Ordinanza ingiunzione o revoca n. 97 del 22/02/2024

Azienda sanitaria dell'Alto Adige: accessi non consentiti al dossier sanitario aziendale e carenze di sicurezza

Il provvedimento riguarda l'Azienda sanitaria dell'Alto Adige e il trattamento di dati sulla salute effettuato tramite il dossier sanitario aziendale. L'istruttoria è stata avviata a seguito di due reclami e due notifiche di violazione, relativi ad accessi da parte di personale sanitario non coinvolto nel percorso di cura degli interessati.

Origine del procedimento e trattamenti esaminati

Il Garante ha riunito più procedimenti concernenti accessi al dossier sanitario di diversi interessati. In un primo caso il reclamante lamentava numerosi accessi non coincidenti con i ricoveri o trattamenti; in un secondo caso l'Azienda ha notificato cinque accessi inappropriati al dossier di un interessato; in un'ulteriore notifica è stato segnalato l'accesso al dossier di un paziente da parte di una professionista sanitaria, anche con consultazione di esami del coniuge dell'interessato.

L'istruttoria ha riguardato, in particolare:

• le modalità di autorizzazione all'accesso al dossier;
• la profondità e l'estensione delle informazioni consultabili;
• la presenza o meno di controlli automatici sugli accessi anomali;
• l'adeguatezza delle misure tecniche e organizzative adottate dall'Azienda.

Attività istruttoria e difese dell'Azienda

Nel corso del procedimento l'Azienda ha rappresentato che molti accessi erano stati effettuati dall'interessato stesso, che era anche dipendente sanitario, e che alcuni accessi ripetuti erano dovuti a ragioni tecniche. Ha dichiarato di aver individuato accessi non giustificati e di avere avviato procedimenti disciplinari nei confronti dei professionisti coinvolti.

L'Azienda ha inoltre descritto il proprio modello di accesso al dossier sanitario, fondato inizialmente su più causali predefinite, tra cui:

• pericolo di vita/emergenza;
• prevenzione, diagnosi, cura e riabilitazione su paziente in carico ma non registrato nei percorsi informatizzati;
• critical review;
• processo di prelievi/trapianto;
• adempimenti normativi/organizzativi della direzione medica;
• consultazione del registro tumori.

Successivamente, a seguito dell'istruttoria, ha dichiarato di aver ristretto le causali, eliminato l'autodichiarazione come modalità autonoma di accesso, introdotto alert automatici, avviato formazione al personale e costituito un gruppo di lavoro per la revisione dei profili di accesso e del grado di profondità delle consultazioni.

Quadro normativo richiamato

Il Garante ha richiamato i principi generali del GDPR e le proprie Linee guida sul dossier sanitario del 4 giugno 2015, che continuano ad applicarsi se compatibili con il Regolamento. È stato inoltre richiamato il precedente provvedimento del 3 luglio 2014, con cui l'Autorità aveva già contestato criticità analoghe e prescritto misure per limitare l'accesso ai soli sanitari in cura del paziente.

Le norme richiamate in motivazione includono in particolare:

• art. 5, par. 1, lett. a), c) e f), GDPR;
• art. 9 GDPR;
• art. 25 GDPR;
• art. 32 GDPR;
• art. 58, par. 2, GDPR;
• art. 83 GDPR;
• art. 166 del Codice privacy.

Valutazioni del Garante sui profili di autorizzazione

Il Garante ha ritenuto che, all'epoca dei fatti, la configurazione del dossier sanitario consentisse accessi eccessivamente ampi al personale sanitario dell'Azienda, anche in assenza di un effettivo rapporto di cura con l'interessato. In alcuni casi non risultavano neppure eventi clinico-amministrativi tracciati a favore dei reclamanti, segno che l'accesso non era sufficientemente legato a un percorso di cura in atto.

Secondo l'Autorità, l'accesso al dossier deve essere consentito solo al personale sanitario che interviene nel processo di cura e soltanto per il tempo in cui il percorso di cura si articola. La configurazione precedente non rispettava tale principio e non aveva recepito in modo adeguato le indicazioni del provvedimento del 2014 e delle Linee guida del 2015.

Valutazioni su finalità, profondità degli accessi e ruoli autorizzati

L'Autorità ha osservato che, prima dell'intervento istruttorio, erano consentiti accessi anche per finalità di direzione medica e consultazione del registro tumori. Ha ritenuto che tali utilizzi non fossero coerenti con il perimetro del dossier sanitario, che deve essere finalizzato esclusivamente alla cura dell'assistito.

Successivamente l'Azienda ha dichiarato di avere modificato le casistiche di accesso, limitandole alla sola prevenzione, diagnosi, cura e riabilitazione, e di avere escluso alcuni profili professionali dall'accesso, tra cui:

• logopedista;
• assistente di oftalmologia/ortottista;
• podologo;
• igienista dentale;
• massaggiatore e massofisioterapista;
• tecnico audiometrista.

Il Garante ha preso atto delle modifiche, ma ha comunque valutato illecito il trattamento svolto nella fase antecedente agli adeguamenti.

Alert, sicurezza e privacy by design/by default

Un punto rilevante del provvedimento riguarda l'assenza, al momento dei fatti, di adeguati sistemi di controllo e di rilevazione automatica delle anomalie. Il Garante ha ritenuto che l'Azienda non avesse predisposto alert idonei a evidenziare accessi anomali per numero, tipologia o ambito temporale, strumenti invece richiesti per orientare successivi audit e per prevenire trattamenti illeciti.

L'Autorità ha quindi ravvisato una violazione degli obblighi di sicurezza e dei principi di protezione dei dati fin dalla progettazione e per impostazione predefinita, considerando che il sistema era strutturato in modo da consentire accessi non sufficientemente circoscritti e non immediatamente intercettabili.

Esito del procedimento e sanzione

Il Garante ha dichiarato l'illiceità del trattamento di dati personali effettuato dall'Azienda sanitaria dell'Alto Adige, per violazione degli artt. 5, par. 1, lett. a) e f), 9, 25 e 32 GDPR.

Pur prendendo atto delle misure adottate nel corso del procedimento e dell'avvio di procedimenti disciplinari, l'Autorità ha ritenuto di non dover adottare ulteriori misure correttive, ma di procedere con ordinanza-ingiunzione e sanzione amministrativa pecuniaria.

L'importo complessivo irrogato è pari a 75.000 euro, così suddivisi:

• 25.000 euro per il procedimento avviato sul primo reclamo;
• 25.000 euro per il procedimento avviato sulla seconda notifica di violazione e sul relativo reclamo;
• 25.000 euro per il procedimento avviato sulla terza notifica di violazione.

Il Garante ha ritenuto la sanzione effettiva, proporzionata e dissuasiva ai sensi dell'art. 83 GDPR, tenendo conto tra l'altro della gravità degli accessi, dell'assenza di misure preventive adeguate e del fatto che l'Autorità era già intervenuta in precedenza sul medesimo trattamento.

Criteri di quantificazione della sanzione

Nella quantificazione sono stati considerati, tra gli altri, i seguenti elementi:

• conoscenza dell'evento tramite due reclami e due notifiche di violazione;
• pluralità di interessati coinvolti e accessi non giustificati da motivi clinici;
• avvio di procedimenti disciplinari e, in un caso, anche penali;
• inadeguatezza delle misure tecniche e organizzative preesistenti;
• successivi interventi correttivi e cooperazione con l'Autorità.

Misure accessorie e impugnazione

Il provvedimento dispone la pubblicazione integrale sul sito del Garante, ai sensi dell'art. 166, comma 7, del Codice. Contro il provvedimento è ammesso ricorso all'autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all'estero.