Farmacisti

18 Febbraio 2020

---

Il Garante della privacy ha sanzionato con 30 mila euro un ospedale per tre violazioni di dati personali. Alcuni dipendenti hanno sbirciato i dossier sanitati dei colleghi non per erogare prestazioni mediche ma per ragioni personali

È costata 30 mila euro la "sbirciatina" da parte di dipendenti "curiosi", dei dossier sanitari di colleghi in cura presso l'ospedale sanzionato per non aver impedito che ciò accadesse. La sanzione è stata comminata dal Garante della privacy per tre violazioni di dati personali, comunicate all'Autorità dallo stesso ospedale a conclusione di normali controlli periodici. "In un caso - spiega una nota del Garante - l'accesso era stato effettuato con le credenziali di un medico che aveva lasciato incustodita la propria postazione; negli altri due casi uno specializzando e untecnico radiologo erano entrati nel dossier sanitario dei loro colleghi. In tutti e tre gli episodi risulta accertato, per stessa ammissione dell'azienda ospedaliera, che gli accessi erano stati effettuati non per erogare prestazioni mediche, ma per esclusive ragioni personali, descritte dall'azienda come "mera curiosità".

Misure tecniche e organizzative inadeguate

Secondo il Garante, fatti i dovuti accertamenti "le misure tecniche e organizzative adottate dall'ospedale, a tutela del dossier sanitario aziendale, non si erano dimostrate idonee ad assicurare una adeguata tutela dei dati personali dei pazienti e a proteggerli da trattamenti non autorizzati, determinando così un trattamento illecito di dati. La violazione avrebbe potuto essere evitata se l'azienda avesse semplicemente osservato le Linee guida in materia di dossier sanitario, emanate dal Garante nel 2015, prevedendo che l'accesso al dossier sanitario fosse limitato al solo personale sanitario che interviene nel processo di cura del paziente ed avesse prestato particolare attenzione nell'individuare i profili di autorizzazione e nella formazione del personale abilitato. L'adozione preventiva di tali misure, anche alla luce dei principi di protezione dati fin dalla progettazione (privacy by design) e per impostazione predefinita (privacy by default), costituisce oggi, per effetto delle disposizioni contenute nel Regolamento Ue 679/2016, un preciso dovere per i titolari del trattamento". L'ospedale ha poi avviato una "revisione delle procedure d'accesso ai dossier sanitari" ma il garante ha comunque imposto di "completare tale operazione entro 90 giorni e per gli illeciti commessi ha applicato una sanzione di 30.000 euro".

Carte fedeltà, fatture elettroniche e medicina di iniziativa nel mirino del Garante

Il Garante ha inoltre reso noto di aver pianificato le ispezioni per il primo semestre 2020 e riguarderà, in particolare, gli enti pubblici che si occupano della cosiddetta "medicina di iniziativa" e le società multinazionali del settore farmaceutico e sanitario. Ulteriori accertamenti riguarderanno anche i trattamenti di dati effettuati dagli intermediari che operano nell'ambito della fatturazione elettronica, dalle società che gestiscono banche dati reputazionali e dalle società di food delivery. Le altre ispezioni programmate dal Garante saranno indirizzate a verificare il rispetto delle norme nel rilascio di certificati tramite l'Anagrafe nazionale della popolazione residente, nell'attività di marketing, nell'e-banking, nella gestione delle carte di fedeltà, nell'uso di software per la gestione delle segnalazioni di condotte illecite (il cosiddetto "whistleblowing"), nelle violazioni della sicurezza dei dati (data breach), sia nel settore pubblico che privato.

TAG: PRIVACY, VISUALIZZATORE DEI DATI, GARANTE DELLA PRIVACY, DATI PERSONALI, REGOLAMENTO GENERALE SULLA PROTEZIONE DEI DATI (GENERAL DATA PROTECTION REGULATION GDPR)