Ordinanza ingiunzione o revoca n. 416 del 15/12/2022

Azienda Universitaria Friuli Centrale: trattamento illecito di dati sanitari per stratificazione dei pazienti fragili

Il provvedimento riguarda il trattamento di dati relativi alla salute effettuato nell’ambito di un’iniziativa regionale del Friuli Venezia Giulia connessa all’emergenza Covid-19. Il Garante ha esaminato la raccolta ed elaborazione, tramite data warehouse regionali, algoritmo ARCS e portale Insiel, di elenchi di assistiti classificati come fragili o con comorbidità, destinati ai medici di medicina generale per attività di presa in carico e remunerazione di obiettivi assistenziali.

Origine della segnalazione e istruttoria

Il procedimento è nato da una segnalazione relativa alla delibera della Giunta regionale Friuli Venezia Giulia n. 1737 del 20 novembre 2020 e al relativo verbale di intesa con le organizzazioni sindacali dei MMG. Secondo la segnalazione, i medici avrebbero dovuto validare, tramite portale informatico regionale, una lista di assistiti individuati preventivamente dall’Azienda sanitaria come soggetti in condizioni di complessità e comorbidità, compilando schede contenenti dati sanitari e ulteriori informazioni personali.

L’Ufficio ha chiesto chiarimenti alla Regione e all’ASUFC su finalità, basi giuridiche, ruoli di titolare e responsabile, eventuale consenso, flussi di dati, natura dei dati trattati e obbligo di valutazione d’impatto. Nel corso dell’istruttoria sono stati coinvolti anche ARCS e Insiel.

Ricostruzione del trattamento

Dalle dichiarazioni acquisite è emerso che:

• i dati venivano estratti dal data warehouse regionale;
• ARCS forniva il supporto metodologico e l’algoritmo di selezione;
• Insiel, società in house, implementava l’algoritmo e rendeva disponibili gli elenchi sul Portale di Continuità della Cura;
• gli elenchi includevano soggetti appartenenti alle classi RUB 4 e 5, individuati come più fragili;
• i dati trattati comprendevano informazioni su diagnosi codificate, farmaci, costi sanitari, età, genere e, nella fase di disponibilità ai MMG, anche codice fiscale, cognome, nome e altre informazioni organizzative;
• il trattamento ha riguardato oltre 40.000 assistiti, di cui 17.729 afferenti all’ASUFC.

La Regione ha sostenuto che i dati fossero pseudonimizzati e che l’estrazione fosse limitata ai soggetti che avevano prestato consenso alla consultazione del Fascicolo sanitario elettronico da parte del MMG.

Qualificazione giuridica: stratificazione della popolazione e medicina di iniziativa

Il Garante ha chiarito che l’attività esaminata integra una stratificazione del rischio sanitario della popolazione, funzionale a individuare gli assistiti più esposti e a predisporre interventi preventivi di presa in carico. Tale attività è stata ricondotta alla c.d. medicina di iniziativa, pur nel contesto emergenziale, e distinta dalla ordinaria cura del paziente.

L’Autorità ha ribadito che i trattamenti ulteriori rispetto alla cura ordinaria, anche se connessi a finalità sanitarie, richiedono un fondamento autonomo e non possono essere ricondotti automaticamente all’art. 9, par. 2, lett. h) GDPR.

Assenza di un idoneo presupposto giuridico

Il Garante ha escluso che il trattamento potesse fondarsi sull’art. 1 del d.l. 34/2020, poiché la norma sul potenziamento e riorganizzazione della rete assistenziale non legittima, di per sé, una stratificazione algoritmica della popolazione sanitaria. Ha richiamato invece l’art. 7 del medesimo decreto, che prevede espressamente una disciplina specifica per le metodologie predittive del fabbisogno di salute in capo al Ministero della salute, con successivo regolamento e garanzie particolari.

L’Autorità ha altresì escluso:

• la necessità del trattamento per finalità di diagnosi, assistenza o terapia sanitaria ex art. 9, par. 2, lett. h) GDPR;
• la validità del consenso genericamente prestato per il Fascicolo sanitario elettronico, non estendibile alla medicina di iniziativa;
• la possibilità di ricondurre il trattamento al consenso esplicito ex art. 9, par. 2, lett. a) GDPR, che non risultava acquisito.

Di conseguenza, il trattamento è stato ritenuto privo di base giuridica idonea e in violazione degli artt. 5, par. 1, lett. a), 9 GDPR e 2-sexies del Codice privacy.

Ruolo del titolare e del responsabile

Il provvedimento sottolinea che, anche quando l’iniziativa proviene da un soggetto pubblico sovraordinato, il titolare deve valutare autonomamente la legittimità delle istruzioni ricevute e la sussistenza della base giuridica del trattamento. L’ASUFC non poteva quindi limitarsi a eseguire la delibera regionale senza verificare la conformità al GDPR e al Codice.

Il Garante ha osservato inoltre che non risultava alcuna iniziativa dell’Azienda per impedire o far cessare il trattamento svolto da Insiel, pur in assenza di una sua espressa autorizzazione.

Violazione del principio di trasparenza e dell’informativa

L’Autorità ha accertato la violazione degli artt. 13 e 14 GDPR. Gli interessati non avevano ricevuto un’informativa specifica sui trattamenti di stratificazione e sulle successive comunicazioni dei dati ai MMG. Poiché i dati erano stati acquisiti dai database dell’Azienda, non era applicabile alcuna esenzione dall’obbligo informativo.

Obbligo di valutazione d’impatto

Il Garante ha ritenuto che il trattamento imponesse una DPIA ai sensi dell’art. 35 GDPR, per la presenza di diversi fattori di rischio:

• trattamento di dati sanitari, cioè categorie particolari di dati;
• coinvolgimento di soggetti vulnerabili;
• ampia scala del trattamento;
• uso di strumenti algoritmici e di soluzioni tecnologiche/organizzative innovative.

La pandemia non ha derogato a tale obbligo. Sono stati richiamati i precedenti del Garante in materia di App Immuni, green pass e altri trattamenti sanitari in contesto emergenziale. La mancata valutazione d’impatto è stata quindi qualificata come ulteriore violazione dell’art. 35 GDPR.

Esito del procedimento e sanzione

All’esito dell’istruttoria, il Garante ha dichiarato l’illiceità del trattamento effettuato dall’ASUFC e ha ritenuto applicabili le sanzioni amministrative previste dall’art. 83, parr. 4 e 5, GDPR.

Nella quantificazione della sanzione, l’Autorità ha considerato:

• l’ampiezza del trattamento, su oltre 40.000 assistiti;
• il contesto emergenziale Covid-19;
• l’assenza di reclami o segnalazioni da parte di interessati;
• la piena collaborazione dell’Azienda;
• la presenza di precedenti sanzionatori, relativi però ad altre fattispecie (dossier sanitario).

La sanzione è stata determinata in euro 55.000.

Misure correttive e accessorie

Oltre alla sanzione pecuniaria, il Garante ha disposto:

• la cancellazione, entro 90 giorni dalla notifica, dei dati risultanti dall’elaborazione delle informazioni presenti nelle banche dati aziendali oggetto del provvedimento;
• la comunicazione al Garante, entro 20 giorni dalla scadenza del termine di 90 giorni, delle iniziative adottate per dare esecuzione all’ordine di cancellazione;
• la pubblicazione integrale del provvedimento sul sito del Garante.

È stata inoltre richiamata la possibilità, per il contravventore, di definire la controversia pagando entro 30 giorni la metà della sanzione comminata, ai sensi dell’art. 166, comma 8, del Codice privacy.

Rilievo sistematico

Il provvedimento ribadisce che:

• la pseudonimizzazione non equivale ad anonimizzazione;
• la medicina di iniziativa richiede una base giuridica specifica e garanzie adeguate;
• il consenso al Fascicolo sanitario elettronico non legittima usi ulteriori per finalità di profilazione o stratificazione sanitaria;
• la disciplina emergenziale non esonera dagli obblighi fondamentali del GDPR, in particolare base giuridica, trasparenza e DPIA.