Ordinanza ingiunzione o revoca n. 62 del 08/02/2024

Medtronic Italia S.p.a.: data breach via email e informativa incompleta sulla funzionalità HPS

Il Garante per la protezione dei dati personali ha accertato nei confronti di Medtronic Italia S.p.a. due autonome violazioni in relazione ai servizi CareLink™ Personal e MiniMed™ Mobile, entrambi collegati alla gestione del diabete. Il procedimento trae origine da una notifica di violazione ex art. 33 GDPR e da successivi approfondimenti istruttori sull’informativa privacy e sulla funzionalità Health Partner Share (HPS).

Fatto e origine del procedimento

La prima vicenda riguarda l’invio di email di servizio a utenti dell’app MiniMed Mobile per comunicare un aggiornamento di manutenzione del server e la necessità di un nuovo accesso al software CareLink™ Personal. Nelle comunicazioni, gli indirizzi email dei destinatari sono stati inseriti nel campo visibile ai destinatari, con conseguente esposizione reciproca degli indirizzi di circa 5.001 utenti nel mondo, di cui 732 in Italia.

La seconda vicenda riguarda il processo di collegamento tra l’account CareLink™ Personal del paziente e l’account HPS del professionista sanitario. Il Garante ha esaminato l’informativa privacy, il meccanismo di consenso e le schermate rese disponibili al paziente al momento del collegamento.

Trattamenti esaminati

Il procedimento ha riguardato:

• l’invio di notifiche email a gruppi di utenti dell’app MiniMed Mobile;
• il trattamento dei dati personali degli utenti di CareLink™ Personal, inclusi dati sanitari;
• il collegamento degli account del paziente e del professionista sanitario tramite la funzionalità HPS;
• la successiva condivisione dei dati dei dispositivi con il professionista sanitario, in quanto autonomo titolare.

Valutazioni sul data breach e sulla natura dei dati

Il Garante ha ritenuto che gli indirizzi email siano dati personali ai sensi dell’art. 4, n. 1 GDPR. Nel caso concreto, le email di servizio erano indirizzate a utenti di un’applicazione destinata alla gestione del diabete, sicché le informazioni contenute nella comunicazione, pur non includendo dati clinici espliciti, erano comunque idonee a rivelare indirettamente uno stato di salute.

L’Autorità ha quindi qualificato l’episodio come trattamento illecito di dati relativi alla salute, rilevando che la divulgazione reciproca degli indirizzi email di più destinatari, in assenza di idoneo presupposto giuridico, ha violato i principi di liceità, correttezza, trasparenza e integrità/riservatezza.

Violazioni accertate e norme richiamate

Per il data breach il Garante ha ravvisato la violazione di:

• art. 5, par. 1, lett. a) e f) GDPR;
• art. 9 GDPR;
• art. 32 GDPR.

Per il secondo profilo ha ritenuto violate:

• art. 5, par. 1, lett. a) GDPR;
• artt. 12 e 13 GDPR.

Il Garante ha osservato che il collegamento HPS comporta una comunicazione di dati tra distinti titolari e che, prima dell’avvio del trattamento, deve essere chiaramente indicata la base giuridica della condivisione, oltre alle finalità e agli elementi minimi richiesti per un consenso valido e informato.

Valutazioni sul consenso e sull’informativa HPS

La società aveva sostenuto che il consenso del paziente fosse sufficientemente informato, perché il paziente riceveva un avviso nella schermata di collegamento e una successiva email di conferma. Il Garante ha tuttavia ritenuto che, nelle versioni dell’informativa del 2020 e del luglio 2022, mancasse l’indicazione chiara del presupposto giuridico della comunicazione dei dati al professionista sanitario.

Secondo l’Autorità, non era sufficiente richiamare genericamente la responsabilità del professionista sanitario come autonomo titolare. La base giuridica della comunicazione doveva essere resa esplicita già nell’informativa e nella fase di consenso. Tale lacuna è stata sanata solo con l’informativa entrata in vigore il 20 gennaio 2023.

Misure adottate dalla società

Nel corso dell’istruttoria Medtronic ha rappresentato di aver:

• tentato il richiamo immediato delle email inviate;
• chiesto ai destinatari di cancellare le copie del messaggio;
• ri-formato il personale coinvolto;
• introdotto un processo di peer review;
• avviato l’implementazione di uno strumento automatizzato per ridurre il rischio di errori umani;
• aggiornato l’informativa privacy.

Il Garante ha preso atto di tali interventi e ha escluso la necessità di misure correttive ulteriori di natura prescrittiva o inibitoria, rilevando che le condotte avevano ormai esaurito i loro effetti.

Sanzione amministrativa e criteri di quantificazione

L’Autorità ha distinto le due condotte ai fini sanzionatori:

• per la violazione relativa al data breach, ha ritenuto applicabile l’art. 83, par. 3 GDPR e ha considerato la gravità media, il numero degli interessati coinvolti, la durata dell’evento, la natura sanitaria dei dati e il carattere non intenzionale della condotta. Ha determinato la sanzione in 250.000 euro;
• per la violazione informativa sulla HPS, ha considerato la gravità bassa, trattandosi dell’omessa indicazione di uno specifico elemento informativo. Ha determinato la sanzione in 50.000 euro.

In totale, quindi, la società è stata sanzionata per 300.000 euro.

Provvedimenti accessori e definizione della controversia

Il Garante ha disposto la pubblicazione integrale del provvedimento sul sito istituzionale, ritenendo sussistenti i presupposti del relativo regime pubblicitario. È stata inoltre richiamata la possibilità, per il contravventore, di definire la controversia entro 30 giorni mediante pagamento della metà di ciascuna sanzione comminata, ai sensi dell’art. 166, comma 8, del Codice privacy.

Esito finale

Il Garante ha dichiarato l’illiceità del trattamento effettuato da Medtronic Italia S.p.a. e le ha ordinato di pagare la somma complessiva di 300.000 euro. Il provvedimento evidenzia, da un lato, l’importanza di adeguate misure organizzative nell’invio massivo di comunicazioni email e, dall’altro, l’esigenza che il consenso e l’informativa siano completi e chiari quando un trattamento implica la condivisione di dati sanitari tra più titolari.