Inserimento di documentazione relativa ad altro paziente nella cartella clinica

L’inserimento nella cartella clinica di un paziente di documentazione relativa ad altro paziente costituisce violazione della privacy.

1. I fatti

Una ASL aveva notificato al Garante per la protezione dei dati personali un data breach che si era verificato presso la propria struttura sanitaria.
In particolare, l’azienda sanitaria sosteneva di aver inserito all’interno della cartella clinica che era stata consegnata ad un paziente, la documentazione che era riconducibile ad un diverso paziente della struttura sanitaria. Il paziente che aveva ricevuto la cartella clinica aveva quindi segnalato l’accaduto alla ASL e quest’ultima, dopo aver chiesto ed ottenuto la restituzione della cartella, aveva verificato che la stessa conteneva documentazione relativa a soggetto terzo e diverso rispetto a quello il cui nominativo era riportato nella cartella medesima.
Dopo aver verificato la cartella, la ASL aveva accertato che al suo interno erano presenti n. 30 pagine relative al paziente terzo: 3 pagine riconducibili al diario clinico, 15 pagine riconducibili alle terapie prescritte ed eseguite ed infine 12 pagine riconducibili allo storico delle diarie mediche e delle terapie prescritte e somministrate.
In considerazione di tale notifica del data breach, il Garante aveva avviato il procedimento per l’adozione delle misure sanzionatorie nei confronti della struttura sanitaria, ritenendo che la condotta da questa posta in essere costituisse una violazione della normativa privacy, invitando la struttura a inviare i propri scritti difensivi.
L’ ASL si era difesa sostenendo, in primo luogo, che i fatti oggetto della vicenda si erano svolti in un ospedale che era dedicato alla cura dei pazienti covid e per tale ragione era stata prevista una particolare procedura per la formazione delle cartelle cliniche. In particolare, una prima parte della cartella veniva elaborata in uno spazio separato rispetto a quello in cui veniva compilata e conservata la seconda parte della cartella; in un secondo momento, le due parti venivano assemblate e veniva così formata la cartella clinica definitiva. In considerazione di tale particolare modalità di formazione della cartella, secondo la struttura sanitaria, probabilmente si era verificato un errore materiale di uni degli incaricati, che aveva portato all’inserimento della documentazione relativa ad altro paziente terzo nella cartella oggetto della procedura in questione.
In secondo luogo, la struttura sanitaria faceva presenta al Garante che la suddetta procedura di formazione della cartella era stata abbandonata, in quanto ritenuta non più necessaria in considerazione della situazione pandemica.
Infine, la ASL evidenziava che era riuscita a recuperare la cartella clinica in questione e ad eliminare la documentazione del soggetto terzo ivi presente, mentre colui il quale aveva per errore preso visione di tale documentazione del soggetto terzo, aveva dichiarato di non aver estratto ulteriori copie e che avrebbe rispettato la segretezza circa i dati che avrebbe eventualmente appreso a causa dell’errore.
Potrebbero interessarti anche:

• Privacy – L’informazione sulla terapia farmacologica in corso è un dato personale
• Pubblicazione dei nomi di pazienti e violazione della privacy

2. Le valutazioni del Garante

Preliminarmente il Garante ha precisato che il trattamento dei dati personali deve sempre avvenire nel rispetto della normativa in materia di protezione dei dati personali prevista dal relativo Regolamento europeo (GDPR) e dal codice privacy italiano.
Per quanto riguarda i dati relativi alla salute fornita da detta normativa, vengono definiti tali i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute.
In considerazione di ciò, i dati del soggetto terzo che erano contenuti all’interno della cartella clinica consegnata al paziente (cioè il diario clinico e medico nonché le terapie prescritte ed eseguite su detto soggetto terzo), rientrano a pieno titolo nella suddetta nozione di dati relativi alla salute.
Il Garante ha inoltre ricordato che i dati relativi alla salute possono essere comunicati soltanto all’interessato e possono essere comunicati a terzi solo sulla base di un idoneo presupposto giuridico o previa delega scritta dell’interessato.
Anche quando è possibile effettuare il trattamento di tale tipologia di dati, il titolare del trattamento deve comunque rispettare i principi in materia di protezione dei dati, fra i quali quello di integrità e riservatezza, secondo il quale i dati personali devono essere trattati in maniera da garantire un’adeguata sicurezza e devono essere protetti, attraverso l’uso di misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentale dei medesimi.
L’adeguatezza di tali misure deve essere valutata da parte del titolare del trattamento rispetto alla natura dei dati, all’oggetto, alle finalità del trattamento e al rischio per i diritti e le libertà fondamentali degli interessati, tenendo conto dei rischi che derivano dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso a dati personali trasmessi, conservati o comunque trattati.
Nel caso di specie, secondo il Garante, la stessa ASL ha confermato di aver comunicato i dati relativi alla salute di un paziente ad un altro paziente che non era autorizzato a ricevere tali dati.

3. La decisione del Garante

Il Garante per la protezione dei dati personali ha quindi ritenuto che l’inserimento di documentazione sanitaria relativa ad un paziente all’interno della cartella clinica di un altro paziente, configuri una illecita comunicazione di dati personali e di dati relativi alla salute dell’interessato in assenza di un idoneo presupposto giuridico.
In considerazione di ciò, il Garante ha ritenuto di dover irrogare a carico del titolare del trattamento una sanzione amministrativa pecuniaria (invece non ha ritenuto di applicare una misura correttiva poiché la ASL aveva ormai recuperato la documentazione contenente i dati sanitari dell’interessato ed ha altresì modificato la procedura di formazione delle cartelle cliniche).
Per quanto concerne la quantificazione di detta sanzione, il Garante, valutato che la violazione ha riguardato un solo paziente, che si è trattato di un caso isolato verificatosi per una condotta colposa del titolare (in quanto avvenuta per un errore materiale posto in essere dall’operatore dedicato alla formazione della cartella), che non vi erano precedenti specifici a carico della ASL in questione, che quest’ultima ha tenuto un comportamento collaborativo con l’autorità e che ha adottato prontamente delle misure correttive per rimediare all’errore, ha ritenuto di condannare la struttura sanitaria al pagamento dell’importo di €. 5.000 (cinquemila).