Prescrizioni del Garante n. 98 del 22/02/2024

ASL Vercelli - ammonimento per errata apposizione di etichetta su cartella clinica

Il provvedimento riguarda l’Azienda sanitaria locale Vercelli, in relazione a un episodio di comunicazione indebita di dati personali e sanitari avvenuto nella gestione di una cartella clinica ostetrica. Il procedimento origina da una segnalazione dell’interessata e dalla successiva notifica di violazione dei dati personali trasmessa dall’Azienda al Garante.

Fatti e origine della segnalazione

La segnalazione ha riguardato la ricezione, da parte di una partoriente, di una cartella clinica contenente un’etichetta adesiva con dati anagrafici e di reparto riferiti a un’altra paziente. L’Azienda ha spiegato che l’evento si sarebbe verificato in una notte caratterizzata da tre parti ravvicinati, nel contesto della fase iniziale della pandemia, e che l’etichetta si sarebbe accidentalmente staccata da un supporto per aderire al tracciato di un’altra paziente.

Nel corso dell’istruttoria l’Azienda ha descritto il processo interno di compilazione e assemblaggio delle cartelle cliniche, precisando che le etichette stampate dalle ostetriche venivano utilizzate per più supporti documentali e che le etichette residue potevano essere allegate alla cartella o cestinate. Ha inoltre segnalato di aver ricevuto l’interessata presso la Direzione medica per chiarire l’accaduto.

Trattamenti esaminati e dati coinvolti

L’Autorità ha accertato che i dati presenti sull’etichetta comprendevano elementi identificativi della paziente e il reparto di degenza, oltre a riferimenti idonei a rivelare informazioni sulla salute. Il Garante ha richiamato la nozione di dato relativo alla salute di cui all’art. 4, par. 1, n. 15 GDPR e al considerando 35, evidenziando che anche l’informazione relativa a una prestazione sanitaria erogata a una persona specificamente identificata integra un dato sulla salute.

Il caso è stato ricondotto a una comunicazione a terzi di dati sanitari non supportata da un idoneo presupposto giuridico, in un contesto in cui la cartella era stata resa conoscibile a un soggetto non autorizzato.

Valutazioni dell’Ufficio e norme richiamate

Con l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha contestato all’Azienda la violazione dei principi di esattezza e di integrità e riservatezza di cui all’art. 5, par. 1, lett. d) e f), nonché degli obblighi di sicurezza di cui all’art. 32 GDPR. È stato inoltre richiamato l’art. 9 GDPR, in combinato disposto con l’art. 84 del Codice e con l’art. 22, comma 11, del d.lgs. 10 agosto 2018, n. 101, quale base normativa che limita la comunicazione dei dati sulla salute a ipotesi giustificate o su indicazione dell’interessato.

Il Garante ha osservato che le circostanze addotte dall’Azienda, pur meritevoli di considerazione, non escludevano l’illiceità del trattamento, e ha ritenuto non pertinente il richiamo dell’Azienda all’art. 3-bis del d.l. n. 44/2021, norma riferita alla responsabilità colposa per morte o lesioni personali in ambito sanitario durante l’emergenza COVID-19.

Difese dell’Azienda e misure correttive interne

L’Azienda ha sostenuto che l’evento fosse un caso accidentale, isolato e privo di dolo, riconducibile a colpa lieve e alla straordinarietà della situazione pandemica. Ha anche sottolineato di aver già adottato misure organizzative e tecniche, tra cui regolamenti interni, nomina del DPO, procedure di gestione dei data breach, formazione del personale e prassi di doppio controllo della cartella clinica.

A seguito dell’evento, l’Azienda ha dichiarato di avere rafforzato le misure mediante:

• circolare interna di richiamo alla massima attenzione nell’uso delle etichette autoadesive e nella distruzione delle residue;
• consegna di un distruggi-documenti al reparto di ginecologia e ostetricia;
• modifica delle impostazioni di stampa per limitare il numero di etichette stampabili;
• successiva eliminazione della funzione di stampa multipla, con previsione della sola stampa singola.

Esito dell’istruttoria e valutazione finale

Il Garante ha ritenuto che l’evento avesse determinato una comunicazione illecita di dati personali e di dati sulla salute, in violazione degli artt. 5, par. 1, lett. d) e f), 9 e 32 GDPR. Ha però rilevato che la condotta aveva ormai esaurito i propri effetti e che non sussistevano i presupposti per adottare misure correttive ulteriori ai sensi dell’art. 58, par. 2, GDPR.

Ai fini sanzionatori, l’Autorità ha valorizzato alcuni elementi attenuanti: il carattere isolato del fatto, l’assenza di dolo, la colpa qualificata come lieve, la pronta attivazione dell’Azienda per impedire il ripetersi di episodi analoghi, la collaborazione nel corso del procedimento e l’assenza di precedenti pertinenti. In questa prospettiva, il caso è stato qualificato come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP 253 sulle sanzioni amministrative pecuniarie.

Provvedimento adottato

Il Garante ha quindi:

• dichiarato, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento effettuato dall’Azienda sanitaria locale Vercelli;
• ammonito, ai sensi dell’art. 58, par. 2, lett. b), GDPR, l’Azienda per la violazione degli artt. 5, par. 1, lett. d) e f), 9 e 32 GDPR;
• ritenuto applicabile la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento n. 1/2019.

Rimedi e impugnazione

Il provvedimento indica la possibilità di proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.