L’Autorità Italiana per la protezione dei dati personali ha multato un’azienda sanitaria per aver rivelato inappropriatamente informazioni personali sui pazienti. Questo è successo in risposta a una lamentela fatta da una paziente che aveva richiesto un certificato di assenza dal lavoro. L’autorità ha ribadito che le certificazioni rilasciate per giustificare un’assenza dal lavoro o l’impossibilità di partecipare a un concorso non dovrebbero includere dettagli sulla struttura sanitaria che ha effettuato la prestazione medica, l’area di specializzazione del medico o qualsiasi dato che potrebbe far risalire alla salute del paziente.
Nel caso specifico, il certificato rilasciato conteneva il nome del reparto dell’azienda sanitaria che aveva erogato la prestazione, una violazione dei regolamenti sulla sicurezza e sulla minimizzazione dei dati personali. I dati personali devono essere pertinenti, appropriati e contenuti secondo le finalità per le quali vengono utilizzati.
L’Autorità ha rilevato una violazione del principio della privacy by design. L’azienda sanitaria, che gestisce i dati, non aveva previsto, fin dalla progettazione, misure tecniche e organizzative adeguate per proteggere i dati e i diritti degli interessati.
L’azienda sanitaria dovrà pagare una multa di 17.000 euro. Sebbene l’azienda abbia modificato le sue procedure e formato più accuratamente il suo personale sulla protezione dei dati a seguito dell’intervento dell’autorità, la violazione ha riguardato un elevato numero di pazienti per un lungo periodo di tempo. Nell’assegnare la multa, l’autorità ha ritenuto che l’azienda sanitaria non avesse risposto adeguatamente alla richiesta di informazioni, violando ulteriormente il Codice sulla protezione dei dati.
