Search
Violazione dei dati sanitari
Fabiana
/ Categorie: Nazionale

Violazione dei dati sanitari

Ordinanza del 23 gennaio 2020 del Garante per la protezione dei dati personali

Francesca Gardini, Ufficio giuridico

Il Garante per la protezione dei dati personali, con ordinanza del 23 gennaio 2020, ha sanzionato un’azienda ospedaliera universitaria per aver trattato dati personali in violazione dell’art. 5, par. 1, lett. f), del Regolamento (UE) 2016/679, ovvero per non aver garantito «un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentale».
Nel caso di specie, l’azienda ospedaliera con tre diverse notificazioni comunicava al Garante, ai sensi dell’art. 33 del Regolamento, le violazioni dei dati personali, che aveva riscontrato all’esito dei controlli effettuati sull’uso dell’applicativo che gestisce il dossier sanitario dei pazienti, di seguito indicate:
1) accesso improprio al dossier sanitario di sei pazienti, al tempo stesso dipendenti, da parte di un medico appartenente ad un’unità operativa che non li aveva in carico e che, da quanto rappresentato dalla stessa azienda, durante il turno di guardia notturno, aveva lasciato incustodita e accessibile la postazione pc in uso, consentendo ad altri di accedere ai dati sanitari;
2) accesso improprio al dossier sanitario di sette pazienti, al tempo stesso dipendenti, da parte di un tecnico sanitario di radiologia medica che, da quanto dichiarato dalla stessa azienda, non avrebbe avuto - verificati gli orari e le postazioni di lavoro nelle date in cui erano stati rilevati gli accessi - alcuna esigenza ad accedere ai predetti dati sanitari;
3) accesso improprio al dossier sanitario di alcuni pazienti, al tempo stesso dipendenti, da parte di un medico in formazione specialistica che, da quanto dichiarato dall’azienda, sarebbe avvenuto per «mera curiosità», trattandosi di colleghi non in cura presso il reparto di afferenza dello stesso.
A seguito delle predette comunicazioni il Garante, nella fase istruttoria rilevava la sussistenza di elementi idonei a configurare, da parte dell’azienda ospedaliera universitaria, le violazioni di cui agli art. 5 e 9 del Regolamento sulla base delle argomentazioni, che riportiamo sinteticamente in calce in quanto potrebbero essere di particolare interesse per le nostre associate.
Le Linee Guida in materia di Dossier sanitario del 4 giugno 2005 [doc web n. 4084632], tuttora applicabili attesa la compatibilità delle stesse con il Regolamento (art. 22, comma 4, d.lgs. 101/2018), prevedono espressamente, al fine di scongiurare il rischio di un accesso alle informazioni trattate mediante il dossier sanitario da parte di soggetti non autorizzati o di comunicazione a terzi di dati sanitari da parte di soggetti a ciò abilitati, che il titolare del trattamento ponga particolare attenzione nell’individuazione dei profili di autorizzazione e nella formazione dei soggetti abilitati.
L’accesso al dossier sanitario deve essere, infatti, limitato al solo personale sanitario che interviene nel processo di cura del paziente e le modalità tecniche di autenticazione allo stesso devono rispecchiare le casistiche di accesso a tale strumento proprie di ciascuna struttura sanitaria.
Tanto è vero che le stesse Linee Guida citate richiedono al titolare del trattamento di effettuare un monitoraggio delle ipotesi in cui il relativo personale sanitario può avere necessità di consultare il dossier sanitario, per finalità di cura dell’interessato, e, in base a tale ricognizione, individuare diversi profili di autorizzazione all’acceso.
Nonostante quanto sopra detto, invece, gli accessi effettuati dal personale in servizio presso l’azienda ospedaliera universitaria, alla luce di quanto emerso nella fase istruttoria del procedimento, non erano stati effettuati al fine di erogare prestazioni di cura ma, come affermato dalla stessa azienda, per ragioni personali descritte come «mera curiosità».
Le misure tecniche e organizzative, adottate dall’azienda ospedaliera, con riferimento ai trattamenti effettuati attraverso il dossier sanitario aziendale, si sono rilevate non pienamente adeguate al fine di garantire un’adeguata sicurezza dei dati personali; le dette misure, infatti, non hanno permesso di evitare la possibilità per il personale sanitario abilitato di accedere alla documentazione clinica di pazienti non in cura presso gli stessi e, con riferimento in particolare ai tecnici sanitari di radiologia, non prevedevano alcuna limitazione.
L’azienda ospedaliera universitaria, solo dopo aver accertato gli episodi oggetto delle notificazioni, implementava misure volte a (i) limitare l’accesso al dossier sanitario al solo personale che ha in cura i pazienti in un determinato momento, tenendo conto delle soluzioni logico-informatiche che si basano, di fatto, sulle indicazioni già fornite dal Garante nella Linee Guida sopradette (cfr. paragrafo 6) e ribadite nei provvedimenti adottati dalla stessa Autorità sin dal 2013 [doc. web n. 2284708, doc. web n. 3325808, doc. web n. 3570631, doc. web n. 3725976, doc web n. 4449114 e doc. web n. 5410033] e (ii) limitare l’accesso al dossier sanitario dei pazienti, da parte dei tecnici sanitari di radiologia, ai soli documenti necessari allo svolgimento delle attività agli stessi attribuita. Spetta, infatti, al titolare del trattamento – come sottolineato dall’Autorità nella Ordinanza in oggetto - valutare in relazione ai diversi profili di autenticazione al dossier, se sia indispensabile che siano in concreto accessibili tutti i dati ed i documenti presenti nello stesso o solo parte degli stessi (cfr. punto 6 delle Linee Guida citate)
Alla luce di quanto detto, il Garante per la protezione dei dati personali, tenuto conto che l’adozione preventiva di tali misure avrebbe potuto evitare o limitare gli accessi non autorizzati al dossier sanitari aziendali e che, nelle Linee Guida in materia di Dossier sanitario del 4 giugno 2005, avevano già indicato la necessità che il titolare del trattamento effettuasse un monitoraggio delle ipotesi in cui il relativo personale sanitario può avere necessità di consultare il dossier sanitario, per finalità di cura dell’interessato, e, in base a tale ricognizione, individuasse diversi profili di autorizzazione all’acceso, ha dichiarato l’illiceità del trattamento dei dati personali effettuati dall’azienda ospedaliera universitaria per violazione dell’art. 5, par. 1, lett. f) del Regolamento.

Previous Article Attività ispettive del Garante per la protezione dei dati
Next Article Rinnovo CCNL. AIOP, ARIS e le OO.SS in Conferenza delle Regioni
664 Rate this article:
No rating
rubricaPRIVACY

Documenti

 

Please login or register to post comments.

Name:
Email:
Subject:
Message:
x

Servizi riservati agli associati

Circolari

Il servizio riservato agli associati riguardante monitoraggio e segnalazioni in materia giuridico-sanitaria, fiscale, del lavoro, con implicazioni organizzative e gestionali.

VAI

Convenzioni

Le più importanti partnership riservate agli associati.
Settori:  polizze assicurative, recupero crediti, formazione professionale, Risk Management, gestione e manutenzione apparecchiature e molto altro

VAI

Offerte/domande lavoro

AiopJob è il progetto che consente alle strutture associate Aiop di usufruire di una banca dati on line di professionisti - in possesso dei titoli richiesti per i profili specifici - disponibili a lavorare nelle strutture sanitarie delle varie regioni italiane.

VAI

Rassegna stampa

La rassegna stampa quotidiana della sanità privata
- visibile ogni giorno
- archivio storico con ricerca

VAI

Periodici

Mondosalute il periodico di Aiop Lombardia
Consultabile anche l’archivio storico.
VAI

Normative e sentenze

Normative è la nuova banca dati on line che consente di accedere a tutti i documenti normativi, istituzionali e giurisprudenziali, segnalati dalla Sede Nazionale e da quelle Regionali, oltre che alle correlate circolari.
VAI
Sentenze
VAI

Gruppi di lavoro regionali

Gruppi di lavoro regionali archivio attività e verbali incontri dei Gruppi di Lavoro regionali su problematiche sanitarie e socio-sanitarie.

VAI

Siti istituzionali

Siti istituzionali accesso ai siti web istituzionali, nazionali e regionali, per consultazione normative, pubblicazioni e news inerenti all’attività sanitaria.

VAI

Farmaceutica

Farmaceutica archivio dal 2018 delle circolari della D.G. Welfare sulla definizione di farmaco, sui suoi componenti e sulle sue classificazioni per categorie terapeutiche e modalità di produzione, per la forma in cui è disponibile, per come viene distribuito ai cittadini e per la categoria di rimborsabilità cui appartiene.

VAI

NELLA RETE

Aiop Giovani

Uehp
European Union
of Private Hospitals

F.I.S.O.P.A.
Federazione Italiana;
Società Scientifiche
Ospedalità Privata Accreditata

SSR

Società Scientifica della Riabilitazione

CONTATTACI

Associazione Italiana Ospedalità Privata
SEDE REGIONALE LOMBARDIA
Via Timavo, 24
20124 Milano 
Tel. 02 6682000

     


Privacy
Copyright 2020 by AIOP - Powered By
Back To Top