Ordinanza ingiunzione o revoca n. 7 del 11/01/2023

Azienda Ospedale-Università Padova: sanzione per invio email con indirizzi in chiaro e divulgazione di dati sanitari

Il provvedimento riguarda una violazione notificata dall’Azienda Ospedale-Università Padova nell’ambito della gestione dei consensi informati per l’adesione a uno studio clinico della UOC Cardiochirurgia. L’evento ha comportato l’invio di una email plurima a 19 pazienti con indirizzi inseriti in chiaro nel campo cc, rendendo reciprocamene conoscibili gli indirizzi dei destinatari e, nel contesto della comunicazione, anche informazioni idonee a rivelare lo stato di salute degli interessati.

Fatti e origine del procedimento

L’Azienda ha notificato al Garante una violazione di dati personali ai sensi dell’art. 33 GDPR, rappresentando che la comunicazione era stata inviata accidentalmente a più pazienti coinvolti nello studio clinico, ma con indirizzario visibile a tutti i destinatari. L’istruttoria è stata avviata ai sensi dell’art. 166, commi 5, 6 e 7, del Codice privacy, con contestazione preliminare dell’illecito trattamento e invito a presentare difese.

Trattamento esaminato e natura dei dati

Secondo l’Autorità, gli indirizzi email costituiscono dati personali ai sensi dell’art. 4, par. 1, n. 1, GDPR, anche quando non contengono il nominativo dell’interessato. Nel caso concreto, tuttavia, il contenuto della comunicazione rendeva evidente che i destinatari erano pazienti in attesa di trapianto cardiaco e potenziali aderenti a uno studio clinico: ciò ha portato il Garante a qualificare il trattamento come avente ad oggetto anche dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR.

Violazioni accertate e norme richiamate

Il Garante ha ritenuto che la comunicazione abbia comportato la divulgazione reciproca di dati personali e sanitari senza idoneo presupposto giuridico, con violazione dei principi di:

• liceità, correttezza e trasparenza, in combinato con la base giuridica del trattamento;
• integrità e riservatezza, ex art. 5, par. 1, lett. f), GDPR;
• disciplina rafforzata dei dati particolari, ex art. 9 GDPR.

Nella motivazione sono richiamati anche l’art. 2-ter del Codice privacy e, per la rilevanza sanzionatoria, gli artt. 58, par. 2, lett. i), e 83, par. 5, GDPR, oltre all’art. 166 del Codice.

Difese del titolare e misure organizzative rappresentate

L’Azienda ha sostenuto che l’errore era colposo e occasionale, dovuto alla sostituzione di una dipendente abitualmente addetta all’attività, e che la procedura via email era stata adottata solo temporaneamente durante l’emergenza Covid-19 per evitare l’accesso in presenza di pazienti fragili. Ha inoltre evidenziato:

• l’esistenza di un regolamento aziendale sull’uso di strumenti informatici, posta elettronica e internet;
• circolari e comunicazioni interne di richiamo al corretto uso della mail aziendale;
• attività formative generali e specifiche, anche con il coinvolgimento del DPO;
• l’invio ai destinatari di una mail di scuse e di invito a cancellare il messaggio ricevuto e a non utilizzare gli indirizzi visibili;
• la disponibilità a cooperare ulteriormente con l’Autorità.

Valutazioni del Garante

Il Garante ha ritenuto che tali elementi, pur considerati, non fossero sufficienti a superare i rilievi mossi. Ha osservato che:

• il trattamento ha riguardato dati personali e dati relativi alla salute;
• l’invio in un unico messaggio con destinatari in chiaro ha reso conoscibili a ciascun paziente gli indirizzi degli altri;
• la circostanza che solo una parte degli indirizzi fosse immediatamente riconducibile ai titolari non esclude la natura personale del dato;
• non vi erano elementi per disporre l’archiviazione.

L’Autorità ha tuttavia escluso la necessità di misure prescrittive o inibitorie, rilevando che la condotta aveva esaurito i suoi effetti e che l’Azienda aveva già adottato iniziative correttive.

Sanzione pecuniaria e criteri di quantificazione

La violazione degli artt. 5, par. 1, lett. f), e 9 GDPR è stata sanzionata ai sensi dell’art. 83, par. 5, GDPR. Nella determinazione dell’importo, il Garante ha applicato i criteri dell’art. 83, par. 2, GDPR, valorizzando in particolare:

• l’assenza di reclami o segnalazioni esterne;
• il numero degli interessati coinvolti, pari a 19;
• la natura particolare dei dati trattati;
• l’assenza di intenzionalità;
• la tempestiva presa in carico della problematica;
• l’elevato grado di cooperazione con l’Autorità;
• il contesto emergenziale e temporaneo della procedura adottata.

All’esito, è stata irrogata una sanzione amministrativa pecuniaria di euro 5.000,00.

Dispositivo finale

Il provvedimento:

• dichiara l’illiceità del trattamento effettuato dall’Azienda Ospedale-Università Padova;
• ordina il pagamento della sanzione di euro 5.000,00 entro 30 giorni dalla notificazione, con facoltà di definizione agevolata entro 30 giorni mediante pagamento della metà;
• dispone la pubblicazione integrale del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, Codice.

È inoltre richiamata la possibilità di ricorso giurisdizionale avanti l’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice e 10 d.lgs. 150/2011.