Alla vigilia di un nuovo lockdown, cresce l’allerta sui rischi sanitari e clinici derivati dalle possibili minacce legate all’ambiente che ci circonda. Eppure, i rischi maggiori non sono collegati soltanto a fattori fisici, ma possono provenire anche da ambienti digitali, con il verificarsi di episodi – sempre più frequenti- di violazioni dei dati sanitari ed incidenti informatici. Si prenda come esempio il gravissimo episodio recentemente accaduto in Germania: una paziente è deceduta alle porte di una clinica per impossibilità di ricovero causata da un attacco ransomware ai sistemi del pronto soccorso.

Eppure, occorre ricordare che chi sviluppa e utilizza i software destinati all’ambiente sanitario, ma più in generale, chi si occupa della governance di questi flussi di dati, dovrebbe predisporre misure di sicurezza tali da prevenire e minimizzare del tutto il rischio per i diritti e le libertà degli interessati, sia in caso di attacchi, che di problemi derivanti da errori “umani”

Qualche giorno fa ad essere sotto i riflettori è stata l’Azienda Ospedaliera Cardarelli di Napoli a cui il Garante nazionale ha irrogato una sanzione di 80mila euro per avere trattato in modo illecito i dati di circa 2000 aspiranti infermieri candidati ad un concorso.

Adesso invece è la volta dell’Università Campus Bio-medico di Roma a cui il Garante ha irrogato una sanzione per aver violato la riservatezza dei referti on line di alcuni utenti.

 

Bug dei sistemi informatici e violazione dei referti online

Il Campus Bio-medico di Roma, dopo aver ricevuto la segnalazione dell’incidente informatico, ha notificato all’Autorità Garante una violazione dei dati personali (art. 33 GDPR) relativamente al sistema di consultazione dei referti online.

Nell’arco temporale compreso tra il novembre 2016 e l’agosto 2019 degli utenti hanno avuto accesso ai dati relativi alla salute di alcuni pazienti (come immagini radiologiche, dati anagrafici e referti) a causa di un errore umano nella configurazione dell’integrazione di due sistemi informatici (CSAP-MyVue e il portale per i pazienti MyHospital).

Così come confermato successivamente dallo stesso Campus, a seguito del “bug” si è provveduto immediatamente all’interruzione del servizio di pubblicazione delle immagini e dei referti online e, contestualmente, è stata inviata una segnalazione al fornitore del sistema (CSAP-MyVue) che ha subito provveduto al reset del parametro dell’integrazione, al fine di impedire ulteriori accessi.

Il Campus ha voluto precisare anche che non risulta essere stato effettuato alcun download dei dati a seguito dell’intervento correttivo.

 

L’attività istruttoria condotta dal Garante

A seguito dell’attività istruttoria condotta dal Garante, è stato rilevato che la struttura ha consentito l’accesso agli utenti del portale MyVue ai dati relativi alla salute di altri utenti (ben 74), permettendo così il libero accesso a categorie particolari di dati (radiografie, referti, ecc), in assenza di un idoneo presupposto, comportando una violazione della normativa in materia di protezione dei dati.

Precisamente, la violazione riguarda il contenuto dell’art. 5 (principi di liceità, correttezza e trasparenza) e dell’art 9 del GDPR (trattamento delle categorie particolari di dati) nonché dell’art. 75 del Codice Privacy (specifiche condizioni in ambito sanitario).

A causa delle violazioni della normativa in materia di trattamento dei dati personali, il Garante ha irrogato al Campus Bio-medico una sanzione di 20mila euro secondo quanto stabilito dall’art. 83 par.5 lett a) del GDPR.