GDPR: certe volte le sanzioni sono davvero pesanti

In un interessante articolo pubblicato dagli Avv. Lenzi e Collini dello Studio Stefanelli, vengono riportate le principali sanzioni del Garante in tema di GDPR alle strutture sanitarie.

Molte di queste informazioni sono utili anche a chi, come noi, gestisce uno studio odontoiatrico, indipendentemente dalla sua forma giuridica.

Si tratta di comunicazione illecita di dati sanitari, per la quale si arriva a sanzioni fino 100.000 euro. Un importo che difficilmente sarebbe compatibile cona la sopravvivenza stessa di quasi tutte le attività odontoiatriche comuni.

Di seguito un estratto delle sanzioni riportate:

• Provvedimento n. 47 del 10 febbraio 2022: Referto comunicato al paziente sbagliato a causa di un errore umano. Sanzione: € 3.500.
• Provvedimento n. 85 del 10 marzo 2022: Errore nell’invio della cartella clinica a due pazienti, inviando due copie della stessa cartella al paziente sbagliato. Sanzione: € 10.000.
• Provvedimento n. 84 del 10 marzo 2022: Comunicazione di dati sanitari ad un soggetto diverso dal paziente. Sanzione: € 1.000.
• Provvedimento n. 100 del 24 marzo 2022: Invio errato di referto e CD, senza controllo accurato. Risultato: Ammonimento.
• Provvedimento n. 164 del 28 aprile 2022: Newsletter con indirizzi email visibili a tutti (cc anziché ccn). Sanzione: € 70.000.
• Provvedimento n. 176 del 12 maggio 2022: Consegna del supporto digitale con dati di un altro paziente. Sanzione: € 7.000.
• Provvedimento n. 242 del 7 luglio 2022: Newsletter con indirizzi email visibili a tutti (cc anziché ccn) da una società di dispositivi medici. Sanzione: € 45.000.
• Provvedimento n. 344 del 6 ottobre 2022: Referto trasmesso al paziente sbagliato. Sanzione: € 7.000.
• Provvedimento n. 345 del 20 ottobre 2022: Referto trasmesso al paziente sbagliato, sanzione anche al titolare del trattamento. Sanzione: € 9.000.
• Provvedimento n. 320 del 6 ottobre 2022: Comunicazione elenchi personale sanitario non vaccinato. Sanzione: € 100.000.
• Provvedimento n. 336 del 20 ottobre 2022: Comunicazione dati personali di salute senza base giuridica adeguata tramite app. Sanzione: € 5.000.
• Provvedimento n. 385 del 24 novembre 2022: Illecita comunicazione di dati sanitari del medico. Sanzione: € 3.000.
• Provvedimento n. 388 del 24 novembre 2022: Comunicazione dati sanitari ad un soggetto diverso dal paziente da parte di una palestra. Sanzione: € 4.000.
• Provvedimento n. 403 del 1° dicembre 2022: Invio di documenti sanitari senza autorizzazione del paziente. Risultato: Ammonimento.

Non possiamo fare altro che riproporre il monito degli avvocati autori dell’articolo: gestire il tema della GDPR è difficile e rischioso, oltreché obbligatorio.

Per farlo in modo adeguato è necessario predisporre processi e protocolli, avere consulenti adeguati e allocare risorse economiche e strumentali adeguate.

Quanti di questi errori riscontriamo comunemente nelle attività quotidiane?