Ordinanza ingiunzione o revoca n. 306 del 23/05/2024

ASL TO4 - invio in chiaro di email contenenti dati sulla salute di pazienti

Il provvedimento riguarda l’Azienda Sanitaria Locale TO4, destinataria di un’ordinanza ingiunzione per un episodio di comunicazione non autorizzata di dati relativi alla salute tramite posta elettronica. Il caso è stato avviato a seguito di una notifica di data breach ex art. 33 GDPR, originata da un reclamo dell’interessata.

Fatti e origine del procedimento

L’Azienda ha comunicato al Garante che, in data non specificata, la segreteria dell’ambulatorio di neurologia ha inviato una email con oggetto relativo alle modalità di rinnovo del piano terapeutico a 45 indirizzi email inseriti in chiaro nel campo CC, seguita da una seconda email di rettifica, anch’essa trasmessa con le medesime modalità. L’evento è stato ricondotto a un errore umano dell’addetta di segreteria.

L’URP ha ricevuto il reclamo dell’interessata e lo ha trasmesso internamente ai responsabili della struttura sanitaria e alla direzione sanitaria. Dopo una prima istruttoria interna, l’Azienda ha notificato la violazione al Garante e ha descritto le misure tecniche e organizzative già presenti, tra cui istruzioni operative sull’uso della posta elettronica e istruzioni specifiche sul trattamento del dato sanitario.

Dati coinvolti e natura della violazione

L’Autorità ha chiarito che gli indirizzi email sono dati personali ai sensi dell’art. 4, par. 1, GDPR, anche se non accompagnati da nome e cognome. Nel caso concreto, però, il contesto della comunicazione consentiva di inferire che i destinatari fossero pazienti dell’ambulatorio di neurologia; per questo il trattamento ha riguardato anche dati relativi alla salute, poiché la comunicazione rivelava lo stato di paziente affetto da sclerosi multipla e/o patologie demielinizzanti.

Il Garante ha valorizzato la nozione di comunicazione di dati personali di cui all’art. 2-ter, comma 4, lett. a), del Codice privacy, osservando che la trasmissione a destinatari determinati diversi dall’interessato integra una comunicazione di dati e, nel caso di specie, è avvenuta senza un idoneo presupposto giuridico.

Posizione del titolare e difese svolte

Nel corso del procedimento, l’Azienda ha sostenuto che il trattamento fosse riconducibile all’attività di diagnosi, assistenza e terapia sanitaria, nonché alle correlate attività amministrative in ambito ambulatoriale. Ha richiamato le basi giuridiche di cui all’art. 9, par. 2, lett. g), h) e i) GDPR e all’art. 2-sexies, comma 2, lett. t), u), v) e cc) del Codice.

Secondo il titolare, l’invio email costituiva una normale procedura di comunicazione con i pazienti, generalmente individuale o, se collettiva, effettuata con CCN. L’evento è stato descritto come accidentale, derivante da una semplice svista, e non come finalizzato alla divulgazione. L’Azienda ha inoltre rappresentato che l’errore umano non avrebbe potuto essere assimilato a un trattamento privo di base giuridica, e che la violazione era stata notificata tempestivamente ai sensi degli artt. 33 e 34 GDPR.

Valutazioni del Garante sulla liceità del trattamento

Il Garante ha respinto le argomentazioni difensive. Ha rilevato che, nel caso concreto, l’invio delle due comunicazioni a distanza di pochi minuti tramite un unico messaggio rivolto a più destinatari, con indirizzi inseriti in chiaro nel campo CC, ha comportato la reciproca rivelazione ai destinatari dello stato di salute degli altri pazienti.

Secondo l’Autorità, ciò integra una comunicazione di dati sulla salute priva di giustificazione, in violazione dei principi di base del trattamento ex artt. 5, par. 1, lett. f), e 9 GDPR. Quanto all’errore umano, il Garante ha escluso che fosse inevitabile o incolpevole: l’operatore avrebbe potuto, con l’ordinaria diligenza, verificare la correttezza delle operazioni effettuate prima dell’invio.

Misure adottate dopo l’evento

L’Azienda ha dichiarato di avere adottato o programmato diverse misure correttive, tra cui:

• formazione specifica per il personale dell’URP e della S.C. Neurologia;
• rinnovo delle istruzioni operative per le comunicazioni interne e per l’uso della posta elettronica;
• aggiornamento del manuale d’uso degli strumenti informatici;
• introduzione di istruzioni specifiche sull’uso del CCN per evitare la visibilità dei destinatari;
• richiesta al fornitore di un alert per segnalare l’invio di email a soggetti esterni all’organizzazione;
• avvio di procedimento disciplinare nei confronti dell’operatrice responsabile, concluso con sanzione giuslavoristica.

Il Garante ha preso atto di tali elementi, ma li ha considerati non idonei a escludere l’illiceità già consumata del trattamento.

Valutazioni sulla gravità e criteri sanzionatori

Ai fini della quantificazione della sanzione, il Garante ha considerato:

• la categoria particolare dei dati coinvolti, cioè dati relativi alla salute;
• il numero degli interessati coinvolti, pari a 44;
• il carattere non intenzionale della violazione;
• la conoscenza dell’evento da parte dell’Autorità tramite notifica ex art. 33 GDPR;
• l’impegno del titolare ad adottare ulteriori misure tecniche e formative;
• il fatto che la violazione abbia riguardato una specifica articolazione interna e sia stata causata da un errore di una sola operatrice.

La gravità è stata qualificata come media. Il Garante ha inoltre escluso che vi fosse una precedente violazione pertinente ai fini dell’art. 83, par. 2, lett. e), GDPR, richiamando un diverso precedente dell’Azienda in materia di videosorveglianza.

Decisione finale

L’Autorità ha dichiarato l’illiceità del trattamento di dati personali effettuato dall’Azienda Sanitaria Locale TO4 per violazione degli artt. 5 e 9 GDPR. Non ha disposto misure prescrittive o inibitorie, ritenendo che la condotta avesse già esaurito i propri effetti e che il titolare avesse manifestato l’intenzione di rafforzare le misure preventive.

Ha quindi adottato ordinanza ingiunzione per il pagamento di una sanzione amministrativa pecuniaria pari a euro 8.400, con facoltà di definizione agevolata mediante pagamento della metà entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice privacy. In caso di mancata definizione, il pagamento dell’intera somma deve avvenire entro 30 giorni dalla notificazione del provvedimento.

Pubblicazione e tutela giurisdizionale

Il Garante ha disposto la pubblicazione integrale del provvedimento sul proprio sito web, ai sensi dell’art. 166, comma 7, del Codice privacy. Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.