Con Ordinanza ingiunzione n. n. 199 del 26 maggio 2022, iI Garante Privacy ha sanzionato per 46mila euro l’Azienda sanitaria locale Roma 1, che aveva pubblicato in chiaro sul proprio sito web tutti i nominativi e i dati relativi alla salute dei soggetti che avevano fatto richiesta di accesso civico nel 2017 e 2018.
L' Autorità ha aperto l’istruttoria d'ufficio in relazione a una violazione della normativa in materia di protezione dei dati personali, derivante dalla diffusione di dati personali sul sito web istituzionale della ASL.
Nello specifico, come emerso dalla verifica preliminare effettuata dall’Ufficio, sul sito istituzionale della predetta ASL, nella sezione «Amministrazione trasparente», nell’area «Accesso civico»/«Registro degli accessi», era possibile accedere a una pagina web (https://...) in cui erano presenti due file intitolati:
1. «Registro degli accessi XX», contenente il «registro provvisorio richieste accesso agli atti» riferite a 1119 istanze, con specifica indicazione dei seguenti dati: numero di registro, data e numero di protocollo, oggetto, mittente, destinatario (url: https://...).
2. «Registro degli accessi XX», contenente il «registro provvisorio richieste accesso agli atti» riferite a 218 istanze, con specifica indicazione dei seguenti dati: numero di registro, data e numero di protocollo, oggetto, mittente, destinatario (url: https://...).
I citati documenti contenevano, nel campo oggetto e mittente, dati e informazioni personali, con specifica indicazione del nominativo del soggetto interessato o del proprio rappresentate legale, oppure di entrambi. In un numero molto rilevante di casi erano contenuti anche dati relativi alla salute dei soggetti interessati, considerando che la tipologia di atti richiesti alla ASL, nella maggior parte degli accessi, era inerente a documentazione sanitaria (fra cui cartelle cliniche, accertamenti di invalidità, test, relazioni tecniche, ecc.).
Nel campo oggetto, inoltre, si potevano frequentemente rinvenire ulteriori dettagliate descrizioni di quanto richiesto, con chiare indicazioni sempre a dati sulla salute dei soggetti interessati (solo per fare alcuni esempi, si trovava indicato a seconda dei singoli casi: «visita del XX presso la commissione di prima istanza per l’accertamento degli stati di invalidità»; «Richiesta acquisizione visione analisi tossicologiche»; «copia conforme all’originale esami clinici, visita psichiatrica e test psicodiagnostici»; «Richiesta di copia in carta semplice dei test funzioni attentive»; «[…] consegna della documentazione ecografica comprensiva di ecografie - radiografie e referti di tutti gli esami effettuati dal 2009 al 2010»; ecc.).
Per qualsiasi informazione inerente i prezzi o le modalità di effettuazione del servizio, contatta l'agente di zona oppure scrivi a info@entionline.it
o telefona allo 030/2531939.
Nella maggior parte dei casi, gli atti riguardavano la documentazione sanitaria degli interessati, fra cui cartelle cliniche, accertamenti di invalidità, test, relazioni tecniche, ecc.
La prima grave violazione rilevata dall’Autorità, che si è attivata d’ufficio, è stata quindi la diffusione dei dati sulla salute dei soggetti interessati, informazioni relative sia allo stato fisico che mentale, compresa la prestazione di servizi di assistenza sanitaria.
Nel pubblicare i Registri di accesso, la Asl ha inoltre violato il principio di “minimizzazione” dei dati, che non sono risultati limitati a quanto necessario rispetto alle finalità di trasparenza amministrativa, per le quali sono trattati, e le disposizioni della disciplina in materia di trasparenza e delle Linee guida Anac sull’accesso civico, che stabiliscono di oscurare i dati personali eventualmente presenti.
Nel determinare la sanzione, il Garante ha comunque tenuto conto di alcuni elementi attenuanti, come, in particolare, il carattere del tutto accidentale della condotta, l’assenza di segnalazioni o lamentele dei soggetti interessati, il tempestivo intervento della Asl per porre rimedio alla violazione, la collaborazione con l’Autorità e le misure tecniche e organizzative messe poi in atto a garanzia dei dati personali.