Prescrizioni del Garante n. 343 del 20/10/2022

Azienda USL di Parma: ammonimento per errata consegna di dati sanitari

Il provvedimento riguarda l’Azienda Unità Sanitaria Locale di Parma, destinataria di un ammonimento per aver comunicato a un terzo dati personali e relativi alla salute di un paziente mediante l’erronea inclusione di una cartella infermieristica in altra cartella clinica. L’episodio è stato esaminato a seguito di notifica di data breach ai sensi dell’art. 33 GDPR e dell’avvio del procedimento da parte dell’Autorità.

Fatto e origine del procedimento

L’evento si è verificato il 14 maggio 2019 e ha riguardato dati anagrafici, di contatto e sanitari del paziente, tra cui nome, cognome, data di nascita, codice fiscale, indirizzo, numero di telefono, temperatura corporea, pressione, polso e terapia in uso. L’Azienda ha rappresentato che la cartella infermieristica era stata inserita per errore nella cartella clinica richiesta per finalità medico-legali e consegnata a un altro soggetto.

Istruttoria e difese dell’Azienda

L’Ufficio ha contestato la possibile illiceità della comunicazione di dati personali e relativi alla salute in assenza di idoneo presupposto giuridico, richiamando gli artt. 5, 6, 9 e 32 GDPR e avviando il procedimento ex art. 166, comma 5, del Codice. L’Azienda ha difeso la natura isolata dell’episodio, sostenendo che il destinatario non si fosse accorto della presenza di dati riferiti ad altro paziente e che la documentazione fosse stata recuperata tempestivamente. Ha inoltre descritto le misure organizzative interne previste dal regolamento aziendale per il controllo delle cartelle cliniche e quelle introdotte dopo l’evento.

Valutazioni del Garante sulla natura dei dati e sulla violazione

Il Garante ha ricordato che i dati relativi alla salute sono dati particolari e che la loro comunicazione a terzi è ammessa solo sulla base di un idoneo presupposto giuridico. Ha quindi ritenuto che la consegna della cartella infermieristica a un terzo integrasse una violazione dei principi di base del trattamento, in particolare del principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), e della disciplina dell’art. 9 GDPR. L’Autorità ha ritenuto non idonee le difese a superare integralmente i rilievi formulati.

Circostanze attenuanti e qualificazione come violazione minore

Nel valutare la risposta sanzionatoria, il Garante ha considerato:

• l’assenza di intenzionalità e il carattere colposo dell’errore;
• la circostanza che l’episodio abbia riguardato un solo interessato;
• la tempestiva notifica della violazione;
• l’assenza di reclami o segnalazioni;
• l’adozione di misure correttive e preventive, incluse ulteriori verifiche sulle copie delle cartelle e formazione del personale;
• l’elevato grado di cooperazione del titolare.

Sulla base di tali elementi, il caso è stato qualificato come "violazione minore" ai sensi del considerando 148 GDPR e delle Linee guida WP 253.

Provvedimenti adottati

L’Autorità ha:

• dichiarato, ai sensi dell’art. 57, par. 1, lett. a), GDPR, l’illiceità del trattamento effettuato dall’Azienda USL di Parma per violazione degli artt. 5, par. 1, lett. f), e 9 GDPR;
• ammonito l’Azienda, ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• escluso la necessità di ulteriori provvedimenti correttivi, rilevando che la condotta aveva esaurito i propri effetti e che erano già state introdotte misure aggiuntive per prevenire futuri episodi;
• disposto la pubblicazione del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento n. 1/2019.

Rimedi e impugnazione

Il provvedimento richiama infine la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.