Foto dei pazienti, attenzione alla privacy: cancellare il nome non basta

Usare foto e casi clinici di pazienti per congressi, pubblicazioni o formazione richiede attenzione: togliere nome e cognome o oscurare il volto non sempre impedisce di riconoscere la persona

Presentare un caso clinico a un congresso, mostrare una fotografia durante una lezione o utilizzare immagini in una pubblicazione scientifica sono attività frequenti nella professione sanitaria. Per il medico, però, l'interesse scientifico del caso non elimina gli obblighi di tutela del paziente. Prima di utilizzare una fotografia, un referto, un'immagine diagnostica o anche soltanto alcuni dettagli della storia clinica di un paziente, occorre verificare che non possa essere identificato attraverso il materiale diffuso. A richiamare l'attenzione su questo punto è un provvedimento del Garante per la protezione dei dati personali del 29 gennaio 2026, che ha sanzionato con 5.000 euro un medico per la pubblicazione su Instagram di fotografie di una paziente sottoposta a una rinosettoplastica. Il professionista aveva eliminato i dati anagrafici e adottato alcuni accorgimenti per rendere la donna meno riconoscibile. Per il Garante, tuttavia, le misure adottate non erano sufficienti: alcuni elementi fisiognomici rimasti visibili consentivano di identificare la paziente, almeno da parte di una cerchia ristretta di persone. È questo il punto centrale: una fotografia non diventa automaticamente anonima perché non riporta più il nome del paziente.

Una foto può identificare il paziente anche senza nome e cognome

Nella pratica professionale può sembrare sufficiente eliminare nome, cognome e altri dati anagrafici prima di inserire una fotografia in una presentazione o in una pubblicazione. Ma l'identità di una persona può emergere anche da ciò che resta nell'immagine. È quello che è accaduto nel caso esaminato dal Garante. Il medico aveva sostenuto che la paziente non fosse riconoscibile perché era stata fotografata con gli occhi chiusi, sdraiata e lateralmente. Aveva inoltre oscurato alcuni elementi del volto. L'Autorità ha però ritenuto che gli elementi fisiognomici ancora visibili permettessero comunque di identificarla, almeno per una cerchia ristretta di persone. Il ragionamento è particolarmente importante per chi utilizza immagini nella propria attività professionale: non è necessario che il paziente sia riconoscibile da chiunque. Anche la possibilità che venga identificato da persone che lo conoscono o che dispongono di altre informazioni può essere rilevante. Un volto parzialmente visibile, una cicatrice, un tatuaggio o una caratteristica fisica particolare possono quindi avere un peso diverso da quello che il professionista immagina. Lo stesso vale per fotografie che mostrano soltanto una parte del corpo, se quella parte presenta elementi riconoscibili.

Non bisogna guardare soltanto la fotografia, ma tutto il caso clinico

La fotografia, però, è soltanto una parte del problema. Anche il testo che accompagna un'immagine può contribuire a rendere identificabile il paziente. Pensiamo a un caso clinico relativo a una patologia rara: se alla descrizione vengono aggiunti l'età del paziente, il sesso, il periodo del ricovero, la struttura sanitaria, le caratteristiche della malattia e alcuni elementi della storia familiare, il nome potrebbe non essere necessario per capire di chi si sta parlando. Informazioni che prese singolarmente sembrano innocue possono diventare identificative quando vengono combinate tra loro. Per questo, quando un medico prepara una presentazione congressuale o un articolo scientifico, non dovrebbe limitarsi a controllare se il nome del paziente è stato eliminato, ma deve valutare l'intero materiale: fotografie, referti, immagini diagnostiche, anamnesi e descrizione del caso devono essere considerati insieme. La domanda da porsi non è quindi soltanto “Ho tolto il nome?”, ma soprattutto: “Qualcuno che conosce il paziente potrebbe capire che si tratta proprio di lui?”.

Anche oscurare il volto non risolve sempre il problema

Un altro accorgimento utilizzato frequentemente è l'oscuramento del volto. È certamente una misura che può ridurre il rischio di riconoscimento, ma non può essere considerata automaticamente sufficiente. Se nell'immagine rimangono altri elementi riconoscibili, oppure se il caso è accompagnato da informazioni molto specifiche, il paziente potrebbe essere comunque identificabile. Il provvedimento del Garante lo dimostra in modo concreto: il medico aveva adottato misure proprio per rendere meno riconoscibile la paziente, ma l'Autorità ha ritenuto che l'identificazione indiretta fosse ancora possibile. Per il professionista sanitario significa che l'immagine deve essere valutata non soltanto dal punto di vista clinico, ma anche da quello della privacy. Una fotografia può essere perfettamente utile per documentare un risultato chirurgico e, allo stesso tempo, contenere ancora elementi che permettono di riconoscere la persona.

Congresso, pubblicazione scientifica, corso o social: la finalità non basta

Le situazioni nelle quali questo problema può presentarsi sono numerose. Un medico può utilizzare una fotografia durante una presentazione congressuale, inserirla in un articolo scientifico, mostrarla durante un corso di formazione oppure condividerla online per finalità divulgative. Il fatto che l'utilizzo abbia una finalità scientifica, didattica o professionale non significa però che il materiale possa essere diffuso senza ulteriori verifiche. Nel caso deciso dal Garante, il medico aveva sostenuto che la pubblicazione su Instagram aveva finalità scientifiche e divulgative e non commerciali. L'Autorità ha comunque ritenuto illecito il trattamento dei dati, proprio perché le immagini non erano realmente anonime e non era stato individuato un valido presupposto per la loro diffusione. La finalità scientifica, quindi, non costituisce da sola una sorta di “via libera” alla pubblicazione. Questo vale anche per i social professionali: pubblicare una fotografia sul profilo dello studio o del medico comporta una diffusione del contenuto e non può essere equiparato alla semplice conservazione dell'immagine nella documentazione sanitaria o al suo utilizzo interno per la cura.

Il caso del neonato: quando foto e informazioni identificano il paziente

Un secondo caso esaminato dal Garante e illustrato nella Newsletter del 21 maggio 2026 offre un altro esempio concreto e particolarmente delicato della questione. Il caso riguardava un neonato affetto da una grave malformazione, le cui fotografie erano state utilizzate in un ePoster presentato a un convegno medico e successivamente pubblicate sul sito della Società italiana di pediatria, per poi essere rimosse. Il materiale conteneva, oltre alle immagini, numerose informazioni sulla storia clinica della famiglia, elementi che rendevano il minore identificabile, seppure da una cerchia limitata di persone. Il Garante ha quindi sanzionato il medico con 5.000 euro.

Nel corso dell'istruttoria, l'Autorità ha accertato che il medico non aveva adottato misure adeguate a impedire l'identificabilità diretta e indiretta del minore e non aveva acquisito il consenso dei genitori alla pubblicazione delle informazioni. Secondo il Garante, tale consenso era necessario per l'utilizzo di foto e immagini. Nel caso specifico, il medico avrebbe dovuto quindi acquisire il consenso dei genitori e successivamente sottoporre i dati a tecniche di pseudonimizzazione, oppure procedere all'anonimizzazione dei dati del minore. La vicenda conferma ancora una volta che foto e informazioni cliniche devono essere valutate nel loro insieme: anche quando un'immagine, considerata isolatamente, potrebbe sembrare poco identificativa, la combinazione con la storia clinica, familiare e con altri dettagli del caso può rendere riconoscibile il paziente.

Scopri come il team di OKPrivacy può aiutarti a proteggere i tuoi dati e quelli dei tuoi pazienti

Quando l'anonimizzazione non è possibile, serve una garanzia in più

Che cosa deve fare, dunque, il medico quando il caso è scientificamente rilevante ma non può essere realmente anonimizzato? Il Garante richiama il Codice di condotta per l'utilizzo dei dati sulla salute a fini didattici e di pubblicazione scientifica, secondo il quale i dati devono essere innanzitutto anonimizzati e, quando ciò non sia possibile per le caratteristiche cliniche o le peculiarità del caso, è necessario acquisire uno specifico consenso, libero e informato dell'interessato. Anche dopo aver ottenuto il consenso, i dati devono essere sottoposti a pseudonimizzazione prima della diffusione. Non basta, quindi, rendere il paziente semplicemente più difficile da riconoscere: se l'identificazione rimane possibile, il dato continua a essere personale e deve essere trattato nel rispetto delle garanzie previste dalla normativa.

Il consenso alla cura non significa automaticamente consenso alla pubblicazione

C'è poi una distinzione che nella pratica può essere facilmente trascurata. Il consenso del paziente alla prestazione sanitaria non equivale automaticamente all'autorizzazione a utilizzare fotografie e informazioni per finalità scientifiche, didattiche o divulgative. Il Garante chiarisce che il professionista sanitario non deve chiedere il consenso del paziente per i trattamenti dei dati strettamente necessari alla prestazione sanitaria richiesta, quando ricorrono le condizioni previste dalla normativa. Diverso è l'utilizzo successivo del materiale per una pubblicazione, una presentazione o una diffusione che esuli dalle necessità della cura. Nel caso esaminato a gennaio, proprio la documentazione relativa al consenso è stata valutata dal Garante. Il medico aveva utilizzato un modello nel quale era prevista la possibilità di utilizzare immagini e filmati per scopi scientifici e divulgativi garantendo l'anonimato. Ma, secondo l'Autorità, l'anonimizzazione non era stata effettivamente raggiunta e il consenso non poteva quindi legittimare la specifica diffusione effettuata.

Il Codice di deontologia medica tutela la non identificabilità

A rafforzare il principio non c'è soltanto la normativa sulla protezione dei dati personali. Nel provvedimento il Garante richiama anche l'articolo 11 del Codice di deontologia medica, che impone al medico di assicurare la non identificabilità dei soggetti coinvolti nelle pubblicazioni o divulgazioni scientifiche di dati e studi clinici. La regola vale quindi anche quando il professionista agisce con un obiettivo del tutto legittimo, come insegnare, fare ricerca, condividere un'esperienza clinica o presentare un caso a un congresso. Il valore scientifico del materiale non viene messo in discussione, ma deve essere bilanciato con la tutela della persona. In altre parole, il medico può avere un caso interessante da presentare, ma deve fare in modo che l'interesse scientifico non porti all'identificazione del paziente.

Scopri come il team di OKPrivacy può aiutarti a proteggere i tuoi dati e quelli dei tuoi pazienti

Prima di pubblicare una foto, bisogna guardare il caso con gli occhi di chi la vedrà

Nel lavoro quotidiano, dunque, il controllo richiede, quindi, di andare oltre la semplice cancellazione delle generalità. Prima di inserire un'immagine in una presentazione o in una pubblicazione, il medico dovrebbe verificare se siano ancora visibili il volto, caratteristiche fisiche particolari, cicatrici, tatuaggi o altri elementi riconoscibili, ma anche leggere con attenzione il testo che accompagna la fotografia. Età, patologia, luogo e periodo delle cure, storia familiare e altri dettagli potrebbero, nel loro insieme, restringere talmente il campo da rendere identificabile il paziente. Ancora più prudenza è necessaria quando il caso riguarda un minore, una patologia rara o una situazione clinica particolarmente riconoscibile. E bisogna considerare anche il destinatario: un'immagine che potrebbe non essere riconosciuta dal pubblico generale potrebbe invece essere immediatamente identificata da un familiare, un conoscente o un collega del paziente.

La privacy delle immagini deve essere gestita prima della pubblicazione

I due casi del 2026 mostrano che la questione non è impedire ai professionisti sanitari di fare ricerca, formazione o divulgazione scientifica. Il problema è utilizzare il materiale senza rendere riconoscibile il paziente o senza adottare le garanzie necessarie quando l'anonimizzazione non è possibile. Per una struttura sanitaria questo significa non lasciare la gestione delle immagini alla sola attenzione del singolo professionista, ma prevedere procedure chiare e indicazioni condivise su come utilizzare fotografie, documentazione clinica e casi reali. E un supporto specialistico può aiutare le strutture sanitarie a gestire correttamente gli adempimenti privacy e i rischi legati al trattamento dei dati personali, anche quando riguardano immagini, documentazione clinica e informazioni sui pazienti. È questo l'ambito in cui opera Ok Privacy, realtà specializzata nella gestione della privacy e nella conformità al GDPR per il settore sanitario.

La domanda da porsi, alla fine, è molto semplice: “Se ho tolto il nome, sono davvero sicuro che nessuno possa capire di chi si tratta?” Perché, come dimostrano i provvedimenti del Garante, una fotografia non diventa anonima semplicemente perché non contiene nome e cognome. Se il paziente può ancora essere riconosciuto attraverso il volto, le caratteristiche fisiche o la combinazione con altre informazioni, la verifica della privacy non è ancora terminata.

Scopri come il team di OKPrivacy può aiutarti a proteggere i tuoi dati e quelli dei tuoi pazienti