Ordinanza ingiunzione o revoca n. 11 del 11/01/2024

Medico sanzionato per deposito incustodito di ricette e prescrizioni sanitarie

Il provvedimento riguarda un medico che aveva adottato, presso il proprio studio, una modalità di consegna delle prescrizioni mediche e dei certificati attraverso un contenitore metallico collocato all’esterno e accessibile al pubblico. L’istruttoria è stata avviata a seguito di segnalazione e si è conclusa con l’irrogazione di una sanzione amministrativa pecuniaria, oltre alla pubblicazione del provvedimento.

Fatto e origine del procedimento

Secondo la segnalazione trasmessa all’Autorità, presso lo studio medico era presente un contenitore per le prescrizioni recante l’indicazione "solo ricette mediche", dotato di chiave ma lasciato di fatto a libera accessibilità. Nel contenitore erano conservate numerose prescrizioni mediche, comprese ricette elettroniche promemoria e ricette del SSN, in parte non inserite in buste chiuse. Gli accertamenti, compiuti tra il 9 febbraio e il 4 aprile 2023, hanno documentato la presenza di 67 ricette e l’accesso di più persone al contenitore; tali circostanze sono state confermate anche da dichiarazioni di pazienti.

Difese del titolare del trattamento

Il medico ha sostenuto che la modalità fosse episodica e adottata solo per i pazienti che ne facevano richiesta, per agevolare il ritiro delle prescrizioni e ridurre gli accessi allo studio. Ha inoltre affermato che il contenitore si trovava in un’area delimitata e che l’accesso sarebbe stato riservato ai soli pazienti. Infine, ha dichiarato di avere già rimosso il contenitore oggetto di contestazione. Il Garante ha però rilevato che non sono stati prodotti scritti difensivi né chiesta audizione nel procedimento successivo alla notifica di avvio.

Valutazioni del Garante sul trattamento

L’Autorità ha ricordato che i dati relativi alla salute richiedono una protezione rafforzata, poiché il contesto del trattamento può comportare rischi significativi per i diritti e le libertà degli interessati. In ambito sanitario, il titolare deve adottare misure tecniche e organizzative adeguate al rischio, garantendo integrità e riservatezza dei dati. Il Garante ha evidenziato che le prescrizioni e i certificati possono essere lasciati per il ritiro da parte dei pazienti solo se collocati in busta chiusa, così da impedire la conoscibilità da parte di terzi.

Violazioni contestate e norme richiamate

Il trattamento è stato ritenuto illecito per violazione di:

• art. 5, par. 1, lett. f), GDPR, sul principio di integrità e riservatezza;
• art. 32 GDPR, sugli obblighi di sicurezza del trattamento;
• art. 9 GDPR, in relazione alla circolazione di dati relativi alla salute;
• art. 2-septies, comma 8, Codice privacy, che vieta la diffusione di dati idonei a rivelare lo stato di salute.

Il provvedimento richiama anche la nozione di diffusione di cui all’art. 2-ter, comma 4, lett. b), Codice privacy e precedenti indicazioni del Garante, secondo cui ricette e certificati possono essere lasciati in studio o in farmacia solo in busta chiusa.

Esito finale, sanzione e misure accessorie

Ritenute non idonee le giustificazioni del medico, il Garante ha escluso l’archiviazione e ha dichiarato l’illiceità del trattamento. In applicazione degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 Codice privacy, è stata irrogata una sanzione amministrativa pecuniaria di 20.000 euro, determinata considerando:

• il coinvolgimento di dati sanitari di un gran numero di assistiti;
• la durata accertata di due mesi;
• l’alto grado di responsabilità del titolare;
• la mancata piena cooperazione nel procedimento.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità. Il destinatario può proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge; è altresì richiamata la possibilità di definizione agevolata tramite pagamento della metà della sanzione entro 30 giorni.