Ordinanza ingiunzione o revoca n. 585 del 07/12/2023

Azienda Ospedaliera Universitaria Policlinico "G. Martino" di Messina: sanzione per ritardo nel riscontro a un accesso e comunicazione indebita di dati sanitari

Il provvedimento trae origine dal reclamo di una paziente che aveva esercitato il diritto di accesso ai sensi dell’art. 15 GDPR con riguardo alla documentazione sanitaria del proprio ricovero presso l’Azienda Ospedaliera Universitaria Policlinico "G. Martino" di Messina. Nel corso dell’istruttoria è emerso, oltre al ritardo nel riscontro, che la copia della cartella clinica consegnata all’interessata conteneva anche il referto sanitario di un’altra paziente.

Origine del reclamo e attività istruttoria

La reclamante ha lamentato inizialmente:

• il mancato o tardivo riscontro alla richiesta di accesso ai dati personali;
• la presunta perdita di parte della documentazione sanitaria;
• la mancata sottoscrizione di consensi e informative.

L’Ufficio del Garante ha chiesto informazioni al titolare del trattamento ai sensi dell’art. 157 Codice privacy. L’Azienda ha poi dichiarato di aver consegnato la cartella clinica completa e i moduli di consenso sottoscritti, sicché i profili relativi alla pretesa perdita di dati e alla mancata sottoscrizione sono stati archiviati in via parziale. In seguito, però, la reclamante ha segnalato un ulteriore elemento: all’interno della propria cartella era stato inserito il referto di un’altra paziente.

Tardivo riscontro all’istanza di accesso

Sul diritto di accesso, il Garante ha rilevato la violazione dell’art. 12 GDPR in relazione all’art. 15 GDPR. Il titolare avrebbe dovuto rispondere entro un mese dalla richiesta e, in caso di proroga, informare tempestivamente l’interessata delle ragioni del ritardo. Nel caso concreto:

• non risultavano motivi tali da giustificare una proroga di due mesi;
• il primo riscontro utile è stato comunque fornito oltre il termine legale;
• il riscontro completo è arrivato con un ritardo di 232 giorni rispetto alla scadenza.

L’Autorità ha riconosciuto che vi erano state interlocuzioni informali e un parziale riscontro, nonché scuse all’interessata, ma ha considerato ugualmente integrata la violazione, anche sotto il profilo della durata del ritardo.

Comunicazione indebita di dati relativi alla salute

Più grave, sul piano sostanziale, è stata la consegna alla reclamante di un referto sanitario appartenente a un’altra paziente. Il Garante ha qualificato tali informazioni come dati relativi alla salute, soggetti a tutela rafforzata ai sensi dell’art. 9 GDPR.

La comunicazione è stata ritenuta illecita perché avvenuta senza alcun idoneo presupposto giuridico e in assenza di autorizzazione dell’interessata cui i dati si riferivano. L’episodio è stato ricondotto a un errore umano nella fase di gestione e archiviazione della cartella clinica presso il reparto di ginecologia e ostetricia, in un contesto organizzativo già critico.

Il Garante ha richiamato:

• l’art. 5, par. 1, lett. f), GDPR, sul principio di integrità e riservatezza;
• l’art. 32 GDPR, sugli obblighi di sicurezza e sulle misure tecniche e organizzative adeguate;
• l’art. 9 GDPR e la disciplina nazionale richiamata per la comunicazione dei dati sanitari.

Valutazione delle circostanze del caso e misure adottate dal titolare

Nella quantificazione e nella valutazione complessiva, l’Autorità ha tenuto conto di alcuni elementi attenuanti:

• il fatto che si trattasse di un caso isolato;
• l’assenza di dolo;
• l’assenza di precedenti provvedimenti pertinenti;
• il contesto emergenziale dovuto alla pandemia da Covid-19, che aveva inciso sull’organizzazione ospedaliera e sulla gestione del personale;
• l’adozione di misure correttive e organizzative da parte dell’Azienda.

Tra le misure comunicate dal titolare figuravano:

• revisione della procedura di gestione, compilazione e rilascio della documentazione sanitaria;
• fornitura di supporti fisici per ridurre il rischio di scambio o inserimento errato di documenti;
• programmazione di interventi formativi anche in materia di protezione dei dati;
• rafforzamento del coordinamento interno nella fase di rilascio della documentazione;
• sviluppo o acquisto di un applicativo per gestire in sicurezza richieste e consegne della documentazione sanitaria.

Il Garante ha comunque escluso l’adozione di misure prescrittive o inibitorie ex art. 58, par. 2, GDPR, rilevando che la condotta aveva già esaurito i suoi effetti e che l’ente aveva in parte rimediato all’accaduto.

Esito: illecito trattamento e sanzione

Il Garante ha dichiarato l’illiceità del trattamento effettuato dall’Azienda Ospedaliera Universitaria Policlinico "G. Martino" per la violazione degli artt. 5, par. 1, lett. f), 9, 12 in relazione all’art. 15, e 32 GDPR.

Ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 Codice privacy, è stata irrogata una sanzione amministrativa pecuniaria pari a 8.000 euro. Nella determinazione dell’importo il Garante ha valorizzato i criteri di cui all’art. 83, par. 1 e par. 2 GDPR, in particolare:

• natura e gravità delle violazioni;
• assenza di dolo;
• circostanze emergenziali legate al Covid-19;
• assenza di precedenti violazioni pertinenti;
• limitata platea degli interessati coinvolti;
• adozione di misure correttive.

È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, Codice privacy.

Implicazioni operative

Il provvedimento ribadisce, per strutture sanitarie e pubbliche amministrazioni:

• l’obbligo di rispondere tempestivamente alle istanze ex artt. 12 e 15 GDPR;
• la necessità di evitare ogni comunicazione involontaria di dati sanitari a soggetti diversi dall’interessato;
• l’importanza di procedure interne, controlli e formazione del personale nella gestione delle cartelle cliniche;
• il fatto che il contesto emergenziale può essere considerato solo ai fini della quantificazione sanzionatoria, ma non elimina la violazione.