Ordinanza ingiunzione o revoca n. 601 del 21/12/2023

ARNAS Brotzu: smarrimento di vetrini e tasselli istologici e sanzione del Garante

Il provvedimento riguarda l’Azienda di Rilievo Nazionale ed Alta Specializzazione G. Brotzu, destinataria di una sanzione amministrativa per la gestione non adeguatamente tracciata di vetrini e tasselli istologici relativi a una paziente. Il procedimento trae origine da un reclamo dell’interessata e da approfondimenti istruttori svolti dall’Autorità sulla conservazione e movimentazione del materiale biologico.

Origine del reclamo e attività istruttoria

La reclamante ha lamentato lo smarrimento di vetrini e tasselli istologici contenenti materiale biologico presente nella propria cartella clinica, circostanza emersa solo in occasione del deposito di una consulenza tecnica nel giudizio d’appello. Secondo quanto rappresentato, l’assenza di tale materiale avrebbe impedito al CTU di valutare compiutamente la tesi difensiva della interessata.

Nel corso dell’istruttoria il Garante ha chiesto chiarimenti prima alla struttura sanitaria inizialmente coinvolta e poi all’ARNAS Brotzu, che ha ricostruito le vicende organizzative regionali e sostenuto di essere il titolare del trattamento per effetto delle successioni normative e delle incorporazioni intervenute nel sistema sanitario sardo. L’Azienda ha inoltre riferito di aver verificato internamente la movimentazione dei reperti e di aver acquisito documentazione dalla società esterna incaricata dell’archiviazione.

Posizione difensiva dell’Azienda

L’ARNAS Brotzu ha contestato anzitutto che i vetrini e i tasselli potessero essere considerati dati personali o, in particolare, dati genetici. Ha sostenuto che si trattasse di campioni biologici e non di informazioni personali, richiamando documenti europei e del Garante sul concetto di campione biologico.

In subordine, l’Azienda ha affermato di disporre già all’epoca di un processo consolidato per la consegna e l’archiviazione dei reperti, con accessi regolamentati ai locali, tracciamento delle movimentazioni e conservazione presso archivio esternalizzato. Ha anche evidenziato di aver avviato successivamente una procedura formalizzata, attività formative e ulteriori misure di miglioramento.

Valutazioni del Garante sulla natura dei dati

L’Autorità ha ritenuto irrilevante, ai fini dell’illecito, la disputa sulla qualificazione dei materiali come dati genetici, rilevando che i vetrini e i tasselli istologici, associati a elementi identificativi della persona interessata, sono comunque riconducibili a dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, e dell’art. 9 GDPR. Il materiale biologico proveniente dalla persona fisica e collegato alla sua identità sanitaria rientra infatti nelle categorie particolari di dati, con applicazione delle relative garanzie.

Violazioni accertate

Il Garante ha evidenziato che il titolare del trattamento, anche in assenza di un obbligo di conservazione ormai decorso, avrebbe dovuto comunque dimostrare in modo documentato quali operazioni fossero state effettuate sui campioni e sui dati ad essi associati. In particolare, è stata rilevata la mancanza di adeguate procedure formalizzate e tracciabili per la gestione dei reperti, della loro conservazione e dell’eventuale cancellazione o distruzione.

Sono stati quindi ritenuti violati:

• l’art. 5, par. 1, lett. f), GDPR, per mancata garanzia di integrità e riservatezza;
• l’art. 5, par. 2, GDPR, sotto il profilo dell’accountability;
• l’art. 32 GDPR, per insufficienza delle misure tecniche e organizzative;
• il provvedimento del Garante n. 146 del 5 giugno 2019 sulle prescrizioni relative al trattamento di categorie particolari di dati, in particolare per la gestione di campioni biologici.

Prescrizioni di settore e mancata dimostrazione della tracciabilità

Nella motivazione il Garante richiama le linee guida del Ministero della Salute-Consiglio Superiore di Sanità sulla tracciabilità, raccolta, trasporto, conservazione e archiviazione di cellule e tessuti per anatomia patologica, che indicano un termine minimo di conservazione di dieci anni e impongono, in presenza di contenzioso, una valutazione sulla opportunità di protrarre la conservazione oltre tale termine.

Pur prendendo atto che l’Azienda aveva affermato di aver adottato prassi consolidate e, successivamente, una procedura formalizzata, l’Autorità ha ritenuto che ciò non bastasse a superare il rilievo fondamentale: non era stata dimostrata con sufficiente certezza la catena delle operazioni sul materiale biologico oggetto del reclamo, né l’effettiva tracciabilità del trattamento.

Esito del procedimento e sanzione

Il Garante ha dichiarato l’illiceità del trattamento effettuato dall’ARNAS Brotzu e ha applicato la sanzione amministrativa pecuniaria di euro 18.000, determinata tenendo conto della gravità media della violazione, della categoria di dati coinvolta, del numero limitato di interessati, della cooperazione prestata dall’Azienda, dell’assenza di precedenti specifici e delle difficoltà organizzative derivanti dalle riforme del sistema sanitario regionale.

La sanzione è stata irrogata ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 del Codice privacy. È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante. Non sono state invece adottate ulteriori misure correttive, anche perché nel frattempo l’Azienda aveva formalizzato una procedura per la gestione del materiale biologico.