Prescrizioni del Garante n. 753 del 18/12/2025

Studio Fisiokinesiterapico Romano s.r.l.: invio errato di un referto sanitario via e-mail

Il Garante per la protezione dei dati personali ha esaminato un reclamo relativo alla comunicazione a un destinatario terzo di un referto sanitario di un paziente da parte dello Studio Fisiokinesiterapico Romano s.r.l. Il procedimento è stato avviato a seguito della segnalazione dell’interessato e si è concentrato sulla correttezza della spedizione telematica dei referti, sulla base delle misure tecniche e organizzative adottate dal titolare.

Fatti e svolgimento del procedimento

L’interessato ha riferito di aver eseguito analisi cliniche presso la struttura e di aver richiesto l’invio del referto alla propria casella di posta elettronica. Poiché non lo aveva ricevuto, si era recato nello studio e aveva appreso che il documento era stato spedito a un indirizzo e-mail errato, diverso dal proprio per una sola lettera. Il referto conteneva dati personali identificativi e dati relativi alla salute, ed era stato inviato a un indirizzo esistente e funzionante, riferibile a un soggetto diverso dall’interessato.

L’Ufficio ha quindi richiesto informazioni alla società ai sensi dell’art. 157 del Codice. Il titolare ha spiegato che l’errore era dipeso da un’incompleta fase di interfacciamento tra il software gestionale e il software del laboratorio service, che aveva impedito l’uso della corretta modalità di scarico online dei referti. In via temporanea era stata adottata una procedura non pienamente conforme, poi corretta con l’ottimizzazione del sistema.

Violazioni contestate e norme richiamate

Con la notifica dell’avvio del procedimento sanzionatorio, l’Ufficio ha contestato la possibile violazione degli artt. 5, par. 1, lett. f), 9 e 32 GDPR, ritenendo che la società avesse comunicato dati relativi alla salute in assenza di un idoneo presupposto giuridico e senza adeguate misure di sicurezza.

Il Garante ha richiamato il particolare livello di tutela richiesto per i dati relativi alla salute, evidenziando la necessità di assicurarne integrità, riservatezza e sicurezza. In relazione alla spedizione dei referti via e-mail, è stata richiamata anche la disciplina contenuta nelle Linee guida in tema di referti on-line del 19 novembre 2009, che prevedono, tra le cautele, la convalida degli indirizzi e-mail tramite apposita procedura di verifica online per evitare l’invio a soggetti diversi dall’utente richiedente.

Valutazioni del Garante

L’Autorità ha ritenuto che, nel caso concreto, il referto fosse stato comunicato a un soggetto terzo senza un idoneo presupposto giuridico, integrando una violazione dell’art. 9 GDPR. Ha inoltre accertato la violazione dell’art. 32 GDPR, per non essere stata predisposta una misura di sicurezza adeguata, quale la verifica preventiva dell’indirizzo e-mail, idonea a prevenire l’errore di trasmissione.

Le difese della società non sono state ritenute idonee a superare i rilievi dell’Ufficio. Tuttavia, il Garante ha valorizzato alcuni elementi attenuanti: il carattere isolato dell’episodio, l’assenza di dolo, l’assenza di precedenti procedimenti pertinenti, la collaborazione del titolare e l’avvenuta implementazione di misure correttive per evitare il ripetersi della condotta.

Qualificazione della violazione e provvedimento finale

Alla luce delle circostanze concrete, il Garante ha qualificato la fattispecie come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida del WP29 sulle sanzioni amministrative pecuniarie. In conseguenza di ciò, ha ritenuto sufficiente l’adozione di un ammonimento, ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza irrogare una sanzione pecuniaria.

Il Garante ha pertanto:

• dichiarato l’illiceità del trattamento ai sensi dell’art. 57, par. 1, lett. f), GDPR;
• ammonito il titolare per la violazione degli artt. 5, par. 1, lett. f), 9 e 32 GDPR;
• disposto la pubblicazione del provvedimento sul sito istituzionale ai sensi dell’art. 154-bis, comma 3, del Codice;
• dato atto della ricorrenza dei presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

Implicazioni operative

Il provvedimento ribadisce che, nel trattamento di dati sanitari trasmessi per via elettronica, il titolare deve adottare verifiche preventive robuste sugli indirizzi di recapito e procedure tecniche che riducano al minimo il rischio di comunicazioni a terzi. L’errore materiale nell’indirizzo e-mail non esonera il titolare dalla responsabilità se non ha predisposto adeguate misure di controllo e sicurezza. Il caso conferma, inoltre, che la tempestiva correzione del processo e la collaborazione con l’Autorità possono condurre a un ammonimento anziché a una sanzione pecuniaria.