A.O.R.N. Azienda ospedaliera dei colli
Ordinanza ingiunzione
Sintesi del provvedimento
Il Garante dichiara l'illiceità del trattamento di dati personali effettuato mediante il dossier sanitario ASAP_sio gestito dall'Azienda per violazioni relative a: mancanza di consenso specifico per la consultazione di dati pregressi; visibilità eccessiva dei dati ai professionisti sanitari attraverso la funzione ricerca paziente; accesso ai dossier di pazienti non in cura presso l'operatore; insufficienti misure di sicurezza e transparency. Irrogata sanzione di € 15.000,00.
Approfondimento
Soggetti coinvolti
Circa 40.000 prestazioni annue erogate dall'Azienda
Riferimenti normativi
Lettura del caso
Temi affrontati — Trattamento di dati personali sensibili mediante dossier sanitario; consenso informato per dati pregressi; principi di liceità, correttezza e trasparenza; principio di minimizzazione; visibilità eccessiva dei dati personali sanitari; controlli di accesso insufficienti; sicurezza del trattamento
Conseguenze — Il Garante ordina all'Azienda ospedaliera dei colli, Monaldi-Cotugno-CTO di Napoli di pagare la sanzione amministrativa pecuniaria di € 15.000,00 entro trenta giorni dalla notifica, pena l'adozione di atti esecutivi. È consentita la definizione della controversia mediante pagamento di € 7.500,00 entro sessanta giorni. Dispone la pubblicazione dell'ordinanza ingiunzione e del provvedimento sul sito internet del Garante e l'annotazione delle violazioni nel registro interno dell'Autorità.
Natura particolarmente sensibile dei dati personali sanitari; numero elevato di interessati (circa 40.000 prestazioni annue); durata della violazione dal dicembre 2023; gravità media della violazione; misure tempestivamente implementate dall'Azienda per conformarsi al quadro normativo; assenza di reclami o segnalazioni anteriori; mancanza di precedenti provvedimenti sanzionatori su medesimo oggetto; collaborazione durante l'istruttoria; circostanza che il paziente era informato verbalmente della possibilità di visualizzare dati pregressi; limitazione dell'accesso ai documenti della sola unità operativa di appartenenza
L'acquisizione del consenso per l'attivazione del dossier sanitario non legittima automaticamente la consultazione di dati e documenti prodotti da eventi clinici antecedenti alla manifestazione di consenso (dati pregressi), che richiedono consenso specifico. La profilazione degli accessi ai dati sanitari deve essere idonea a limitare la visibilità ai soli dati necessari per l'esercizio delle funzioni del professionista sanitario.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.