Prescrizioni del Garante n. 152 del 13/03/2025

Casa di Cura Sant’Antonino s.r.l. – smarrimento di una cartella clinica e mancata notifica del data breach

Il provvedimento riguarda la Casa di Cura Sant’Antonino s.r.l., destinataria di un ammonimento per la gestione di una violazione dei dati personali connessa allo smarrimento di una cartella clinica e alla mancata notifica della violazione all’Autorità. L’istruttoria prende origine da una segnalazione della Guardia di Finanza e si conclude con la dichiarazione di illiceità del trattamento, senza applicazione di sanzione pecuniaria.

Fatti all’origine del procedimento

La segnalazione evidenziava che, presso la struttura sanitaria, non era stata rinvenuta la cartella clinica relativa al ricovero di una paziente. Dagli atti risultava che la cartella fosse stata regolarmente formata e che la relativa dimissione fosse stata oggetto di controllo medico e amministrativo, ma non vi era prova che il documento fosse effettivamente pervenuto al soggetto esterno incaricato dell’archiviazione fisica. La Guardia di Finanza rilevava anche che, a distanza di mesi, la struttura non aveva ancora presentato denuncia di smarrimento né informato il Garante.

Attività istruttoria e difese del titolare

La casa di cura ha rappresentato che la gestione delle cartelle cliniche prevedeva una sequenza organizzata di attività: conservazione nei reparti, trasferimento all’accettazione, inserimento in archivi chiusi, confezionamento in scatole sigillate e affidamento a un responsabile esterno per la conservazione e archiviazione. Secondo il titolare, lo smarrimento non sarebbe stato imputabile alla propria organizzazione, ma alla mancata ricezione della cartella da parte della società esterna. La struttura ha inoltre sottolineato di essersi attivata per la ricerca del documento, di aver poi sporto denuncia e di aver successivamente predisposto una procedura interna dedicata alla gestione di eventi, incidenti e data breach.

La società incaricata dell’archiviazione, tuttavia, ha confermato di non aver mai ricevuto la cartella clinica oggetto di indagine, precisando che le scatole venivano consegnate sigillate, che il contenuto non era verificabile senza apertura e che la numerazione nosologica non consentiva di associare in modo diretto il singolo numero a uno specifico paziente. La società ha quindi escluso che la cartella fosse mai entrata nei propri archivi.

Norme richiamate e profili di violazione

Nel provvedimento sono richiamati in particolare:

• l’art. 5, par. 1, lett. f), GDPR, sul principio di integrità e riservatezza;
• l’art. 5, par. 2, GDPR, sul principio di responsabilizzazione;
• l’art. 24 GDPR, sulla responsabilità del titolare;
• l’art. 28 GDPR, sul ricorso ai responsabili del trattamento;
• l’art. 32 GDPR, sugli obblighi di sicurezza;
• l’art. 33 GDPR, sulla notifica della violazione all’Autorità entro 72 ore, salvo improbabilità del rischio;
• l’art. 33, par. 5, GDPR, sulla documentazione delle violazioni;
• l’art. 57, par. 1, lett. a), e l’art. 58, par. 2, lett. b), GDPR, per i poteri del Garante;
• l’art. 2-terdecies del Codice privacy, in tema di dati delle persone decedute.

Sono inoltre citate le linee guida del Gruppo di lavoro ex art. 29 sulla notifica delle violazioni e le Linee guida EDPB 01/2021 sugli esempi di data breach.

Valutazioni del Garante

Il Garante ha ritenuto che le difese della struttura non fossero idonee a superare i rilievi mossi in avvio del procedimento. In particolare, ha osservato che non risultava documentato che lo smarrimento fosse avvenuto presso il responsabile esterno, essendo anzi emerso il contrario, cioè che la cartella non era mai stata consegnata a quest’ultimo.

L’Autorità ha poi ribadito che l’esternalizzazione di attività di archiviazione non esonera il titolare dal dovere di vigilanza sull’operato del responsabile e dalla verifica generale del rispetto della normativa privacy. Il titolare conserva infatti una responsabilità generale sui trattamenti effettuati anche per suo conto, e deve dimostrare di avere adottato misure adeguate ed efficaci.

Quanto alla notifica del data breach, il Garante ha valorizzato il fatto che la procedura interna per la gestione di eventi, incidenti e violazioni dei dati personali sia stata adottata solo successivamente all’evento, e quindi non fosse ancora operativa al momento del fatto. Ne ha desunto l’illiceità del trattamento per violazione degli obblighi di sicurezza, del principio di accountability e degli obblighi di notifica.

Esito del procedimento

Pur accertando la violazione, il Garante ha escluso, allo stato, la necessità di adottare ulteriori misure correttive ex art. 58, par. 2, GDPR, rilevando che la struttura aveva nel frattempo predisposto una procedura dedicata alla gestione di eventi e data breach.

Ai fini della risposta sanzionatoria, l’Autorità ha richiamato i criteri dell’art. 83 GDPR e ha qualificato il caso come violazione minore ai sensi del considerando 148, considerando:

• l’assenza di precedenti pertinenti;
• il carattere isolato dell’episodio;
• la natura colposa della condotta;
• il coinvolgimento di un solo interessato;
• l’adozione di misure organizzative successive per prevenire future omissioni.

In luogo della sanzione pecuniaria, il Garante ha quindi ammonito il titolare del trattamento ai sensi dell’art. 58, par. 2, lett. b), GDPR e ha disposto l’annotazione della violazione nel registro interno dell’Autorità. Il provvedimento è impugnabile dinanzi all’autorità giudiziaria ordinaria nei termini di legge.