Ordinanza ingiunzione o revoca n. 38 del 24/01/2024

Ospedale Pediatrico Bambino Gesù: violazione nella gestione online di referti sanitari

Il provvedimento riguarda l’Ospedale Pediatrico Bambino Gesù di Roma e un trattamento di dati relativi alla salute reso disponibile tramite il portale "Carta della Salute". L’istruttoria è scaturita da una notifica di data breach ai sensi dell’art. 33 GDPR, relativa a un malfunzionamento software che ha provocato l’errata associazione di referti a pazienti diversi e la conseguente visione di documenti sanitari da parte di soggetti non autorizzati.

Origine dei fatti e dinamica della violazione

Secondo quanto ricostruito, il problema è stato generato dalla componente di integrazione del software di laboratorio fornito da Dedalus, che trasmetteva al sistema di gestione dati dell’Ospedale messaggi HL7 contenenti un identificativo paziente non coerente con il referto. La propagazione dell’errore negli applicativi integrati ha prodotto l’associazione di referti integri e coerenti, ma attribuiti a pazienti errati. L’Ospedale ha riferito un totale di 24 referti coinvolti nella criticità, pur ai fini della valutazione del provvedimento il Garante ha considerato in particolare 6 pazienti i cui referti sono stati esposti a terzi non autorizzati e ulteriori 8 pazienti con problemi di indisponibilità del referto.

Trattamento di dati sanitari e regole applicabili

Il Garante richiama la definizione di dati relativi alla salute di cui all’art. 4, par. 1, n. 15, GDPR e il considerando 51, sottolineando l’elevata protezione richiesta per questa categoria di dati. La comunicazione di informazioni sullo stato di salute può avvenire solo all’interessato o a terzi sulla base di un idoneo presupposto giuridico o di delega scritta. Nel caso di specie, l’errata esposizione dei referti a soggetti diversi dagli interessati ha integrato una comunicazione illecita di dati sanitari.

Violazioni accertate

L’Autorità ha ritenuto che il trattamento fosse effettuato in violazione di:

• art. 5, par. 1, lett. f), GDPR, per mancato rispetto del principio di integrità e riservatezza;
• art. 9 GDPR, per la comunicazione di dati relativi alla salute a soggetti terzi non autorizzati;
• art. 32, par. 1, lett. b) e d), GDPR, per l’adozione di misure di sicurezza non sufficientemente adeguate al rischio e per l’assenza di una procedura regolare di test, verifica e valutazione dell’efficacia delle misure.

Responsabilità del titolare e ruolo del responsabile

Il Garante ribadisce che il titolare ha una responsabilità generale per i trattamenti effettuati direttamente o per suo conto, in coerenza con gli artt. 4, par. 1, n. 7, 5, par. 2, 24 GDPR e con il principio di accountability. Anche se la causa tecnica del bug era riferita al software del responsabile del trattamento, il titolare avrebbe dovuto prevedere e verificare misure tecniche e organizzative idonee a garantire, su base permanente, riservatezza, integrità, disponibilità e resilienza dei sistemi. È richiamata anche la giurisprudenza interna dell’Autorità e le linee guida EDPB sui concetti di titolare e responsabile.

Attività istruttoria e difese del titolare

L’Ospedale ha rappresentato di aver rilevato l’anomalia poco prima della segnalazione dell’interessato, di aver bloccato temporaneamente l’accesso ai referti, analizzato i log, oscurato i documenti errati, chiesto supporto al fornitore e adottato misure correttive. Ha inoltre comunicato agli interessati la violazione, inviando istruzioni ai visualizzatori per la cancellazione dei file eventualmente salvati, e ha attivato un team multidisciplinare di supporto. In sede difensiva ha evidenziato l’assenza di ulteriori conseguenze, la mancata diffusione dei dati e l’aggiornamento del Modello organizzativo privacy, con formazione del personale e rafforzamento dei controlli.

Valutazione delle misure correttive

L’Autorità prende atto delle misure adottate, tra cui:

• blocco temporaneo del portale;
• analisi dei log di accesso;
• oscuramento e riemissione dei referti errati;
• contatto personalizzato degli interessati e dei visualizzatori;
• richiesta al fornitore di test di non regression;
• installazione di un filtro ulteriore per intercettare e bloccare trasferimenti anomali;
• ipotesi di restrizioni aggiuntive all’accesso ai referti più risalenti.

Tuttavia, tali interventi sono stati considerati idonei a contenere o prevenire ulteriori episodi, non a escludere la responsabilità per la violazione già avvenuta.

Quantificazione della sanzione

Ai sensi dell’art. 83 GDPR, le violazioni degli artt. 5, 9 e 32 sono state considerate come derivanti da un’unica condotta, con applicazione del par. 3. Il Garante ha individuato quale violazione più grave quella dell’art. 9 GDPR, soggetta alla fascia sanzionatoria dell’art. 83, par. 5. Nella determinazione dell’importo sono stati considerati: la natura dei dati trattati, la durata limitata dell’evento, il numero degli interessati, l’assenza di dolo, l’assenza di prove di danno subito, la tempestiva rilevazione dell’anomalia da parte del titolare e un precedente procedimento pertinente a carico dello stesso. Il livello di gravità è stato qualificato come medio, in linea con le linee guida EDPB sulle sanzioni amministrative.

Dispositivo

Il Garante:

• dichiara l’illiceità del trattamento effettuato dall’Ospedale Pediatrico Bambino Gesù per violazione degli artt. 5, par. 1, lett. f), 9 e 32 GDPR;
• ordina il pagamento di una sanzione amministrativa pecuniaria di euro 8.000,00;
• ricorda la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni;
• dispone la pubblicazione integrale del provvedimento sul sito web del Garante;
• dispone l’annotazione nel registro interno dell’Autorità.

Rilievi finali

Il provvedimento conferma che, in ambito sanitario digitale, l’adozione di software di terzi e di integrazioni complesse non esonera il titolare dal dovere di presidiare stabilmente la qualità dei flussi, la coerenza delle associazioni tra dati e interessati e l’efficacia delle misure di sicurezza. L’eventuale tempestività della reazione e la collaborazione con il fornitore rilevano ai fini della quantificazione della sanzione, ma non escludono la contestazione dell’illecito quando il trattamento abbia determinato la comunicazione di dati sanitari a soggetti non autorizzati.