Prescrizioni del Garante n. 443 del 17/07/2024

Invio per errore di un modulo di consenso informato con dati di altra coppia di pazienti

Il provvedimento riguarda una società operante in ambito sanitario, titolare del trattamento, destinataria di un ammonimento del Garante per un errore di comunicazione di dati personali avvenuto tramite posta elettronica nell’ambito della procedura di raccolta del consenso informato per un trattamento di procreazione medicalmente assistita (PMA).

Fatti e origine del procedimento

La società ha notificato al Garante, ai sensi dell’art. 33 GDPR, che in data 6 giugno 2022 un’ostetrica aveva inviato per errore a una paziente un modulo di consenso informato già compilato con i dati di un’altra coppia di pazienti, anziché un modulo in bianco da compilare. Il documento conteneva dati identificativi delle persone coinvolte e l’indicazione della tipologia di trattamento scelto; la società ha precisato che non vi erano riferimenti specifici allo stato di salute. La destinataria si è accorta dell’errore e ha chiesto un modulo vuoto; poco dopo è stato inviato il documento corretto e richiesto di cancellare quello ricevuto per errore, circostanza poi confermata dalla stessa interessata.

Attività istruttoria e difese del titolare

A seguito della notifica, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, GDPR, contestando una comunicazione di dati relativi alla salute e comunque una violazione dei principi di base del trattamento e degli obblighi di sicurezza. Nelle difese, la società ha sostenuto che l’evento fosse dovuto a mero errore umano e che il personale fosse stato formato e istruito in materia privacy. Ha inoltre descritto la procedura ordinaria: invio ai pazienti, in forma telematica, del modulo di consenso in formato PDF criptato, con password consegnata separatamente, precisando però che, nel caso concreto, la protezione non era stata applicata perché il file avrebbe dovuto essere in bianco. Dopo l’evento, la società ha dichiarato di aver rafforzato la procedura interna, prevedendo una più chiara identificazione e archiviazione dei moduli compilati e la separazione tra moduli compilati e moduli vuoti su cartelle diverse del server.

Valutazioni del Garante sul trattamento

Il Garante ha richiamato la definizione di dati relativi alla salute di cui all’art. 4, par. 1, n. 15, GDPR e ha sottolineato la particolare tutela dovuta a tali dati. Ha poi ribadito che il trattamento deve garantire integrità e riservatezza ex art. 5, par. 1, lett. f), e che titolare e responsabile devono adottare misure tecniche e organizzative adeguate al rischio ai sensi dell’art. 32 GDPR. In ambito sanitario, le informazioni sullo stato di salute possono essere comunicate solo all’interessato o a terzi in presenza di un idoneo presupposto giuridico.

L’Autorità ha inoltre richiamato il principio di accountability, evidenziando che il titolare ha una responsabilità generale per i trattamenti effettuati direttamente o per suo conto e deve essere in grado di dimostrare l’adozione di misure adeguate ex artt. 5, par. 2, e 24 GDPR, nonché considerando il ruolo del responsabile del trattamento secondo le linee guida EDPB sul controller/processor.

Esito dell’istruttoria e qualificazione del caso

Pur prendendo atto delle misure correttive spontaneamente adottate dalla società e della rapida cancellazione del documento da parte del destinatario, il Garante ha ritenuto che il trattamento fosse stato effettuato in modo non conforme al principio di integrità e riservatezza e in violazione degli artt. 9 e 32 GDPR. Tuttavia, ha escluso la necessità di ulteriori misure correttive ex art. 58, par. 2, GDPR, dato che il rischio era stato contenuto e la procedura era stata modificata per evitare il ripetersi dell’errore.

Ai fini sanzionatori, il caso è stato qualificato come violazione minore ai sensi del considerando 148 GDPR e delle linee guida WP29 sulle sanzioni amministrative pecuniarie, tenendo conto di vari elementi attenuanti: assenza di dolo, colpa lieve, carattere isolato dell’episodio, assenza di reclami, collaborazione del titolare e mancanza di precedenti specifici.

Provvedimento finale

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dalla società;
• ammonito il titolare ai sensi dell’art. 58, par. 2, lett. b), GDPR per la violazione degli artt. 5, par. 1, lett. f), 9 e 32 GDPR;
• ritenuto ricorrenti i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

Non è stata irrogata una sanzione pecuniaria. Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011 entro 30 giorni dalla comunicazione, ovvero 60 giorni per chi risiede all’estero.