Convocata a visita per screening oncologico donna già morta (provv.304 del 15/09/2022)

Abstract: La ASL di Rieti ha invitato al programma di screening del tumore del collo dell’utero rivolto una donna deceduta nel 1995. La madre ha presentato reclamo e il garante ha sanzionato la Regione Lazio poiché i dati oggetto del trattamento devono essere esatti e aggiornati e inoltre per aver rilevato inesatte le informative e i ruoli.

Keywords: #garanteprivacy #garanteprotezionedatipersonali #sanzioniprivacy #sanzionigaranteprivacy #GDPR #informativa #informativatrattamentodati #RegioneLazio #AslRieti #RI #Lazio #MassimilianoMancini #privacy #protezionedatipersonali #ethicasocietas #ethicasocietasupli #scienzeumane #scienzesociali

Il fatto illecito

Una donna ha presentato reclamo al Garante poiché ha ricevuto tramite la ASL di Rieti un invito a partecipare al programma di screening del tumore del collo dell’utero rivolto alla figlia della reclamante deceduta nel 1995.

In seguito al reclamo il garante ha chiesto informazioni alla Asl di Rieti in merito all’origine dei dati personali che sono stati utilizzati per inviare l’invito ad aderire alla campagna di screening e alle misure adottate per assicurare l’esattezza e l’aggiornamento delle informazioni relative ai propri assistiti utilizzate nell’ambito delle predette campagne di sensibilizzazione.

La Asl ha replicato sostenendo che :

la Regione Lazio stabilisce che “Il Sistema Informativo dei Programmi di screening oncologici (SIPSOweb) istituito con delibera regionale n. G02879 del 11-03-2014 è la piattaforma regionale messa a disposizione delle strutture di screening per la gestione e il monitoraggio dei percorsi organizzati” e che la stessa piattaforma “contiene già nel database tutti i parametri necessari alla generazione degli inviti” ed “è posta sotto la piena ed esclusiva titolarità della Regione Lazio che, tecnicamente, la gestisce mediante la propria controllata LazioCREA S.p.A. I coordinamenti screening di tutte le Asl del Lazio utilizzano tale piattaforma, ma non realizzano la banca dati regionale sulla base della quale operano né possono direttamente modificarla;
interrogando a sistema la scheda “dettaglio assistito” relativa alla figlia della reclamante (…) è emerso che la stessa risultava regolarmente inserita nella piattaforma regionale con “fonte aggiornamento, XX, data inserimento XX ore XX” sia per ciò che riguarda il dato anagrafico sia l’indirizzo ove spedire l’invito a screening. Per tale ragione, sulla base delle informazioni messe a disposizione di questa Asl dalla piattaforma regionale, al momento della spedizione della missiva, non apparivano elementi ostativi all’invio dell’invito, ciò anche in considerazione del fatto che la piattaforma risultava aver subito un recente aggiornamento.

A seguito della replica il Garante ha richiesto informazioni alla Regione Lazio che ha risposto sostenendo che:

la Regione Lazio con Determinazione dell’14 marzo 2014, n. G02879 (…), ha istituito il “Sistema Informativo Unico Regionale degli Screening Oncologici per i tumori della mammella, della cervice uterina e del colon retto” nel quale sono stati fatti confluire i precedenti sistemi di screening della mammella e cervice uterina (…) prevedendone la gestione unitaria tramite il software “SIPSOweb”, manutenuto e sviluppato inizialmente da Laziosalute-ASP e, a partire dal 2016, da LAZIOCrea S.p.A.;
l’attribuzione del ruolo di Responsabile del trattamento è stata confermata anche dopo l’entrata in vigore del Regolamento (UE) 2016/679 con la Deliberazione del 19 dicembre 2017, n. 891 (allegato 3), recante “CONTRATTO-QUADRO Dl SERVIZIO TRA REGIONE LAZIO E LAZIOcrea S.p.A. (…) Nell’associato “Piano Operativo Annuale LAZIOCrea Anno 2018” (allegato C alla DGR n. 891/2017) è espressamente indicato, al numero 8.29, il trattamento “GESTIONE ED EVOLUZIONE DEL SISTEMA INFORMATIVO Dl SCREENING”;
il titolare del trattamento sotteso al Sistema Informativo Unico Regionale degli Screening Oncologici per i tumori della mammella, della cervice uterina e del colon retto è la Regione Lazio, e che la società in-house LAZIOCrea opera in qualità di responsabile del trattamento, mettendo a disposizione il software SIPSOWeb;
le ASL sono abilitate esclusivamente alla visualizzazione dei dati “(…), al fine di poter procedere all’individuazione dei soggetti cui trasmettere gli inviti allo screening realizzati e limitatamente a tale profilo operano, dunque, in qualità di autorizzati ai sensi dell’art. 29 del RGPD”;
la base giuridica del trattamento è nell’art.6, par. 1, lett. e), del RGPD, nonché nell’art- 2-ter, comma 1-bis, del d.lgs. n. 196/2003.

I fatti accertati

La Regione ha giustificato il fatto sostenendo che:

non essendo stato registrato alcun accesso all’anagrafica della figlia della reclamante dal 2005 in poi , né alcuna modifica era stata apportata dal SistemaTS, l’erronea iniziale importazione nel Sistema Informativo dei dati anagrafici dell’interessata era sfuggita a entrambi i controlli,
che le pratiche soggette a errori di sincronizzazione automatizza (sincrona e asincrona) delle anagrafiche sono solo lo 0,3% dei casi totali, che possono essere comunque gestite mediante intervento manuale dell’operatore;
che aveva provveduto a variare l’anagrafica della figlia della reclamante.

L’uffficio del Garante ha accertato che la Regione Lazio:

non è riuscita a dimostrare l’adozione di sufficienti misure per assicurare l’esattezza e l’aggiornamento delle informazioni relative ai propri assistiti utilizzate nell’ambito delle predette campagne di sensibilizzazione e screening contravvenendo all’obbligo di esattezza nel trattamento dei dati;
non aveva aggiornate le proprie informative.

La sanzione

Il Garante ha dichiarato illecito il trattamento eseguito dalla Regione Lazio per la violazione degli artt. 5, par. 2, lett. a) e d), 6, 9, 12, 13, 14 e 24 del Regolamento e ha inflitto:

di pagare la somma di € 100.000,00 a titolo di sanzione amministrativa pecuniaria, entro 30 giorni dalla notifica del provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981, consentendo di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà delle sanzioni comminate;
di effettuare una corretta identificazione dei ruoli, delle finalità del trattamento e delle basi giuridiche dello stesso, provvedendo al conseguente aggiornamento documentale;
di modificare e integrare le informative per agli interessati coinvolti nelle campagne di screening regionali;
la pubblicazione del provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019.

SCARICA L’ORDINANZA INGIUNZIONE: Sanzione Regione Lazio, GarantePrivacy n.304 del 15 settembre 2022.

LE ULTIME 5 SANZIONI A CARICO DI ENTI PUBBLICI:

2.000 EURO DI SANZIONE DAL GARANTE AL COMUNE DI COLLEGNO (TO)

7.500 EURO DI SANZIONE DAL GARANTE PER LA ASL DI FROSINONE

20.000 EURO DI SANZIONE DAL GARANTE PER IL COMUNE DI ORTE (VT)

150.000 EURO DI SANZIONE DAL GARANTE PER IL COMUNE DI TARANTO

3.000 EURO DI SANZIONE DAL GARANTE PER IL COMUNE DI MONTE S.ANGELO (FG)

GLI ULTIMI 5 ARTICOLI SULLA PRIVACY DELLO STESSO AUTORE:

REGOLAMENTI COMUNALI SULLA VIDEOSORVEGLIANZA ILLEGITTIMI (E SPESSO ILLECITI)

USO ILLEGITTIMO DELLE FOTOTRAPPOLE E INAMMISSIBILITÀ DA PARTE DI AZIENDE PRIVATE

IL DIRITTO DI ACCESSO E LA TRASPARENZA NON SONO VALORI ASSOLUTI

DELLE VIOLAZIONI ALLA PRIVACY RISPONDONO I DIPENDENTI DELL’ENTE