I certificati per l’assenza da lavoro non devono riportare le indicazioni della struttura presso la quale è stata erogata la prestazione sanitaria.
A decretarlo è stato in queste ore il Garante per la Privacy che ha ribadito le disposizioni. L’Autorità nazionale ha inoltre sanzionato per ben 17mila euro un’Azienda sanitaria territoriale. Una vicenda complessa che però fa finalmente chiarezza su alcuni punti oscuri della normativa.
Cosa afferma il provvedimento del Garante? In sostanza, le certificazioni che attestano la presenza in ospedale, per giustificare un’assenza dal lavoro o l’impossibilità di partecipare ad un concorso, non devono riportare le indicazioni della struttura presso la quale è stata erogata la prestazione sanitaria, il timbro con la specializzazione del medico, o informazioni che possano far risalire allo stato di salute.
L’Autorità per la protezione dei dati personali, presieduta da Pasquale Stanzione, è stata costretta ad intervenire. L’occasione è stata data dal reclamo di una paziente. Quest’ultimo aveva chiesto alla struttura sanitaria un certificato per assenza dal lavoro. Il certificato rilasciato riportava l’indicazione del reparto che aveva erogato la prestazione sanitaria. In tal modo erano stati violati gli obblighi in materia di sicurezza e il principio di minimizzazione dei dati personali.
L’Autorità ha accertato la violazione del principio di privacy by design
I dati trattati, infatti, devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Inoltre l’Autorità ha accertato la violazione del principio di privacy by design in quanto l’Azienda, titolare del trattamento, ha omesso di mettere in atto, fin dalla progettazione, misure tecniche ed organizzative adeguate, volte ad attuare in modo efficace i principi di protezione dei dati e a tutelare i diritti degli interessati.
L’Azienda sanitaria dovrà quindi pagare una sanzione di 17mila euro perché, pur avendo, a seguito dell’intervento del Garante, modificato i moduli e effettuato una specifica formazione del personale in materia di protezione dei dati personali, la violazione ha riguardato un numero di pazienti potenzialmente elevato per un lungo periodo. Nel definire la sanzione l’Autorità ha inoltre considerato che l’Azienda non ha fornito riscontro alla richiesta di informazioni del Garante, commettendo un’ulteriore violazione del Codice. L’Autorità nazionale per la protezione dei dati personali ha cercato così di chiarire un quadro troppe volte rimasto a tinte fosche.
