Ordinanza ingiunzione o revoca n. 770 del 12/12/2024

Azienda Sanitaria dell'Alto Adige - comunicazione illecita di dati sulla salute di pazienti e sanzione amministrativa

Il provvedimento riguarda un data breach notificato dall'Azienda Sanitaria dell'Alto Adige a seguito dell'invio, da parte di un medico convenzionato operante presso gli ambulatori aziendali, di una e-mail a più destinatari interni ed esterni con allegato contenente dati personali e dati sulla salute di 13 pazienti. Il Garante ha ritenuto il trattamento illecito e ha irrogato una sanzione amministrativa pecuniaria di 5.000 euro, disponendo altresì la pubblicazione del provvedimento.

Fatti e origine della violazione

L'Azienda ha trasmesso la notifica di violazione ai sensi dell'art. 33 GDPR, segnalando che il professionista sanitario, nel contesto di una comunicazione relativa alla riduzione dell'orario di servizio e alla necessità di fornire chiarimenti sull'orario di lavoro, aveva inviato una e-mail in chiaro con allegata la lista dei pazienti visitati in un determinato giorno.

L'allegato conteneva, per ciascun interessato, informazioni quali:

• nome e cognome;
• data di nascita;
• residenza;
• sede di erogazione della prestazione;
• prestazione erogata;
• indicazione di paziente pagante o esente, con codice di esenzione;
• codice fiscale;
• numero di cellulare.

L'invio era stato effettuato verso 15 strutture e soggetti diversi, tra cui servizi aziendali, professionisti sanitari, personale amministrativo e l'Ordine dei medici.

Difese dell'Azienda e misure adottate

Nel corso del procedimento, l'Azienda ha precisato che l'episodio aveva coinvolto 13 interessati e che i destinatari della comunicazione erano in prevalenza soggetti appartenenti al Comprensorio sanitario di Bolzano, oltre ad alcuni soggetti esterni. Ha sostenuto che tali destinatari fossero vincolati al segreto professionale o d'ufficio.

Ha inoltre rappresentato di aver adottato o avviato le seguenti misure:

• richiesta a tutti i destinatari di cancellare l'allegato ricevuto;
• avvio del procedimento disciplinare nei confronti del medico;
• segnalazione dell'accaduto all'Ordine dei medici;
• coinvolgimento del DPO;
• predisposizione e diffusione di istruzioni interne sulla corretta gestione di e-mail, allegati e dati sensibili;
• messa a disposizione di indicazioni operative sulla protezione degli allegati con password;
• avvio di formazione massiva in modalità FAD per i dipendenti, con ulteriori edizioni programmate;
• pianificazione di formazione specifica per i professionisti sanitari e attenzione anche ai lavoratori non dipendenti;
• emanazione di circolari interne sulla protezione dei dati personali.

In audizione, l'Azienda ha anche riferito che nessun interessato aveva presentato reclamo o lamentela e che l'evento era emerso grazie a una segnalazione interna.

Qualificazione giuridica del trattamento

Il Garante ha richiamato la nozione di dato personale e di dato relativo alla salute di cui all'art. 4, par. 1, nn. 1 e 15, GDPR, nonché il considerando 35. Ha inoltre richiamato l'art. 2-ter, comma 4, lett. a), del Codice privacy, che definisce la comunicazione di dati personali come il dare conoscenza dei dati a soggetti determinati diversi dall'interessato e dai soggetti legittimati.

L'Autorità ha ribadito che le informazioni sullo stato di salute possono essere comunicate a terzi solo in presenza di un idoneo presupposto giuridico ai sensi dell'art. 9 GDPR. Nel caso concreto, la trasmissione dell'elenco dei pazienti è stata considerata una comunicazione di dati sulla salute priva di un valido titolo legittimante.

Violazioni accertate

Il Garante ha ritenuto integrata la violazione dei seguenti obblighi e principi:

• art. 5, par. 1, lett. c), GDPR: principio di minimizzazione, poiché la finalità di chiarire l'orario di lavoro poteva essere perseguita senza trasmettere la documentazione sanitaria dei pazienti;
• art. 5, par. 1, lett. f), GDPR: principio di integrità e riservatezza, per l'invio non protetto di dati sensibili a più destinatari;
• art. 9 GDPR: trattamento di dati relativi alla salute in assenza di idoneo presupposto giuridico;
• art. 32 GDPR: mancata adozione di misure tecniche e organizzative adeguate al rischio, considerata la natura particolarmente delicata dei dati trattati.

Secondo l'Autorità, l'Azienda avrebbe dovuto impartire istruzioni specifiche agli operatori sanitari e adottare misure organizzative più robuste, proprio perché i dati sulla salute richiedono una protezione rafforzata.

Valutazione delle difese e conclusioni dell'Autorità

Le deduzioni difensive e quanto riferito in audizione non sono stati ritenuti idonei a superare i rilievi formulati con l'atto di avvio del procedimento. Il Garante ha osservato che la condotta del medico era finalizzata solo a giustificare l'orario di lavoro, ma ciò non legittimava l'invio dell'elenco dei pazienti con i relativi dati sanitari.

L'Autorità ha quindi dichiarato l'illiceità del trattamento effettuato dall'Azienda, imputando al titolare la comunicazione di dati sulla salute senza idoneo presupposto giuridico e in violazione dei principi di base del trattamento e degli obblighi di sicurezza.

Sanzione amministrativa e criteri di quantificazione

Ai fini della quantificazione della sanzione, il Garante ha richiamato l'art. 83 GDPR e il criterio dell'art. 83, par. 3, relativo al cumulo di violazioni nello stesso trattamento. Ha considerato la gravità elevata della violazione, in ragione della categoria di dati coinvolti, ritenuti particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali.

Sono stati valorizzati, come elementi attenuanti:

• la notifica spontanea della violazione da parte dell'Azienda;
• l'assenza di reclami o segnalazioni degli interessati;
• la cooperazione con l'Autorità;
• le misure adottate per rimediare alla violazione e attenuarne gli effetti;
• l'avvio di attività formative per il personale.

È stato inoltre considerato che il titolare era già stato destinatario di un precedente provvedimento sanzionatorio del 22 febbraio 2024, n. 97.

La sanzione è stata determinata in euro 5.000, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo e adempimenti

Il Garante ha quindi:

• rilevato l'illiceità del trattamento effettuato dall'Azienda Sanitaria dell'Alto Adige;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 5.000;
• ingiunto il pagamento entro 30 giorni dalla notificazione, con avvertimento sulle conseguenze esecutive in caso di inadempimento;
• ricordato la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini previsti dalla legge;
• disposto la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;
• disposto la pubblicazione del provvedimento sul sito dell'Autorità;
• disposto l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità.

Implicazioni operative

Il provvedimento conferma che, anche quando la comunicazione avvenga all'interno di strutture sanitarie o verso soggetti professionalmente vincolati al segreto, la divulgazione di dati sulla salute richiede comunque un presupposto giuridico idoneo e il rispetto rigoroso del principio di minimizzazione. Per i titolari pubblici o sanitari, il caso evidenzia l'esigenza di:

• istruzioni operative puntuali per il personale sanitario e amministrativo;
• controlli sulla spedizione di allegati contenenti dati sensibili;
• formazione periodica e specifica;
• misure tecniche per prevenire invii non autorizzati o non necessari.