Ordinanza ingiunzione o revoca n. 85 del 23/03/2023

Azienda socio-sanitaria locale n. 1 di Sassari: invio errato di e-mail con dati sulla salute e sanzione amministrativa

Il Garante ha esaminato un reclamo relativo alla trasmissione, da parte dell’Azienda socio-sanitaria locale n. 1 di Sassari, di una e-mail contenente un provvedimento di ricovero extra-regione a un indirizzo e-mail non appartenente alla persona interessata. Il documento includeva dati identificativi e informazioni sulla salute, con conseguente divulgazione non autorizzata a un soggetto terzo.

Origine del procedimento

Il procedimento è stato avviato a seguito del reclamo della persona interessata. L’Ufficio del Garante ha chiesto chiarimenti al titolare del trattamento ai sensi dell’art. 157 del Codice, con particolare riguardo al presupposto giuridico della comunicazione e al rispetto del principio di integrità e riservatezza.

Riscontro dell’Azienda

L’Azienda ha riconosciuto l’errore materiale: una mail dell’Ufficio Ricoveri Extraregione era stata inviata alla casella corretta, ma con allegata la nota relativa a un’altra assistita, anziché quella riferita alla reclamante. Ha rappresentato che l’errore era stato segnalato da un familiare della destinataria e che, successivamente, erano state effettuate le rettifiche. Nelle memorie difensive ha sottolineato che si trattava di un episodio isolato, privo di dolo, e che non risultavano analoghe precedenti violazioni.

Valutazioni sulla natura dei dati e sulla liceità del trattamento

Il Garante ha ricordato che i dati relativi alla salute, ai sensi dell’art. 4, par. 1, n. 15, GDPR e del considerando 35, includono le informazioni raccolte nel contesto dell’erogazione di servizi sanitari. In ambito sanitario, la comunicazione a terzi richiede un idoneo presupposto giuridico o una delega scritta dell’interessato. Nel caso esaminato, la trasmissione della documentazione a un indirizzo non riferibile alla reclamante è stata ritenuta una comunicazione illecita di dati relativi alla salute.

Violazioni accertate

Il Garante ha dichiarato l’illiceità del trattamento per violazione di:

• art. 5 GDPR, in particolare il principio di integrità e riservatezza;
• art. 9 GDPR, per il trattamento di dati relativi alla salute in assenza di valido presupposto;
• art. 32 GDPR, per inadeguatezza delle misure tecniche e organizzative idonee a prevenire la divulgazione non autorizzata.

Misure correttive e sanzione

Poiché la condotta aveva già esaurito i propri effetti, il Garante ha ritenuto non necessari provvedimenti correttivi ai sensi dell’art. 58, par. 2, GDPR. Ha però ritenuto applicabile la sanzione amministrativa pecuniaria, richiamando gli artt. 58, par. 2, lett. i), e 83 GDPR, nonché l’art. 166 del Codice.

Nella determinazione dell’importo sono stati considerati:

• il coinvolgimento di un solo interessato;
• l’assenza di intenzionalità e il carattere accidentale dell’errore;
• la cooperazione dell’Azienda con l’Autorità;
• l’assenza di precedenti provvedimenti per violazioni pertinenti.

La sanzione è stata fissata in euro 4.000,00, ritenuta effettiva, proporzionata e dissuasiva.

Pubblicazione del provvedimento e rimedi

È stata disposta la pubblicazione integrale del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice. È stato inoltre richiamato il diritto del contravventore di definire la controversia mediante pagamento, entro 30 giorni, di un importo pari alla metà della sanzione. Contro il provvedimento è stato indicato il ricorso all’autorità giudiziaria ordinaria nei termini di cui all’art. 78 GDPR e all’art. 10 del d.lgs. 150/2011.