Provvedimento correttivo e sanzionatorio nei confronti di Azienda Ospedaliero Universitaria Integrata di Verona - 23 gennaio 2020

1. La violazione dei dati personali.

Nel mese di maggio del 2019, l’Azienda Ospedaliero XXX (di seguito Azienda) ha inviato all’Autorità tre comunicazioni relative a violazioni di dati personali ai sensi dell’art. 33 del Regolamento, in relazione a quanto emerso nell’ambito dei controlli, periodicamente effettuati dall’Azienda in materia di accessi ai dossier sanitari dei pazienti (comunicazioni del 6.5.2019- prot. n. 25344; del 9.5.2019- prot. n. 26161 e del 22.5.2019- prot. n. 28317).

Nella comunicazione del 6 maggio 2019, l’Azienda ha affermato di aver “riscontrato un accesso improprio a sei dossier di pazienti che sono al tempo stesso dipendenti aziendali nel ruolo di ostetriche” e che “non vi era motivo che un medico della (…) Unità Operativa (di Ostetricia e Ginecologia) compresa dunque la d.ssa titolare delle credenziali, facesse accesso ai dati clinici di pazienti non in carico, alcune delle quali per di più a casa in congedo per maternità al tempo dell’episodio, e che pertanto si è trattato di accessi impropri”. Secondo quanto dichiarato, l’accesso è stato effettuato “con le credenziali di un medico dell’UOC di Ostetricia e Ginecologia” che, durante il turno notturno di guardia medica, “ha lasciato incustodita e accessibile la postazione pc in uso, consentendo ad altri di accedere ai dati sanitari delle sei ostetriche”. L’Azienda ha dichiarato che ne sarebbe stata data tempestiva comunicazione alle interessate.

Nella comunicazione del 9 maggio 2019, l’Azienda ha dichiarato di aver “riscontrato un accesso improprio al dossier sanitario di sette pazienti che sono al tempo stesso dipendenti aziendali”. Secondo quanto dichiarato, l’accesso è stato effettuato “da un tecnico sanitario di radiologia medica”, al fine di “vedere come funzionava l’applicazione” e, in altri casi, mediante l’utilizzo delle credenziali di autenticazione dello stesso soggetto che aveva lasciato la propria postazione “incustodita e accessibile”. L’Azienda ha indicato, nella predetta notificazione, che “verificati gli orari e le postazioni di lavoro nelle date citate, (…) non c’era nessuna esigenza ad accedere al dossier sanitario de pazienti-dipendenti segnalati”;

Nella comunicazione del 22 maggio 2019, l’Azienda ha dichiarato che “un medico in formazione specialistica presso l’UOC di Neurologia B dell’Ospedale di XXX” ha effettuato un “accesso improprio al dossier sanitario di alcuni pazienti che sono al tempo stesso dipendenti aziendali”. Secondo quanto dichiarato in atti, in tre distinte fattispecie, l’accesso ha riguardato i dossier sanitari di colleghi neurologi non in cura presso il reparto di afferenza dello specializzando e che, secondo quanto indicato dal Direttore dell’UOC di Neurologia, non dovevano essere visionati dal tale soggetto. Tenuto conto delle circostanze, l’Azienda ha dichiarato “possibile che l’accesso sia stato dettato da mera curiosità” e ha dichiarato che ne sarebbe stata data tempestiva comunicazione agli interessati.

Nelle suddette notificazioni l’Azienda ha affermato di aver portato a conoscenza di tutto il personale, tramite il “Disciplinare tecnico sull'uso delle risorse informatiche aziendali” e le istruzioni presenti negli atti di designazione a incaricati/autorizzati al trattamento (ivi compresi i specializzandi), specifiche indicazioni in merito ai presupposti di liceità degli accessi al dossier sanitario aziendale (anche con specifico riferimento ai dossier sanitari di colleghi) e alle misure relative all’impostazione di un intervallo di timeout per la sessione dell’applicativo utilizzato per il dossier, che saranno ulteriormente e più dettagliatamente rinnovate al personale.

Con specifico riferimento ai fatti oggetto della comunicazione del 9 maggio 2019, l’Azienda ha dichiarato l’intenzione di implementare “ulteriori e più sofisticati filtri che permetteranno ai tecnici di radiologia di consultare i soli dati (immagini) necessari allo svolgimento dei propri compiti”.

Nelle predette comunicazioni di violazioni l’Azienda ha dichiarato di aver avviato un procedimento disciplinare nei confronti dei dipendenti responsabili dei predetti accessi non autorizzati ai dossier sanitari (radiologia e neurologia) e di essere in fase di valutazione per una censura formale anche nei confronti del medico dell’UOC di Ostetricia e Ginecologia che, seppur in turno notturno di guardia, ha “contravvenuto a precise istruzioni aziendali”.

L’Azienda ha, inoltre, affermato che, alla luce di tutti gli episodi oggetto delle predette notificazioni, “sarà attivato sull’applicativo che gestisce il dossier sanitario un disclaimer che, ogni qualvolta un operatore sanitario si accinga ad accedere alla documentazione sanitaria di un paziente che non è in carico all’Unità operativa di afferenza, gli ricorda che quell’accesso sarà tracciato e monitorato, elencando le regole essenziali che vi presiedono”.

Fonte: Garante per la Protezione dei dati