Mancata anonimizzazione dei dati dei pazienti
1 Ottobre 2024
Un’azienda informatica francese, la Cegedim Santè, ha ricevuto 800.000€ di sanzione da parte della CNIL, l’autorità garante francese.
A cosa si deve tale ammontare?
La suddetta azienda opera nel settore sanitario vendendo software gestionali per la sanità, dunque gestione dell’agenda, delle cartelle cliniche dei pazienti nonché delle loro prescrizioni.
La motivazione che ha portato il CNIL, dopo diversi controlli iniziati nel 2021, a comminare tale sanzione, sta nella mancanza di anonimizzazione dei dati dei pazienti.
Gli stessi dati, infatti, erano soltanto pseudonimizzati. Si tratta di un processo di codifica del dato; processo reversibile che permette, in aggiunta ad altre informazioni, di risalire al dato originario identificando l’interessato.
Dunque la società informatica ha utilizzato una moltitudine di dati non anonimizzati ed eventualmente anche inviati ai propri clienti per finalità di studio e statistiche.
Di che tipologia di dati parliamo? Di dati personali comuni, quali dati di contatto, dati anagrafici, ma anche dati personali particolari ex art. 9 GDPR quali allergie, sesso, anamnesi, dunque dati sanitari.
La situazione di Cegedim peggiora ulteriormente quando questi dati vengono collegati ad un identificativo univoco per il singolo paziente permettendo la combinazione dei dati detenuti dalla società con dati raccolti anche da terzi.
Un’altra violazione del Regolamento deriva dall’utilizzo del teleservizio HRi, con il quale è possibile visualizzare lo storico dei rimborsi sanitari effettuati dall’assicurazione. Pare che un medico membro dell’ “osservatorio” fondato dalla Cegedim abbia consultato tale archivio e che inevitabilmente avrebbe permesso il caricamento dei dati nella scheda informatica del paziente corrispondente. Di conseguenza anche la Cegedim aveva accesso a questi dati, svolgendo così un trattamento illecito.
Conclusione
Per i motivi sopraelencati la CNIL ha deciso per la salata sanzione.
