Search
× Search

Notizie dalla Liguria

CCNL. Cittadini: “Bene l'apertura Ministro, sia così tempestivo anche per chi opera nelle strutture private”

Dichiarazioni pubblicate su Quotidiano Sanità lo scorso 23 novembre 2018

"L’apertura del Ministro Giulia Grillo alle richieste dei sindacati dei medici che operano nella componente di diritto pubblico del SSN, è un’ottima notizia. Chiediamo che possa essere attivato, con la stessa tempestività, un confronto anche con la componente del SSN di diritto privato, nella quale lavorano 12mila medici, 26mila infermieri e tecnici e oltre 32mila operatori socio-sanitari, che ogni giorno consentono di dare una risposta alla domanda di salute degli italiani, contribuendo, in modo determinante, all’offerta sanitaria del Paese”, lo dichiara Barbara Cittadini, Presidente Nazionale AIOP, a seguito delle dichiarazioni rilasciate dal Ministro della Salute.

Gdpr. Valutazione di impatto per i trattamenti transfrontalieri

Il Garante individua le operazioni a rischio

D’ora in poi, pubbliche amministrazioni e aziende italiane che effettuano trattamenti di dati volti ad offrire beni e servizi anche a persone residenti in altri Paesi dell’Unione europea avranno uno strumento in più per applicare correttamente il nuovo Regolamento sulla protezione dei dati. Il Garante per la privacy ha predisposto, come stabilito per le Autorità di controllo nazionali dal Gdpr, un elenco delle tipologie di trattamento che i soggetti pubblici e privati dovranno sottoporre a valutazione di impatto. L’elenco recepisce le osservazioni del Comitato europeo per la protezione dei dati al quale era stato sottoposto dal Garante per il prescritto parere.
RSS
First678911131415Last

Notizie Aiop Nazionale

Violazione dei dati sanitari
4695

Violazione dei dati sanitari

Ordinanza del 23 gennaio 2020 del Garante per la protezione dei dati personali

Francesca Gardini, Ufficio giuridico

Il Garante per la protezione dei dati personali, con ordinanza del 23 gennaio 2020, ha sanzionato un’azienda ospedaliera universitaria per aver trattato dati personali in violazione dell’art. 5, par. 1, lett. f), del Regolamento (UE) 2016/679, ovvero per non aver garantito «un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentale».
Nel caso di specie, l’azienda ospedaliera con tre diverse notificazioni comunicava al Garante, ai sensi dell’art. 33 del Regolamento, le violazioni dei dati personali, che aveva riscontrato all’esito dei controlli effettuati sull’uso dell’applicativo che gestisce il dossier sanitario dei pazienti, di seguito indicate:
1) accesso improprio al dossier sanitario di sei pazienti, al tempo stesso dipendenti, da parte di un medico appartenente ad un’unità operativa che non li aveva in carico e che, da quanto rappresentato dalla stessa azienda, durante il turno di guardia notturno, aveva lasciato incustodita e accessibile la postazione pc in uso, consentendo ad altri di accedere ai dati sanitari;
2) accesso improprio al dossier sanitario di sette pazienti, al tempo stesso dipendenti, da parte di un tecnico sanitario di radiologia medica che, da quanto dichiarato dalla stessa azienda, non avrebbe avuto - verificati gli orari e le postazioni di lavoro nelle date in cui erano stati rilevati gli accessi - alcuna esigenza ad accedere ai predetti dati sanitari;
3) accesso improprio al dossier sanitario di alcuni pazienti, al tempo stesso dipendenti, da parte di un medico in formazione specialistica che, da quanto dichiarato dall’azienda, sarebbe avvenuto per «mera curiosità», trattandosi di colleghi non in cura presso il reparto di afferenza dello stesso.
A seguito delle predette comunicazioni il Garante, nella fase istruttoria rilevava la sussistenza di elementi idonei a configurare, da parte dell’azienda ospedaliera universitaria, le violazioni di cui agli art. 5 e 9 del Regolamento sulla base delle argomentazioni, che riportiamo sinteticamente in calce in quanto potrebbero essere di particolare interesse per le nostre associate.
Le Linee Guida in materia di Dossier sanitario del 4 giugno 2005 [doc web n. 4084632], tuttora applicabili attesa la compatibilità delle stesse con il Regolamento (art. 22, comma 4, d.lgs. 101/2018), prevedono espressamente, al fine di scongiurare il rischio di un accesso alle informazioni trattate mediante il dossier sanitario da parte di soggetti non autorizzati o di comunicazione a terzi di dati sanitari da parte di soggetti a ciò abilitati, che il titolare del trattamento ponga particolare attenzione nell’individuazione dei profili di autorizzazione e nella formazione dei soggetti abilitati.
L’accesso al dossier sanitario deve essere, infatti, limitato al solo personale sanitario che interviene nel processo di cura del paziente e le modalità tecniche di autenticazione allo stesso devono rispecchiare le casistiche di accesso a tale strumento proprie di ciascuna struttura sanitaria.
Tanto è vero che le stesse Linee Guida citate richiedono al titolare del trattamento di effettuare un monitoraggio delle ipotesi in cui il relativo personale sanitario può avere necessità di consultare il dossier sanitario, per finalità di cura dell’interessato, e, in base a tale ricognizione, individuare diversi profili di autorizzazione all’acceso.
Nonostante quanto sopra detto, invece, gli accessi effettuati dal personale in servizio presso l’azienda ospedaliera universitaria, alla luce di quanto emerso nella fase istruttoria del procedimento, non erano stati effettuati al fine di erogare prestazioni di cura ma, come affermato dalla stessa azienda, per ragioni personali descritte come «mera curiosità».
Le misure tecniche e organizzative, adottate dall’azienda ospedaliera, con riferimento ai trattamenti effettuati attraverso il dossier sanitario aziendale, si sono rilevate non pienamente adeguate al fine di garantire un’adeguata sicurezza dei dati personali; le dette misure, infatti, non hanno permesso di evitare la possibilità per il personale sanitario abilitato di accedere alla documentazione clinica di pazienti non in cura presso gli stessi e, con riferimento in particolare ai tecnici sanitari di radiologia, non prevedevano alcuna limitazione.
L’azienda ospedaliera universitaria, solo dopo aver accertato gli episodi oggetto delle notificazioni, implementava misure volte a (i) limitare l’accesso al dossier sanitario al solo personale che ha in cura i pazienti in un determinato momento, tenendo conto delle soluzioni logico-informatiche che si basano, di fatto, sulle indicazioni già fornite dal Garante nella Linee Guida sopradette (cfr. paragrafo 6) e ribadite nei provvedimenti adottati dalla stessa Autorità sin dal 2013 [doc. web n. 2284708, doc. web n. 3325808, doc. web n. 3570631, doc. web n. 3725976, doc web n. 4449114 e doc. web n. 5410033] e (ii) limitare l’accesso al dossier sanitario dei pazienti, da parte dei tecnici sanitari di radiologia, ai soli documenti necessari allo svolgimento delle attività agli stessi attribuita. Spetta, infatti, al titolare del trattamento – come sottolineato dall’Autorità nella Ordinanza in oggetto - valutare in relazione ai diversi profili di autenticazione al dossier, se sia indispensabile che siano in concreto accessibili tutti i dati ed i documenti presenti nello stesso o solo parte degli stessi (cfr. punto 6 delle Linee Guida citate)
Alla luce di quanto detto, il Garante per la protezione dei dati personali, tenuto conto che l’adozione preventiva di tali misure avrebbe potuto evitare o limitare gli accessi non autorizzati al dossier sanitari aziendali e che, nelle Linee Guida in materia di Dossier sanitario del 4 giugno 2005, avevano già indicato la necessità che il titolare del trattamento effettuasse un monitoraggio delle ipotesi in cui il relativo personale sanitario può avere necessità di consultare il dossier sanitario, per finalità di cura dell’interessato, e, in base a tale ricognizione, individuasse diversi profili di autorizzazione all’acceso, ha dichiarato l’illiceità del trattamento dei dati personali effettuati dall’azienda ospedaliera universitaria per violazione dell’art. 5, par. 1, lett. f) del Regolamento.

Previous Article Attività ispettive del Garante per la protezione dei dati
Next Article Rinnovo CCNL. AIOP, ARIS e le OO.SS in Conferenza delle Regioni
Please login or register to post comments.

Rassegna Stampa Regionale

Articoli delle principali testate giornalistiche nazionali e della stampa locale relativi a sanità, ricerca scientifica e medicina, con una maggior attenzione alla realtà ligure. Il servizio integrale è riservato agli associati Aiop Liguria.

 

Rassegna Stampa Nazionale

RassAiop3HP

La rassegna stampa 
della sanità privata

Servizio riservato agli associati Aiop

Link Istituzionali

Copyright 2024 by Aconet srl
Back To Top