Prescrizioni del Garante n. 588 del 09/10/2025

Sol et Salus S.p.A. - errata consegna di supporto digitale contenente dati sanitari

Il Garante per la protezione dei dati personali ha esaminato la consegna a un paziente di un CD contenente immagini diagnostiche appartenenti a un altro interessato, nell’ambito della documentazione sanitaria rilasciata da Sol et Salus S.p.A. Il procedimento è stato avviato a seguito della segnalazione dell’interessato e della richiesta di chiarimenti ex art. 157 del Codice.

Fatti oggetto di esame

Secondo quanto rappresentato dal segnalante, dopo una risonanza magnetica presso la struttura sanitaria, il CD consegnato insieme al referto cartaceo conteneva immagini non riferibili al paziente, ma a un altro soggetto identificato da nominativo e data di nascita. L’errore è stato scoperto in occasione di una visita specialistica presso un ospedale di Bologna, quando il supporto è stato aperto e visionato dai sanitari.

La società ha ricostruito l’episodio come un caso isolato di errata imbustatura del CD da parte di un operatore sanitario formato e autorizzato. Ha precisato che il referto cartaceo era corretto, mentre il supporto digitale apparteneva a un altro paziente.

Istruttoria e riscontri del titolare

Nel riscontro all’Autorità la società ha descritto le modalità ordinarie di produzione e consegna della documentazione di diagnostica per immagini, gestita attraverso sistema RIS-PACS e consegnata previa identificazione del paziente. Ha attribuito la violazione a un errore umano non intenzionale e ha indicato misure già operative, tra cui:

• procedure interne per la gestione della documentazione clinica;
• utilizzo del sistema RIS/PACS per la tracciabilità;
• backup quotidiani e piani di disaster recovery;
• monitoraggio delle minacce informatiche;
• formazione del personale sul GDPR e sulla gestione dei data breach.

Successivamente ha comunicato ulteriori misure correttive, fra cui:

• controllo incrociato della documentazione contenente referto e CD, affidato a medico e tecnico di diagnostica per immagini;
• verifica dell’applicazione delle procedure interne;
• potenziamento della formazione del personale;
• programmazione di audit interni sul rispetto delle istruzioni operative.

La struttura ha inoltre depositato istruzioni operative specifiche per la diagnostica per immagini, nelle quali è previsto che il medico stampi e firmi il referto, il TSRM provveda all’imbustamento di CD e referto, e la busta sia poi consegnata alla segreteria per il ritiro dell’utente.

Valutazioni del Garante

L’Autorità ha richiamato la definizione di dati relativi alla salute di cui all’art. 4, par. 1, n. 15, GDPR e il considerando 51, sottolineando la particolare sensibilità di tali dati. Ha poi ribadito che il trattamento deve garantire integrità e riservatezza ai sensi dell’art. 5, par. 1, lett. f), GDPR e che i dati sanitari possono essere comunicati a terzi solo in presenza di idoneo presupposto giuridico o delega scritta dell’interessato, ai sensi dell’art. 9 GDPR.

Sulla base degli atti, il Garante ha ritenuto non superati i rilievi contestati con l’avvio del procedimento e ha confermato la violazione degli artt. 5, par. 1, lett. f), e 9 GDPR da parte della società.

Esito: illiceità del trattamento e ammonimento

Pur dichiarando l’illiceità del trattamento, il Garante ha valorizzato alcune circostanze attenuanti:

• l’episodio è stato isolato e privo di dolo;
• il titolare ha adottato misure per evitare il ripetersi dell’evento;
• la società ha collaborato durante l’istruttoria;
• non risultano precedenti procedimenti pertinenti a carico del titolare.

Alla luce di tali elementi, il caso è stato qualificato come violazione minore ai sensi del considerando 148 GDPR e delle linee guida del WP29 sulle sanzioni amministrative pecuniarie. L’Autorità ha ritenuto sufficiente ammonire il titolare ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza applicare una sanzione pecuniaria.

Dispositivo finale

Il provvedimento:

• dichiara l’illiceità del trattamento effettuato da Sol et Salus S.p.A. ai sensi dell’art. 57, par. 1, lett. f), GDPR;
• ammonisce il titolare per violazione degli artt. 5, par. 1, lett. f), e 9 GDPR;
• richiama i presupposti per le procedure interne di cui al Regolamento del Garante n. 1/2019;
• prevede la pubblicazione del provvedimento sul sito dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019.

Impugnazione

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.