La SIC sanziona SOS EPS per aver divulgato senza autorizzazione la cartella clinica di un paziente affetto da HIV.

L'Ufficio per la protezione dei dati personali della Sovrintendenza dell'industria e del commercio (SIC) ha confermato, in una nota, la sanzione imposta all'ente di promozione della salute Servicio Occidental de Salud SA (SOS EPS) per violazione del regime di protezione dei dati personali.

La decisione ha confermato che SOS EPS ha violato gli obblighi stabiliti dalla legge 1581 del 2012 divulgando, senza giustificazione legale o previa autorizzazione informata, la storia clinica completa di un paziente, comprese informazioni altamente sensibili come la sua diagnosi positiva al virus dell'immunodeficienza umana (HIV).

"Queste informazioni sono state inviate da SOS EPS a quattro dirigenti del datore di lavoro del paziente nell'ambito di un processo volto a determinare l'origine professionale di una patologia muscoloscheletrica, per la quale non vi era alcuna necessità o rilevanza nel condividere i dati relativi al suo stato sierologico", spiega il documento.

L'ente ha concluso che tale condotta costituiva una violazione diretta e grave dei diritti fondamentali alla privacy, all'habeas corpus e alla non discriminazione, esponendo il titolare a situazioni di vulnerabilità e impatti sul suo ambiente di lavoro, quali cambi di area ingiustificati e necessità di assistenza psicologica dopo la scoperta della sua diagnosi.

Nella sua decisione, la SIC ha respinto anche l'argomentazione dell'EPS secondo cui non era evidente alcun danno specifico e non vi era alcuna prova del danno, e ha sottolineato che la garanzia del diritto alla protezione dei dati personali non si attiva solo in caso di danno effettivo , ma anche in caso di rischio o pericolo che i diritti e gli interessi tutelati dalla legge vengano lesi.

Le cartelle cliniche sono una raccolta sistematica di dati personali sensibili, il cui trattamento è soggetto a rigide regole di riservatezza e circolazione limitata. La divulgazione di tutte o parte delle informazioni in esse contenute, senza una giustificazione legale o l'autorizzazione dell'interessato, viola i diritti fondamentali del paziente e viola i principi di necessità e finalità, nonché la regola generale di limitazione dell'accesso e della circolazione dei dati sensibili.

Con questa decisione, la SIC ribadisce che: