L'autorité italienne de protection des données sanctionne un établissement de la Croix-Rouge pour avoir divulgué le statut VIH d'une patiente sur son plateau-repas, jugeant la mesure non nécessaire au regard de l'obligation d'appliquer des précautions universelles. Une amende distincte a été infligée pour le défaut de coopération initiale avec l'autorité.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la Croix-Rouge Italienne – Comité régional de Toscane – Établissement Anna Torrigiani (comprenant le prononcé d'une amende de 700 €) pour des manquements en lien avec la divulgation illicite de données de santé et le défaut de coopération.

L'affaire a débuté par la plainte d'une patiente qui, lors de son hospitalisation, a vu son statut sérologique (VIH et VHC), ainsi que son nom et prénom, inscrits sur une note accompagnant ses plateaux-repas.

Motifs de la décision

L'autorité a retenu plusieurs violations à l'encontre de l'organisme :

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a jugé que la communication explicite du statut VIH et VHC de la patiente au personnel de cuisine était excessive. Elle a fondé son raisonnement sur la réglementation sectorielle italienne (loi n° 135/1990 et décret du 28 septembre 1990) qui impose l'adoption de mesures de protection universelles pour tous les patients, précisément parce qu'il est impossible d'identifier avec certitude toutes les personnes séropositives. Par conséquent, l'information divulguée n'était ni adéquate, ni pertinente, ni limitée à ce qui était nécessaire pour assurer la protection du personnel.
• Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : En plaçant une note manuscrite mentionnant des données de santé très sensibles sur un plateau-repas, le responsable du traitement n'a pas garanti une sécurité appropriée contre une divulgation non autorisée. Cette méthode de communication a exposé des informations confidentielles à un risque élevé de consultation par des tiers, ce qui est contraire aux exigences de protection des données.
• Interdiction du traitement de données de santé (article 9 du RGPD) : Le traitement de données relatives à l'infection par le VIH, qui bénéficient d'une protection renforcée en droit italien, a été effectué sans base juridique appropriée pour la communication à des tiers. L'autorité a rappelé que de telles informations ne peuvent être communiquées que sur la base d'un fondement juridique valable, ce qui n'était pas le cas pour cette divulgation au personnel du service de restauration.
• Obligation de coopération avec l'autorité de contrôle : Le responsable du traitement n'a pas répondu à la première demande d'informations de l'autorité, formulée en vertu de l'article 157 du Code italien de protection des données. Ce manquement à l'obligation de coopérer a constitué une violation distincte, l'organisme n'ayant fourni aucune justification pour son absence de réponse initiale.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 700 € à la Croix-Rouge Italienne – Comité régional de Toscane – Établissement Anna Torrigiani, décomposée en 500 € pour la violation des données de santé et 200 € pour le défaut de coopération.

En outre, l'autorité a ordonné la publication de la décision sur son site internet.

Enseignements

Cette décision rappelle que :

• L'existence de protocoles de "précautions universelles" dans un secteur, comme le domaine sanitaire, rend le traitement de données de santé spécifiques pour atteindre le même objectif de sécurité non conforme au principe de minimisation.
• La communication d'informations sensibles, même en interne, doit s'effectuer via des canaux sécurisés et non par des moyens (telle une note sur un plateau) qui exposent les données à un risque de divulgation accidentelle à des tiers.
• Les données relatives au statut VIH bénéficient d'un régime de protection renforcé qui exige une vigilance particulière et une justification stricte de la nécessité de chaque traitement.
• Le défaut de réponse à une demande d'information d'une autorité de contrôle constitue une infraction distincte et peut faire l'objet d'une sanction pécuniaire spécifique, indépendamment du fond de l'affaire.
• La mise en place rapide de mesures correctives et l'absence d'antécédents de violations sont des facteurs atténuants significatifs dans la détermination du montant de l'amende.