Prescrizioni del Garante n. 399 del 14/09/2023

Ammonimento per comunicazione indebita di dati sulla salute tramite errato invio di fatture

Il Garante ha esaminato la violazione di dati personali notificata da Provincia Italiana Suore Ospedaliere del Sacro Cuore di Gesù – Casa di Cura Villa San Benedetto, nell’ambito della gestione amministrativa di prestazioni sanitarie. Il procedimento è stato avviato a seguito della notifica ex art. 33 GDPR di un episodio di errato invio di fatture, con conseguente divulgazione a un terzo di informazioni relative a una prestazione di natura psichiatrica.

Fatti e origine della violazione

Secondo quanto rappresentato dall’Ente, la violazione si è verificata in due momenti distinti:

• in una prima fase, l’operatore amministrativo avrebbe erroneamente selezionato, per omonimia, il nominativo sbagliato nel sistema regionale, intestando e inviando la fattura a un soggetto diverso dal paziente;
• in una seconda fase, nel tentativo di inviare la fattura correttamente intestata al paziente, sarebbe stato riportato per errore sulla busta l’indirizzo del destinatario sbagliato, con conseguente recapito al terzo della documentazione contenente i dati del paziente.

L’Ente ha riferito che il destinatario ha potuto apprendere non solo dati anagrafici e di contatto, ma anche l’informazione relativa al colloquio psichiatrico sostenuto presso la struttura. L’interessato e il soggetto che aveva ricevuto la documentazione sono stati informati dell’evento; è stata inoltre chiesta la distruzione dei documenti recapitati erroneamente.

Posizione difensiva dell’Ente

Nelle memorie difensive, l’Ente ha sostenuto che il primo invio non avrebbe integrato una reale violazione, poiché il minore destinatario della fattura errata non sarebbe venuto a conoscenza di dati altrui e il documento sarebbe rimasto, di fatto, un atto contabile privo di effetti lesivi. Quanto al secondo invio, la struttura ha rappresentato di avere agito tempestivamente, notificando la violazione al Garante e agli interessati ai sensi degli artt. 33 e 34 GDPR, attivando un procedimento disciplinare nei confronti dell’operatrice coinvolta, adottando una sospensione dal servizio per un giorno e avviando una revisione delle procedure interne.

L’Ente ha inoltre dichiarato di avere:

• implementato ulteriori controlli in fase di accettazione e identificazione dei pazienti, specie per le prestazioni via web;
• avviato corsi di formazione aggiuntivi per il personale;
• predisposto un nuovo protocollo operativo per le procedure di accettazione ed erogazione delle prestazioni ambulatoriali;
• pubblicato il protocollo sulla intranet aziendale e comunicato le novità ai coordinatori di reparto.

Qualificazione del trattamento e norme richiamate

L’Autorità ha anzitutto qualificato le informazioni coinvolte come dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR, evidenziando la particolare delicatezza di tali dati in ragione dei rischi per i diritti e le libertà fondamentali degli interessati.

Il Garante ha richiamato il principio secondo cui, in ambito sanitario, i dati sullo stato di salute possono essere comunicati a terzi solo in presenza di un idoneo presupposto giuridico, secondo il combinato disposto dell’art. 9 GDPR e dell’art. 84 del Codice privacy, in relazione anche all’art. 22, comma 11, del d.lgs. 101/2018.

Sono stati inoltre richiamati:

• l’art. 5, par. 1, lett. f), GDPR, sul principio di integrità e riservatezza;
• l’art. 32 GDPR, sulla sicurezza del trattamento e sull’adozione di misure tecniche e organizzative adeguate al rischio.

Valutazioni del Garante sull’illecito trattamento

Secondo il Garante, le difese dell’Ente non erano sufficienti a superare i rilievi formulati nell’atto di avvio del procedimento. L’Autorità ha quindi ritenuto illecito il trattamento, per avere la struttura comunicato dati sulla salute in violazione dei principi di base del trattamento e degli obblighi di sicurezza.

L’istruttoria ha portato a escludere che il caso potesse essere ricondotto ad alcuna delle ipotesi che escludono o attenuano la responsabilità nel senso invocato dall’Ente. Il Garante ha inoltre richiamato l’art. 168 del Codice privacy in relazione alla falsità nelle dichiarazioni rese al Garante, come clausola di salvaguardia del procedimento istruttorio.

Attenuanti valorizzate e qualificazione come violazione minore

Pur accertando l’illecito, il Garante ha considerato una serie di circostanze che hanno inciso sulla risposta sanzionatoria:

• la violazione è stata portata all’attenzione dell’Autorità tramite notifica ex art. 33 GDPR;
• l’Ente non risultava avere precedenti violazioni;
• vi è stata una cooperazione elevata e immediata durante l’istruttoria;
• il trattamento illecito ha riguardato un solo interessato;
• non vi è stata intenzionalità, trattandosi di errore materiale di una dipendente;
• sono stati adottati interventi correttivi tempestivi, sia sul piano organizzativo sia sul piano formativo e disciplinare.

Sulla base di tali elementi, il caso è stato qualificato come “violazione minore” ai sensi del considerando 148 GDPR e delle linee guida WP 253 sulla quantificazione delle sanzioni amministrative pecuniarie.

Provvedimenti adottati

In esito al procedimento, il Garante ha disposto:

• la dichiarazione di illiceità del trattamento effettuato dalla struttura sanitaria, per violazione degli artt. 5, 9 e 32 GDPR;
• l’ammonimento del titolare del trattamento ai sensi dell’art. 58, par. 2, lett. b), GDPR, ritenuto misura correttiva proporzionata, effettiva e dissuasiva;
• la pubblicazione integrale del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice privacy e dell’art. 16 del Regolamento del Garante n. 1/2019.

Implicazioni pratiche

Il provvedimento ribadisce che, in ambito sanitario, anche un errore materiale nell’invio di documentazione amministrativa può integrare una comunicazione illecita di dati sulla salute quando consenta a terzi di conoscere informazioni riferite alla prestazione sanitaria di un interessato. Rileva inoltre che l’adozione di misure correttive successive e la collaborazione con l’Autorità possono incidere sulla scelta del rimedio, portando, nei casi meno gravi, a un ammonimento anziché a una sanzione pecuniaria.