Dossier sanitario Garante privacy: sanzioni a ospedale e clinica per accessi impropri e mancanza di consenso. Il dossier va usato solo per ragioni di cura.
Sanzionati un ospedale e una clinica privata
Dossier sanitario: il Garante Privacy sanziona con 80mila euro a un ospedale per accessi non autorizzati
Il Garante per la protezione dei dati personali ha sanzionato con 80mila euro un’Azienda Ospedaliero-Universitaria per una gestione non conforme del dossier sanitario.
L’Autorità, nel corso di un’ispezione, ha accertato che l’ente utilizzava due applicativi informatici — uno per le cartelle ambulatoriali e uno per quelle di ricovero — che consentivano a tutto il personale sanitario di accedere alle informazioni cliniche dei pazienti, anche quando non coinvolti nei percorsi di cura.
Questa configurazione, priva di limitazioni e controlli, ha determinato un accesso esteso e ingiustificato ai dati sanitari, in violazione dei principi di necessità e liceità del trattamento.
Il provvedimento si inserisce nel quadro dei controlli del Garante sui trattamenti dei dati sanitari e richiama l’attenzione delle strutture sull’obbligo di adottare sistemi che garantiscano accessi selettivi e tracciati.
Le violazioni riscontrate dal Garante Privacy nel dossier sanitario: mancanza di misure tecniche e consenso
Dall’analisi ispettiva è emerso che i sistemi informatici non prevedevano adeguate misure di profilazione degli accessi, né meccanismi di tracciamento e log per monitorare le consultazioni effettuate dagli operatori sanitari.
In assenza di alert automatici o di controlli interni, era impossibile verificare eventuali accessi impropri o utilizzi non autorizzati dei dati, in contrasto con gli obblighi previsti dagli articoli 5 e 32 del GDPR in materia di sicurezza del trattamento e accountability.
Un’ulteriore violazione ha riguardato il principio di trasparenza: i pazienti non erano informati dell’esistenza del dossier sanitario e non avevano espresso alcun consenso alla sua attivazione.
In questo modo, erano impossibilitati a esercitare i propri diritti, tra cui la possibilità di negare l’alimentazione del dossier o di oscurare specifiche informazioni particolarmente sensibili, come previsto dalle Linee guida del Garante del 2015.
Il Garante ha ricordato che il dossier sanitario deve essere utilizzato esclusivamente per finalità di cura e che l’accesso deve essere limitato al personale sanitario effettivamente coinvolto nel trattamento del paziente. Ogni altra consultazione rappresenta una violazione dei principi di minimizzazione e proporzionalità.
Per saperne di più > Il principio di minimizzazione nel GDPR
Vedi qui il provvedimento completo del Garante per la Protezione dei Dati Personali nei confronti dell’Azienda Ospedaliero-Universitaria.
Un ulteriore provvedimento per una clinica privata
Per violazioni analoghe, l’Autorità ha sanzionato anche una casa di cura privata con 12mila euro, ribadendo l’obbligo di adottare misure tecniche e organizzative adeguate a garantire che solo il personale autorizzato e coinvolto nel percorso di cura possa accedere ai dati sanitari contenuti nel dossier.
Questo secondo provvedimento conferma l’orientamento rigoroso dell’Autorità nel richiedere configurazioni sicure e accessi controllati ai dati sanitari, a tutela dei diritti fondamentali degli interessati.
Il provvedimento del Garante nei confronti della clinica privata è disponibile qui.
Lezioni e misure da adottare: come garantire la conformità
I due provvedimenti sottolineano la necessità, per le strutture sanitarie pubbliche e private, di adottare misure organizzative e tecniche adeguate per assicurare la conformità del dossier sanitario al GDPR e alle Linee guida del Garante. Tra le principali azioni richieste:
- definizione di profili di accesso granulari, che consentano la consultazione dei dati solo al personale sanitario effettivamente coinvolto nel percorso di cura;
- implementazione di sistemi di tracciamento e audit, con file di log e alert automatici per rilevare accessi impropri o sospetti;
- informativa completa e trasparente ai pazienti sul funzionamento del dossier, le finalità del trattamento e i diritti esercitabili;
- raccolta del consenso espresso e documentato per l’attivazione del dossier e per l’inclusione dei dati sensibili;
- possibilità di oscuramento selettivo, per permettere al paziente di escludere alcune informazioni cliniche;
- formazione continua del personale, per assicurare consapevolezza e corretto utilizzo degli strumenti informatici in conformità con la normativa;
La mancata applicazione di queste misure espone le strutture a sanzioni economiche rilevanti, oltre a danni reputazionali e potenziali violazioni della fiducia dei pazienti.
Un approccio conforme e consapevole alla gestione del dossier sanitario non è solo un obbligo legale, ma anche un elemento essenziale per garantire la sicurezza dei dati e la tutela dei diritti fondamentali degli interessati.
Hai bisogno di supporto nella gestione della conformità al GDPR? Il nostro team di esperti è a tua disposizione!
