Nel documento rilasciato dalla struttura sanitaria erano presenti informazioni specifiche sul reparto medico che aveva fornito la prestazione, in violazione degli obblighi di sicurezza e del principio di minimizzazione dei dati personali
Le certificazioni utilizzate per giustificare assenze dal lavoro o l’impossibilità di partecipare a concorsi pubblici non devono contenere informazioni relative alla struttura sanitaria che ha erogato la prestazione, il timbro che specifica la specializzazione del medico, né altri dettagli che possano rivelare lo stato di salute della persona interessata.
Questo importante principio è stato riaffermato dal Garante per la protezione dei dati personali, che ha recentemente sanzionato un’Azienda Sanitaria Territoriale con una multa di 17mila euro.
L’intervento del Garante è scaturito dal reclamo di una paziente, la quale aveva richiesto un certificato per giustificare un’assenza lavorativa. Nel documento rilasciato dalla struttura sanitaria erano presenti informazioni specifiche sul reparto medico che aveva fornito la prestazione, in violazione degli obblighi di sicurezza e del principio di minimizzazione dei dati personali.
I dati personali trattati, infatti, devono essere strettamente pertinenti e limitati alle finalità per cui vengono raccolti. Fornire dettagli non necessari, come la tipologia del reparto o la specializzazione del medico, costituisce una violazione di questo principio.
Oltre a ciò, il Garante ha accertato un’ulteriore mancanza: l’Azienda sanitaria non ha rispettato il principio di “privacy by design”. Questo principio impone al titolare del trattamento dei dati di adottare, sin dalla fase di progettazione dei processi, misure tecniche e organizzative adeguate per garantire la protezione dei dati personali e la tutela dei diritti degli interessati.
Nonostante l’Azienda sanitaria abbia successivamente modificato i moduli utilizzati e organizzato una formazione specifica per il personale in materia di protezione dei dati, il Garante ha ritenuto la violazione particolarmente grave, poiché ha potenzialmente coinvolto un elevato numero di pazienti per un periodo prolungato.
Nella determinazione dell’entità della sanzione, il Garante ha inoltre considerato il fatto che l’Azienda sanitaria non aveva risposto alla richiesta di informazioni dell’Autorità, incorrendo così in un’ulteriore violazione del Codice in materia di protezione dei dati personali.
Questo caso sottolinea l’importanza di un trattamento dei dati personali conforme ai principi di sicurezza e riservatezza, al fine di garantire il rispetto della dignità e dei diritti delle persone.
Cosa si intende per principio di minimizzazione dei dati?
Il principio di minimizzazione dei dati, sancito dal GDPR, richiede che i dati personali raccolti siano adeguati, pertinenti e limitati a ciò che è strettamente necessario per raggiungere le finalità specifiche del trattamento. In altre parole, non si devono raccogliere né trattare informazioni superflue o non essenziali rispetto allo scopo per cui vengono utilizzate.
Che cosa significa “Privacy by Design”?
“Privacy by Design” è un principio del GDPR che impone di integrare la protezione dei dati personali fin dalla progettazione di processi, sistemi o servizi. Ciò significa che le misure per garantire la sicurezza e la riservatezza dei dati devono essere pianificate e implementate fin dall’inizio, piuttosto che essere aggiunte successivamente. Questo approccio proattivo mira a prevenire violazioni della privacy.
Cosa prevede il principio di “Privacy by Default”?
Il principio di “Privacy by Default” stabilisce che i sistemi e i servizi debbano essere configurati in modo predefinito per raccogliere e trattare solo i dati strettamente necessari per ciascuna finalità specifica. Inoltre, i dati devono essere accessibili solo a coloro che ne hanno bisogno per scopi legittimi, evitando configurazioni di default che espongano eccessivamente le informazioni personali.
Qual è la differenza tra Privacy by Design e Privacy by Default?
La differenza principale risiede nel momento e nell’approccio: la Privacy by Design riguarda l’integrazione delle protezioni per i dati fin dalla fase di progettazione di un processo o sistema, mentre la Privacy by Default si concentra sulle impostazioni predefinite che limitano il trattamento dei dati a quanto strettamente necessario, garantendo maggiore sicurezza per l’utente.
Perché il principio di minimizzazione dei dati è importante?
Il principio di minimizzazione è fondamentale per ridurre il rischio di abuso, perdita o violazione dei dati personali. Limitare la raccolta e l’uso dei dati essenziali non solo tutela la privacy degli interessati, ma aiuta anche le organizzazioni a conformarsi alle normative e a gestire in modo più efficiente i dati trattati.
Quali sono le conseguenze per chi non rispetta questi principi del GDPR?
Il mancato rispetto dei principi di minimizzazione, Privacy by Design e Privacy by Default può comportare sanzioni amministrative significative, come multe elevate, e compromettere la reputazione dell’organizzazione. Inoltre, i soggetti interessati potrebbero richiedere risarcimenti per eventuali danni subiti a causa della violazione della privacy.
_____________________
L’articolo integrale apparso sulla NEWSLETTER del Garante della Privacy
Certificati per l’assenza dal lavoro, Garante: no ai dati sulla salute
Le certificazioni che attestano la presenza in Ospedale, per giustificare un’assenza dal lavoro o l’impossibilità di partecipare ad un concorso, non devono riportare le indicazioni della struttura presso la quale è stata erogata la prestazione sanitaria, il timbro con la specializzazione del medico, o informazioni che possano far risalire allo stato di salute.
È quanto ha ribadito il Garante sanzionando per 17mila euro un’Azienda Sanitaria Territoriale.
L’Autorità è intervenuta a seguito del reclamo di una paziente che aveva chiesto alla struttura sanitaria un certificato per assenza dal lavoro.
Il certificato rilasciato riportava l’indicazione del reparto che aveva erogato la prestazione sanitaria, violando gli obblighi in materia di sicurezza e il principio di minimizzazione dei dati personali.
I dati trattati, infatti, devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
Inoltre l’Autorità ha accertato la violazione del principio di privacy by design in quanto l’Azienda, titolare del trattamento, ha omesso di mettere in atto, fin dalla progettazione, misure tecniche ed organizzative adeguate, volte ad attuare in modo efficace i principi di protezione dei dati e a tutelare i diritti degli interessati.
L’Azienda sanitaria dovrà quindi pagare una sanzione di 17mila euro perché, pur avendo, a seguito dell’intervento del Garante, modificato i moduli e effettuato una specifica formazione del personale in materia di protezione dei dati personali, la violazione ha riguardato un numero di pazienti potenzialmente elevato per un lungo periodo. Nel definire la sanzione l’Autorità ha inoltre considerato che l’Azienda non ha fornito riscontro alla richiesta di informazioni del Garante, commettendo un’ulteriore violazione del Codice.
Fonte: Garante della Privacy
