Ordinanza ingiunzione o revoca n. 126 del 13/04/2023

ASL n. 3 di Nuoro: diffusione illecita online di dati sanitari di un paziente

Il provvedimento riguarda l’Azienda socio sanitaria locale n. 3 di Nuoro, subentrata ad ATS Sardegna, per la pubblicazione sul web di documentazione contenente dati identificativi e dati sulla salute di un interessato. Il caso origina da un reclamo/istanza dell’interessato e da successivi accertamenti dell’Ufficio.

Fatti e origine dell’istruttoria

Il paziente ha segnalato che sul web, a un determinato URL, erano stati diffusi i suoi dati personali, tra cui data di nascita, residenza e codice fiscale, oltre a informazioni sanitarie. In particolare risultava pubblicata una nota del Servizio di Assistenza Farmaceutica Territoriale, relativa a una richiesta di acquisto di un medicinale, con allegati un certificato attestante la fibrosi cistica e una nota del Centro regionale di riferimento nella quale erano indicati la patologia e i farmaci necessari.

L’Ufficio ha svolto una verifica preliminare e ha riscontrato la presenza del contenuto online. Successivamente ha avviato il procedimento notificando all’Azienda l’atto di contestazione ai sensi dell’art. 166, comma 5, del Codice privacy e invitandola a presentare difese o a richiedere audizione.

Difese dell’Azienda e misure correttive spontanee

L’Azienda ha ricondotto l’accaduto a un errore materiale nella scansione: i documenti allegati sarebbero stati uniti in un unico PDF anziché separati, con conseguente pubblicazione di documentazione non necessaria ai fini dell’atto amministrativo. Ha precisato che la violazione ha riguardato un solo interessato e che l’evento è stato colposo, inserendosi in una fase di riorganizzazione dei servizi per effetto della riforma sanitaria regionale.

Ha inoltre rappresentato di aver immediatamente:

• deindicizzato i dati erroneamente pubblicati dai motori di ricerca;
• rimosso gli effetti potenzialmente lesivi per l’interessato;
• avviato una sensibilizzazione del personale sui principi di minimizzazione e necessità;
• organizzato sessioni formative con il DPO;
• predisposto o avviato la predisposizione di una procedura standardizzata per la gestione delle violazioni.

L’Azienda ha anche riferito che tra le parti era stata sottoscritta una transazione, con rifusione delle spese legali sostenute per il reclamo.

Valutazione del Garante: illiceità del trattamento

Il Garante ha ricordato che i dati personali devono essere trattati nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione e integrità/riservatezza di cui all’art. 5, par. 1, lett. a), c) e f), GDPR. Ha ribadito che il trattamento è lecito solo se ricorre una delle condizioni dell’art. 6 GDPR e che, per i trattamenti svolti per compiti di interesse pubblico o connessi all’esercizio di pubblici poteri, la diffusione è ammessa solo se prevista da una norma di legge o di regolamento o da atti amministrativi generali, ai sensi dell’art. 2-ter del Codice.

Con specifico riguardo ai dati sulla salute, l’Autorità ha richiamato il divieto di diffusione sancito dall’art. 2-septies, comma 8, del Codice e il regime restrittivo dell’art. 9 GDPR, evidenziando che tali dati possono essere comunicati all’interessato e, a terzi, solo in presenza di un idoneo presupposto giuridico o su delega scritta dell’interessato.

Sulla base degli atti, il Garante ha concluso che non era stata dimostrata alcuna valida base giuridica ai sensi degli artt. 6 e 9 GDPR e ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, 6 e 9 GDPR e dell’art. 2-septies, comma 8, del Codice.

Misure correttive e sanzione

Pur accertando l’illecito, il Garante ha osservato che la deindicizzazione immediata dei dati aveva già rimosso i contenuti dall’indice dei motori di ricerca; per questo ha ritenuto che, allo stato, non vi fossero i presupposti per adottare ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

È stata invece irrogata una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, GDPR, pari a 13.000 euro. Nella determinazione della sanzione l’Autorità ha considerato:

• la conoscenza dell’evento tramite istanza dell’interessato;
• la natura sensibile dei dati trattati, con particolare riferimento ai dati sulla salute;
• la tempestiva deindicizzazione;
• l’elevato grado di cooperazione dell’Azienda;
• l’assenza di precedenti provvedimenti pertinenti a carico del titolare.

Sanzione accessoria e tutela giurisdizionale

Il Garante ha disposto la pubblicazione per intero del provvedimento sul proprio sito web, ai sensi dell’art. 166, comma 7, del Codice privacy, anche in considerazione della tipologia dei dati oggetto di trattamento illecito.

È stato inoltre indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.