Indice
>>>Garante per la protezione dei dati personali: Ordinanza ingiunzione n. 201 del 26 maggio 2022.<<<
1. I fatti
Il Garante per la protezione dei dati personali riceveva un primo reclamo con cui un’interessata sosteneva di essere dipendente di un’azienda sanitaria del Friuli centrale e di essere venuta a conoscenza che alcuni soggetti facenti parte del personale sanitario di detta azienda avevano avuto accesso al suo dossier sanitario. A seguito di detto reclamo, la stessa azienda sanitaria notificava al Garante la suddetta violazione in ordine agli accessi al dossier sanitario della reclamante, sostenendo che due dipendenti dell’azienda, sebbene autorizzati al trattamento dati contenuti nel sistema informatico dove erano allocati i dossier sanitari, avevano effettuato un accesso al dossier della reclamante, che era stata paziente della struttura sanitaria, ma rispetto alla quale non erano coinvolti nel suo processo di cura.
Successivamente, veniva inviato al Garante un secondo reclamo da parte di altro interessato, in cui veniva lamentata una fattispecie analoga di accesso al dossier sanitario da parte di personale dipendente della struttura sanitaria, autorizzato al trattamento dei dati, ma che non coinvolto nel processo di cura del reclamante.
L’autorità chiedeva, quindi, informazioni alla struttura sanitaria, la quale illustrava il funzionamento del sistema informatico del dossier sanitario.
In particolare, emergeva che tutto il personale sanitario può accedere all’applicazione dei dossier sanitari e quindi consultare i dati ivi contenuti relativi alle prestazioni sanitarie dei pazienti che risultano in quel momento in cura presso la struttura sanitaria. Inoltre, il personale può accedere anche ai dati di pazienti che non sono in cura presso la struttura allorquando dichiari, sotto la propria responsabilità, che la visualizzazione dei dati serve per una delle seguenti quattro attività: 1) prevenzione, diagnosi, cura o riabilitazione di un paziente in carico; 2) critical review per analisi e miglioramento del percorso di cura; 3) processo di prelievo o trapianto; 4) supporto ai processi organizzativi e adempimenti normativi da parte della direzione sanitaria. Nel caso in cui non venga fatta la dichiarazione di cui sopra, il sistema non permette l’accesso al dossier ed inoltre tutte le dichiarazioni sono registrate, così come tutti gli accessi al sistema.
In entrambi i casi oggetto dei reclami dinanzi al Garante, , era emerso che i reclamanti non erano pazienti, in quale momento, in cura presso la struttura sanitaria e che i dipendenti della struttura sanitaria, i quali avevano effettuato l’accesso ai due dossier, avevano dichiarato che gli accessi erano necessari per finalità di prevenzione, diagnosi, cura o riabilitazione dei pazienti, senza che tuttavia detti dipendenti fossero coinvolti nel processo di cura dei due reclamanti.
Potrebbero interessarci anche:
- Trattamento dati personali in sanità: dossier sanitario
- L’accesso non giustificato dei medici di un ospedale ai dossier sanitari dei pazienti costituisce trattamento illecito di dati
- Il trattamento dei dati personali mediante dossier elettronico necessita di una specifica informativa e di uno specifico consenso.
2. La valutazione del Garante
Preliminarmente, il Garante ha evidenziato come siano state emanate nel 2015 delle apposite linee guida in materia di Dossier sanitario, che hanno proprio la finalità di evitare il rischio che vi siano accessi alle informazioni ivi contenute , da parte di soggetti che non sono autorizzati al trattamento oppure che detti dati vengano comunicati a soggetti terzi da persone che sono abilitate al trattamento. Nelle suddette linee guida, viene previsto che il titolare del trattamento debba porre particolare attenzione nell’individuare i profili che sono autorizzati ad accedere ai dossier sanitari e nel formare i soggetti abilitati all’accesso. Inoltre, il titolare del trattamento deve limitare l’accesso al dossier sanitario esclusivamente al personale che interviene nel processo di cura del paziente e deve adottare delle misure tecniche di autenticazione al momento dell’accesso al dossier che garantiscano di effettuare un controllo dei casi in cui il personale può avere necessità di accedere al dossier e conseguentemente individuare i vari profili che possono avere accesso.
Pertanto, secondo le suddette linee guida, soltanto il personale che interviene nel tempo nel processo di cura del paziente, deve avere la possibilità di accedere al suo dossier sanitario. Inoltre, l’accesso anche per tali soggetti deve essere temporalmente limitato al momento in cui si articola il processo di cura del paziente.
Passando ad esaminare le criticità riscontrate nei due casi oggetto di esame da parte del Garante, l’autorità ha rilevato, in primo luogo, che il sistema utilizzato dalla struttura sanitaria permetteva, invece, a tutto il personale sanitario di accedere alle informazioni contenute nei dossier di tutti i pazienti che, in quel momento, erano presenti nella struttura, anche se detto personale non era coinvolto nel processo di cura. Inoltre, il sistema permetteva a tutto il personale di accedere anche ai dossier di pazienti che non erano, in quel momento, presenti nella struttura, semplicemente facendo una dichiarazione.
Secondo il Garante, questa configurazione del sistema ha permesso a personale dell’azienda, che non aveva in cura i due reclamanti, di accedere ai dati contenuti nei loro dossier sanitari, così violando i principi di base del trattamento dati e i principi di privacy by design e di privacy by default.
In secondo luogo, il sistema adottato dalla struttura sanitaria non rispettava il principio per cui l’accesso deve essere limitato al tempo in cui si articola il processo di cura del paziente.
In terzo luogo, il sistema adottato dalla struttura viola la normativa in materia di privacy in quanto non prevede il rilevamento di eventuali anomalie che siano indici di possibili trattamenti illeciti: cioè degli alert che individuino comportamenti, quali il numero di accessi eseguiti o la loro tipologia o il loro ambito temporale, che facciano pensare che le operazioni non siano eseguite da personale autorizzato.
Infine, il Garante ha evidenziato come il sistema informatico del dossier sanitario utilizzi il protocollo di rete http, che non garantisce la riservatezza e la integrità dei dati scambiati tra il browser e l’utente che accede al dossier sanitario. La mancanza di un sistema che prevede la crittografia e la cifratura dei dati scambiati, quindi, configura anch’essa una violazione dei principi di base del trattamento.
3. La decisione del Garante
In base alle valutazioni di cui sopra, il Garante per la protezione dei dati personali ha quindi ritenuto che i due accessi ai dossier sanitari dei due reclamanti fossero stati effettuati in violazione della normativa in materia di protezione dei dati personali e conseguentemente ha comminato alla struttura sanitaria due sanzioni pecuniarie amministrative, rispettivamente, dell’importo di €. 25.000 e di € 45.000.
Volume consigliato
La tutela della privacy in ambito sanitario
L’opera mira a fornire agli operatori del settore sanitario, pubblico e privato, gli strumenti per comprendere in modo chiaro e semplice la copiosa normativa relativa al trattamento dei dati sanitari, in modo che gli stessi possano adempiere con tranquillità agli obblighi su di loro gravanti, volti alla cura e alla protezione dei dati personali dei loro assistiti. In particolare, l’Autore, dopo aver illustrato le caratteristiche principali dei dati sanitari, necessarie per poter individuare quali informazioni rientrano in detta categoria, si dedica all’esame di tutte le disposizioni che incidono sul loro trattamento: dal codice privacy fino al GDPR, passando per le linee guida adottate dal Garante nel corso degli anni in tema di dossier sanitario, siti web dedicati alla salute, referti on-line, indagini di customer satisfaction nonché per la normativa in tema di fascicolo sanitario elettronico. Il trattamento dei dati in ambito sanitario, in considerazione della delicatezza delle informazioni che riguardano lo stato di salute degli interessati, è sempre stato estremamente pericoloso. L’opera si rende ancor più utile oggi, in un mondo in cui anche nell’ambito sanitario i dati personali assumono un’importanza fondamentale e vengono trattati attraverso diversi strumenti tecnologici ed elettronici, rientrando la protezione di tali dati tra i principali adempimenti che i professionisti e le strutture sanitarie debbono curare per poter fornire le proprie prestazioni senza preoccupazioni di incorrere in responsabilità.Pier Paolo Muià Si è laureato in Giurisprudenza presso l’Università degli Studi di Firenze. Esercita la professione di avvocato tra Firenze, Prato e Pistoia, occupandosi in particolare di responsabilità medica, diritto di internet, privacy e IP. È autore di numerose pubblicazioni sulle principali riviste giuridiche nazionali e collabora stabilmente con il portale giuridico Diritto.it. È stato relatore in diversi convegni, anche per ordini professionali medici.
Pier Paolo Muià | 2018
Scrivi un commento
Accedi per poter inserire un commento