Ordinanza ingiunzione o revoca n. 345 del 20/10/2022

Azienda Ospedaliero-Universitaria Careggi di Firenze: invio illecito di referto sanitario via PEC e sanzione amministrativa

Il provvedimento riguarda l’Azienda Ospedaliero-Universitaria Careggi di Firenze ed è stato adottato in esito a una segnalazione relativa all’invio, via PEC, del referto sanitario di una paziente a un soggetto diverso e non legittimato a riceverlo. Il Garante ha qualificato l’episodio come trattamento illecito di dati relativi alla salute, imputandolo all’attività svolta dall’Azienda in qualità di responsabile del trattamento per conto di I.S.P.R.O.

Origine del procedimento e fatti contestati

La segnalazione proveniva da un interessato che aveva ricevuto nella propria casella PEC un messaggio con oggetto riferito a un referto di anatomia patologica, contenente in allegato il referto di un’altra persona. L’Azienda ha ricondotto l’evento a un mero errore materiale nell’ambito della procedura di invio dei referti via PEC, usata per gli utenti che ne avessero fatto richiesta scritta al momento dell’accettazione.

L’istruttoria ha riguardato anche il processo interno di gestione dei referti della S.O.D. Istologia Patologica e Diagnostica Molecolare, le istruzioni impartite al personale e le misure organizzative e tecniche adottate per la trasmissione dei documenti sanitari.

Qualificazione del ruolo dell’Azienda

L’Azienda ha sostenuto di non essere titolare del trattamento per la specifica attività, ma responsabile del trattamento rispetto a I.S.P.R.O., sulla base di un accordo quadro rinnovato il 1° marzo 2021 e di una scheda esecutiva che qualifica l’Azienda come responsabile ex art. 28 GDPR. Ha inoltre spiegato che, in ragione dell’emergenza pandemica e delle difficoltà di spostamento, la SOD trasmetteva via PEC i referti richiesti dagli utenti.

Il procedimento ha preso in esame, oltre al caso concreto, anche l’assetto organizzativo interno: accesso profilato al gestionale, scaricamento dei referti, salvataggio in cartella spool, verifica del destinatario e invio tramite PEC, con annotazione dell’avvenuta trasmissione.

Valutazioni del Garante sui principi applicabili

Il Garante ha richiamato la particolare protezione dovuta ai dati relativi alla salute e ha ricordato che tali dati possono essere comunicati solo all’interessato o a terzi in presenza di un idoneo presupposto giuridico o di delega scritta. Ha quindi ritenuto che la trasmissione del referto a un soggetto non autorizzato abbia integrato una comunicazione illecita di dati sanitari.

Secondo l’Autorità, il trattamento ha violato:

• l’art. 5, par. 1, lett. f), GDPR, per difetto di integrità e riservatezza;
• l’art. 9 GDPR, per comunicazione di dati sulla salute senza base giuridica idonea;
• l’art. 32 GDPR, per inadeguatezza delle misure tecniche e organizzative rispetto al rischio.

Difese dell’Azienda e misure organizzative descritte

Nelle memorie difensive l’Azienda ha descritto nel dettaglio il processo di formazione e consegna dei referti, sostenendo che il sistema fosse già strutturato in modo da distinguere i trattamenti per tipologia di assistito e per titolarità. Ha inoltre affermato che il referto errato era stato caricato perché l’operatore aveva dimenticato di svuotare la cartella spool e si era lasciato ingannare dalla quasi omonimia tra i nominativi.

L’Azienda ha evidenziato anche:

• l’ampia mole di referti gestiti dal personale amministrativo;
• l’assenza di un sistema strutturale difettoso;
• la successiva adozione di indicazioni operative per caricare un solo referto per volta e cancellarlo dopo l’invio;
• l’avvio di un confronto con ESTAR per implementare ulteriori misure di segregazione fisica o logica;
• la prospettiva di una futura migrazione verso un nuovo applicativo che ridurrebbe le operazioni manuali.

Esito istruttorio e qualificazione dell’illecito

Il Garante ha ritenuto che le difese non fossero sufficienti a superare i rilievi contestati. L’Autorità ha considerato che, pur in presenza di una rappresentata segregazione dei compiti e di diversi livelli di autorizzazione, l’Azienda aveva comunque determinato la comunicazione di un dato sanitario a un soggetto non legittimato, nell’ambito delle attività svolte per conto di I.S.P.R.O. come responsabile del trattamento.

È stata quindi accertata l’illiceità del trattamento per violazione dei principi di base e degli obblighi di sicurezza, senza che ricorressero i presupposti per adottare provvedimenti prescrittivi o inibitori ex art. 58, par. 2, GDPR, anche perché erano già state introdotte alcune misure per ridurre il rischio di errori analoghi.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato la sanzione amministrativa pecuniaria di euro 9.000, ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 del Codice. La sanzione è stata ritenuta effettiva, proporzionata e dissuasiva.

Nella determinazione dell’importo sono stati considerati, in particolare:

• il fatto che la comunicazione indebita abbia riguardato un solo interessato;
• l’assenza di dolo;
• la collaborazione dell’Azienda con l’Autorità;
• l’adozione di misure correttive e preventive;
• la natura di episodio isolato dovuto a errore umano;
• l’esistenza di un precedente provvedimento pertinente nei confronti dell’Azienda.

Pubblicazione del provvedimento e rimedi

In ragione della natura dei dati coinvolti, il Garante ha disposto la pubblicazione integrale del provvedimento sul proprio sito web, ai sensi dell’art. 166, comma 7, del Codice. È stata inoltre richiamata la possibilità di definizione agevolata con pagamento in misura ridotta nei termini previsti dall’art. 166, comma 8, del Codice, nonché il diritto di proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge.