Oggetto della sentenza è il ristoro del danno patrimoniale subito dall’Azienda Sanitaria dell’Alto Adige a seguito della sanzione irrogata dal Garante per la protezione dei dati personali.
Con provvedimento n. 97 del 22 febbraio 2024 è stato disposto, a carico della Azienda dell’Alto Adige, il pagamento della sanzione amministrativa di euro 75.000,00 per l’illecito trattamento di dati (nella specie plurimi accessi non autorizzati al dossier sanitario elettronico) accertato nell’ambito di distinti procedimenti istruttori successivamente riuniti.
In particolare, soggetti formalmente abilitati al trattamento — medici e operatori sanitari — avevano consultato dati relativi a pazienti estranei ai rispettivi percorsi di cura, mediante un sistema di abilitazione fondato su autodichiarazioni e privo di adeguati presidi di controllo automatico e di strumenti di rilevazione degli accessi anomali. La Corte evidenzia, in particolare, la frattura tra il piano formale della compliance e quello sostanziale dell’implementazione tecnica, rilevando come l’apparato di misure predisposto si esaurisse in una dimensione prevalentemente documentale e organizzativa, priva di effettiva incidenza sul funzionamento del sistema informativo. Emblematico, in tal senso, è il quadro ricostruito dalla Corte, caratterizzato da una stratificazione di atti, report, consulenze, regolamenti, audit e sollecitazioni operative, cui non ha tuttavia fatto riscontro l’implementazione di strumenti effettivi di controllo, quali sistemi automatizzati di alerting e meccanismi evoluti di audit log, con conseguente compromissione del livello di sicurezza del trattamento.
Gli accessi illeciti sarebbero stati resi possibili dall’omessa adozione di misure correttive a seguito delle segnalazioni effettuate dalla Cabina di regia privacy. Quest’ultimo incombente gravava sulla Direzione Informatica, la quale, era quanto meno tenuta a disporre l’esecuzione delle modifiche, così fornendo l’impulso necessario alla corretta configurazione del sistema.
La Corte dei conti, esercitando la prerogativa del potere riduttivo, condanna la Direzione Informatica al risarcimento del danno, ravvisando la sussistenza di un’omissione causalmente rilevante.
Dott. Mag. Donadio Eleonora M., Legal Consultant APSILEF, Resp. APSILEF Emilia-Romagna