Prescrizioni del Garante n. 41 del 30/01/2025

Ospedale Mauriziano Umberto I: ammonimento per consegna impropria di referti sanitari

Il provvedimento riguarda l’Ospedale Mauriziano Umberto I ed è originato dal reclamo di una paziente che ha segnalato la consegna, a un’altra paziente omonima, di referti contenenti dati sulla salute. L’Autorità ha esaminato la vicenda nell’ambito di un procedimento ex art. 166 del Codice privacy, a seguito di richieste istruttorie e della memoria difensiva del titolare.

Fatti oggetto del reclamo

La reclamante ha riferito che, dopo una visita di controllo in allergologia, i propri referti sarebbero stati rilasciati a un’altra paziente presente nello stesso ambulatorio in un orario diverso. L’interessata ha poi appreso dell’episodio tramite una telefonata della persona che era entrata in possesso della documentazione sanitaria.

Attività istruttoria e posizione del titolare

Nel corso dell’istruttoria il Garante ha richiesto chiarimenti sulle modalità di consegna della documentazione sanitaria, sulle misure di sicurezza adottate e sulle eventuali azioni correttive. L’ospedale ha ricondotto l’episodio a un temporaneo malfunzionamento del sistema informatico, che avrebbe impedito l’uso della funzione ordinaria di firma e stampa del referto.

Secondo quanto rappresentato dal titolare, il medico avrebbe dovuto procedere manualmente alla firma digitale e alla successiva selezione del nominativo del paziente tra le visite del giorno, e in tale fase si sarebbe verificato l’errore di stampa e consegna. Il titolare ha evidenziato il carattere accidentale e straordinario dell’evento, la coincidenza di più elementi identificativi tra le due pazienti e il fatto che si trattasse della prima e unica violazione di quel tipo dalla piena applicabilità del GDPR.

Violazioni contestate

L’Ufficio ha notificato l’avvio del procedimento ritenendo che il trattamento fosse avvenuto in contrasto con:

• l’art. 9 GDPR, per la comunicazione di dati relativi alla salute in assenza di un idoneo presupposto giuridico;
• l’art. 5, par. 1, lett. f), GDPR, in relazione al principio di integrità e riservatezza;
• l’art. 32 GDPR, per l’insufficienza delle misure tecniche e organizzative idonee a prevenire accessi o divulgazioni accidentali, soprattutto nei casi di omonimia.

Nel provvedimento viene ribadito che i dati sulla salute meritano una protezione rafforzata e che la comunicazione a terzi è consentita solo all’interessato, oppure a terzi nei casi previsti dalla legge o su delega scritta dell’interessato.

Valutazioni del Garante

Il Garante ha ritenuto che le difese del titolare non fossero sufficienti a superare i rilievi formulati. Ha quindi confermato la sussistenza delle violazioni degli artt. 5, par. 1, lett. f), 9 e 32 GDPR.

Pur in presenza di un trattamento illecito, l’Autorità ha valorizzato alcuni elementi attenuanti:

• il fatto isolato;
• l’assenza di dolo;
• la colpa qualificata come lieve;
• la pronta e intensa collaborazione dell’ospedale;
• l’assenza di precedenti procedimenti pertinenti.

Sulla base di tali elementi, il caso è stato qualificato come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP 253 sulle sanzioni amministrative pecuniarie.

Misura adottata

In applicazione dell’art. 58, par. 2, lett. b), GDPR, il Garante ha ritenuto sufficiente ammonire il titolare del trattamento, dichiarando al contempo l’illiceità del trattamento effettuato. Non è stata irrogata una sanzione pecuniaria.

È stata inoltre disposta la pubblicazione del provvedimento sul sito dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019.

Implicazioni operative

Il provvedimento conferma che, nel trattamento di dati sanitari, l’errore materiale nella consegna di referti può integrare una violazione del GDPR se non sono adottate misure organizzative e tecniche adeguate a prevenire divulgazioni accidentali, anche in presenza di criticità informatiche. Per le strutture sanitarie, resta centrale l’adozione di procedure di identificazione dell’interessato e di verifica del destinatario della documentazione, specialmente nei casi di omonimia o di gestione manuale del processo.