Una recente decisione del Garante per la protezione dei dati personali riporta al centro dell’attenzione un tema delicato: fino a che punto un professionista può adottare strumenti di autotutela senza violare la normativa sulla protezione dei dati personali?
Con il provvedimento n. 388 del 10 luglio 2025, l’Autorità ha inflitto una sanzione amministrativa di 7.000 euro a una dottoressa, medico di base, per aver registrato alcune conversazioni con i pazienti durante le visite ambulatoriali.

Il caso: registrazioni per difendersi da aggressioni e contestazioni
Secondo quanto dichiarato dalla professionista nelle memorie difensive, la decisione di registrare le visite non sarebbe nata da una sottovalutazione delle norme sulla privacy, ma da una situazione lavorativa diventata particolarmente difficile.
La dottoressa ha spiegato che, a partire dall’estate 2021, durante la sua attività di medico di base si sarebbero verificati diversi episodi problematici con i pazienti:
•    offese personali,
•    aggressioni verbali,
•    minacce di denuncia,
•    numerose segnalazioni all’ufficio relazioni con il pubblico.

Una situazione che avrebbe generato uno stato di forte stress e preoccupazione, tanto da spingerla a valutare le dimissioni. Dopo essersi confrontata con i propri legali, la professionista ha quindi deciso di utilizzare un registratore durante alcune visite, ritenendolo uno strumento di autotutela difensiva in caso di contestazioni.

Il reclamo di una paziente e l’intervento del Garante
La vicenda è arrivata all’attenzione del Garante a seguito del reclamo di una paziente che, pur avendo inizialmente prestato consenso alla registrazione, ha successivamente segnalato il fatto all’Autorità.

Nel corso dell’istruttoria è emerso che:
•    la dottoressa informava verbalmente i pazienti della registrazione;
•    veniva richiesto il loro assenso prima di procedere;
•    le registrazioni erano conservate su un Mac portatile protetto da password, accessibile esclusivamente alla professionista;
•    il materiale non era stato diffuso né comunicato a terzi.

Nonostante ciò, il Garante per la protezione dei dati personali ha ritenuto che il trattamento dei dati non fosse conforme alla normativa.

Le motivazioni della sanzione
Il provvedimento non contesta tanto l’intenzione della professionista, quanto il mancato rispetto di alcuni principi fondamentali del GDPR, in particolare:
•    principio di trasparenza;
•    obblighi informativi verso gli interessati;
•    mancato riscontro iniziale a una richiesta di informazioni dell’Autorità.

Secondo il Garante, la registrazione delle visite non risultava necessaria alle finalità di cura, e soprattutto mancava un’informativa privacy formale e adeguata ai pazienti.
In altre parole, l’avviso verbale e il consenso informale non sono stati considerati sufficienti per legittimare il trattamento dei dati personali in un contesto sanitario.

L’Autorità ha comunque riconosciuto alcune circostanze attenuanti, tra cui:
•    l’assenza di precedenti violazioni;
•    la mancata diffusione dei dati;
•    la conservazione protetta delle registrazioni.
Oltre alla sanzione economica, è stata quindi disposta una misura correttiva, imponendo alla professionista di predisporre un’adeguata informativa entro 60 giorni.

Una lezione importante per i professionisti sanitari
Questo caso evidenzia un punto fondamentale: anche quando le finalità sono legittime o comprensibili sul piano umano, il trattamento dei dati deve sempre rispettare i requisiti formali previsti dal GDPR.

Nel settore sanitario, in particolare, è necessario prestare grande attenzione a:
•    base giuridica del trattamento
•    necessità e proporzionalità delle attività svolte
•    informativa privacy chiara e documentata
•    gestione e conservazione sicura dei dati

In assenza di questi elementi, anche strumenti utilizzati con finalità difensive possono essere considerati trattamenti non conformi alla normativa.

Il punto per studi medici e professionisti
La crescente conflittualità tra operatori sanitari e utenza porta sempre più professionisti a cercare strumenti di tutela. Tuttavia, prima di introdurre sistemi di registrazione, videosorveglianza o altri strumenti di controllo, è fondamentale valutare attentamente la conformità al GDPR e predisporre tutta la documentazione necessaria.
Un’analisi preventiva dei rischi e delle basi giuridiche può evitare sanzioni e garantire allo stesso tempo la tutela sia del professionista sia dei pazienti, contattaci per una consulenza.