltativi;
    • indicare i tempi di conservazione dei dati personali raccolti;
    • indicare i diritti di cui all’art. 7 del Codice e rendere sempre visibili e facilmente reperibili i propri estremi identificativi in qualità di titolare del trattamento, ovvero quelli di altro soggetto designato responsabile, cui sia possibile chiedere riscontro in relazione ai diritti di cui al menzionato art. 7 del Codice;
    • invitare l’utente a confermare, apponendo un segno di spunta in un’apposita casella,  l’avvenuta presa visione dell’informativa al fine di registrarsi al sito.
  • 4.1.2. Specifica “avvertenza di rischio”
    In considerazione della particolare delicatezza dei dati personali che vengono trattati nei siti web esclusivamente dedicati alla salute, al gestore è richiesto di rendere anche una specifica “avvertenza di rischio”.
    Tale avvertenza è tesa a richiamare l’attenzione dell’utente sul rischio che, immettendo dati sensibili collegati a dati identificativi nel sito web, si può essere individuati con la propria specifica patologia. L’avvertenza è volta inoltre ad indicare all’utente le misure necessarie a tutelarne la riservatezza, sia nella fase della registrazione sia nella fase dell’inserimento dei contenuti nello spazio web ad essi dedicato.
    1. Rispetto ai dati di registrazione al gestore si raccomanda di:
       • specificare che, qualora l’utente desideri mantenere l’anonimato, è possibile non inserire il proprio nome e cognome tra i dati di registrazione, utilizzando, invece un nickname che non consenta di risalire alla relativa identità;
       • specificare che i dati di contatto (quali ad esempio l’indirizzo di posta elettronica) da fornire eventualmente all’atto della registrazione al sito non vengono automaticamente pubblicati sul sito stesso unitamente ai commenti dell’utente.
    2. Rispetto ai contenuti immessi dall’utente al gestore si raccomanda di:
       • avvertire l’utente di valutare con la necessaria attenzione l’opportunità, nei propri interventi, di inserire, o meno, dati personali – compreso l’indirizzo e-mail- che possano rivelarne, anche indirettamente, l’identità (si pensi, ad esempio, al caso in cui in cui l’utente, nel testimoniare la propria esperienza o descrivere il  proprio stato di salute, inserisca riferimenti a luoghi, persone, circostanze e contesti che consentano anche indirettamente di risalire alla sua identità);
       • avvertire l’utente di valutare l’opportunità di pubblicare, o meno, foto o video che consentano di identificare o rendere identificabili persone e luoghi;
       • avvertire l’utente di prestare particolare attenzione alla possibilità di inserire, nei propri interventi (postati nei diversi spazi dedicati alla salute), dati che possano rivelare, anche indirettamente, l’identità di terzi, quali, ad esempio, altre persone accomunate all’autore del post dalla medesima patologia, esperienza umana o percorso medico;
       • specificare l’ambito di conoscibilità dei dati propri o altrui, immessi dall’utente, in particolare precisando se tali dati siano consultabili soltanto dagli iscritti al sito, ovvero da qualsiasi utente che acceda al sito stesso (reperibilità dei dati mediante funzionalità di ricerca interne al sito);
       • precisare se i dati sono indicizzabili e reperibili o meno anche dai motori di ricerca generalisti (Google, Yahoo etc.);
       • invitare l’utente a confermare, apponendo un segno di spunta in un’apposita casella,  l’avvenuta presa visione dell’avvertenza di rischio.

       L’avvertenza di rischio può essere richiamata dal gestore anche eventualmente attraverso l’inserimento, nella home page del sito, di un’immagine che rimandi l’utente al testo dell’avvertenza stessa.

  • 4.1.3. Esercizio dei diritti
    L’interessato può esercitare nei confronti del gestore del sito i diritti previsti dall’art. 7 del Codice con riferimento ai dati richiesti dal gestore stesso e forniti dall’utente.In particolare l’interessato ha sempre il diritto, qualora non intenda più partecipare alle  attività del sito (forum, blog etc.), di ottenere la cancellazione dei propri dati personali rilasciati su richiesta del gestore; analogamente, può richiedere l’aggiornamento, la rettificazione ovvero l’integrazione dei dati stessi. A tal fine l’interessato può rivolgere un’apposita richiesta al gestore del sito, in quanto titolare del trattamento, secondo le modalità previste dal Codice (artt. 8 e 9).
  • 4.1.4. Misure di sicurezza
    I dati raccolti dal gestore del sito su sua richiesta devono essere protetti con idonee e preventive misure di sicurezza, riducendo al minimo i rischi di distruzione, di perdita, anche accidentale, di accesso non autorizzato, di trattamento non consentito o non conforme alle finalità della raccolta (art. 31 e ss. del Codice).I dati raccolti dal gestore devono restare riservati (ivi compreso l’indirizzo e-mail) e non possono essere comunicati o diffusi a terzi.Nel caso il servizio sia realizzato per il tramite di un sito web con un’organizzazione (ad esempio editoriale) che prevede diverse figure professionali che acquisiscono dati personali raccolti su richiesta del gestore del sito, quest’ultimo deve garantire che i dati dell’utente non siano utilizzati da personale non autorizzato e per finalità che non sono conformi alla volontà espressa o implicita dell’utente stesso.Restano ferme le misure già previste dall’allegato B al Codice (Disciplinare tecnico in materia di misure minime di sicurezza), nonché quelle impartite con il provvedimento dell’Autorità relativo agli amministratori di sistema (Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema – 27 novembre 2008, doc. web n. 1577499).
• 4.2. Siti web esclusivamente dedicati alla salute che non prevedono la registrazione dell’utente
  • 4.2.1. Specifica “avvertenza di rischio”
    Nei siti dedicati alla salute che non prevedono la registrazione dell’utente, ai gestori non è richiesto di rilasciare l’informativa di cui all’art. 13 del Codice, in quanto non vi è trattamento di dati personali di registrazione. Negli spazi previsti in tali siti vengono però inseriti dati di particolare delicatezza, quali i dati relativi alla salute dell’utente. Pertanto, al gestore è richiesto di fornire, per le ragioni precedentemente esposte, la specifica avvertenza di rischio  prevista al punto 4.1.3. Al gestore  si raccomanda quindi di:
    • avvertire l’utente che eventuali dati di contatto (quali ad esempio l’indirizzo di posta elettronica) inseriti dallo stesso possono essere pubblicati unitamente ai relativi commenti;
    • avvertire l’utente di valutare con la necessaria attenzione l’opportunità, nei propri interventi, di inserire, o meno, dati personali – compreso l’indirizzo e-mail- che possano rivelarne, anche indirettamente, l’identità;
    • avvertire l’utente di valutare l’opportunità di pubblicare, o meno, foto o video che consentano di identificare o rendere identificabili persone e luoghi;
    • avvertire l’utente di prestare particolare attenzione alla possibilità di  inserire, nei propri interventi (postati nei diversi spazi dedicati alla salute), dati che possano rivelare, anche indirettamente, l’identità di terzi, quali, ad esempio, altre persone accomunate all’autore del post dalla medesima patologia, esperienza umana o percorso medico;
    • specificare l’ambito di conoscibilità dei dati propri o altrui, immessi dall’utente, in particolare precisando se tali dati siano consultabili soltanto dagli iscritti al sito, ovvero da qualsiasi utente che acceda al sito stesso (reperibilità dei dati mediante funzionalità di ricerca interne al sito);
    • precisare se i dati sono indicizzabili e reperibili o meno anche dai motori di ricerca generalisti (Google, Yahoo etc.);
    • invitare l’utente a confermare, apponendo un segno di spunta in un’apposita casella,  l’avvenuta presa visione dell’avvertenza di rischio.

    L’avvertenza di rischio può essere richiamata dal gestore anche eventualmente attraverso l’inserimento, nella home page del sito, di un’immagine che rimandi l’utente al testo dell’avvertenza stessa.