L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre d'un professionnel de santé, comprenant le prononcé d'une amende de 5 000 €, pour des manquements liés à la diffusion de données de santé sur les réseaux sociaux. Cette affaire débute par la plainte d'une patiente signalant la publication de photographies de son intervention chirurgicale sur le profil public Instagram du professionnel, sans son consentement pour cette diffusion.

L’enquête menée par l’autorité a permis de constater :
* Principes de licéité, loyauté, transparence, limitation des finalités et minimisation des données (article 5, paragraphe 1, points a), b) et c) du RGPD) et interdiction du traitement de données de santé (article 9 du RGPD) : Le professionnel de santé a diffusé sur son profil Instagram des photographies d'une patiente relatives à une intervention chirurgicale. Bien qu'il ait recueilli un consentement via un formulaire standard de l'Association Italienne de Chirurgie Plastique Esthétique (AICPE) prévoyant une utilisation à des fins scientifiques avec garantie d'anonymat, l'autorité a jugé que les images n'étaient pas réellement anonymisées, la patiente restant identifiable au moins par son entourage. Le consentement n'a donc pas été considéré comme valable, car il reposait sur la prémisse d'une diffusion de données anonymes, ce qui n'a pas été réalisé. La diffusion de ces données de santé, en l'absence d'une base juridique valide, a été jugée illicite.

En conséquence, l’autorité a imposé une amende de 5 000 € au professionnel de santé.

En outre, l’autorité a ordonné au professionnel de santé de réviser ses documents d'information et de consentement sous 90 jours, notamment pour distinguer le traitement de données anonymisées de celui nécessitant un consentement spécifique, pour ne plus demander le consentement pour les traitements nécessaires aux soins, et pour préciser les durées de conservation des données pour chaque finalité.