Ordinanza ingiunzione o revoca n. 170 del 27/03/2025

Azienda sanitaria territoriale di Macerata: comunicazione indebita di dati sanitari e tardivo riscontro a istanza di accesso

Il Garante ha esaminato il comportamento dell’Azienda sanitaria territoriale di Macerata nell’ambito della gestione di uno screening oncologico di secondo livello e di un’istanza di accesso ai dati personali presentata da una paziente. Il procedimento ha portato all’accertamento di una comunicazione illecita di informazioni sanitarie a un terzo e del mancato rispetto dei termini per il riscontro all’istanza ex art. 15 GDPR.

Origine del procedimento e sviluppi istruttori

Il caso nasce da un reclamo con cui l’interessata lamentava di non aver ricevuto risposta a due richieste di accesso ai dati personali rivolte all’Azienda. A seguito dell’invito dell’Ufficio a dare riscontro alla reclamante, l’Azienda ha poi fornito una risposta contenente anche informazioni sull’anagrafica sanitaria e sul collegamento dei dati della paziente con quelli dei familiari presenti nei sistemi aziendali.

La reclamante ha quindi segnalato un ulteriore profilo di illiceità: durante il tentativo di contatto per fissare un appuntamento di approfondimento diagnostico, l’operatrice avrebbe chiamato la madre della paziente e le avrebbe comunicato la necessità di ulteriori accertamenti. L’Azienda ha ricondotto l’episodio a un errore umano, sostenendo che fossero già previste istruzioni operative e che fossero in corso aggiornamenti organizzativi e formazione del personale.

Trattamenti esaminati e dati coinvolti

L’Autorità ha considerato il trattamento dei dati personali effettuato dal servizio di screening oncologico, con particolare riferimento:

• alla gestione dei contatti telefonici per gli appuntamenti di II livello;
• alla comunicazione di informazioni relative alla necessità di ulteriori accertamenti diagnostici;
• al trattamento e alla trasmissione di dati relativi alla salute della paziente;
• alla risposta all’istanza di accesso ai dati ex art. 15 GDPR.

I dati coinvolti sono stati qualificati come dati personali e, soprattutto, come dati relativi alla salute, dunque meritevoli di particolare protezione in ragione dei rischi per i diritti e le libertà fondamentali degli interessati.

Violazioni accertate: riservatezza, sicurezza e comunicazione a terzi

Il Garante ha ritenuto che l’Azienda, al momento dell’evento, non avesse adottato misure tecniche e organizzative adeguate a evitare la divulgazione impropria delle informazioni. In particolare, è stata ravvisata la violazione:

• dell’art. 5, par. 1, lett. f), GDPR, per mancato rispetto del principio di integrità e riservatezza;
• dell’art. 32 GDPR, per inadeguatezza delle misure di sicurezza rispetto al rischio;
• dell’art. 9 GDPR, per comunicazione a un terzo di dati relativi alla salute senza idoneo presupposto giuridico.

L’Autorità ha evidenziato che le nuove linee operative predisposte dall’Azienda prevedevano, invece, la regola di contattare solo la diretta interessata e di non lasciare comunicazioni ad altre persone, a conferma del fatto che la procedura adottata al momento dell’episodio non era sufficientemente presidiata.

Riscontro all’istanza di accesso e violazione dei termini

Per quanto riguarda i diritti dell’interessata, il Garante ha rilevato che il titolare non ha risposto nei termini stabiliti dall’art. 12 GDPR a un’istanza di accesso ex art. 15 GDPR. Il riscontro è arrivato soltanto dopo 162 giorni dalla ricezione della richiesta, a seguito dell’intervento dell’Autorità.

È stato quindi accertato il mancato rispetto del termine di un mese previsto dal Regolamento, senza che l’Azienda avesse dimostrato una valida proroga o una tempestiva informazione all’interessata circa i motivi del ritardo o dell’eventuale mancato riscontro.

Difese dell’Azienda e loro valutazione

L’Azienda ha sostenuto che si fosse trattato di un errore umano motivato dall’urgenza di assicurare alla paziente un completamento diagnostico in presenza di un sospetto clinico. Ha anche rappresentato di aver adottato istruzioni operative, di aver programmato formazione e di aver aggiornato le procedure interne.

Il Garante ha tuttavia ritenuto che tali elementi, pur apprezzabili, non fossero idonei a superare i rilievi contestati. In particolare, l’errore umano è stato considerato sintomo di negligenza, suscettibile di essere prevenuto tramite misure organizzative e tecniche adeguate. Anche la giustificazione del tardivo riscontro, fondata su un errore di classificazione della richiesta, non è stata ritenuta sufficiente a escludere la violazione.

Sanzione amministrativa pecuniaria e criteri applicati

Il Garante ha considerato le due condotte come distinte ai fini sanzionatori e ha applicato l’art. 83, paragrafi 4 e 5, GDPR.

Per la violazione degli artt. 5, par. 1, lett. f), 9 e 32 GDPR:

• gravità valutata come elevata;
• rilevanza della categoria di dati trattati, cioè dati sulla salute;
• operazione di comunicazione a terzi;
• circostanza attenuante: assenza di precedenti provvedimenti sanzionatori pertinenti;
• ulteriore elemento considerato: intenzione dell’operatrice di attivare rapidamente il contatto per ragioni cliniche;
• sanzione determinata in 4.000 euro.

Per la violazione dell’art. 12 in relazione all’art. 15 GDPR:

• gravità valutata come media;
• riscontro tardivo ma comunque successivamente fornito;
• assenza di precedenti sanzioni pertinenti;
• elemento valutato: l’errore degli operatori di protocollo legato all’omonimia con una dipendente dell’Azienda;
• sanzione determinata in 1.000 euro.

L’importo complessivo della sanzione è stato quindi fissato in 5.000 euro.

Provvedimenti finali e adempimenti

Il Garante ha:

• rilevato l’illiceità del trattamento effettuato dall’Azienda sanitaria territoriale di Macerata;
• ordinato il pagamento della sanzione amministrativa pecuniaria di 5.000 euro entro 30 giorni dalla notificazione;
• disposto la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• ordinato l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È stata inoltre richiamata la facoltà di definizione agevolata mediante il pagamento della metà della sanzione entro il termine previsto dalla normativa applicabile per proporre opposizione. Le vie di ricorso sono state indicate nell’opposizione all’autorità giudiziaria ordinaria ex art. 78 GDPR, artt. 152 Codice privacy e 10 d.lgs. 150/2011.