Con Provvedimento, Registro dei provvedimenti n. 86 del 23 marzo 2023, il Garante della Protezione dei Dati Personali (GPDP) ha deciso sulla violazione di dati personali, riguardante l’accesso non autorizzato ai documenti sanitari di alcuni assistiti determinato dalla vulnerabilità del servizio relativo al Fascicolo sanitario elettronico (FSE).
Nel caso concreto, premessi la nozione giuridica di “dati relativi alla salute” e i principi di settore, in particolate quello di adeguata sicurezza del trattamento, il GPDP ha stabilito che le modalità di accesso ai documenti contenuti nel FSE degli assistiti dell’ente territoriale interessato non risultavano conformi alle disposizioni e agli assiomi richiamati, richiedendo l’adozione di più elevati standard di sicurezza, al fine di non compromettere la riservatezza, l’integrità e la disponibilità di dati personali di centinaia di migliaia di interessati.
Difatti, anche in caso di affidamento del trattamento a soggetti terzi, il responsabile, in base a competenze tecniche-specifiche, deve comunque collaborare, anche manifestando un’autonomia propositiva, all’adozione di misure adeguate ad “assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento”. Del pari, si legge nel provvedimento, lo stesso responsabile, nel valutare l’adeguato livello di sicurezza, deve considerare i «rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati».
In definitiva, nella vicenda in esame, il GPDP ha rilevato l’illiceità del trattamento di dati personali effettuato dalla società in questione, applicando alla stessa la sanzione amministrativa pecuniaria e la sanzione accessoria.
GPDP Registro dei provvedimenti n. 86 del 23 marzo 2023
