Ordinanza ingiunzione o revoca n. 25 del 26/01/2023

Azienda Ospedaliera Bianchi Melacrino Morelli: invio non autorizzato di referti sanitari via email e sanzione del Garante

Il provvedimento riguarda l’Azienda Ospedaliera Bianchi Melacrino Morelli, destinataria di un’ordinanza ingiunzione per l’invio a un soggetto terzo di un referto sanitario riferito a un altro paziente. Il caso è stato avviato a seguito di segnalazione e istruito tramite richiesta di informazioni ex art. 157 del Codice privacy.

Fatto e origine della contestazione

Dagli atti è emerso che alcuni operatori del Centro Unico Prelievi avevano attivato, di propria iniziativa e senza una formale autorizzazione della Direzione, una modalità di consegna dei referti tramite posta elettronica. La prassi era stata introdotta per ridurre gli accessi allo sportello e facilitare l’utenza, soprattutto nel periodo di emergenza pandemica da Covid-19.

L’Azienda ha ricostruito l’episodio come una condotta non sistematica, limitata ai casi in cui gli interessati chiedevano l’invio del referto sul proprio indirizzo email. Ha anche riferito che la Direzione sanitaria aveva impartito indicazioni per la consegna esclusivamente brevi manu dei referti, proprio per garantire la riservatezza.

Trattamento esaminato e disciplina applicabile

Il trattamento riguardava dati relativi alla salute, quindi categorie particolari di dati personali ai sensi dell’art. 9 GDPR. Il Garante ha richiamato:

• l’art. 5, par. 1, lett. a) e f), GDPR, con riferimento a liceità, correttezza, integrità e riservatezza;
• l’art. 9 GDPR, per il trattamento dei dati sanitari;
• l’art. 32 GDPR, in materia di sicurezza del trattamento;
• l’art. 75 del Codice privacy, che richiama il rispetto delle disposizioni di settore in ambito sanitario;
• il d.P.C.M. 8 agosto 2013 e le Linee guida del Garante del 19 novembre 2009 sui referti online.

In particolare, per l’invio via email di referti sanitari, l’Allegato A del d.P.C.M. 8 agosto 2013 richiede che il file sia protetto con tecniche di cifratura e che la password sia consegnata separatamente all’interessato.

Valutazioni del Garante sulla responsabilità dell’Azienda

Il Garante ha escluso che la mancata conoscenza della prassi da parte della Direzione potesse esonerare il titolare da responsabilità. È stato ribadito che il titolare del trattamento è tenuto a:

• determinare finalità e mezzi del trattamento;
• impartire istruzioni adeguate al personale autorizzato;
• vigilare sull’operato dei soggetti che trattano dati sotto la propria autorità;
• adottare misure tecniche e organizzative adeguate al rischio.

Secondo l’Autorità, la trasmissione dei referti via email senza il rispetto delle misure di sicurezza previste dalla disciplina di settore ha integrato una violazione dei principi di base del trattamento e degli obblighi di sicurezza.

Esito istruttorio e assenza di misure correttive aggiuntive

Nel corso del procedimento l’Azienda ha comunicato di aver adottato varie misure successive, tra cui:

• sospensione immediata dell’invio dei referti con modalità online;
• comunicazione dell’evento all’interessato;
• richiesta al soggetto terzo di distruggere la documentazione e di non utilizzarla o divulgarla;
• avvio di un ciclo di formazione straordinaria per i direttori di unità operative;
• ribadita la necessità di osservare le misure di sicurezza aziendali;
• avvio di procedure organizzative per il conferimento di un incarico dirigenziale e per l’implementazione del Portale del Cittadino per il ritiro online dei referti.

Sulla base di tali elementi, il Garante ha ritenuto che non vi fossero i presupposti per adottare ulteriori misure correttive ex art. 58, par. 2, GDPR.

Sanzione amministrativa e criteri di quantificazione

Accertata l’illiceità del trattamento, il Garante ha applicato la sanzione amministrativa pecuniaria prevista dagli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dall’art. 166 del Codice privacy.

Nella determinazione dell’importo sono stati considerati i criteri dell’art. 83, par. 1 e 2, GDPR, in particolare:

• la conoscenza del fatto tramite segnalazione di un terzo;
• la natura dei dati, idonei a rivelare informazioni sulla salute;
• il grado elevato di cooperazione dell’Azienda;
• l’assenza di precedenti provvedimenti pertinenti;
• il contesto emergenziale da Covid-19 e la carenza di personale dirigenziale, che hanno inciso sulla vigilanza.

L’importo è stato fissato in euro 7.000,00, ritenuto effettivo, proporzionato e dissuasivo.

Dispositivo e conseguenze

Il provvedimento:

• dichiara l’illiceità del trattamento per violazione degli artt. 5, 9 e 32 GDPR e dell’art. 75 del Codice privacy;
• ordina all’Azienda il pagamento di euro 7.000,00;
• consente la definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• ingiunge il pagamento entro 30 giorni dalla notificazione in caso di mancata definizione;
• dispone la pubblicazione integrale del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice.

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dall’art. 152 del Codice e dall’art. 10 del d.lgs. 150/2011.