Ordinanza ingiunzione o revoca n. 587 del 09/10/2025

Humanitas Mirasole s.p.a. - trattamento di dati sanitari, violazione di sicurezza e mancata notifica di data breach

Il Garante per la protezione dei dati personali ha esaminato un reclamo relativo a due episodi occorsi in ambito sanitario presso Humanitas Mirasole s.p.a.: l’erroneo smaltimento di un campione di tessuto prelevato nel corso di un intervento chirurgico e la gestione di documentazione diagnostica su supporto ottico (DVD), con conseguente contestazione anche della mancata notifica di una violazione dei dati personali. Il procedimento si è concluso con l’accertamento dell’illiceità del trattamento e con una sanzione amministrativa pecuniaria complessiva di euro 70.000,00.

Fatti e origine del reclamo

La vicenda prende avvio da un reclamo dell’interessata, che lamentava:

• la perdita di un campione di tessuto asportato nel corso dell’intervento chirurgico, poi risultato non reperibile per l’esame istologico;
• lo smarrimento di un DVD contenente la risonanza magnetica eseguita in precedenza;
• la presenza nella propria documentazione di un supporto ottico riferito ad altro paziente.

Nel corso dell’istruttoria la società ha sostenuto che il campione non era stato smarrito, ma smaltito per errore subito dopo il prelievo, senza mai essere preso in carico dal laboratorio di anatomia patologica. Quanto al DVD, ha ricostruito una vicenda non univoca, prospettando sia l’ipotesi di un errore nella restituzione del supporto, sia quella di un evento successivo mentre la documentazione era nella disponibilità della paziente.

Valutazioni del Garante sul campione biologico

Il Garante ha ritenuto che il campione di tessuto prelevato all’interessata rientrasse tra le categorie particolari di dati personali di cui all’art. 9 GDPR, in quanto idoneo a rivelare lo stato di salute e connesso a una prestazione sanitaria. Il fatto che il materiale fosse destinato a esame istologico rendeva il suo corretto invio al laboratorio parte essenziale del trattamento.

La distruzione o dispersione del campione, avvenuta per erroneo smaltimento, ha determinato una perdita definitiva di disponibilità del dato e l’impossibilità di eseguire l’analisi istologica inizialmente programmata. Da ciò il Garante ha tratto la violazione:

• del principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), GDPR;
• degli obblighi di sicurezza di cui all’art. 32 GDPR.

Notifica della violazione dei dati personali

La società aveva ritenuto di non dover notificare l’evento all’Autorità ai sensi dell’art. 33 GDPR, sostenendo che il rischio per i diritti e le libertà dell’interessata fosse improbabile, anche in ragione delle misure correttive adottate tempestivamente, tra cui l’attivazione di un follow-up radiologico e di ulteriori visite specialistiche.

Il Garante ha però osservato che, in presenza di una violazione effettiva consistente nella distruzione accidentale di dati sanitari non replicabili, la valutazione del rischio non può essere esclusa in via automatica. La mancata possibilità di ottenere l’esito dell’esame istologico su un campione prelevato su richiesta della paziente ha prodotto effetti negativi significativi sul percorso di cura e sul diritto dell’interessata a una corretta diagnosi. Ne è derivata la contestazione della mancata notifica al Garante.

Vicenda del DVD e dati di terzi

Quanto alla presenza nella documentazione dell’interessata di un DVD riferito a un terzo e al contestato smarrimento del DVD della reclamante, il Garante ha ritenuto che dagli atti non emergesse una prova sufficiente per attribuire con certezza alla società la responsabilità esclusiva dell’accaduto.

In particolare, è stato evidenziato che:

• la documentazione sanitaria di entrambi i soggetti proveniva da strutture terze;
• il supporto riferito al terzo non era stato prodotto nella stessa giornata della reclamante, ma in un momento diverso;
• non era dimostrato in modo certo che lo smarrimento del DVD della reclamante fosse ascrivibile alla società.

Per tali ragioni, il Garante ha archiviato la contestata violazione dell’art. 9 GDPR in relazione alla presunta comunicazione di dati sulla salute del terzo e allo smarrimento del DVD della reclamante.

Valutazioni sulle misure organizzative e difensive della società

La società ha rappresentato di avere adottato procedure interne per la gestione dei campioni biologici, istruzioni scritte al personale, formazione continua e attività di audit a seguito dell’evento avverso. Ha inoltre sostenuto che l’errore fosse riconducibile a un disguido comunicativo tra chirurgo e infermiere, in un contesto in cui la tipologia di intervento raramente richiedeva l’invio del campione in anatomia patologica.

Il Garante ha preso atto delle misure e delle attività di remediation, ma ha ritenuto che esse non fossero sufficienti a escludere la violazione né a giustificare l’omessa notifica. Ha inoltre rilevato che non ricorrevano, allo stato, i presupposti per l’adozione di misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione amministrativa: criteri e importi

Il Garante ha distinto due condotte ai fini sanzionatori:

• la violazione del principio di integrità e riservatezza e degli obblighi di sicurezza ex artt. 5, par. 1, lett. f), e 32 GDPR;
• la mancata notifica della violazione ex art. 33, par. 1, GDPR.

Per la prima violazione, ritenuta di gravità alta in considerazione della natura dei dati e degli effetti pregiudizievoli per l’interessata, la sanzione è stata determinata in euro 50.000,00. Il Garante ha considerato, tra gli elementi dell’art. 83, par. 2, GDPR, la pronta attivazione di misure per attenuare gli effetti della violazione, la collaborazione con l’Autorità e l’assenza di violazioni pertinenti pregresse.

Per la mancata notifica ex art. 33 GDPR, il livello di gravità è stato valutato come basso; tuttavia, considerata la necessità che la sanzione sia effettiva, proporzionata e dissuasiva, è stata applicata una sanzione di euro 20.000,00.

Dispositivo e pubblicazione

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. f), 32 e 33 GDPR;
• ordinato a Humanitas Mirasole s.p.a. il pagamento di euro 70.000,00;
• ricordato la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• disposto la pubblicazione dell’ordinanza-ingiunzione sul sito internet dell’Autorità e l’annotazione nel registro interno.

Il provvedimento è impugnabile dinanzi all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dagli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.