L'autorité de protection des données personnelles italienne (GPDP) a publié une décision de sanction à l'encontre d'une médecin, comprenant le prononcé d'une amende de 5 000 €, pour des manquements en lien avec la diffusion en ligne de données de santé relatives à un patient mineur décédé. Cette affaire débute par le signalement de la mère du patient, qui demandait le retrait d'une affiche de congrès publiée en ligne, laquelle contenait une photographie de son enfant.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement et interdiction de traiter des catégories particulières de données (article 5 du RGPD et article 9 du RGPD) : Une médecin a diffusé des données de santé en soumettant pour un congrès une affiche scientifique contenant la photographie d'un patient mineur décédé. L'autorité a estimé que le simple masquage des yeux, combiné aux détails cliniques et familiaux, ne constituait pas une anonymisation suffisante, les informations restant des données de santé indirectement identifiantes. Le consentement obtenu du père du patient n'était pas valable car il ne portait que sur la communication de données anonymes. La médecin, en tant que soumissionnaire du projet, aurait dû soit anonymiser correctement les données, soit obtenir un consentement spécifique et éclairé pour la diffusion de données pseudonymisées.

En conséquence, l’autorité a imposé une amende de 5 000 € à la médecin.
En outre, l’autorité a ordonné la publication de la décision sur son site internet.