Il garante privacy, con provvedimento del 22 febbraio 2024 (che si legge qui) ha irrogato una sanzione di 75.000,00 (risultante dalla riunione di tre sanzioni ciascuna da 25.000,00 euro) a carico di una azienda sanitaria per violazione del trattamento dei dati personali.
Il provvedimento è particolarmente interessante perchè rileva una violazione consistita nell’aver consentito accessi al dossier da parte di personale sanitario che, sebbene autorizzato al trattamento, non era coinvolto nel processo di cura dei soggetti a cui i dossier sanitari si riferivano, in difformità dalle prescrizioni contenute nelle “Linee guida in materia di Dossier sanitario – 4 giugno 2015” (Provvedimento del 4.6.2015, pubblicato in G.U. 164 del 17 luglio 2015, consultabile su www.gpdp.it doc web n. 4084632), che, al pari degli altri provvedimenti dell’Autorità Garante, continuano ad applicarsi anche dopo la piena applicazione del Regolamento, in quanto compatibili con lo stesso (art. 22, comma 4, d.lgs n. 101/2018).
In particolare, “nelle predette Linee guida il Garante, al fine di scongiurare il rischio di un accesso alle informazioni trattate mediante il dossier sanitario da parte di soggetti non autorizzati o di comunicazione a terzi di dati sanitari da parte di soggetti a ciò abilitati, ha specificamente chiesto al titolare del trattamento di porre particolare attenzione nell’individuazione dei profili di autorizzazione e nella formazione dei soggetti abilitati, dovendo essere limitato l’accesso al dossier al solo personale sanitario che interviene nel processo di cura del paziente ed essere adottate modalità tecniche di autenticazione al dossier che rispecchino le casistiche di accesso a tale strumento proprie di ciascuna struttura sanitaria. A tal fine, nelle predette Linee guida, il Garante ha indicato ai titolari del trattamento di effettuare un monitoraggio delle ipotesi in cui il relativo personale sanitario può avere necessità di consultare il dossier sanitario, per finalità di cura dell’interessato e, in base a tale ricognizione, individuare i diversi profili di autorizzazione all’accesso”.
Il garante ha inoltre basato la propria decisione anche su quanto si legge nel proprio provvedimento del 3 luglio 2014 in cui era stato prescritto, di mettere in atto specifici accorgimenti che consentissero ai soli professionisti sanitari che hanno in quel momento in cura il paziente di accedere al suo dossier sanitario per il tempo in cui si articola il percorso di cura.
La decisione in esame è di particolare interesse perchè sancisce la legittimità dell’accesso al dossier sanitario solo per il personale sanitario che interviene nel processo di cura e solo per il tempo in cui la cura è in corso e ciò pone più di un interrogativo circa la possibilità di accesso a tale documentazione da parte di altri soggetti della struttura sanitaria che, a diverso titolo, potrebbero avere interesse ad esaminare la documentazione sanitaria del paziente: si pensi al risk manager che, dovendo valutare l’esito di una segnalazione di evento sentinella, voglia approfondire l’esame del caso al fine di predisporre le necessarie misure correttive, ovvero i componenti del CVS che, dovendo valutare la sussistenza di elementi di responsabilità nel trattamento di un paziente e/o quantificare il possibile danno subito dallo stesso ai fini degli adempimenti contabili previsti dal decreto attuativo in tema di legge Gelli, potrebbero avere necessità di prendere visione delle condizioni aggiornate della salute del paziente.
La soluzione va cercata nella possibilità (prevista dalle predette linee guida e che viene ricordata anche nel provvedimento in esame) che il titolare individui, in relazione alle diverse funzioni a cui è adibito il personale, specifici profili per l’accesso al dossier anche con riferimento agli organi amministrativi della direzione sanitaria, affinché gli stessi possano accedere, nei limiti delle attribuzioni previste per legge, a una base informativa più completa rispetto a quella presente nel dossier sanitario aziendale.
Insomma, questa decisione, oltre a rappresentare un forte richiamo al rispetto della disciplina del GDPR anche in ambito sanitario e, settore nel quale le strutture sono chiamate al non facile compito di definire esattamente i profili di accesso, anche alla luce degli obblighi imposti dalle recenti decreto attuativo della legge Gelli.
