Il Garante privacy ha comminato una sanzione di 15mila euro a una società per aver trattato illecitamente i dati sanitari di numerosi pazienti provenienti da circa 7mila medici di medicina generale senza adottare, scrivono dall’Autorità, idonee tecniche di anonimizzazione.
LA VICENDA
Tutto è nato, si legge nell’atto, a seguito di una segnalazione di un medico di medicina generale che ha segnalato una presunta violazione della disciplina in materia di protezione dei dati personali da parte della società Thin Srl,, impegnata nella realizzazione di un progetto internazionale volto a migliorare le cure dei pazienti attraverso la raccolta e l’analisi di dati sanitari.
A tal fine i medici di medicina generale aderenti all’iniziativa dovevano aggiungere al gestionale in uso -denominato “Medico 2000” e fornito da un’azienda informatica partner della società – un’ulteriore funzionalità (c.d. add-on) volta ad anonimizzare automaticamente i dati dei pazienti e trasmetterli in un data base della stessa società. In cambio i medici ottenevano una serie di vantaggi, tra cui un compenso economico.
LA MANCATA ANONIMIZZAZIONE
Dall’istruttoria del Garante, è emerso che le funzionalità del c.d. add-on, indicate dalla società, non consentivano l’effettiva anonimizzazione delle informazioni acquisite dai medici di medicina generale e che pertanto la società ha effettuato un trattamento illecito di dati personali pseudonimizzati in violazione dei principi di liceità e trasparenza.
La mera sostituzione dell’ID attribuito ai pazienti, con un sistema di crittografia o un codice hash irreversibile – ha sottolineato l’Autorità – non costituisce, in alcuna circostanza, misura idonea rispetto al requisito della rimozione delle singolarità (single out) necessario a qualificare l’operazione di trattamento come un’anonimizzazione.
Principio espresso – fanno notare dall’ufficio del Garante -nel parere del 2014 dell’allora Gruppo di lavoro Articolo 29, in base al quale “affidarsi semplicemente alla solidità del meccanismo di crittografia quale misura di ‘anonimizzazione’ di un insieme di dati è fuorviante, in quanto molti altri fattori tecnici e organizzativi incidono sulla sicurezza generale di un meccanismo di crittografia o di una funzione di hash”.
LE ALTRE VIOLAZIONI
Tra le altre violazioni accertate dal Garante della privacy anche l’erronea attribuzione del ruolo di titolare del trattamento ai medici di base, “tenuto conto che finalità e mezzi del trattamento con particolare riferimento alla definizione delle tecniche di anonimizzazione risultavano definite dalla società”.
Nel provvedimento, l’Autorità ha ritenuto necessario avvertire tutti i medici che l’utilizzo dell’add-on del gestionale “Medico 2000”, per come è configurato attualmente, integra una violazione della privacy dei pazienti.
