Une autorité sanitaire est sanctionnée pour l'absence de désignation formelle du personnel, d'instructions documentées et de formation spécifique au sein d'un service hospitalier, illustrant que des politiques générales au niveau de l'entité ne suffisent pas à démontrer la conformité opérationnelle.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de l'autorité sanitaire locale de Lecce (ASL Lecce) (comprenant le prononcé d'une amende de 4 500 €) pour des manquements en lien avec la désignation du personnel, les instructions et les mesures de sécurité.

L'affaire trouve son origine dans un signalement des Carabiniers pour la protection de la santé, qui a révélé une absence de procédures formalisées pour la protection des données des patients au sein du service d'urologie d'un hôpital.

Motifs de la décision

• Obligation de traiter les données uniquement sur instruction du responsable du traitement (article 29 du RGPD) : L'autorité a constaté que le personnel du service d'urologie n'avait pas été formellement désigné comme personne autorisée au traitement des données. L'entité a affirmé avoir donné des instructions orales, mais n'a fourni aucune documentation pour le prouver. L'autorité a rappelé, en se référant aux Lignes directrices 07/2020 du Comité Européen de la Protection des Données (CEPD), que les instructions doivent être documentées pour être vérifiables. L'absence de désignation formelle et d'instructions écrites constitue donc une violation.
• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'enquête a mis en évidence des mesures de sécurité physique inadéquates. Les dossiers médicaux des patients étaient conservés dans un chariot équipé d'une serrure, mais celui-ci restait constamment ouvert pour des raisons de commodité. De plus, la porte de l'infirmerie où se trouvait le chariot n'était pas verrouillée lorsque le personnel s'absentait. Ces pratiques ont été jugées comme une incapacité à mettre en œuvre des mesures organisationnelles appropriées pour garantir la confidentialité des données de santé.
• Obligation de garantir l'intégrité et la confidentialité et principe de responsabilité (article 5, paragraphes 1, point f) et 2 du RGPD et article 24 du RGPD) : L'autorité a conclu que l'entité n'avait pas respecté le principe de responsabilité. En l'absence de documentation sur la désignation du personnel, les instructions fournies et la formation, l'entité était incapable de démontrer sa conformité. Il a été noté qu'aucun des 44 employés du service concerné n'avait participé aux formations sur la protection des données organisées au niveau de l'entreprise, ce qui constitue une carence organisationnelle grave.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 4 500 € à l'autorité sanitaire locale de Lecce.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision confirme / précise / rappelle que :

• Les instructions données oralement au personnel, même dans un contexte opérationnel dynamique comme un hôpital, ne suffisent pas à satisfaire aux exigences du RGPD ; elles doivent être documentées pour être prouvées.
• L'existence d'un règlement général au niveau de l'entreprise ne dispense pas de la nécessité de désigner formellement le personnel et de lui fournir des instructions spécifiques et adaptées au niveau de chaque service ou unité opérationnelle.
• L'absence de participation du personnel d'un service à des formations sur la protection des données, même si elles sont proposées au niveau de l'entité, constitue une carence organisationnelle et une violation du principe de responsabilité.
• Les mesures de sécurité physique, telles que le verrouillage des armoires contenant des dossiers médicaux, doivent être effectives et ne peuvent être écartées pour de simples raisons de commodité opérationnelle.