Il Garante Italiano per la protezione dei dati personali ha sanzionato una nota società che gestisce un ospedale dell’hinterland milanese (Humanitas) per un grave incidente sui dati personali degni di particolare protezione. Durante un intervento chirurgico, un campione di tessuto biologico prelevato a una paziente e destinato al laboratorio di anatomia patologica per l’esame istologico è stato smaltito per errore, a causa di una mancata comunicazione tra chirurgo e infermiera di sala. Poiché il reperto era associato all’identità della paziente, la sua distruzione costituisce una violazione della normativa privacy.

Il materiale biologico rientra infatti nelle categorie particolari di dati personali indicati nell'art. 9 GDPR, e la sua perdita rappresenta un data breach in quanto compromette la disponibilità delle informazioni e incide sul corretto percorso di cura della persona, trattandosi di un reperto non replicabile. Il Garante ha rilevato inoltre che l’ospedale non aveva adottato specifiche cautele volte a garantire il rispetto del principio di integrità e riservatezza dei dati personali e degli obblighi di sicurezza.

Oltre alla distruzione del campione, la paziente ha segnalato anche lo smarrimento di un DVD contenente una risonanza magnetica, episodio la cui responsabilità non è stata però pienamente attribuita all’ospedale.

Considerata la gravità dell'accaduto, il Garante ha quindi inflitto una prima sanzione di 50mila euro alla società in quanto titolare del trattamento e una seconda sanzione da 20mila euro perché la società non aveva notificato il data breach all’Autorità come previsto dal Regolamento europeo ma si era limitata ad avvertire l’interessata e ad avviare la fase di follow up radiologico.

Il provvedimento richiama l’attenzione sull’importanza di formare adeguatamente il personale sanitario, rafforzare la comunicazione interna, adottare misure organizzative solide e reagire tempestivamente con azioni di remediation. Le Linee guida EDPB 01/2021 ricordano che anche la sola compromissione della disponibilità dei dati può arrecare impatti significativi sui diritti degli interessati.

‍