Ordinanza ingiunzione o revoca n. 897 del 19/12/2024

Azienda Sanitaria Provinciale di Enna: smarrimento di un verbale sanitario e mancata notifica della violazione

Il Garante per la protezione dei dati personali è intervenuto nei confronti dell’Azienda Sanitaria Provinciale di Enna - Distretto sanitario di Nicosia a seguito del reclamo presentato dall’amministratore di sostegno di un’interessata. Il caso riguardava il mancato rinvenimento del verbale redatto dalla Commissione per malati gravissimi, contenente dati relativi alla salute.

Fatto e origine del reclamo

La reclamante aveva chiesto l’accesso e il rilascio del verbale relativo alla sorella, sottoposta a valutazione dalla Commissione per malati gravissimi. L’Azienda sanitaria aveva comunicato che il documento richiesto non era più rinvenibile agli atti dell’ufficio.

Nel corso dell’istruttoria il titolare del trattamento ha rappresentato di aver adottato misure organizzative e tecniche, di aver previsto formazione del personale affidata al DPO e di avere un regolamento interno per la tutela dei dati personali. Ha inoltre sostenuto che il verbale fosse stato redatto in unico originale analogico e che la sua perdita fosse verosimilmente avvenuta a causa di spostamenti legati a lavori di ristrutturazione dei locali.

Qualificazione dei dati e norme applicabili

Il Garante ha qualificato il contenuto del verbale come dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR, evidenziandone la particolare sensibilità e la necessità di una protezione rafforzata. Ha richiamato il principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), nonché gli obblighi di sicurezza dell’art. 32 GDPR, secondo cui il titolare deve adottare misure tecniche e organizzative adeguate al rischio e garantire la capacità di ripristinare tempestivamente la disponibilità dei dati in caso di incidente fisico o tecnico.

Violazione degli obblighi di sicurezza

Secondo l’Autorità, gli elementi emersi in atti mostrano l’inadeguatezza delle misure poste in essere dall’Azienda sanitaria rispetto al rischio di perdita o distruzione accidentale del documento. Il fatto che il verbale sia andato smarrito o sia stato accidentalmente distrutto ha dimostrato che non erano state predisposte misure sufficienti a prevenire l’evento e a garantire un adeguato livello di sicurezza.

Mancata notifica della violazione all’Autorità di controllo

Il Garante ha inoltre ritenuto che la perdita del documento integrasse una violazione dei dati personali rilevante ai fini dell’art. 33 GDPR. La circostanza che l’evento fosse circoscritto a una sola interessata non esonerava il titolare dall’obbligo di notifica, poiché la norma richiede la notifica salvo che sia improbabile un rischio per i diritti e le libertà delle persone fisiche. Il provvedimento richiama anche le linee guida europee sulla notifica dei data breach, secondo cui la perdita di dati personali riguarda la disponibilità dei dati e costituisce una violazione da notificare.

Valutazioni difensive del titolare

L’Azienda sanitaria ha sostenuto di avere agito per ricostruire il fascicolo e di avere riconvocato l’interessata per effettuare verifiche anche sul suo stato di salute al momento dell’istanza. Ha altresì rappresentato di avere cercato di circoscrivere il nocumento arrecato alla paziente. Tali elementi sono stati considerati dal Garante, ma non sono stati ritenuti sufficienti a superare i rilievi formulati nell’atto di avvio del procedimento.

Accertamento dell’illiceità del trattamento

All’esito dell’istruttoria, il Garante ha accertato l’illiceità del trattamento per due distinte violazioni:

• inosservanza dei principi di integrità e riservatezza e degli obblighi di sicurezza, in violazione degli artt. 5, par. 1, lett. f), e 32 GDPR;
• mancata notifica della violazione dei dati personali all’Autorità di controllo, in violazione dell’art. 33 GDPR.

L’Autorità ha tuttavia escluso la necessità di adottare misure correttive ex art. 58, par. 2, GDPR, valorizzando gli interventi adottati dal titolare per ricostruire il fascicolo e limitare il pregiudizio all’interessata.

Sanzione amministrativa pecuniaria

Il Garante ha ritenuto applicabile la sanzione amministrativa pecuniaria ex art. 83 GDPR, distinguendo le due condotte ai fini della quantificazione:

• per la violazione degli artt. 5, par. 1, lett. f), e 32 GDPR, ha determinato la sanzione in euro 6.000,00, valorizzando la gravità dell’illecito, la natura sanitaria dei dati, il danno subito dall’interessata e l’assenza di precedenti pertinenti, nonché le iniziative adottate per mitigare il pregiudizio;
• per la violazione dell’art. 33 GDPR, ha determinato la sanzione in euro 2.000,00, considerando la gravità media della condotta, l’assenza di dolo, il coinvolgimento di un solo interessato e il fatto che la notifica non è stata effettuata nonostante la perdita di dati personali integri un data breach.

La sanzione complessiva è stata quindi fissata in euro 8.000,00.

Disposizioni finali e pubblicazione

Con ordinanza-ingiunzione il Garante ha ordinato all’Azienda sanitaria di pagare la sanzione entro 30 giorni dalla notificazione, con richiamo alla possibilità di definizione agevolata nei limiti di legge. È stata inoltre disposta la pubblicazione dell’ordinanza-ingiunzione sul sito istituzionale del Garante, la pubblicazione del provvedimento e l’annotazione delle violazioni nel registro interno dell’Autorità.

Implicazioni operative

Il provvedimento conferma che, anche in presenza di un singolo documento sanitario e di un impatto circoscritto a un solo interessato, la perdita o distruzione di atti contenenti dati sulla salute può integrare una violazione grave degli obblighi di sicurezza e imporre la notifica del data breach. Per gli enti sanitari, il caso evidenzia l’esigenza di:

• procedure di conservazione e reperibilità effettive per documenti analogici;
• misure organizzative coerenti con il rischio concreto, specie in caso di traslochi o lavori;
• valutazioni formali e documentate sull’eventuale notifica al Garante entro 72 ore.