Ordinanza ingiunzione o revoca n. 206 del 10/04/2025

Azienda ULSS n. 3 Serenissima: accesso illecito al dossier sanitario e misure di adeguamento

Il Garante per la protezione dei dati personali ha esaminato un trattamento di dati sanitari effettuato dall’Azienda ULSS n. 3 Serenissima nell’ambito del dossier sanitario/dossier distrettuale, a seguito della notifica di una violazione per un accesso non autorizzato compiuto da un dipendente. Il provvedimento conclude per l’illiceità del trattamento e dispone sia misure correttive sia una sanzione amministrativa pecuniaria.

Origine della violazione e svolgimento dell’istruttoria

L’Autorità ha ricevuto una notifica di data breach dall’Azienda, che aveva segnalato l’accesso al dossier sanitario di una interessata da parte di un dipendente, descritto come comportamento abusivo autonomo e indipendente. L’Azienda aveva avviato un procedimento disciplinare nei confronti dell’autore dell’accesso e, successivamente, aveva trasmesso la segnalazione in Procura.

Nel corso dell’istruttoria, il Garante ha chiesto informazioni sui profili di autorizzazione dei soggetti abilitati ad accedere al dossier, sulle limitazioni soggettive e oggettive degli accessi e sulle misure tecniche e organizzative adottate per prevenire ulteriori accessi non consentiti. L’Azienda ha illustrato la propria organizzazione interna, i sistemi informativi distinti delle ex ULSS incorporate e varie misure di controllo, nonché la futura implementazione di un nuovo SIO con funzioni di profilazione utente e policy manager.

Qualificazione del trattamento come dossier sanitario

L’Azienda ha sostenuto che i sistemi in uso nelle diverse articolazioni aziendali fossero "dossier distrettuali" non qualificabili come dossier sanitario elettronico ai sensi delle Linee guida del 2015. Il Garante ha respinto tale impostazione, evidenziando che i sistemi in questione consentivano comunque ai professionisti sanitari di accedere a informazioni sullo stato di salute di un individuo relative a eventi clinici presenti e trascorsi.

Secondo l’Autorità, la circostanza che i sistemi non fossero integrati in un unico dossier aziendale non esclude la loro natura di dossier sanitario. Di conseguenza, anche tali sistemi devono rispettare le garanzie previste dalle Linee guida del 4 giugno 2015 e dai principi del GDPR, in particolare in materia di profilazione degli accessi e di controllo delle anomalie.

Profili di autorizzazione e limitazione degli accessi

Il punto centrale del provvedimento riguarda la mancata individuazione di profili di autorizzazione sufficientemente granulari per medici e personale ADI. Dalla documentazione acquisita è emerso che i medici e il personale ADI potevano accedere al dossier sanitario di qualsiasi paziente della struttura di Chioggia, senza una preventiva limitazione legata all’effettivo coinvolgimento nel percorso di cura.

Il Garante ha osservato che la procedura di richiesta delle abilitazioni, basata su un modulo per l’attivazione dell’account aziendale, non consentiva di attribuire distinti profili di accesso al dossier. Tale assetto è stato ritenuto incompatibile con le Linee guida del 2015, che richiedono che l’accesso sia riservato al solo personale sanitario che interviene nel processo di cura del paziente e limitato al tempo necessario per tale processo.

Per il personale ADI, il Garante ha ritenuto non plausibile la tesi dell’Azienda secondo cui l’infermiere ADI avrebbe necessariamente bisogno di un profilo unico e più ampio rispetto all’infermiere di reparto. L’accesso deve infatti essere circoscritto ai soli pazienti effettivamente assegnati al percorso di assistenza domiciliare, e non all’intero bacino degli assistiti del distretto o dell’ex ULSS di riferimento.

Assenza di sistemi di alert e controlli solo ex post

Un ulteriore profilo critico riguarda l’assenza, all’epoca dei fatti, di sistemi automatici di alert capaci di segnalare accessi anomali al dossier sanitario. L’Azienda aveva effettuato controlli a campione e successivamente aveva ipotizzato alcuni alert basati sull’età del paziente e sull’assenza di eventi di cura recenti, ma tali misure non risultavano attuate in modo stabile al momento della violazione.

Il Garante ha richiamato le Linee guida del 2015, che richiedono il monitoraggio delle anomalie e l’attivazione di indicatori utili a orientare audit successivi. In questo caso, il controllo a campione è stato giudicato insufficiente, poiché non idoneo a prevenire gli accessi illeciti né a garantire un livello di sicurezza adeguato al rischio, come richiesto dagli artt. 25 e 32 GDPR.

Valutazioni del Garante sulla difesa dell’Azienda

L’Autorità ha considerato non idonee a superare i rilievi le argomentazioni difensive dell’Azienda, incluse quelle relative alla presunta mancanza di autonomia decisionale a causa dell’assetto regionale e alla futura sostituzione dei sistemi con il nuovo SIO. Secondo il Garante, le scelte organizzative e tecniche che avevano consentito l’accesso illecito erano comunque nella disponibilità dell’Azienda, e non esisteva una causa di esonero di responsabilità fondata su vincoli esterni.

Il provvedimento richiama inoltre la necessità, in capo al titolare del trattamento, di esercitare pienamente le proprie prerogative per assicurare la protezione dei dati personali e sottolinea che le misure successive adottate dall’Azienda non hanno sanato integralmente le criticità, perché di tipo prevalentemente reattivo e non preventivo.

Violazioni accertate

Il Garante ha dichiarato l’illiceità del trattamento per violazione dei seguenti articoli del GDPR:

• art. 5, par. 1, lett. a) e f), per violazione dei principi di liceità, correttezza, trasparenza, integrità e riservatezza;
• art. 9, per il trattamento di dati relativi alla salute in assenza di adeguate garanzie;
• art. 25, per mancata attuazione della protezione dei dati fin dalla progettazione e per impostazione predefinita;
• art. 32, per inadeguatezza delle misure tecniche e organizzative di sicurezza.

L’Autorità ha inoltre evidenziato che, se l’Azienda avesse limitato preventivamente l’accesso del personale ADI e medico ai soli pazienti in carico, l’episodio non si sarebbe verificato.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto all’Azienda di adottare entro 90 giorni:

• misure che consentano al personale medico di accedere ai soli dossier degli interessati che sono effettivamente in carico;
• misure che consentano al personale ADI di accedere ai soli dossier relativi ai pazienti assegnati al percorso ADI dal MMG/PLS o dal reparto ospedaliero;
• sistemi di alert automatici per segnalare eventuali accessi anomali al dossier sanitario.

Sanzione amministrativa pecuniaria e pubblicazione

Per la violazione degli artt. 5, par. 1, lett. a) e f), 9, 25 e 32 GDPR, il Garante ha applicato la sanzione amministrativa pecuniaria di euro 18.000,00, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1 e 5, GDPR.

Nel quantificare l’importo, l’Autorità ha valorizzato, tra gli altri elementi:

• la conoscenza dell’evento tramite notifica di violazione;
• il fatto che l’accesso illecito riguardasse un solo dossier e un solo professionista sanitario non coinvolto nel percorso di cura;
• l’assenza di motivi clinici;
• l’inadeguatezza delle misure di sicurezza e prevenzione;
• il solo parziale adeguamento successivo dell’Azienda.

È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy. L’Azienda può definire la controversia mediante pagamento in misura ridotta ai sensi dell’art. 166, comma 8, del Codice; in difetto, resta dovuto l’importo ingiunto entro 30 giorni dalla notificazione.