I certificati medici per giustificare un’assenza dal lavoro o l’impossibilità di partecipare ad un concorso non devono riportare dati sensibili che possano rivelare lo stato di salute dell’interessato. È quanto ribadito dal Garante per la protezione dei dati personali, che ha sanzionato un’Azienda Sanitaria Territoriale con una multa di 17.000 euro per non aver rispettato le normative sulla privacy.
Certificati medici: limitare i dati ai soli elementi essenziali
Secondo il Garante, i certificati medici non possono contenere informazioni come il nome della struttura sanitaria, il timbro che indica la specializzazione del medico o altri dettagli che potrebbero far risalire alle condizioni di salute del paziente. Questo principio rientra nel principio di minimizzazione dei dati personali, che impone di raccogliere e trattare solo le informazioni strettamente necessarie alla finalità dichiarata, in questo caso giustificare l’assenza dal lavoro.
La vicenda che ha portato alla sanzione riguarda il reclamo di una paziente a cui era stato rilasciato un certificato contenente il nome del reparto sanitario. Questo elemento violava il diritto alla riservatezza e le normative di sicurezza previste dal Regolamento Generale sulla Protezione dei Dati (GDPR).
La sanzione e le violazioni accertate
L’Azienda Sanitaria sanzionata non solo ha rilasciato certificati che violavano il principio di minimizzazione, ma ha anche trascurato il principio di privacy by design. Questo principio prevede che le organizzazioni adottino, sin dalla fase di progettazione, misure tecniche e organizzative adeguate a garantire la protezione dei dati personali.
Nonostante l’intervento del Garante, che ha portato l’Azienda a modificare i moduli e a formare il personale sulla protezione dei dati, la violazione ha coinvolto un numero potenzialmente elevato di pazienti per un lungo periodo. Inoltre, l’Azienda non ha fornito una risposta completa alla richiesta di informazioni del Garante, configurando un’ulteriore violazione del Codice della privacy.
Implicazioni per le strutture sanitarie
Questo caso rappresenta un monito per tutte le organizzazioni sanitarie, sottolineando l’importanza di rispettare le normative sulla protezione dei dati personali. Le strutture devono garantire che i certificati medici contengano solo i dati essenziali e implementare misure tecniche e organizzative adeguate per prevenire violazioni. In caso contrario, possono incorrere in sanzioni significative.
La conformità al GDPR
Il provvedimento del Garante evidenzia la necessità di maggiore attenzione nella gestione dei certificati medici, affinché siano conformi al GDPR e rispettino i diritti degli interessati. Le strutture sanitarie devono adottare protocolli chiari e formare adeguatamente il personale per garantire la protezione dei dati personali e ridurre il rischio di sanzioni.