Ordinanza ingiunzione o revoca n. 26 del 26/01/2023

Azienda ULSS n.5 Polesana - comunicazione indebita di dati sanitari nella consegna di una cartella clinica

Il Garante ha accertato nei confronti dell’Azienda ULSS n.5 Polesana una comunicazione illecita di dati personali relativi alla salute, verificatasi in occasione del rilascio di copia di una cartella clinica. Il procedimento è stato avviato a seguito della notifica di una violazione di dati personali ex art. 33 GDPR e si è concluso con un’ordinanza ingiunzione di sanzione pecuniaria e con la pubblicazione del provvedimento sul sito istituzionale dell’Autorità.

Fatti e origine della violazione

L’Azienda ha segnalato che, nella consegna della cartella clinica a un paziente, era stata inserita documentazione sanitaria appartenente a un soggetto terzo. A seguito della segnalazione del destinatario, la Direzione Medica dell’Ospedale di Rovigo ha verificato la presenza di 30 pagine di documentazione non riferibili al paziente interessato, tra cui parti di diario clinico, terapie prescritte ed eseguite e storico delle diarie mediche e delle terapie.

L’episodio è stato ricondotto dall’Azienda a un errore materiale verificatosi nel contesto organizzativo dell’Ospedale di Trecenta, all’epoca Covid Hospital, nel quale la gestione della cartella clinica seguiva una prassi straordinaria di separazione temporanea di alcune sezioni della documentazione. Dopo la segnalazione, il paziente ha restituito l’intero plico ricevuto e ha dichiarato di non aver trattenuto copie ulteriori.

Trattamento esaminato e qualificazione dei dati

L’Autorità ha qualificato la documentazione oggetto dell’episodio come contenente dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR. La comunicazione a un soggetto diverso dall’interessato ha dunque riguardato dati appartenenti alla categoria particolare di cui all’art. 9 GDPR, con conseguente applicazione di un regime di particolare tutela.

Violazioni contestate e norme richiamate

Il Garante ha ritenuto che il trattamento fosse illecito per violazione dei principi di base del trattamento e degli obblighi di sicurezza, in particolare:

• art. 5, par. 1, lett. a) e f), GDPR, per carenza di liceità e di adeguata integrità/riservatezza;
• art. 9 GDPR, per la comunicazione di dati sulla salute in assenza di idoneo presupposto giuridico;
• art. 32 GDPR, per insufficiente adeguatezza delle misure tecniche e organizzative rispetto al rischio.

È stato richiamato anche l’art. 84 del Codice privacy, in combinato disposto con l’art. 22, comma 11, d.lgs. n. 101/2018, in tema di comunicazione di informazioni sanitarie a terzi.

Valutazioni del Garante

Nel corso dell’istruttoria l’Azienda ha sostenuto che si trattasse di un caso isolato, riconducibile a errore umano, e ha rappresentato di aver già aggiornato la procedura interna di verifica della completezza delle cartelle cliniche e di aver organizzato momenti formativi per il personale.

Il Garante ha preso atto della collaborazione e delle misure adottate, ma ha ritenuto che tali elementi non fossero sufficienti a superare i rilievi contestati. Ha quindi confermato l’illiceità del trattamento, escludendo tuttavia la necessità di misure prescrittive o inibitorie, anche in considerazione della cessazione degli effetti della violazione e dell’intervento correttivo già posto in essere dall’Azienda.

Sanzione amministrativa pecuniaria

La violazione è stata sanzionata ai sensi dell’art. 58, par. 2, lett. i), e dell’art. 83 GDPR, nonché dell’art. 166 del Codice privacy. L’importo è stato determinato in euro 5.000, sulla base dei criteri di effettività, proporzionalità e dissuasività e tenendo conto, tra gli altri, dei seguenti elementi:

• limitazione dell’evento a un solo interessato;
• assenza di condotte dolose;
• primo episodio di questo tipo per l’Azienda;
• collaborazione con l’Autorità;
• tempestiva notifica autonoma della violazione;
• immediata attivazione di misure correttive;
• contesto emergenziale Covid-19 in cui la violazione si è verificata.

È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy.

Misure correttive interne riferite dall’Azienda

L’Azienda ha dichiarato di aver:

• richiesto e ottenuto la restituzione della documentazione consegnata per errore;
• aggiornato la procedura di rilascio e verifica della completezza della cartella clinica;
• introdotto una check-list e un controllo incrociato tra Direttore/Responsabile e Coordinatore Infermieristico dell’unità operativa;
• previsto un ulteriore controllo a campione da parte dell’Archivio Cartelle Cliniche;
• avviato attività formative specifiche sulla corretta gestione della documentazione sanitaria.

Esito finale

Il Garante ha dichiarato l’illiceità del trattamento e ha ordinato all’Azienda ULSS n.5 Polesana il pagamento della sanzione amministrativa pecuniaria di euro 5.000. È stata altresì richiamata la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice privacy. Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.