Privacy in sanità, dal Garante nuove indicazioni su dossier, registri e sanzioni

Accessi al dossier sanitario limitati alle finalità di cura, nuove garanzie per il Registro nazionale diabete e conferma dei poteri sanzionatori del Garante anche quando viene superato il termine per decidere su un reclamo. Sono tre recenti decisioni segnalate dal Garante per la protezione dei dati personali con ricadute anche sulla gestione dei dati sanitari e sull'attività delle strutture del Servizio sanitario.

Il primo caso riguarda l’Azienda sanitaria universitaria Friuli centrale (ASUFC) di Udine, sanzionata per 24.000 euro. L'Autorità ha accertato che il dossier sanitario di una dipendente, anche paziente dell'ospedale, era stato consultato da una collega durante la pandemia per verificarne l'eventuale positività al Covid-19 e organizzare i turni di lavoro. 

Il Garante ha chiarito che il dossier sanitario può essere consultato solo dai medici e dal personale sanitario che hanno in cura il paziente. Le esigenze amministrative e organizzative devono invece essere gestite attraverso strumenti dedicati. L'istruttoria ha rilevato anche altri accessi abusivi da parte di professionisti che non avevano in cura la dipendente e l'assenza di specifiche limitazioni agli accessi e di sistemi automatici di allerta. All'Azienda è stato quindi ordinato di adottare adeguate misure tecniche e organizzative. 

Un secondo provvedimento riguarda il Registro nazionale diabete. Il Garante ha espresso parere favorevole allo schema di decreto del ministero della Salute che ne disciplina l'istituzione e il funzionamento, dopo il recepimento delle indicazioni formulate dall'Autorità. 

Tra gli aspetti modificati figurano la minimizzazione dei dati raccolti, la definizione delle responsabilità dei soggetti coinvolti, la cifratura delle informazioni, le misure di sicurezza e i tempi di conservazione. È stato inoltre previsto che i dati possano essere diffusi esclusivamente in forma aggregata, così da impedire l'identificazione degli interessati. 

Il terzo intervento riguarda i tempi e i poteri sanzionatori del Garante. Con tre sentenze, la Corte di Cassazione ha chiarito che il superamento del termine previsto per la decisione su un reclamo non determina la decadenza del potere dell'Autorità di applicare sanzioni. 

Secondo la Cassazione, il termine di 120 giorni previsto dalla normativa riguarda la notifica della contestazione e decorre dal momento in cui viene completato l'accertamento della violazione. I giudici hanno inoltre riconosciuto la complessità delle istruttorie del Garante, che possono richiedere approfondimenti tecnici, audizioni e acquisizione di documentazione.