Garante privacy dati sanitari dei pazienti: sanzionata la società per violazione della privacy

 Il Garante privacy ha comminato una sanzione di 15mila euro a una società per aver trattato illecitamente i dati sanitari di numerosi pazienti raccolti presso circa 7mila medici di medicina generale, senza adottare idonee tecniche di anonimizzazione.

 L’Autorità si è attivata a seguito di una segnalazione di un medico di base che lamentava una presunta violazione della disciplina privacy da parte della società, impegnata nella realizzazione di un progetto internazionale volto a migliorare le cure dei pazienti attraverso la raccolta e l’analisi di dati sanitari.

 A tal fine i medici aderenti  all’iniziativa dovevano aggiungere al gestionale in uso - denominato “Medico 2000” e fornito da un’azienda informatica partner della società – un’ulteriore funzionalità volta ad anonimizzare automaticamente i dati dei pazienti e trasmetterli in un data base della stessa società.



In cambio i medici ottenevano una serie di vantaggi, tra cui un compenso economico.

Dall’istruttoria del Garante, è emerso che le funzionalità indicate dalla società, non consentivano l’effettiva anonimizzazione delle informazioni acquisite dai sanitari e che pertanto la società ha effettuato un trattamento illecito di dati personali pseudonimizzati in violazione dei principi di liceità e trasparenza.

 La mera sostituzione dell’ID attribuito ai pazienti, con un sistema di crittografia o un codice irreversibile – ha sottolineato l’Autorità – non costituisce, in alcuna circostanza, misura idonea rispetto al requisito della rimozione delle singolarità (single out) necessario a qualificare l’operazione di trattamento come un’anonimizzazione. Principio espresso peraltro nel parere del 2014 dell’allora Gruppo di lavoro Articolo 29, in base al quale “affidarsi semplicemente alla solidità del meccanismo di crittografia quale misura di ‘anonimizzazione’ di un insieme di dati è fuorviante, in quanto molti altri fattori tecnici e organizzativi incidono sulla sicurezza generale di un meccanismo di crittografia o di una funzione”.

 Tra le altre violazioni accertate dal Garante privacy, vi è e anche l’erronea attribuzione del ruolo di titolare del trattamento ai medici di base, tenuto conto che finalità e mezzi del trattamento con particolare riferimento alla definizione delle tecniche di anonimizzazione risultavano definite dalla società.

 Nel provvedimento, l’Autorità ha ritenuto necessario avvertire tutti i medici che l’utilizzo del gestionale “Medico 2000”, per come è configurato attualmente, integra una violazione della privacy dei pazienti.

Commenti

Post popolari in questo blog

E’ mancato Adalberto Lucca ex Direttore dell’Automobile Club di Genova

Il 30 giugno appuntamento con il raduno “Rocchetta Auto-Historic 2024”

La grande festa per i 120 anni di AC Genova