Ordinanza ingiunzione o revoca n. 620 del 17/10/2024

Bios s.p.a. - invio errato di referti sanitari via e-mail senza adeguate misure di sicurezza

Il provvedimento riguarda Bios s.p.a., struttura operante nella refertazione online, sanzionata per avere trasmesso a un indirizzo e-mail errato un referto diagnostico contenente dati sanitari e dati anagrafici di una minore. Il procedimento è stato avviato a seguito di reclamo dell’interessata e si è sviluppato attraverso istruttoria, audizione della Società e valutazione delle misure tecniche e organizzative adottate.

Origine del reclamo e ricostruzione del fatto

La reclamante ha segnalato che, per un errore nell’inserimento dell’indirizzo e-mail, la Società aveva diffuso il referto di esami diagnostici della figlia minore. Il documento risultava allegato a una e-mail senza protezione tramite password e conteneva, oltre ai dati sanitari, anche i dati anagrafici completi della minore. Bios s.p.a. ha riferito che l’errore era stato rilevato quasi immediatamente dall’operatore, che aveva contattato telefonicamente il destinatario erroneo chiedendo la cancellazione del messaggio; ha inoltre sostenuto che la destinataria aveva dichiarato di non aver aperto la e-mail e di averla cancellata.

Attività istruttoria e difese della Società

Nel corso dell’istruttoria la Società ha spiegato di avere già in uso alcuni accorgimenti: pop-up di avviso sull’indirizzo e-mail in fase di accettazione, indicazione dell’indirizzo in fattura per un ulteriore controllo e formazione specifica degli autorizzati. Ha prodotto anche documentazione interna sulla procedura di refertazione telematica e sui moduli di consenso, nei quali era previsto l’invio dei referti in PDF senza password sulla base del consenso dell’interessato. In audizione ha dichiarato di stare adeguando i sistemi per introdurre un codice criptato per l’accesso ai referti inviati per e-mail.

Valutazione giuridica del Garante

L’Autorità ha richiamato il principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), il principio di protezione dei dati fin dalla progettazione ex art. 25 e l’obbligo di sicurezza del trattamento ex art. 32 GDPR. Ha inoltre richiamato le Linee guida del 19 novembre 2009 in tema di referti online, secondo cui, quando il referto è inviato via e-mail, deve essere allegato al messaggio e protetto con password o chiave crittografica, salvo espressa e consapevole richiesta dell’interessato; deve inoltre essere prevista una procedura di convalida dell’indirizzo e-mail.

Ragioni dell’illiceità del trattamento

Secondo il Garante, al momento del fatto la Società non aveva predisposto misure tecniche e organizzative idonee a prevenire l’accesso non autorizzato ai referti. Il consenso all’invio del referto via e-mail in formato PDF senza password non è stato ritenuto sufficiente a sostituire la necessaria valutazione concreta e continuativa del rischio da parte del titolare. Ne è derivata la dichiarazione di illiceità del trattamento per violazione degli artt. 5, 25 e 32 GDPR.

Sanzione amministrativa e ulteriori determinazioni

Il Garante ha ritenuto che, pur essendo la condotta cessata e pur risultando iniziative correttive già avviate dalla Società, non ricorressero i presupposti per ulteriori misure correttive ex art. 58, par. 2 GDPR. È stata quindi applicata una sanzione amministrativa pecuniaria di euro 7.000,00, determinata alla luce della gravità della violazione, della natura particolarmente sensibile dei dati coinvolti, della collaborazione del titolare, dell’assenza di precedenti pertinenti e delle condizioni economiche della Società. È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Termini di pagamento e impugnazione

La Società è stata ingiunta a pagare la sanzione entro 30 giorni dalla notificazione del provvedimento, con facoltà di definizione agevolata mediante pagamento della metà dell’importo nei termini di legge. È stato infine ricordato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.