3988
Violazione dei dati sanitari
Ordinanza del 23 gennaio 2020 del Garante per la protezione dei dati personali
Francesca Gardini, Ufficio giuridico
Il Garante per la protezione dei dati personali, con ordinanza del 23 gennaio 2020, ha sanzionato un’azienda ospedaliera universitaria per aver trattato dati personali in violazione dell’art. 5, par. 1, lett. f), del Regolamento (UE) 2016/679, ovvero per non aver garantito «un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentale».
Nel caso di specie, l’azienda ospedaliera con tre diverse notificazioni comunicava al Garante, ai sensi dell’art. 33 del Regolamento, le violazioni dei dati personali, che aveva riscontrato all’esito dei controlli effettuati sull’uso dell’applicativo che gestisce il dossier sanitario dei pazienti, di seguito indicate:
1) accesso improprio al dossier sanitario di sei pazienti, al tempo stesso dipendenti, da parte di un medico appartenente ad un’unità operativa che non li aveva in carico e che, da quanto rappresentato dalla stessa azienda, durante il turno di guardia notturno, aveva lasciato incustodita e accessibile la postazione pc in uso, consentendo ad altri di accedere ai dati sanitari;
2) accesso improprio al dossier sanitario di sette pazienti, al tempo stesso dipendenti, da parte di un tecnico sanitario di radiologia medica che, da quanto dichiarato dalla stessa azienda, non avrebbe avuto - verificati gli orari e le postazioni di lavoro nelle date in cui erano stati rilevati gli accessi - alcuna esigenza ad accedere ai predetti dati sanitari;
3) accesso improprio al dossier sanitario di alcuni pazienti, al tempo stesso dipendenti, da parte di un medico in formazione specialistica che, da quanto dichiarato dall’azienda, sarebbe avvenuto per «mera curiosità», trattandosi di colleghi non in cura presso il reparto di afferenza dello stesso.
A seguito delle predette comunicazioni il Garante, nella fase istruttoria rilevava la sussistenza di elementi idonei a configurare, da parte dell’azienda ospedaliera universitaria, le violazioni di cui agli art. 5 e 9 del Regolamento sulla base delle argomentazioni, che riportiamo sinteticamente in calce in quanto potrebbero essere di particolare interesse per le nostre associate.
Le Linee Guida in materia di Dossier sanitario del 4 giugno 2005 [doc web n. 4084632], tuttora applicabili attesa la compatibilità delle stesse con il Regolamento (art. 22, comma 4, d.lgs. 101/2018), prevedono espressamente, al fine di scongiurare il rischio di un accesso alle informazioni trattate mediante il dossier sanitario da parte di soggetti non autorizzati o di comunicazione a terzi di dati sanitari da parte di soggetti a ciò abilitati, che il titolare del trattamento ponga particolare attenzione nell’individuazione dei profili di autorizzazione e nella formazione dei soggetti abilitati.
L’accesso al dossier sanitario deve essere, infatti, limitato al solo personale sanitario che interviene nel processo di cura del paziente e le modalità tecniche di autenticazione allo stesso devono rispecchiare le casistiche di accesso a tale strumento proprie di ciascuna struttura sanitaria.
Tanto è vero che le stesse Linee Guida citate richiedono al titolare del trattamento di effettuare un monitoraggio delle ipotesi in cui il relativo personale sanitario può avere necessità di consultare il dossier sanitario, per finalità di cura dell’interessato, e, in base a tale ricognizione, individuare diversi profili di autorizzazione all’acceso.
Nonostante quanto sopra detto, invece, gli accessi effettuati dal personale in servizio presso l’azienda ospedaliera universitaria, alla luce di quanto emerso nella fase istruttoria del procedimento, non erano stati effettuati al fine di erogare prestazioni di cura ma, come affermato dalla stessa azienda, per ragioni personali descritte come «mera curiosità».
Le misure tecniche e organizzative, adottate dall’azienda ospedaliera, con riferimento ai trattamenti effettuati attraverso il dossier sanitario aziendale, si sono rilevate non pienamente adeguate al fine di garantire un’adeguata sicurezza dei dati personali; le dette misure, infatti, non hanno permesso di evitare la possibilità per il personale sanitario abilitato di accedere alla documentazione clinica di pazienti non in cura presso gli stessi e, con riferimento in particolare ai tecnici sanitari di radiologia, non prevedevano alcuna limitazione.
L’azienda ospedaliera universitaria, solo dopo aver accertato gli episodi oggetto delle notificazioni, implementava misure volte a (i) limitare l’accesso al dossier sanitario al solo personale che ha in cura i pazienti in un determinato momento, tenendo conto delle soluzioni logico-informatiche che si basano, di fatto, sulle indicazioni già fornite dal Garante nella Linee Guida sopradette (cfr. paragrafo 6) e ribadite nei provvedimenti adottati dalla stessa Autorità sin dal 2013 [doc. web n. 2284708, doc. web n. 3325808, doc. web n. 3570631, doc. web n. 3725976, doc web n. 4449114 e doc. web n. 5410033] e (ii) limitare l’accesso al dossier sanitario dei pazienti, da parte dei tecnici sanitari di radiologia, ai soli documenti necessari allo svolgimento delle attività agli stessi attribuita. Spetta, infatti, al titolare del trattamento – come sottolineato dall’Autorità nella Ordinanza in oggetto - valutare in relazione ai diversi profili di autenticazione al dossier, se sia indispensabile che siano in concreto accessibili tutti i dati ed i documenti presenti nello stesso o solo parte degli stessi (cfr. punto 6 delle Linee Guida citate)
Alla luce di quanto detto, il Garante per la protezione dei dati personali, tenuto conto che l’adozione preventiva di tali misure avrebbe potuto evitare o limitare gli accessi non autorizzati al dossier sanitari aziendali e che, nelle Linee Guida in materia di Dossier sanitario del 4 giugno 2005, avevano già indicato la necessità che il titolare del trattamento effettuasse un monitoraggio delle ipotesi in cui il relativo personale sanitario può avere necessità di consultare il dossier sanitario, per finalità di cura dell’interessato, e, in base a tale ricognizione, individuasse diversi profili di autorizzazione all’acceso, ha dichiarato l’illiceità del trattamento dei dati personali effettuati dall’azienda ospedaliera universitaria per violazione dell’art. 5, par. 1, lett. f) del Regolamento.