Ordinanza ingiunzione o revoca n. 43 del 15/12/2022

Ordinanza ingiunzione nei confronti di Eurosanità S.p.A. per errata gestione di dati sanitari di pronto soccorso

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti di Eurosanità S.p.A., in relazione a un episodio di errata associazione e comunicazione di dati contenuti nella cartella di pronto soccorso di due pazienti omonimi. Il procedimento è stato avviato a seguito di un reclamo dell’interessato e della successiva notifica di violazione dei dati personali effettuata dalla Società ai sensi dell’art. 33 GDPR.

Origine del procedimento e ricostruzione dei fatti

L’episodio riguarda la gestione di una cartella clinica di Pronto Soccorso presso il Policlinico Casilino, struttura facente capo alla Società. Un paziente ha segnalato di essere stato contattato da un omonimo che sosteneva di aver ricevuto per errore la sua cartella clinica. Gli accertamenti hanno evidenziato che, a causa di un errore materiale nell’accettazione, i dati anagrafici e alcuni eventi clinici relativi a un paziente erano stati trascritti nella cartella di un altro paziente omonimo.

La Società ha presentato una notifica preliminare e poi una notifica integrativa di data breach, indicando che:

• la violazione era dovuta a un errore accidentale interno del personale addetto all’accettazione;
• erano stati coinvolti dati personali e dati particolari relativi alla salute;
• era stato interessato un solo terzo che aveva avuto conoscenza dei dati;
• erano già state attivate misure correttive, tra cui la rettifica dell’anagrafica e della consulenza cardiologica, la richiesta di ulteriori misure tecniche sul software regionale e la ribadita necessità di verificare la Tessera Sanitaria in accettazione.

Valutazioni del Garante sul trattamento

L’Ufficio ha contestato alla Società la violazione del principio di esattezza e di integrità e riservatezza, nonché l’assenza di un idoneo presupposto giuridico per la comunicazione di dati sanitari a terzi. Nel corso dell’istruttoria è stato richiamato che i dati relativi alla salute includono le informazioni attinenti alla prestazione di servizi di assistenza sanitaria e che, in ambito sanitario, tali informazioni possono essere comunicate a terzi solo in presenza di un idoneo presupposto giuridico o di indicazione dell’interessato con delega scritta.

Il Garante ha ritenuto che la violazione abbia coinvolto entrambi i pazienti, in quanto la conoscenza indebita delle informazioni sanitarie di uno rispetto all’altro integra una comunicazione illecita di dati relativi alla salute. Ha quindi concluso che il trattamento era illecito per violazione degli artt. 5, par. 1, lett. d) e f), 9 e 32 GDPR.

Difese della Società e valutazione istruttoria

La Società ha sostenuto che:

• si era trattato di un mero errore materiale del personale, adeguatamente istruito e formato;
• la cartella di Pronto Soccorso conteneva correttamente gli esiti delle visite e degli esami del paziente interessato, pur con anagrafica errata;
• l’episodio era isolato e non aveva inciso sul percorso diagnostico-terapeutico;
• il fatto era avvenuto in un contesto di emergenza sanitaria da Covid-19;
• era stata prestata massima cooperazione con l’Autorità e adottate misure per prevenire il ripetersi dell’evento.

L’Autorità ha tuttavia ritenuto che tali elementi non fossero sufficienti a escludere l’illiceità del trattamento né a giustificare l’archiviazione del procedimento. Ha però preso atto che la condotta aveva esaurito i suoi effetti e che la Società aveva dichiarato di aver già introdotto misure organizzative e tecniche correttive; per questo non ha adottato ulteriori misure correttive ex art. 58, par. 2, GDPR.

Sanzione amministrativa e criteri di quantificazione

La violazione è stata sanzionata ai sensi dell’art. 83, par. 4, lett. a) e par. 5, lett. a), GDPR. Nell’individuare l’importo, il Garante ha considerato i criteri dell’art. 83, par. 1 e 2, GDPR, dando rilievo a:

• la rilevazione dell’evento tramite reclamo dell’interessato e successiva notifica di data breach;
• la natura dei dati trattati, idonei a rivelare informazioni sulla salute;
• il potenziale impatto della documentazione sanitaria errata;
• l’assenza di intenzionalità;
• l’elevato grado di cooperazione del titolare;
• la presenza di un precedente provvedimento pertinente nei confronti della medesima Società;
• il contesto emergenziale da pandemia Covid-19.

Sulla base di tali elementi, la sanzione è stata determinata in euro 30.000,00, ritenuta effettiva, proporzionata e dissuasiva.

Misura accessoria, pagamento e impugnazione

È stata disposta la pubblicazione integrale del provvedimento sul sito web del Garante, ai sensi dell’art. 166, comma 7, Codice privacy, anche in considerazione della tipologia dei dati coinvolti.

Il provvedimento prevede inoltre che:

• il contravventore può definire la controversia pagando entro 30 giorni la metà della sanzione;
• in mancanza di definizione agevolata, la somma di euro 30.000,00 deve essere pagata entro 30 giorni dalla notificazione del provvedimento, pena l’adozione degli atti esecutivi.

È infine indicata la possibilità di proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.