ASL Lecce
Ordinanza ingiunzione
Sintesi del provvedimento
Il Garante dichiara l'illiceità del trattamento di dati personali effettuato dalla ASL Lecce presso l'U.O.C. di Urologia del Presidio Ospedaliero 'Vito Fazzi' di Lecce. Sono state accertate violazioni relative a: mancanza di documentazione formale sulle procedure di protezione dei dati sensibili dei pazienti; mancanza di nomina formale degli autorizzati al trattamento; assenza di istruzioni documentate al personale; misure di sicurezza fisica inadequate (cartelle cliniche in carrello non sempre chiuso, locale infermeria non chiuso a chiave); mancata comunicazione di una violazione dei dati (affiancamento di personale non autorizzato); nessuna partecipazione dei 44 dipendenti del reparto ai corsi di formazione sulla privacy. L'Azienda è condannata al pagamento di una sanzione amministrativa pecuniaria di € 4.500 e alla pubblicazione del provvedimento sul sito del Garante.
Approfondimento
Soggetti coinvolti
Pazienti ricoverati nell'U.O.C. di Urologia del Presidio Ospedaliero 'Vito Fazzi' di Lecce; 44 dipendenti dell'U.O.C. di Urologia
Riferimenti normativi
Lettura del caso
Temi affrontati — Protezione dei dati personali in ambito sanitario; misure di sicurezza fisica e organizzativa; designazione degli autorizzati al trattamento; formazione del personale; segnalazione di violazioni dei dati personali; dati sensibili di pazienti ricoverati
Conseguenze — Il Garante dichiara l'illiceità del trattamento e ordina alla ASL Lecce il pagamento di una sanzione amministrativa pecuniaria di € 4.500 per le violazioni degli artt. 5, par. 1, lett. f), par. 2, 29 e 32 del GDPR. L'Azienda ha facoltà di definire la controversia mediante pagamento di € 2.250 (metà della sanzione) entro 30 giorni. In caso di mancata definizione, l'Azienda dovrà pagare l'importo intero entro 30 giorni dalla notificazione, pena l'adozione di atti esecutivi. Il provvedimento sarà pubblicato sul sito internet del Garante. Le violazioni e le misure adottate saranno annotate nel registro interno dell'Autorità.
Gravità media della violazione; durata e contesto della violazione; difficoltà nel fornire formazione a tutti i dipendenti (numero elevato: 44 operatori nel reparto); assenza di precedenti violazioni pertinenti e di precedenti provvedimenti dell'art. 58 GDPR; scoperta della violazione a seguito di segnalazione del Comando Carabinieri; collaborazione proattiva dell'Azienda con l'Autorità e adozione di specifiche misure correttive; applicazione del principio di proporzionalità, effettività e dissuasività della sanzione
L'assenza di documentazione formale relativa alle procedure di protezione dei dati sensibili in ambito ospedaliero, pur in presenza di deliberazioni aziendali sulla privacy, rappresenta una violazione grave del principio di trasparenza e accountability; la mancanza di designazione formale degli autorizzati al trattamento e di istruzioni documentate costituisce violazione degli artt.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.