Prescrizioni del Garante n. 710 del 14/11/2024

Ospedale Policlinico San Martino di Genova: modulistica sanitaria non minimizzata per giustificare l’assenza dal lavoro

Il Garante ha esaminato una segnalazione relativa a un modulo aziendale di attestazione di presenza rilasciato da una struttura sanitaria per giustificare l’assenza dal lavoro. Nel documento era indicata l’Unità Operativa/reparto presso cui la paziente aveva ricevuto la prestazione sanitaria, con possibile rivelazione di dati relativi alla salute.

Origine della segnalazione e avvio dell’istruttoria

Nel novembre 2023 è pervenuta all’Autorità una segnalazione di una paziente che, dopo essersi recata presso la neuroradiologia dell’Ospedale Policlinico San Martino per una risonanza magnetica, aveva richiesto il modulo giustificativo da consegnare al datore di lavoro. Nel modulo compariva la specialità/reparto di afferenza della prestazione, circostanza ritenuta non necessaria ai fini della mera attestazione della presenza.

L’Ufficio ha avviato un’istruttoria preliminare e ha chiesto informazioni al Policlinico ai sensi dell’art. 157 del Codice privacy. Il titolare ha riscontrato la richiesta affermando di aver verificato la modulistica aziendale, di averla resa conforme alla normativa vigente e al provvedimento generale del 9 novembre 2005, di aver coinvolto il DPO e di aver pubblicato una nuova versione del modulo in sostituzione della precedente.

Difese del titolare del trattamento

Con memorie difensive e in sede di audizione, il Policlinico ha sostenuto in sintesi che:

• l’indicazione dell’Unità Operativa di neuroradiologia non era strettamente necessaria per giustificare l’assenza;
• il dato non sarebbe stato diffuso a terzi, poiché il modulo era stato consegnato solo alla paziente;
• la denominazione del reparto non rivelerebbe in modo diretto una patologia o un trattamento sanitario specifico;
• la criticità era stata affrontata tempestivamente mediante rettifica della modulistica, coinvolgimento del DPO, comunicazioni interne e attività formative;
• l’episodio era stato annotato nel registro aziendale degli incidenti di sicurezza.

In audizione, il Policlinico ha inoltre rappresentato di aver avviato ulteriori percorsi formativi per i dipendenti, di aver coinvolto coordinatori infermieristici e di aver previsto un sistema di referenti privacy nelle Unità Operative per monitorare la documentazione utilizzata.

Quadro normativo e criteri di valutazione

Il Garante richiama innanzitutto la nozione di dato personale e di dato relativo alla salute ai sensi dell’art. 4 GDPR, evidenziando che i dati sulla salute comprendono anche le informazioni raccolte nel corso della registrazione per ricevere servizi di assistenza sanitaria.

Vengono poi richiamati:

• l’art. 5, par. 1, lett. c), GDPR, sul principio di minimizzazione, secondo cui i dati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento;
• l’art. 25 GDPR, sul principio di protezione dei dati fin dalla progettazione e per impostazione predefinita;
• le Linee guida 4/2019 sull’art. 25 GDPR;
• il provvedimento generale del 9 novembre 2005 sulle cautele da adottare nelle strutture sanitarie, che impone di evitare che soggetti estranei possano evincere lo stato di salute del paziente dalla correlazione tra identità e indicazione della struttura o del reparto; tali cautele si applicano anche alle certificazioni richieste per finalità amministrative, come la giustificazione dell’assenza dal lavoro;
• la Newsletter n. 398/2015, che esclude la presenza, nelle certificazioni per pazienti o accompagnatori, di indicazioni della struttura o di altre informazioni idonee a far risalire allo stato di salute;
• la sentenza della Corte di Cassazione n. 28417/2023, richiamata per affermare che la comunicazione dell’esigenza di un trattamento sanitario integra dato sulla salute.

Valutazione dell’Autorità

Il Garante ha ritenuto non decisiva la difesa secondo cui il modulo era stato consegnato alla sola interessata, poiché le contestazioni non riguardavano la liceità della comunicazione in sé, bensì la violazione dei principi di minimizzazione e privacy by design.

L’Autorità ha quindi accertato che:

• l’indicazione del reparto/Unità Operativa nel modulo di attestazione di presenza per assenza dal lavoro costituiva un trattamento di dati sulla salute eccedente rispetto alla finalità perseguita;
• il Policlinico non aveva predisposto, fin dall’origine, misure organizzative e tecniche idonee a limitare i dati riportati alla sola informazione necessaria;
• vi è stata pertanto violazione dell’art. 5, par. 1, lett. c), GDPR e dell’art. 25 GDPR.

Esito del procedimento

Pur confermando l’illiceità del trattamento, il Garante ha rilevato che il Policlinico aveva già rettificato la modulistica, reso disponibile il nuovo modello alle Unità Operative, diffuso istruzioni interne, avviato formazione specifica e adottato misure organizzative per prevenire la reiterazione dell’errore. Ha inoltre considerato che:

• i dati non erano stati diffusi a terzi, ma comunicati alla sola interessata;
• il fatto era non intenzionale;
• non risultavano precedenti violazioni;
• il titolare aveva collaborato con l’Autorità e coinvolto subito il DPO.

Alla luce di tali elementi, la vicenda è stata qualificata come “violazione minore” e il Garante ha ritenuto sufficiente un ammonimento, ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza applicare misure correttive ulteriori, poiché la condotta aveva già cessato di produrre effetti.

Dispositivo

L’Autorità:

• dichiara l’illiceità del trattamento effettuato dall’Ospedale Policlinico San Martino per violazione degli artt. 5, par. 1, lett. c), e 25 GDPR;
• ammonisce il Policlinico quale titolare del trattamento.

È infine indicata la possibilità di ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, o entro 60 giorni se il ricorrente risiede all’estero.