Referti consegnati per errore ad una paziente omonima, agisce il Garante Privacy. Le misure da adottare per le strutture sanitarie 

L'Ospedale ha effettuato una comunicazione di "dati relativi alla salute" a un terzo in assenza di un idoneo presupposto giuridico. I dati relativi alla salute, definiti come "dati personali attinenti alla salute fisica o mentale di una persona fisica", godono di una protezione rafforzata. La loro comunicazione a terzi è consentita solo con il consenso esplicito dell'interessato, una sua delega scritta o un'altra base giuridica prevista dalla legge, elementi assenti nel caso di specie.

L’Ospedale è incorso in una violazione del principio di integrità e riservatezza. Tale principio impone che i dati personali siano "trattati in maniera da garantire un’adeguata sicurezza (...), compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali".

L’Ospedale è incorso in una violazione del GDPR. Il titolare del trattamento è obbligato a mettere in atto "misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio".

• La natura isolata dell'episodio.
• L'assenza di dolo e la riconducibilità a una colpa lieve, considerata la concomitanza di fattori (omonimia, malfunzionamento tecnico).
• L'elevata collaborazione dimostrata dal titolare durante l'istruttoria.
• L'assenza di precedenti violazioni pertinenti a carico dell'Ospedale. 

Rafforzare le Procedure di Identificazione del Paziente: 

Verifica Multi-Fattore: La consegna di qualsiasi documento sanitario non deve basarsi su un solo dato (es. il cognome). È imperativo implementare una procedura di verifica che richieda almeno due identificatori univoci. Oltre al nome e cognome, si dovrebbero sempre verificare la data di nascita completa e, se disponibile, il codice fiscale o un numero identificativo del paziente.

Documento di Identità: Per la consegna di referti cartacei, specialmente se contenenti dati sensibili, la procedura dovrebbe prevedere la richiesta di esibizione di un documento di identità valido.

Procedure per Omonimia: Le organizzazioni devono predisporre procedure specifiche per la gestione dei casi di omonimia. Quando il sistema rileva pazienti con dati anagrafici simili, dovrebbe attivare un alert per l'operatore, imponendo un controllo supplementare e più rigoroso prima di procedere.

Progettare Sistemi e Procedure a Prova di Errore (Privacy by Design):

Interfacce Utente Chiare: I software gestionali devono essere progettati per minimizzare il rischio di errore. Ad esempio, nella schermata di selezione del paziente, i dati identificativi completi (nome, cognome, data di nascita, codice fiscale) devono essere sempre ben visibili. L'uso di colori o icone per segnalare omonimie può essere un'efficace misura aggiuntiva.

Procedure di Emergenza Sicure: La "procedura organizzativa straordinaria" adottata dall'Ospedale si è rivelata un punto debole. Le procedure di contingenza, da attivare in caso di malfunzionamenti, devono essere progettate, testate e formalizzate con la stessa attenzione alla sicurezza dei dati delle procedure standard. Non possono rappresentare una scorciatoia che abbassa il livello di protezione.

Formazione e Sensibilizzazione del Personale: 

Formazione Continua: Non è sufficiente una comunicazione una tantum. Il personale autorizzato al trattamento dei dati sanitari deve ricevere una formazione periodica, specifica e pratica. Tale formazione deve includere simulazioni di casi critici, come la gestione di pazienti omonimi, e ribadire l'importanza di seguire scrupolosamente le procedure di verifica, anche in situazioni di stress o sovraccarico di lavoro.

Responsabilizzazione: Il personale deve essere consapevole che, sebbene l'errore umano sia possibile, la responsabilità ultima della protezione dei dati ricade sul titolare del trattamento, il quale ha il dovere di fornire strumenti e procedure idonee a prevenire tali errori.

Adozione di Misure Tecniche e Organizzative ex art. 32 GDPR: 

Audit e Test Regolari: Le procedure e i sistemi informatici devono essere sottoposti a verifiche e test regolari per valutarne l'efficacia e identificare eventuali vulnerabilità.

Tracciabilità degli Accessi (Logging): I sistemi devono registrare tutti gli accessi ai dati e le operazioni effettuate, in modo da poter ricostruire gli eventi in caso di incidente e individuare eventuali anomalie.

Gestione dei Fornitori: Se i software sono forniti da terzi, il titolare deve assicurarsi che il fornitore (responsabile del trattamento) presenti garanzie sufficienti e che il contratto stipulato definisca chiaramente gli obblighi in materia di sicurezza.