Ordinanza ingiunzione o revoca n. 415 del 15/12/2022

Azienda Universitaria Friuli Occidentale: trattamento illecito di dati sanitari per stratificazione degli assistiti

Il provvedimento riguarda l’Azienda Universitaria Friuli Occidentale e l’attività di estrazione, elaborazione e classificazione di dati relativi alla salute degli assistiti del servizio sanitario regionale, svolta nell’ambito di una iniziativa di medicina di iniziativa legata al contesto Covid-19. L’istruttoria trae origine da una segnalazione sulla delibera regionale Friuli Venezia Giulia n. 1737 del 20 novembre 2020 e sull’intesa con i medici di medicina generale.

Origine della segnalazione e attività istruttoria

La segnalazione contestava che i medici di medicina generale fossero chiamati a validare, tramite portale regionale, liste di assistiti preventivamente individuati come soggetti in condizioni di complessità e comorbidità, con trattamento di dati clinici e personali anche molto dettagliati. L’Ufficio ha quindi chiesto informazioni alla Regione, ad ARCS, a Insiel S.p.A. e alle aziende sanitarie regionali, in merito a:

• finalità e base giuridica dei trattamenti;
• ruoli di titolare e responsabile;
• eventuale consenso degli interessati;
• flussi di dati e natura dei dati trattati;
• necessità di una valutazione d’impatto ai sensi dell’art. 35 GDPR.

Dalle risposte acquisite è emerso che la stratificazione era effettuata con supporto metodologico di ARCS, elaborazione di Insiel e utilizzo di dati estratti dal data warehouse regionale, con successiva disponibilità degli elenchi ai MMG per la validazione.

Descrizione del trattamento

Secondo gli atti, il sistema Johns Hopkins ACG System è stato alimentato con dataset contenenti informazioni su diagnosi codificate, farmaci assunti, costi sostenuti dal SSR, età e genere. I dati venivano pseudonimizzati con codici numerici casuali per l’estrazione delle classi RUB 4 e 5 e per il filtro del consenso alla visibilità del fascicolo sanitario.

Insiel, per comunicare i dati ai medici, aggiungeva poi elementi identificativi, predisponendo elenchi contenenti, tra l’altro:

• codice fiscale del MMG e codice regionale MMG;
• codice fiscale, cognome e nome dell’assistito;
• classe di età;
• piano assistenziale integrato;
• vaccinazioni antipneumococciche;
• classe ACG-RUB.

Il procedimento ha riguardato un numero molto elevato di assistiti, oltre 40.000 in totale, di cui 9.487 afferenti all’ASFO.

Inquadramento normativo richiamato dal Garante

Il Garante richiama i principi di liceità, correttezza e trasparenza ex art. 5, par. 1, lett. a) GDPR, il divieto generale di trattamento dei dati relativi alla salute salvo eccezioni ex art. 9 GDPR, l’art. 2-sexies del Codice privacy per i trattamenti necessari per motivi di interesse pubblico rilevante, gli obblighi informativi ex artt. 13 e 14 GDPR e la valutazione d’impatto ex art. 35 GDPR.

L’Autorità ribadisce inoltre che:

• la pseudonimizzazione non equivale ad anonimizzazione;
• l’anonimizzazione è tale solo se impedisce l’identificazione diretta o indiretta secondo i mezzi ragionevolmente disponibili;
• la medicina di iniziativa costituisce un’attività amministrativa prodromica alla cura, ma i trattamenti ulteriori rispetto alle ordinarie attività di cura richiedono un adeguato fondamento giuridico;
• il consenso prestato per il Fascicolo sanitario elettronico non legittima l’uso dei relativi dati per finalità di profilazione o stratificazione del rischio sanitario.

Valutazioni sulla base giuridica

Il Garante ha escluso che la base giuridica potesse rinvenirsi nella normativa regionale richiamata dall’Azienda, in particolare nella legge regionale FVG n. 22/2019 e nella DGR n. 2195/2019, ritenute insufficienti ai fini dell’art. 2-sexies del Codice perché prive dell’indicazione specifica di:

• soggetti che possono effettuare il trattamento;
• operazioni eseguibili;
• interesse pubblico rilevante;
• misure appropriate e specifiche per tutelare gli interessati.

È stato altresì rilevato che, in presenza di una richiesta proveniente dalla Regione o da soggetti del sistema sanitario, il titolare del trattamento conserva l’obbligo di verificare la legittimità delle operazioni e non può limitarsi a eseguire istruzioni altrui, specie quando sono coinvolti dati sanitari su larga scala e strumenti algoritmici.

Violazione dell’obbligo informativo

L’Azienda non ha fornito chiarimenti idonei sulla contestazione relativa all’informativa. Il Garante ha ritenuto che non ricorressero esenzioni ex art. 14, par. 5 GDPR e che i dati fossero stati ottenuti dal data warehouse dell’Azienda, rendendo necessario l’adempimento informativo. Ne è derivata la violazione del principio di trasparenza e dell’art. 14 GDPR.

Mancata valutazione d’impatto

L’Autorità ha ritenuto obbligatoria la DPIA, trattandosi di:

• dati relativi alla salute;
• soggetti vulnerabili;
• trattamento su larga scala;
• uso di soluzioni tecnologiche/organizzative innovative.

Il Garante precisa che la disciplina emergenziale Covid-19 non ha derogato l’art. 35 GDPR, richiamando precedenti interventi in materia di contact tracing, green pass e trattamenti sanitari connessi all’emergenza. È stata quindi accertata la violazione dell’obbligo di valutazione d’impatto.

Esito: illecito, sanzione e misure correttive

Il Garante ha dichiarato l’illiceità del trattamento effettuato dall’Azienda Universitaria Friuli Occidentale per violazione degli artt. 5, par. 1, lett. a), 9, 14 e 35 GDPR e dell’art. 2-sexies del Codice privacy. Ha ritenuto applicabile la sanzione amministrativa pecuniaria ex art. 83, par. 4 e 5 GDPR, determinandola in euro 55.000.

Ai fini della quantificazione sono stati considerati:

• l’elevato numero di assistiti coinvolti;
• la natura sensibile dei dati;
• il contesto pandemico;
• l’assenza di segnalazioni o reclami degli interessati;
• la piena collaborazione dell’Azienda;
• la presenza di un precedente provvedimento sanzionatorio per altra fattispecie.

Inoltre, il Garante ha ordinato, ai sensi dell’art. 58, par. 2, lett. d) GDPR, la cancellazione dei dati risultanti dall’elaborazione entro 90 giorni dalla notifica del provvedimento, con obbligo di comunicare entro 20 giorni dalla scadenza del termine le iniziative intraprese.

Pubblicazione e impugnazione

È stata disposta la pubblicazione integrale del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice. È stato inoltre indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge.

Nota sull’esito successivo

Nel testo pubblicato è riportato che il Tribunale di Pordenone, con sentenza del 13 ottobre 2023, ha annullato il provvedimento n. 415 del 15 dicembre 2022; il giudizio di impugnazione risulta pendente.