Con Provvedimento, Registro dei provvedimenti n. 197 del 17 maggio 2023, il Garante della Protezione dei Dati Personali (GPDP) ha deciso su un caso di invio, da parte di una ASL settentrionale, di comunicazioni richiedenti l’invio di documentazione recante “Certificato di esenzione dalla partecipazione alla spesa sanitaria per motivi di reddito rilasciato” dalla Regione interessata in attuazione al d.m. 11/12/2009. Tali comunicazioni venivano inviate a destinatari diversi dai pazienti interessati.
Nel provvedimento in evidenza, decidendo sul caso specifico, l’Autorità ha, infatti, stabilito che le aziende sanitarie devono adottare tutte le misure tecniche e organizzative necessarie per evitare che i dati dei pazienti siano comunicati per errore ad altri destinatari. Pertanto, il GPDP ha riscontrato nella vicenda de qua un trattamento illecito per violazione di dati personali (data breach), nella misura in cui la ASL aveva trasmesso nella cassetta di posta elettronica dei destinatari (sbagliati) certificati contenente i dati personali (nome, cognome, luogo e data di nascita, codice fiscale, codice di esenzione) di altri assistiti. Allo scopo, il Garante ha sanzionato l’ente sanitario, precisando che l’episodio era risultato isolato e non volontario.
