Prescrizioni del Garante n. 548 del 12/09/2024

Ammonimento al medico per consegna di documentazione sanitaria a terzo senza delega scritta

Il Garante ha esaminato il reclamo proposto da una interessata contro il proprio medico di medicina generale, relativo alla consegna di documentazione clinica riguardante il padre deceduto al marito della reclamante, in assenza di una delega scritta. Il procedimento nasce da una contestazione sulla gestione della riservatezza nella consegna di dati sanitari.

Origine del reclamo e svolgimento dell'istruttoria

La reclamante ha riferito che, su richiesta di consegna dello storico clinico e della documentazione sanitaria del genitore deceduto, il medico avrebbe consegnato la documentazione al marito della stessa, soggetto terzo non autorizzato. L'Ufficio ha inizialmente archiviato solo in parte il reclamo nella parte relativa al riscontro alla richiesta di accesso, precisando che tale profilo era riconducibile alla disciplina sull'accesso documentale. Ha però mantenuto aperta l'istruttoria sulla condotta di consegna dei dati sanitari a un terzo.

Successivamente, il Garante ha chiesto informazioni al titolare ai sensi dell'art. 157 del Codice. Il medico ha risposto affermando di aver agito in buona fede, ritenendo che il marito della reclamante fosse delegato verbalmente al ritiro, che la documentazione fosse stata consegnata in busta chiusa e che si trattasse di un episodio occasionale. Ha inoltre rappresentato di non avere altra documentazione clinica se non il diario clinico del paziente.

Qualificazione dei dati e norme applicate

Il Garante ha qualificato la documentazione consegnata come contenente dati relativi alla salute, ai sensi dell'art. 4 GDPR, sottolineando che tali dati richiedono una protezione rafforzata per i rischi che possono comportare per i diritti e le libertà degli interessati. Ha inoltre ricordato che la disciplina di protezione dei dati continua ad applicarsi anche ai dati personali delle persone decedute, richiamando l'art. 2-terdecies del Codice.

Sul piano normativo, l'Autorità ha ritenuto violati:

• l'art. 5, par. 1, lett. f), GDPR, sul principio di integrità e riservatezza;
• l'art. 32 GDPR, sugli obblighi di sicurezza e sull'adozione di misure tecniche e organizzative adeguate al rischio.

Valutazione della condotta del titolare

Secondo il Garante, il medico, consegnando documentazione sanitaria a un soggetto terzo in assenza di delega scritta, non ha adottato misure idonee a garantire un livello di sicurezza adeguato. L'Autorità ha richiamato i propri precedenti in materia di ritiro della documentazione medica da parte di terzi, nei quali è stato chiarito che la consegna è ammissibile solo in presenza di delega scritta e con rilascio in busta chiusa.

Il Garante ha poi escluso che la condotta potesse essere scriminata dalla buona fede invocata dal titolare. Ha osservato che, ai fini dell'art. 3 della l. 689/1981, l'errore scusabile richiede un elemento positivo esterno e non evitabile con l'ordinaria diligenza; nel caso di specie, il medico avrebbe dovuto verificare la presenza della delega scritta prima di consegnare la documentazione.

Esito del procedimento e qualificazione come violazione minore

Pur accertando l'illiceità del trattamento, il Garante ha escluso l'adozione di misure correttive ulteriori ex art. 58, par. 2, GDPR, rilevando che la condotta aveva già esaurito i suoi effetti. Ha valorizzato, ai fini del trattamento sanzionatorio, diversi elementi attenuanti:

• episodio isolato;
• assenza di dolo;
• colpa lieve;
• piena collaborazione del titolare;
• assenza di precedenti violazioni pertinenti.

Alla luce di tali elementi, il Garante ha qualificato la vicenda come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP 253 sulle sanzioni amministrative pecuniarie. In conseguenza, ha ritenuto sufficiente ammonire il titolare ai sensi dell'art. 58, par. 2, lett. b), GDPR, senza irrogare una sanzione pecuniaria.

Dispositivo e rimedi

Il Garante ha quindi:

• dichiarato l'illiceità del trattamento effettuato dal medico;
• ammonito il titolare per la violazione degli artt. 5, par. 1, lett. f), e 32 GDPR;
• dato atto della sussistenza dei presupposti di cui all'art. 17 del Regolamento n. 1/2019.

È stato infine ricordato che avverso il provvedimento è possibile proporre ricorso all'autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. 150/2011.