Le cartelle cliniche conservate su carta hanno portato a una sanzione da 645.000 euro per l’Health Service Executive, il servizio sanitario pubblico irlandese. La Data Protection Commission ha contestato all’ente una serie di violazioni del GDPR dopo aver esaminato il modo in cui documenti contenenti dati sanitari venivano custoditi in strutture esterne. L’indagine era partita da due accessi abusivi segnalati nel 2023 e ha poi allargato il proprio raggio, facendo emergere problemi nella sicurezza degli archivi e nella durata della conservazione. Il caso riguarda informazioni mediche particolarmente sensibili e mette al centro un aspetto spesso associato quasi esclusivamente ai sistemi informatici: le regole europee sulla protezione dei dati possono applicarsi anche a documenti fisici inseriti in archivi organizzati.
Il GDPR copre anche gli archivi cartacei
Il supporto utilizzato per conservare un dato personale cambia le misure concrete necessarie a proteggerlo, mentre l’ambito del GDPR comprende anche determinati trattamenti effettuati senza strumenti automatizzati. Quando i dati cartacei fanno parte di un archivio strutturato, oppure sono destinati a entrarvi, la loro gestione può rientrare nel perimetro del Regolamento europeo. Una cartella clinica conservata in un deposito resta quindi un insieme di informazioni personali soggetto a regole sulla sicurezza e sulla durata della conservazione.
La distinzione ha conseguenze pratiche anche fuori dal settore sanitario. Molte organizzazioni lavorano con sistemi digitali e continuano contemporaneamente a conservare fascicoli del personale, contratti firmati, moduli dei clienti e documentazione amministrativa su carta. Il GDPR richiede che il trattamento dei dati sia organizzato in funzione del rischio e della finalità, con misure adeguate al contesto concreto. Nel caso esaminato in Irlanda, la DPC ha concentrato l’attenzione proprio sulle condizioni materiali degli archivi, sulla capacità dell’HSE di sapere dove fossero custoditi i documenti e sul periodo durante il quale le informazioni personali continuavano a essere mantenute. La sicurezza del trattamento, in questo scenario, riguarda serrature e locali idonei quanto i processi organizzativi utilizzati per registrare i fascicoli, controllarne gli spostamenti, stabilirne i tempi di conservazione e procedere alla distruzione sicura quando viene meno la ragione per mantenerli.
Come sono emerse le violazioni dell’HSE
L’inchiesta della Data Protection Commission è iniziata il 24 maggio 2024 in seguito a due data breach notificati dall’HSE nei mesi precedenti. Il primo episodio riguardava l’ex St Loman’s Hospital di Mullingar, nella contea di Westmeath, dove persone prive di autorizzazione avevano avuto accesso a documenti cartacei conservati nell’edificio. Un secondo episodio aveva interessato il New Building dell’ex St Conal’s Hospital di Letterkenny, nella contea di Donegal. Anche in quel caso erano presenti cartelle mediche. Filmati caricati sui social media dagli intrusi avevano mostrato la documentazione sanitaria custodita nelle strutture. Nell’aprile 2024 l’HSE aveva inoltre comunicato alla DPC di aver appreso, sempre attraverso contenuti circolati sui social, di un altro accesso al seminterrato di St Loman’s, dove si trovavano ulteriori fascicoli indicati come vecchie cartelle relative alla salute mentale.
La DPC ha quindi esteso gli accertamenti oltre gli edifici da cui erano partite le segnalazioni. Gli ispettori autorizzati hanno effettuato controlli in 12 strutture utilizzate dall’HSE per capire se le criticità riguardassero episodi isolati oppure il sistema adottato per conservare i documenti cartacei.
Le condizioni descritte dall’autorità erano molto diverse da quelle richieste per un archivio contenente informazioni sanitarie. Durante le ispezioni sono stati individuati documenti deteriorati dalla muffa o dall’acqua, fascicoli contaminati da escrementi animali e materiale coperto da detriti. In alcuni locali il disordine rendeva difficile considerare le cartelle organizzate e facilmente reperibili. La documentazione era stata trovata anche in bagni dismessi e cubicoli fuori uso. Altri fascicoli erano custoditi in un container collocato in un deposito per la torba oppure in stanze prive di illuminazione o riscaldamento funzionanti. La DPC ha segnalato inoltre la presenza di documenti in edifici abbandonati. Secondo l’autorità, la conservazione prolungata in condizioni inadeguate esponeva le informazioni mediche al rischio di accessi da parte di terzi e poteva compromettere la stessa disponibilità delle cartelle quando necessarie per cure mediche o esigenze previste dalla legge.
Le sanzioni GDPR e gli ordini correttivi
La decisione della DPC ha individuato diverse violazioni del Regolamento europeo. L’Health Service Executive ha violato il principio di integrità e riservatezza previsto dall’articolo 5, paragrafo 1, lettera f, insieme agli obblighi sulla sicurezza del trattamento stabiliti dall’articolo 32. L’autorità ha ritenuto inadeguate le misure adottate per proteggere i dati contenuti nei documenti e ha rilevato carenze nei processi di gestione degli archivi. Un’altra contestazione riguarda il principio di limitazione della conservazione previsto dall’articolo 5, paragrafo 1, lettera e, perché alcuni dati personali erano rimasti conservati per un periodo superiore a quello necessario. La DPC ha inoltre accertato violazioni dell’articolo 33 sugli obblighi di notifica dei data breach all’autorità e dell’articolo 34 sulla comunicazione delle violazioni alle persone interessate. La componente economica del provvedimento ammonta complessivamente a 645.000 euro: 300.000 euro riguardano sicurezza, integrità e riservatezza, altri 300.000 euro derivano dalla violazione della limitazione della conservazione. Ulteriori 30.000 euro sono collegati alle carenze nelle notifiche alla DPC, mentre 15.000 euro riguardano le comunicazioni agli interessati. Nel calcolo la Commissione ha considerato come aggravante precedenti violazioni dell’HSE legate alla sicurezza di cartelle sanitarie cartacee e alla perdita di controllo sui dati personali contenuti al loro interno.
Alla multa si aggiungono un richiamo formale e diversi ordini correttivi. L’HSE dovrà sottoporre a verifica le strutture utilizzate per conservare i fascicoli cartacei, introdurre un sistema capace di registrarne e tracciarne la posizione, trasferire i documenti presenti in depositi inadatti e procedere alla distruzione sicura delle cartelle che hanno superato il periodo necessario di conservazione. La DPC ha inoltre richiesto controlli periodici sull’applicazione delle politiche interne e sulle condizioni dei luoghi destinati agli archivi. La decisione completa sarà pubblicata successivamente dall’autorità irlandese.
