Prescrizioni del Garante n. 417 del 15/12/2022

ASUGI: stratificazione degli assistiti e elenchi per i MMG senza base giuridica, informativa e DPIA

Il provvedimento riguarda l’Azienda sanitaria universitaria giuliano isontina, chiamata a rispondere del trattamento di dati relativi alla salute effettuato nell’ambito di un’iniziativa regionale di stratificazione del rischio e predisposizione di elenchi di assistiti da mettere a disposizione dei medici di medicina generale, in un contesto collegato all’emergenza Covid-19.

Origine del procedimento e fatti accertati

La vicenda trae origine da una segnalazione secondo cui la Regione Friuli Venezia Giulia aveva previsto che i MMG validassero, tramite portale regionale, liste di assistiti preventivamente individuati come soggetti con complessità e comorbidità, sulla base di informazioni cliniche e personali raccolte e rielaborate in modo centralizzato. Nel corso dell’istruttoria è emerso che l’operazione riguardava tutte le aziende sanitarie regionali e si basava sull’uso del sistema Johns Hopkins ACG System, alimentato con dati estratti dal data warehouse regionale e da banche dati riconducibili anche al Fascicolo sanitario elettronico.

Trattamenti esaminati e flussi informativi

L’istruttoria ha evidenziato che i dati utilizzati comprendevano, tra gli altri, diagnosi codificate, farmaci assunti, costi sostenuti dal SSR, età e genere. Le informazioni venivano pseudonimizzate con codici numerici casuali per l’estrazione delle classi RUB 4 e 5 e per il filtro relativo al consenso alla visibilità da parte del MMG; successivamente Insiel aggiungeva codice fiscale, cognome e nome per rendere disponibili gli elenchi nominativi ai medici. L’elenco complessivo coinvolgeva oltre 40.000 assistiti, di cui 13.537 relativi ad ASUGI.

Qualificazione dei ruoli: titolare, responsabile e istruzioni

Il Garante ha ricostruito i ruoli affermando che le aziende sanitarie erano titolari dei dati contenuti nelle proprie banche dati, mentre Insiel operava quale responsabile del trattamento; ARCS svolgeva una funzione di supporto metodologico e di coordinamento. È stato ribadito che la circostanza che la Regione avesse impartito indicazioni operative non esonerava il titolare dalla verifica della legittimità del trattamento e della base giuridica, in applicazione del principio di responsabilizzazione.

Assenza di un idoneo presupposto giuridico

Secondo il Garante, la Delibera di Giunta regionale n. 1737/2020 e le linee di gestione regionali non erano sufficienti a fondare il trattamento, perché prive dei requisiti richiesti dall’art. 2-sexies Codice privacy: mancavano l’indicazione dei soggetti autorizzati, delle operazioni eseguibili e dell’interesse pubblico rilevante. È stato inoltre chiarito che il consenso prestato per l’accesso al Fascicolo sanitario elettronico non poteva legittimare l’ulteriore trattamento finalizzato alla stratificazione del rischio sanitario, poiché tra le finalità del FSE non rientra la medicina di iniziativa o predittiva.

Violazione del principio di trasparenza e dell’informativa

Il provvedimento accerta anche la violazione dell’art. 14 GDPR. I dati erano stati raccolti presso terzi e trattenuti/elaborati tramite il data warehouse aziendale, ma gli interessati non avevano ricevuto un’informativa specifica sui trattamenti in questione. Il Garante esclude che ricorressero esenzioni dall’obbligo informativo e qualifica la condotta come violazione del principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR.

Omessa valutazione d’impatto

Il Garante ha ritenuto obbligatoria la DPIA ai sensi dell’art. 35 GDPR, trattandosi di trattamento di dati sanitari su larga scala, relativo a soggetti vulnerabili e realizzato mediante strumenti algoritmici innovativi. L’emergenza Covid-19 non ha derogato tale obbligo. L’Autorità richiama anche i propri precedenti in materia di trattamenti emergenziali e di sanità pubblica per ribadire che la valutazione d’impatto resta necessaria.

Valutazioni del Garante sul contesto di medicina di iniziativa e FSE

Il provvedimento distingue tra: trattamenti di stratificazione del rischio, qualificabili come attività amministrativa prodromica alla presa in carico; trattamenti strettamente necessari alla cura e prevenzione; e trattamenti effettuati tramite FSE. La medicina di iniziativa può essere ammessa solo nel rispetto di specifiche basi giuridiche e garanzie; il FSE, invece, non consente di per sé di elaborare i dati per finalità di profilazione o medicina predittiva. L’uso del consenso per il FSE non si estende automaticamente a trattamenti ulteriori e diversi.

Sanzione, cancellazione dei dati e pubblicazione

Accertate le violazioni degli artt. 5, par. 1, lett. a), 9, 14 e 35 GDPR e dell’art. 2-sexies Codice privacy, il Garante ha adottato ordinanza ingiunzione nei confronti di ASUGI, irrogando la sanzione di € 30.000. Sono stati considerati, ai fini della quantificazione, la rilevanza del dato sanitario, il numero elevato di interessati, il contesto emergenziale, l’assenza di reclami e la collaborazione dell’Azienda.

Il Garante ha inoltre ordinato la cancellazione, entro 90 giorni, dei dati risultanti dall’elaborazione delle informazioni presenti nelle banche dati aziendali oggetto del provvedimento, e ha imposto di comunicare entro 20 giorni dalla scadenza del termine le misure adottate. È stata disposta la pubblicazione integrale del provvedimento sul sito dell’Autorità, con richiamo alla facoltà di pagamento in misura ridotta prevista dall’art. 166, comma 8, Codice privacy.

Esito successivo richiamato nel testo

Nel testo è riportata anche una nota successiva: il Tribunale di Trieste, con sentenza n. 1551/2026 pubblicata il 27 maggio 2026, ha ridotto a € 30.000 la sanzione irrogata con il provvedimento del Garante.