Ordinanza ingiunzione o revoca n. 295 del 09/05/2024

Azienda Ospedale Università di Padova – trattamento illecito dei dati nel dossier sanitario

Il provvedimento riguarda l’Azienda Ospedale Università di Padova ed è stato adottato a seguito di un reclamo e di quattro notifiche di violazione relative agli accessi al dossier sanitario aziendale. Il Garante ha esaminato sia accessi non autorizzati o impropri, sia la configurazione complessiva del sistema di dossier sanitario, ritenendo che essa non fosse conforme alla disciplina privacy applicabile.

Origine del procedimento e attività istruttoria

L’Autorità ha ricevuto, in un arco temporale non meglio precisato nel testo, un reclamo e quattro notifiche di data breach riguardanti il dossier sanitario dell’Azienda. I casi esaminati possono essere riassunti come segue:

• otto accessi al dossier di un interessato da parte di tre soggetti che non avrebbero rispettato le indicazioni aziendali per l’accesso al DSE, con accessi ritenuti non effettuati per finalità di diagnosi e cura;
• ulteriori otto accessi al dossier della stessa persona in un momento successivo, riferiti alla medesima fattispecie;
• otto accessi al dossier di un’interessata, anche dipendente dell’Azienda, da parte di soggetti che avrebbero utilizzato credenziali altrui o postazioni lasciate aperte;
• quattro accessi al dossier della reclamante, anche in questo caso mediante l’uso di credenziali di altri operatori e con consultazione di 13 documenti sanitari.

Nel corso dell’istruttoria l’Ufficio ha richiesto informazioni e documenti, ha riunito i procedimenti e ha avviato il procedimento per l’adozione di misure correttive e sanzionatorie.

Trattamenti esaminati e criticità emerse

Dalla documentazione acquisita è emerso che il dossier sanitario era utilizzato non solo per finalità di cura, ma anche per attività amministrative e contabili, nonché per altre funzioni, tra cui:

• verifica della completezza della cartella di pronto soccorso;
• verifica e sollecito di pagamenti;
• supporto nella verifica di esenzioni per patologia;
• consegna di referti;
• stampa della cartella clinica del paziente dimesso;
• recupero e stampa di documentazione su richiesta dell’autorità giudiziaria;
• acquisizione a sistema di documentazione cartacea e referti esterni;
• organizzazione di prestazioni ambulatoriali in post-degenza.

L’Azienda aveva inoltre ammesso o comunque rappresentato la possibilità di accesso per:

• "verifica per follow up";
• "consultazione cartelle cliniche";
• gestione degli "addebiti delle prestazioni ai detenuti".

Il Garante ha ritenuto tali utilizzi incompatibili con la natura del dossier sanitario, che è uno strumento facoltativo, potenzialmente incompleto per effetto del diritto di oscuramento, e destinato a supportare il percorso di cura, non a sostituire la cartella clinica o a fungere da base informativa per finalità amministrative o medico-legali.

Valutazioni sulle regole di accesso al dossier sanitario

L’Autorità ha richiamato le Linee guida in materia di dossier sanitario del 4 giugno 2015, tuttora applicabili in quanto compatibili con il GDPR. Tali linee guida richiedono che:

• l’accesso sia limitato al solo personale sanitario che interviene nel processo di cura;
• siano individuati con precisione i profili di autorizzazione;
• l’accesso sia consentito solo durante il periodo in cui il professionista è coinvolto nel percorso di cura;
• il titolare valuti le ipotesi in cui il personale abbia effettiva necessità di consultare il dossier per finalità di cura.

Nel caso esaminato, la configurazione del sistema consentiva anche a personale amministrativo di accedere al dossier per funzioni diverse dalla cura, e al personale sanitario non coinvolto nel trattamento dell’interessato di accedere per finalità di follow up o di revisione di casi clinici altrui. Secondo il Garante, ciò ha determinato una violazione dei principi di liceità, correttezza, trasparenza e minimizzazione, oltre che della disciplina specifica sul trattamento dei dati sanitari.

Misure di sicurezza, alert e blocco delle postazioni

Il Garante ha rilevato che, al momento dei fatti, l’Azienda non disponeva di un sistema adeguato di alert per individuare accessi anomali o potenzialmente illeciti al dossier sanitario. Gli alert sono stati introdotti solo successivamente all’avvio dell’istruttoria.

Inoltre, l’assenza di misure tecniche idonee a bloccare tempestivamente le postazioni in caso di inattività ha consentito a soggetti non identificati di accedere ai dossier di alcune interessate. L’Azienda ha dichiarato che il blocco automatico interveniva dopo 30 minuti di inattività e che tale tempo era in corso di rivalutazione, ma il Garante ha ritenuto tale impostazione non adeguata al rischio trattandosi di dati sanitari.

Esito delle violazioni accertate

Il Garante ha ritenuto che la configurazione del dossier e le modalità di accesso abbiano reso possibili trattamenti illeciti ai danni di tre pazienti, e ha ricondotto le violazioni agli artt. 5, par. 1, lett. a), c) e f), 9, 25 e 32 GDPR. In particolare, ha sottolineato che:

• alcuni accessi erano stati effettuati da personale sanitario non coinvolto nella cura dell’interessato;
• in altri casi, gli accessi erano avvenuti da parte di soggetti ignoti mediante credenziali lasciate incustodite o postazioni aperte;
• la base informativa del dossier era stata utilizzata per finalità non comunicate agli interessati o non coerenti con il consenso e con la disciplina del dossier sanitario.

Il Garante ha anche evidenziato che il dossier sanitario non può essere usato come surrogato della cartella clinica, né per finalità che richiedono un quadro informativo completo e non oscurato.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ordinato all’Azienda, entro 90 giorni dalla notifica del provvedimento, di rimuovere tra le causali di accesso al dossier sanitario di pazienti non in cura:

• "verifica follow up";
• "consultazione cartelle cliniche".

Inoltre, ha richiesto, ai sensi dell’art. 157 del Codice privacy, informazioni entro 30 giorni sull’avvenuta rimozione della causale relativa a:

• "gli addebiti delle prestazioni ai detenuti";

nonché sulla quantificazione del periodo di inattività dopo il quale lo screen saver con password blocca la postazione, con indicazione delle specifiche esigenze operative che giustifichino tale durata.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha ritenuto applicabile la sanzione amministrativa pecuniaria per le violazioni degli artt. 5, 9, 25 e 32 GDPR. Ai fini della quantificazione ha considerato, tra gli altri elementi:

• la pluralità delle notifiche di violazione e del reclamo;
• il numero degli accessi illeciti e dei soggetti coinvolti;
• la circostanza che i fatti hanno interessato il dossier sanitario di tre pazienti;
• la mancata adeguatezza delle misure tecniche e organizzative;
• l’avvio di misure correttive solo dopo l’istruttoria;
• la cooperazione dell’Azienda e alcune iniziative migliorative intraprese.

Tenuto conto di tali elementi, ha determinato tre sanzioni da 25.000 euro ciascuna:

• 25.000 euro per il procedimento avviato a seguito delle due notifiche di violazione relative alla medesima fattispecie;
• 25.000 euro per il procedimento avviato a seguito di un’altra notifica di violazione;
• 25.000 euro per il procedimento avviato a seguito del reclamo e della correlata notifica di violazione.

È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice.

Dispositivo finale

Il Garante:

• dichiara l’illiceità del trattamento effettuato dall’Azienda Ospedale Università di Padova;
• ingiunge il pagamento delle tre sanzioni pecuniarie da 25.000 euro ciascuna;
• ordina la rimozione di specifiche causali di accesso al dossier sanitario;
• richiede ulteriori informazioni documentate sui correttivi adottati;
• dispone la pubblicazione del provvedimento.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.