Ordinanza ingiunzione o revoca n. 63 del 08/02/2024

ASL n. 1 di Sassari: invio errato di dati sulla salute e mancato riscontro al Garante

Il provvedimento riguarda l’Azienda socio-sanitaria locale n. 1 di Sassari, destinataria di un reclamo per l’invio a un soggetto terzo non autorizzato di una e-mail contenente dati sulla salute dell’interessata. Il procedimento trae inoltre origine dal mancato riscontro dell’Azienda a una richiesta di informazioni formulata dal Garante ai sensi dell’art. 157 del Codice privacy.

Origine del reclamo e contenuto della comunicazione errata

L’interessata ha segnalato che l’Azienda aveva trasmesso, a un indirizzo e-mail non appartenente alla stessa, un provvedimento dell’Ufficio ricoveri extra-regione del Distretto di Sassari. Il documento negava la concessione di benefici economici per prestazioni sanitarie ai sensi della L.R. n. 26/1991 e conteneva:

• dati identificativi della reclamante;
• l’indicazione della struttura sanitaria presso cui intendeva ricevere le cure;
• elementi relativi al percorso medico intrapreso e da intraprendere.

Istruttoria del Garante e violazione dell’art. 157 Codice privacy

Il Garante ha chiesto all’Azienda, ai sensi dell’art. 157 del Codice, di fornire informazioni utili alla valutazione del caso. La richiesta risulta consegnata, ma non ha ricevuto alcun riscontro. Per tale ragione l’Autorità ha notificato la violazione dell’art. 157 e ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, GDPR, invitando l’Azienda a presentare difese o a chiedere audizione.

Difese dell’Azienda

Nelle memorie difensive l’Azienda ha sostenuto che l’evento fosse dovuto a un mero errore materiale e di natura colposa, non intenzionale. Ha dichiarato che la dipendente aveva poi invitato il destinatario errato a cancellare la documentazione ricevuta e ha rappresentato di aver adottato misure interne per attenuare gli effetti della violazione, tra cui:

• informativa agli uffici amministrativi del distretto che trattano dati sensibili;
• richiesta di supporto ai servizi informativi aziendali;
• introduzione di un sistema di invio via e-mail con posta criptata e password di accesso.

Valutazioni del Garante sui dati trattati e sulle violazioni

Il Garante ha qualificato le informazioni trasmesse come "dati relativi alla salute" ai sensi dell’art. 4, par. 1, n. 15, GDPR, richiamando anche il considerando 35. Ha ribadito che, in ambito sanitario, la comunicazione a terzi è lecita solo in presenza di un idoneo presupposto giuridico o di una delega scritta dell’interessato.

L’Autorità ha ritenuto che l’Azienda abbia effettuato una comunicazione illecita di dati sulla salute, in violazione di:

• art. 5, par. 1, lett. f), GDPR, per il principio di integrità e riservatezza;
• art. 9 GDPR, per il trattamento di dati particolari in assenza di adeguato presupposto;
• art. 32 GDPR, per l’insufficienza delle misure tecniche e organizzative adottate;
• art. 157 Codice privacy, per il mancato riscontro alla richiesta istruttoria.

Esito del procedimento e assenza di misure correttive ulteriori

Il Garante ha ritenuto che gli elementi difensivi non fossero idonei a superare i rilievi contestati. Ha quindi dichiarato l’illiceità del trattamento, osservando tuttavia che la condotta aveva esaurito i propri effetti e che non sussistevano, allo stato, i presupposti per l’adozione di ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Il Garante ha applicato la sanzione amministrativa pecuniaria prevista dagli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dall’art. 166 del Codice. Trattandosi di un’unica condotta, è stato richiamato l’art. 83, par. 3, GDPR, individuando come violazione più grave quella relativa agli artt. 5, 9 e 157.

Nella quantificazione della sanzione sono stati considerati, tra gli altri, i seguenti elementi:

• la categoria di dati coinvolta, ossia dati sulla salute;
• l’esiguo numero di interessati coinvolti, pari a uno;
• il carattere non intenzionale della violazione;
• il fatto che l’Autorità abbia appreso dell’evento da un reclamo;
• l’adozione di un sistema di posta criptata con password e l’invito a cancellare la documentazione;
• la circostanza che la violazione abbia riguardato una specifica articolazione interna e non l’intera organizzazione.

La sanzione è stata determinata in euro 18.000,00, ritenuta effettiva, proporzionata e dissuasiva.

Sanzione accessoria, definizione agevolata e ricorso

È stata disposta la pubblicazione integrale del provvedimento sul sito web del Garante, ai sensi dell’art. 166, comma 7, del Codice. Il provvedimento precisa inoltre che l’Azienda può definire la controversia pagando, entro 30 giorni, la metà della sanzione comminata ai sensi dell’art. 166, comma 8, del Codice.

Avverso il provvedimento è ammesso ricorso davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.