Ordinanza ingiunzione o revoca n. 371 del 10/11/2022

Azienda Usl Valle d'Aosta - rimozione dei filtri privacy del dossier sanitario e accessi indebiti

Il provvedimento riguarda l'Azienda Usl Valle d'Aosta, destinataria di un'ordinanza ingiunzione per la gestione del dossier sanitario aziendale durante l'emergenza Covid-19. Il procedimento è stato avviato a seguito del reclamo di un'assistita che aveva segnalato accessi ripetuti al proprio dossier da parte di un'operatrice sanitaria non coinvolta nella sua cura.

Origine del procedimento e istruttoria

L'Autorità ha acquisito informazioni dall'Azienda, che ha confermato la veridicità della segnalazione. Dai log è emerso che una logopedista, in rapporto di lavoro somministrato presso l'Azienda, aveva consultato il dossier della reclamante in numerose occasioni tra il 15 marzo 2021 e il 6 dicembre 2021, dalla propria postazione presso il Consultorio di Saint Pierre.

L'Azienda ha chiarito che l'operatrice non aveva visualizzato i referti clinici ma solo una lista di episodi già effettuati o prenotati, con indicazione della tipologia di prestazione. La stessa operatrice ha poi ammesso, in un allegato istruttorio, di aver effettuato gli accessi per mera curiosità. L'Azienda ha inoltre segnalato la vicenda alla struttura risorse umane per gli eventuali provvedimenti disciplinari e ha riferito che il contratto della lavoratrice non è stato rinnovato.

Trattamento esaminato e contesto emergenziale

Il trattamento esaminato riguarda il dossier sanitario aziendale gestito tramite l'applicativo TrakCare, utilizzato per l'organizzazione e la consultazione dei dati sanitari. Secondo l'Azienda, nel marzo 2020, in ragione dell'emergenza Covid-19 e della riorganizzazione dei reparti, furono disabilitate le funzioni privacy del sistema per consentire al personale sanitario di accedere più facilmente alle informazioni cliniche necessarie all'assistenza.

La misura è stata mantenuta fino al ripristino delle regole pre-pandemiche, avviato il 22 aprile 2022 e concluso il 10 maggio 2022. L'Azienda ha affermato che il temporaneo allentamento fosse giustificato dall'art. 17-bis del d.l. 18/2020 e dalle esigenze di cura dei pazienti Covid-19 e dei reparti multi-specialistici.

Valutazioni del Garante sulla liceità del trattamento

Il Garante ha ribadito che il dossier sanitario costituisce un trattamento ulteriore e facoltativo rispetto alla cura del singolo episodio clinico e che richiede il consenso esplicito e informato dell'interessato, ai sensi dell'art. 9, par. 2, lett. a), GDPR, oltre che nel rispetto delle Linee guida del 4 giugno 2015 sul dossier sanitario.

L'Autorità ha escluso che l'art. 17-bis del d.l. 18/2020 potesse legittimare la disattivazione generalizzata dei filtri privacy o derogare alla disciplina europea sulla protezione dei dati. Tale disposizione consente semplificazioni solo se indispensabili per la gestione dell'emergenza e comunque nel rispetto dei principi di cui all'art. 5 GDPR. Nel caso concreto, il trattamento non riguardava prestazioni sanitarie emergenziali né un accesso funzionale alla cura del paziente, ma un accesso per mera curiosità.

Violazioni accertate

Il Garante ha ritenuto che la scelta aziendale abbia comportato la violazione di più principi e regole del GDPR:

• art. 5, par. 1, lett. a), per violazione di liceità, correttezza e trasparenza;
• art. 5, par. 1, lett. f), per carenze nell'integrità e riservatezza;
• art. 9, per assenza di una valida base giuridica e di un consenso valido al trattamento tramite dossier;
• art. 25, per mancato rispetto della protezione dei dati fin dalla progettazione e per impostazione predefinita;
• art. 32, per inadeguatezza delle misure tecniche e organizzative di sicurezza.

L'Autorità ha evidenziato che la rimozione dei filtri ha reso accessibili i dossier sanitari di tutti gli assistiti aziendali/regionali, anche di coloro che avevano negato il consenso o non lo avevano mai prestato, e non solo dei pazienti Covid-19. Anche le informazioni consultabili parzialmente dall'operatrice sono state considerate dati relativi alla salute.

Profili di autorizzazione e misure di sicurezza

Secondo il Garante, l'Azienda avrebbe dovuto limitare l'accesso al dossier al solo personale sanitario effettivamente coinvolto nel percorso di cura del paziente, adottando profili di autorizzazione coerenti con le effettive casistiche operative. La difficoltà tecnica derivante dalla versione del software TrakCare dipendeva dalla scelta del sistema adottato dall'Azienda e non poteva giustificare la compressione delle garanzie privacy.

L'Autorità ha inoltre contestato l'assenza di sistemi di alert e di rilevamento di anomalie, che avrebbero dovuto consentire di individuare accessi sospetti o accessi numerosi, atipici o temporalmente anomali, ai fini di audit e controllo.

Esito del procedimento e sanzione

Il Garante ha dichiarato l'illiceità del trattamento effettuato dall'Azienda Usl Valle d'Aosta e ha ritenuto che, nel caso concreto, non vi fossero i presupposti per ulteriori misure correttive, poiché l'Azienda aveva successivamente ripristinato la configurazione originaria del dossier e adottato misure disciplinari nei confronti dell'autrice degli accessi.

È stata comunque irrogata una sanzione amministrativa pecuniaria di euro 40.000, determinata in applicazione degli artt. 58, par. 2, lett. i), e 83 GDPR, valutando tra l'altro la conoscenza del fatto tramite reclamo, la durata degli accessi illeciti, l'estensione della disattivazione dei filtri a oltre 120.000 assistiti, l'assenza di sistemi di alert e la natura dei dati coinvolti. È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante.