Ordinanza ingiunzione o revoca n. 344 del 20/10/2022

I.S.P.R.O. - comunicazione illecita di un referto sanitario via PEC e sanzione amministrativa

Il provvedimento riguarda I.S.P.R.O. quale titolare del trattamento in relazione all’invio erroneo, tramite PEC, di un referto anatomopatologico contenente dati relativi alla salute a un soggetto terzo non autorizzato a riceverlo. L’evento è emerso a seguito di segnalazione dell’interessato e di istruttoria svolta dal Garante nei confronti sia dell’Azienda Ospedaliero-Universitaria Careggi, quale struttura che materialmente aveva effettuato l’invio, sia di I.S.P.R.O., quale soggetto titolare del trattamento.

Fatto e origine della segnalazione

Il segnalante ha riferito di aver ricevuto, il 30 aprile 2021, una PEC con oggetto riferito a un referto di anatomia patologica e contenente in allegato il referto di un’altra persona. L’errore è stato ricondotto dall’A.O.U. Careggi a un mero errore materiale dell’operatore addetto alla trasmissione, che aveva caricato più referti nella cartella spool e aveva allegato il file sbagliato.

L’Azienda ha inoltre rappresentato che la trasmissione dei referti via PEC era stata introdotta, in ragione delle difficoltà negli spostamenti connesse all’emergenza SARS-CoV-2, per gli utenti che ne facessero richiesta scritta al momento dell’accettazione. Dopo la segnalazione, la segreteria avrebbe inviato una PEC di scuse e il referto corretto entro 24 ore.

Rapporti tra titolare e responsabile del trattamento

Nel corso dell’istruttoria è emerso che tra I.S.P.R.O. e A.O.U. Careggi era in essere, dal 1° marzo 2021, un accordo quadro per la collaborazione interaziendale, corredato da schede esecutive che disciplinavano prestazioni, reciproci impegni, modalità di esecuzione, aspetti economici e qualifiche in materia di protezione dei dati personali. La scheda esecutiva relativa all’attività laboratoristica di anatomia patologica qualificava l’A.O.U. Careggi come responsabile del trattamento ai sensi dell’art. 28 GDPR.

I.S.P.R.O. ha sostenuto che la struttura operava quale responsabile del trattamento per conto dell’Istituto e che la mancata indicazione di istruzioni specifiche non escludeva la responsabilità del responsabile per l’errore materiale. Ha anche prodotto la documentazione contrattuale, l’atto sulle disposizioni applicabili al responsabile e la comunicazione relativa ai dati del RPD.

Valutazioni del Garante sulla responsabilità del titolare

Il Garante ha osservato che il titolare del trattamento è responsabile delle decisioni sulle finalità e modalità del trattamento e ha una responsabilità generale per i trattamenti effettuati direttamente o da altri per suo conto. Ha richiamato gli artt. 5, par. 2, 24 e 28 GDPR, nonché il considerando 74, sottolineando che il titolare deve mettere in atto misure adeguate ed efficaci e vigilare sull’operato del responsabile.

In questa prospettiva, la circostanza che l’invio errato sia stato materialmente compiuto dall’A.O.U. Careggi non esonera I.S.P.R.O. da responsabilità, poiché il trattamento era svolto per suo conto e il titolare avrebbe dovuto assicurare adeguata vigilanza e controllo.

Violazioni accertate

Il Garante ha dichiarato l’illiceità del trattamento per:

• comunicazione di dati relativi alla salute a un soggetto terzo non autorizzato, in assenza di idonea base giuridica, in violazione dell’art. 9 GDPR;
• mancato rispetto del principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), GDPR.

È stato richiamato, in ambito sanitario, il principio secondo cui le informazioni sullo stato di salute possono essere comunicate all’interessato e, ai terzi, solo in presenza di un idoneo presupposto giuridico o su indicazione/delega scritta dell’interessato.

Esclusione di misure prescrittive o inibitorie

Pur rilevando la violazione, il Garante ha preso atto delle misure organizzative già adottate dall’Istituto per ridurre il rischio di eventi analoghi e ha ritenuto che non ricorressero i presupposti per adottare provvedimenti prescrittivi o inibitori ai sensi dell’art. 58, par. 2, GDPR.

Sanzione amministrativa e criteri di quantificazione

La violazione degli artt. 5, par. 1, lett. f), e 9 GDPR è stata sanzionata ai sensi dell’art. 83, par. 5, lett. a), GDPR e dell’art. 166, comma 2, del Codice privacy. La sanzione è stata determinata in euro 7.000, ritenuta effettiva, proporzionata e dissuasiva.

Nella quantificazione il Garante ha valorizzato, ai sensi dell’art. 83, par. 2, GDPR:

• il coinvolgimento di un solo paziente;
• l’assenza di dolo;
• l’assenza di precedenti provvedimenti pertinenti nei confronti dell’Istituto;
• il carattere isolato dell’episodio nell’ambito di un’attività istituzionale di rilevante interesse sociale, connessa alla continuità delle indagini oncologiche.

Dispositivo finale

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato da I.S.P.R.O.;
• ordinato il pagamento della sanzione pecuniaria di euro 7.000 entro 30 giorni dalla notifica, con possibilità di definizione in misura pari alla metà ai sensi dell’art. 166, comma 8, del Codice;
• disposto la pubblicazione integrale del provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice.

È stato infine indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge.