Il Garante privacy ha comminato una sanzione di 15mila euro
a una società per aver trattato illecitamente i dati sanitari di numerosi
pazienti raccolti presso circa 7mila medici di medicina generale, senza
adottare idonee tecniche di anonimizzazione.
L’Autorità si è attivata a seguito di una segnalazione di un
medico di base che lamentava una presunta violazione della disciplina privacy
da parte della società, impegnata nella realizzazione di un progetto
internazionale volto a migliorare le cure dei pazienti attraverso la raccolta e
l’analisi di dati sanitari.
A tal fine i medici aderenti all’iniziativa dovevano aggiungere al
gestionale in uso - denominato “Medico 2000” e fornito da un’azienda
informatica partner della società – un’ulteriore funzionalità volta ad
anonimizzare automaticamente i dati dei pazienti e trasmetterli in un data base
della stessa società.
In cambio i medici ottenevano una serie di vantaggi, tra cui
un compenso economico.
Dall’istruttoria del Garante, è emerso che le funzionalità indicate
dalla società, non consentivano l’effettiva anonimizzazione delle informazioni
acquisite dai sanitari e che pertanto la società ha effettuato un trattamento
illecito di dati personali pseudonimizzati in violazione dei principi di
liceità e trasparenza.
La mera sostituzione dell’ID attribuito ai pazienti, con un
sistema di crittografia o un codice irreversibile – ha sottolineato l’Autorità
– non costituisce, in alcuna circostanza, misura idonea rispetto al requisito
della rimozione delle singolarità (single out) necessario a qualificare
l’operazione di trattamento come un’anonimizzazione. Principio espresso
peraltro nel parere del 2014 dell’allora Gruppo di lavoro Articolo 29, in base
al quale “affidarsi semplicemente alla solidità del meccanismo di crittografia
quale misura di ‘anonimizzazione’ di un insieme di dati è fuorviante, in quanto
molti altri fattori tecnici e organizzativi incidono sulla sicurezza generale
di un meccanismo di crittografia o di una funzione”.
Tra le altre violazioni accertate dal Garante privacy, vi è
e anche l’erronea attribuzione del ruolo di titolare del trattamento ai medici
di base, tenuto conto che finalità e mezzi del trattamento con particolare
riferimento alla definizione delle tecniche di anonimizzazione risultavano
definite dalla società.
Nel provvedimento, l’Autorità ha ritenuto necessario
avvertire tutti i medici che l’utilizzo del gestionale “Medico 2000”, per come
è configurato attualmente, integra una violazione della privacy dei pazienti.
Commenti