Ordinanza ingiunzione o revoca n. 228 del 01/06/2023

Centro medico Camedi s.r.l. - trattamento illecito di dati sanitari per errore di omonimia

Il provvedimento riguarda il Centro medico Camedi s.r.l., destinatario di un’ordinanza-ingiunzione per un trattamento di dati personali connesso all’errata attribuzione di fatture e SMS a un soggetto omonimo del paziente effettivo. Il procedimento origina da un reclamo dell’interessato e dall’istruttoria svolta dal Garante ai sensi dell’art. 157 e dell’art. 166 del Codice.

Fatti e origine del reclamo

L’interessato ha segnalato di ricevere sul proprio numero privato SMS periodici di promemoria per visite mediche mai richieste e di aver trovato nel proprio 730 precompilato fatture per prestazioni sanitarie, per un importo complessivo di 4.000 euro, mai effettuate. Ha inoltre rappresentato che il centro medico avrebbe scambiato i dati di due pazienti omonimi, attribuendo al reclamante prestazioni e fatture riferite all’altro soggetto.

Il centro medico ha confermato la presenza nel proprio database di due soggetti con stesso nome e cognome ma con indirizzi e codici fiscali diversi. Ha riferito che, nel corso del 2021, il paziente omonimo aveva usufruito di prestazioni sanitarie e ricevuto le relative fatture, mentre l’errore di abbinamento avrebbe generato l’inserimento delle fatture nel cassetto fiscale del reclamante e l’invio di SMS automatici a quest’ultimo.

Trattamenti esaminati

L’Autorità ha esaminato due profili distinti ma collegati:

• l’errata compilazione e attribuzione delle fatture relative a prestazioni sanitarie;
• l’invio di SMS automatici di promemoria appuntamenti al soggetto sbagliato.

In entrambi i casi, il Garante ha ritenuto che fossero coinvolti dati personali e, in particolare, dati relativi alla salute, poiché l’avvenuta prestazione di un servizio di assistenza sanitaria a una persona determinata è informazione riconducibile alla nozione di dato sulla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR e del considerando 35.

Valutazione di liceità e norme violate

Nella fase di avvio del procedimento, l’Ufficio ha contestato la violazione:

• del principio di esattezza di cui all’art. 5, par. 1, lett. d), GDPR;
• del principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), GDPR;
• delle regole speciali sui dati relativi alla salute, trattabili e comunicabili solo all’interessato o a terzi in presenza di un idoneo presupposto giuridico o di specifica delega, ai sensi dell’art. 9 GDPR e dell’art. 84 del Codice, in combinato disposto con l’art. 22, comma 11, del d.lgs. 101/2018;
• degli obblighi di sicurezza di cui all’art. 32 GDPR.

Nelle conclusioni, il Garante ha ribadito che l’erronea attribuzione delle fatture e l’invio degli SMS hanno determinato un trattamento illecito di dati personali sia del reclamante sia del suo omonimo.

Difese del titolare e loro valutazione

Il centro medico ha sostenuto che:

• l’errore era dipeso dall’omonimia e dall’errata attribuzione di codice fiscale e indirizzo;
• le fatture erano state consegnate fisicamente al paziente che aveva effettivamente ricevuto le prestazioni;
• il reclamante non sarebbe stato in grado di risalire univocamente all’identità del soggetto omonimo;
• la situazione era stata chiarita con contatti telefonici e via PEC, anche con l’ausilio del commercialista e dell’Agenzia delle Entrate;
• era stata inserita una nota di attenzione nel database per evitare il ripetersi dell’evento.

Il Garante ha tuttavia ritenuto che tali elementi non fossero sufficienti ad accogliere l’istanza di archiviazione, confermando la violazione dei principi di esattezza, integrità e riservatezza, nonché la comunicazione non giustificata di dati relativi alla salute.

Esito: illiceità del trattamento e sanzione

L’Autorità ha dichiarato l’illiceità del trattamento di dati personali effettuato dal Centro medico Camedi s.r.l. per violazione degli artt. 5, 9 e 32 GDPR. Ha inoltre rilevato che, poiché la condotta aveva esaurito i suoi effetti e il titolare aveva dichiarato di avere adottato misure per prevenire il ripetersi dell’evento, non ricorrevano i presupposti per ulteriori misure correttive ex art. 58, par. 2, GDPR.

È stata quindi adottata ordinanza-ingiunzione con applicazione della sanzione amministrativa pecuniaria di euro 10.000, ai sensi dell’art. 83, par. 4, lett. a) e par. 5, lett. a), GDPR, per la violazione degli artt. 5, 9 e 32 GDPR.

Criteri di quantificazione della sanzione

Nel determinare l’importo, il Garante ha richiamato i criteri di cui all’art. 83, par. 1 e 2, GDPR, valorizzando in particolare:

• la conoscenza del fatto tramite reclamo di un interessato;
• la natura dei dati coinvolti, idonei a rivelare informazioni sulla salute di due interessati;
• l’assenza di intenzionalità del titolare;
• la collaborazione prestata all’Autorità;
• l’assenza di precedenti provvedimenti pertinenti;
• il contributo causale dell’omonimia tra i soggetti coinvolti.

Sanzione accessoria, pagamento e ricorsi

Il provvedimento dispone la pubblicazione integrale sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice, anche in considerazione della tipologia dei dati coinvolti. Viene inoltre richiamata la facoltà, per il contravventore, di definire la controversia mediante pagamento entro 30 giorni di un importo pari alla metà della sanzione comminata, nonché la possibilità di proporre ricorso all’autorità giudiziaria ordinaria nei termini di cui all’art. 78 GDPR, all’art. 152 del Codice e all’art. 10 del d.lgs. 150/2011.