Ordinanza ingiunzione o revoca n. 342 del 20/10/2022

Promofarma Sviluppo s.r.l. - prenotazione tamponi COVID tramite piattaforma GCalendar

Il Garante ha esaminato il trattamento di dati personali effettuato da Promofarma Sviluppo s.r.l. nell’ambito della piattaforma di prenotazione online dei tamponi COVID utilizzata da farmacie aderenti in Friuli Venezia Giulia. Il procedimento è nato da una segnalazione relativa alla possibilità di accedere, tramite il solo codice fiscale e senza autenticazione robusta, a dati personali già registrati e a prenotazioni precedenti.

Origine del procedimento e soggetti coinvolti

La segnalazione riguardava il portale di prenotazione accessibile via web, in uso presso alcune farmacie della Regione Friuli Venezia Giulia. La Regione ha dichiarato di non aver progettato, sviluppato o gestito il sistema, mentre Promofarma ha riconosciuto di esserne la realizzatrice e di averlo messo a disposizione delle farmacie aderenti per la gestione delle prenotazioni dei test antigenici rapidi.

Secondo quanto ricostruito nel procedimento, la piattaforma consentiva l’inserimento di dati quali codice fiscale, nome, cognome, telefono, data di nascita, comune di nascita, sesso ed e-mail. In origine, se il codice fiscale risultava già censito, il sistema completava automaticamente le altre informazioni e ne rendeva visibili diverse, con il rischio di accesso da parte di soggetti non autorizzati.

Trattamento esaminato e contesto emergenziale

Il Garante ha inquadrato il trattamento nel contesto dell’emergenza sanitaria da Covid-19, rilevando che la piattaforma era stata predisposta per supportare le farmacie nella pianificazione delle prenotazioni dei tamponi, in una fase di forte pressione operativa. La società ha spiegato che l’iniziativa era stata promossa nell’ambito delle attività di Federfarma Friuli Venezia Giulia e delle farmacie convenzionate, che avevano manifestato l’esigenza di uno strumento informatico per gestire il flusso delle prenotazioni.

La società ha inoltre chiarito che la piattaforma era destinata alla sola prenotazione degli appuntamenti e non alla gestione degli esiti dei tamponi, precisando che i dati relativi agli esiti non transitavano attraverso GCalendar.

Qualificazione dei ruoli e disciplina applicabile

Nel corso dell’istruttoria è stato valorizzato l’atto di designazione a responsabile del trattamento predisposto per le farmacie aderenti. In tale atto Promofarma veniva incaricata, ai sensi dell’art. 28 GDPR, della gestione e trasmissione dei dati relativi all’effettuazione dei test antigenici rapidi e delle attività connesse svolte per conto del titolare del trattamento.

L’Autorità ha ritenuto che, in base alla struttura dell’accordo e alle circostanze concrete, la società dovesse conformarsi alle disposizioni del GDPR anche con riferimento all’informativa agli interessati e alla sicurezza del sistema, pur trattandosi di un’attività distinta dall’erogazione della prestazione sanitaria in sé. Sono stati richiamati, tra gli altri, gli artt. 5, par. 1, lett. a) e f), 13, 25, 28 e 32 GDPR, nonché l’art. 17-bis, comma 5, d.l. 18/2020, che prevede in contesto emergenziale la possibilità di omettere l’informativa o di fornirla in forma semplificata per taluni trattamenti sanitari.

Valutazioni del Garante sulle violazioni

Il Garante ha ritenuto che la società avesse violato:

• il principio di liceità, correttezza e trasparenza ex art. 5, par. 1, lett. a), GDPR;
• il principio di integrità e riservatezza ex art. 5, par. 1, lett. f), GDPR;
• gli obblighi informativi di cui all’art. 13 GDPR;
• gli obblighi di sicurezza di cui all’art. 32 GDPR.

In particolare, è stato osservato che il sistema, nella sua configurazione originaria, consentiva l’accesso a dati personali di utenti già registrati attraverso il solo codice fiscale, senza un’adeguata autenticazione aggiuntiva. Il Garante ha evidenziato che il codice fiscale, da solo, non offriva una protezione sufficiente rispetto al rischio di accessi abusivi e che, in un contesto di trattamento di dati relativi alla salute, era necessario adottare misure tecniche e organizzative più robuste, come l’uso di un ulteriore dato di autenticazione, ad esempio il numero di tessera sanitaria.

L’Autorità ha ritenuto altresì che non potessero trovare applicazione, nel caso di specie, le semplificazioni informative previste per i trattamenti svolti nel contesto emergenziale, poiché il trattamento effettuato mediante la piattaforma costituiva una fase autonoma rispetto all’erogazione del tampone e alla successiva refertazione.

Interventi correttivi adottati dalla società

Nel corso del procedimento la società ha rappresentato di aver già apportato modifiche al sistema. In una prima fase, il 31 dicembre 2021, ha inibito la visualizzazione degli altri dati personali già inseriti, lasciando visibile solo il codice fiscale. Successivamente, il 28 aprile 2022, ha introdotto un doppio meccanismo di autenticazione, richiedendo anche il numero di tessera sanitaria, in linea con misure già adottate in altri sistemi regionali per le prenotazioni sanitarie.

Ha inoltre riferito di aver predisposto limiti alle prenotazioni, fissando un anticipo massimo di tre settimane e un numero massimo di 20 prenotazioni per codice fiscale nell’arco temporale considerato, e di non aver rilevato anomalie significative nel numero di prenotazioni.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha ritenuto la violazione soggetta alla sanzione amministrativa pecuniaria prevista dall’art. 83, par. 4 e 5, GDPR. Nella determinazione dell’importo ha considerato, tra gli altri elementi:

• l’elevato numero di interessati coinvolti, appartenenti a 151 farmacie;
• la natura dei dati trattati, comprensivi di dati relativi alla salute;
• il contesto emergenziale in cui il trattamento si è svolto;
• la condotta della società, ritenuta non conforme ai principi di correttezza e buona fede nella gestione del ruolo di responsabile;
• l’assenza di precedenti violazioni pertinenti e di precedenti provvedimenti correttivi;
• la piena collaborazione prestata dall’interessata nel corso dell’istruttoria;
• l’adozione, seppur tardiva, di misure tecniche correttive.

All’esito, la sanzione è stata determinata in euro 10.000,00, ritenuta effettiva, proporzionata e dissuasiva.

Misure correttive e ordini impartiti

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto a Promofarma di predisporre, per conto delle farmacie aderenti, un’informativa sul trattamento dei dati personali degli utenti relativa alle operazioni necessarie per la prenotazione della prestazione sanitaria. L’adempimento doveva essere effettuato entro 30 giorni dalla notifica del provvedimento.

È stato inoltre ordinato il pagamento della sanzione pecuniaria di euro 10.000,00 entro 30 giorni dalla notificazione, con la possibilità di definire la controversia mediante pagamento in misura ridotta ai sensi dell’art. 166, comma 8, del Codice privacy.

La società è stata altresì tenuta a comunicare al Garante, entro 20 giorni dalla scadenza del termine per l’adempimento, le iniziative intraprese per dare esecuzione alle misure prescritte, con idonea documentazione.

Pubblicazione del provvedimento e tutela giurisdizionale

Il Garante ha disposto la pubblicazione integrale del provvedimento sul proprio sito web, ai sensi dell’art. 166, comma 7, del Codice privacy. Contro il provvedimento è stato indicato il ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro i termini di legge.