Prescrizioni del Garante n. 442 del 17/07/2024

Ammonimento per invio erroneo di un modulo di consenso informato già compilato

Il Garante è intervenuto nei confronti dell’associazione responsabile del trattamento nell’ambito di una vicenda di data breach avvenuta presso una clinica che tratta dati connessi a percorsi di PMA/fecondazione in vitro. L’episodio riguarda l’invio, per errore materiale, di un modulo di consenso informato già compilato con i dati di altri pazienti invece che in bianco.

Fatti e origine del procedimento

La società titolare ha notificato all’Autorità una violazione di dati personali ai sensi dell’art. 33 GDPR, spiegando che il documento erroneamente allegato a una e-mail conteneva dati identificativi di una coppia di pazienti e l’indicazione della tipologia di trattamento scelto. La paziente destinataria si è accorta dell’errore e ha chiesto un modulo vuoto; l’operatrice ha quindi inviato subito il documento corretto e ha chiesto la cancellazione dell’allegato ricevuto per errore.

Nel corso dell’istruttoria il titolare ha precisato che:

• la procedura ordinaria prevede l’invio ai pazienti di un modulo in bianco da compilare e restituire;
• la documentazione sanitaria viene normalmente trasmessa in PDF criptato, con password consegnata separatamente;
• l’evento è stato causato da un errore umano dell’ostetrica;
• il personale era stato istruito e formato, anche con un corso privacy del 28 marzo 2022 e un ulteriore corso del 29 novembre 2022.

Anche il responsabile del trattamento ha rappresentato che la violazione è durata meno di due ore, ha coinvolto due soli interessati e non ha determinato perdita di disponibilità o integrità dei dati.

Inquadramento normativo

Il Garante richiama anzitutto la natura dei dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR, sottolineandone la maggiore protezione in ragione dei rischi per i diritti e le libertà degli interessati.

Sono poi richiamati:

• l’art. 28, par. 1, GDPR, secondo cui il titolare deve ricorrere a responsabili che offrano garanzie sufficienti;
• l’art. 32 GDPR, che impone misure tecniche e organizzative adeguate al rischio, tenendo conto della natura, dell’oggetto, del contesto e delle finalità del trattamento;
• il contenuto dell’atto di designazione del 18 dicembre 2021, che obbligava il responsabile ad adottare misure idonee a garantire riservatezza, integrità e disponibilità dei dati personali.

Valutazioni dell’Autorità

Sulla base degli elementi acquisiti, il Garante ha accertato che il responsabile del trattamento non aveva predisposto, al momento dell’evento, misure tecniche e organizzative adeguate a prevenire l’errore nella gestione dei moduli da inviare ai pazienti, e in particolare il rischio di trasmettere un modulo già compilato anziché uno in bianco.

L’Autorità ha tuttavia considerato che, dopo l’evento:

• sono state adottate nuove procedure organizzative per distinguere con chiarezza i moduli compilati da quelli vuoti;
• il destinatario ha cancellato il documento errato entro breve tempo;
• il caso è isolato, privo di dolo e con colpa ritenuta lieve;
• non sono pervenuti reclami;
• il responsabile ha collaborato in modo pieno e tempestivo;
• non risultano precedenti procedimenti pertinenti a suo carico.

Esito: illiceità e ammonimento

Il Garante ha quindi dichiarato, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento effettuato dal responsabile e lo ha ammonito ai sensi dell’art. 58, par. 2, lett. b), GDPR per la violazione dell’art. 32 GDPR.

L’Autorità ha qualificato il caso come “violazione minore” ai sensi del considerando 148 del GDPR e delle linee guida sulle sanzioni amministrative pecuniarie del Gruppo di lavoro ex art. 29 (WP 253), ritenendo sufficiente l’ammonimento senza adottare ulteriori misure correttive né irrogare una sanzione pecuniaria.

Rimedi e impugnazione

Il provvedimento indica la possibilità di proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.