NEWS

Dati sanitari dei pazienti raccolti presso 7mila medici senza anonimizzazione: società sanzionata per violazione della privacy

Il Garante privacy ha comminato una sanzione di 15mila euro a una società per aver trattato illecitamente i dati sanitari di numerosi pazienti raccolti presso circa 7mila medici di medicina generale (Mmg), senza adottare idonee tecniche di anonimizzazione.

L’Autorità si è attivata a seguito di una segnalazione di un medico di base che lamentava una presunta violazione della disciplina privacy da parte della società, impegnata nella realizzazione di un progetto internazionale volto a migliorare le cure dei pazienti attraverso la raccolta e l’analisi di dati sanitari.

A tal fine i Mmg aderenti all’iniziativa dovevano aggiungere al gestionale in uso -denominato “Medico 2000” e fornito da un’azienda informatica partner della società – un’ulteriore funzionalità (c.d. add-on) volta ad anonimizzare automaticamente i dati dei pazienti e trasmetterli in un data base della stessa società. In cambio i medici ottenevano una serie di vantaggi, tra cui un compenso economico.

Dall’istruttoria del Garante, è emerso che le funzionalità del c.d. add-on, indicate dalla società, non consentivano l’effettiva anonimizzazione delle informazioni acquisite dai Mmg e che pertanto la società ha effettuato un trattamento illecito di dati personali pseudonimizzati in violazione dei principi di liceità e trasparenza. La mera sostituzione dell’ID attribuito ai pazienti, con un sistema di crittografia o un codice hash irreversibile – ha sottolineato l’Autorità – non costituisce, in alcuna circostanza, misura idonea rispetto al requisito della rimozione delle singolarità (single out) necessario a qualificare l’operazione di trattamento come un’anonimizzazione. Principio espresso peraltro nel parere del 2014 dell’allora Gruppo di lavoro Articolo 29, in base al quale “affidarsi semplicemente alla solidità del meccanismo di crittografia quale misura di ‘anonimizzazione’ di un insieme di dati è fuorviante, in quanto molti altri fattori tecnici e organizzativi incidono sulla sicurezza generale di un meccanismo di crittografia o di una funzione di hash”.

Tra le altre violazioni accertate dal Garante privacy, vi è e anche l’erronea attribuzione del ruolo di titolare del trattamento ai medici di base, tenuto conto che finalità e mezzi del trattamento con particolare riferimento alla definizione delle tecniche di anonimizzazione risultavano definite dalla società.

Nel provvedimento, l’Autorità ha ritenuto necessario avvertire tutti i medici che l’utilizzo dell’ add-on del gestionale “Medico 2000”, per come è configurato attualmente, integra una violazione della privacy dei pazienti.

Da parte sua, con una nota stampa inviata a Federprivacy l’azienda Thin Srl sostiene di avere agito correttamente ribadendo legittimità e anonimato dei dati sanitari raccolti nel suo database e, per tale motivo rende nota la sua intenzione di presentare ricorso all’Autorità giudiziaria contro il suddetto provvedimento. Il testo integrale della nota è pubblicato su Quotidiano Sanità.

 Fonte: Garante Privacy

Note sull'Autore

Federprivacy Federprivacy

Federprivacy è la principale associazione di riferimento in Italia dei professionisti della privacy e della protezione dei dati, iscritta presso il Ministero delle Imprese e del Made in Italy (MISE) ai sensi della Legge 4/2013. Email: [email protected] 

Prev Sanzione del Garante Privacy ad un’azienda che aveva installato un sistema di allarme con geolocalizzazione e impronte digitali dei lavoratori
Next Data Privacy Framework: i chiarimenti dei Garanti Ue sul trasferimento dati verso gli Usa

Il presidente di Federprivacy al TG1 Rai

Mappa dell'Italia Puglia Molise Campania Abruzzo Marche Lazio Umbria Basilicata Toscana Emilia Romagna Calabria

Rimani aggiornato gratuitamente con la nostra newsletter settimanale
Ho letto l'Informativa Privacy