Ordinanza ingiunzione o revoca n. 242 del 08/06/2023

ASL n. 3 di Nuoro: diffusione illecita di dati sulla salute mediante avviso affisso all’ambulatorio

Il provvedimento riguarda l’Azienda socio-sanitaria locale n. 3 di Nuoro e trae origine dal reclamo di una medico che segnalava l’affissione, presso l’accesso di un ambulatorio, di un cartello contenente un riferimento alla sua "malattia". Il Garante ha ritenuto che l’episodio integrasse una diffusione illecita di dati relativi alla salute, in violazione della disciplina privacy applicabile al settore sanitario.

Origine del reclamo e fatti contestati

La reclamante ha rappresentato che, all’ingresso dell’ambulatorio in cui prestava servizio, era stato esposto un avviso destinato all’utenza, nel quale si comunicava che non sarebbe stata garantita la seduta per esigenze di servizio. Nel testo dell’avviso compariva però la dicitura "malattia dott.ssa XX", con conseguente rivelazione di informazioni sullo stato di salute dell’interessata.

Attività istruttoria e difese dell’Azienda

L’Ufficio ha chiesto chiarimenti all’ATS Sardegna e poi, per effetto della riforma del servizio sanitario regionale, alla ASL n. 5 di Oristano e infine alla ASL n. 3 di Nuoro. L’Azienda ha sostenuto che si fosse trattato di un mero errore materiale: era stata richiesta l’affissione di un avviso di chiusura dell’ambulatorio per assenza improvvisa della dirigente medico, ma per un’incomprensione era stata usata la parola "malattia" invece di "assenza". Ha inoltre affermato di essere intervenuta subito per sostituire il cartello con la dicitura corretta.

L’Azienda ha anche sollevato questioni sull’individuazione del titolare del trattamento nel nuovo assetto organizzativo del sistema sanitario regionale sardo, ipotizzando in via difensiva una possibile titolarità autonoma o contitolarità del Dipartimento/Servizio. Il Garante, tuttavia, ha richiesto chiarimenti su eventuali accordi di contitolarità ex art. 26 GDPR e ha poi ricondotto la responsabilità alla ASL n. 3 di Nuoro.

Qualificazione del trattamento e norme violate

Il Garante ha ricondotto le informazioni diffuse alla categoria dei "dati relativi alla salute" ai sensi dell’art. 4, par. 1, n. 15, GDPR, poiché l’avviso rendeva nota una condizione di salute dell’interessata. Ha richiamato la nozione di diffusione prevista dall’art. 2-ter, comma 4, lett. b), del Codice privacy, ossia la conoscenza dei dati da parte di soggetti indeterminati.

Secondo l’Autorità, il trattamento è risultato illecito per violazione di:

• art. 5, par. 1, lett. a), c) e f), GDPR, in tema di liceità, correttezza, trasparenza, minimizzazione e integrità/riservatezza;
• art. 9 GDPR, per il trattamento di dati particolari in assenza di un idoneo presupposto;
• art. 2-septies, comma 8, Codice privacy, che vieta la diffusione dei dati sulla salute.

È stato inoltre ricordato che, in ambito sanitario, le informazioni sullo stato di salute possono essere comunicate all’interessato e, a terzi, solo in presenza di un valido presupposto giuridico o di delega scritta dell’interessato.

Valutazioni conclusive del Garante

Le argomentazioni difensive dell’Azienda non sono state ritenute sufficienti a giustificare l’archiviazione. Il Garante ha quindi confermato il rilievo di illiceità del trattamento, affermando che la diffusione del dato sulla salute dell’interessata aveva violato i principi base del GDPR e il divieto posto dal Codice privacy.

L’Autorità ha precisato che non ricorrevano i presupposti per misure prescrittive o inibitorie ai sensi dell’art. 58, par. 2, GDPR, poiché la condotta aveva già esaurito i propri effetti grazie alla tempestiva rimozione e sostituzione dell’avviso.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a), GDPR, determinandola in euro 5.000,00. Nella quantificazione sono stati considerati, ai sensi dell’art. 83, par. 1 e par. 2, GDPR:

• la limitata estensione del trattamento, riferito a una sola interessata;
• il breve arco temporale della violazione;
• la particolare tenuità psicologica della condotta, ritenuta non intenzionale;
• la circostanza che l’Autorità aveva appreso della violazione tramite reclamo;
• la collaborazione dell’Azienda nel corso del procedimento;
• la pronta attivazione per rimediare all’errore.

Misure accessorie e rimedi esperibili

Oltre alla sanzione pecuniaria, è stata disposta la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy. È stata anche prevista l’annotazione nel registro interno dell’Autorità relativo alle violazioni e alle misure adottate.

Il provvedimento indica infine la possibilità di proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.