La personne concernée a déposé une plainte contre l’unité sanitaire locale n° 8 de Cagliari, responsable du traitement, pour la perte de données biologiques de nature génétique contenues dans les lames histologiques conservées dans certains dossiers médicaux et leur destruction illégale. Le responsable du traitement et la personne concernée étaient parties à des procédures judiciaires antérieurement à la présente décision.

Selon la société sous-traitante (SISAR) qui était responsable du transfert des échantillons du service d’anatomie pathologique, ceux-ci  ont été correctement livrés au bureau des archives médicales. Toutefois, aucune information plus précise sur les destinataires particuliers dans ledit bureau n’était disponible.

En ce qui concerne la destruction de ces mêmes échantillons, la période de conservation des échantillons biologiques était de 10 ans au minimum, après quoi une évaluation était nécessaire pour déterminer si les échantillons pouvaient ou non être détruits. Dans le cas présent, le responsable du traitement n’aurait pas procédé à cette évaluation, car il n’avait pas tenu compte des procédures judiciaires en cours dans lesquelles les échantillons servaient de preuves.

Le responsable du traitement a fait valoir que la perte et la destruction de ces données n’impliquaient pas de « données biométriques à caractère personnel » car les échantillons de tissus humains (comme les échantillons de sang) sont des sources à partir desquelles des données biométriques sont extraites. Par conséquent, la collecte, le stockage et l’utilisation d’échantillons de tissus sont soumis à des règles autres celles du RGPD.

Dans une décision no 9980617 du 21.12.2023 (https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9980617; présentée et résumée sur gdprhub https://gdprhub.eu/index.php?title=Garante_per_la_protezione_dei_dati_personali_(Italy)_-_9980617&mtc=today) l’autorité italienne de protection des données (APD) considère d’abord que le responsable de traitement avait violé l’art. 5 par. 2 RGPD (principe de responsabilité) en ne démontrant pas efficacement avoir respecté les obligations lui incombant. En outre, le responsable du traitement n’avait pas adopté de méthodes permettant d’assurer la traçabilité des données traitées à tous les stades du traitement et n’était donc pas en mesure de connaître l’identité des destinataires des prélèvements.

Deuxièmement, l’article 5, paragraphe 1, point f) et l’article 32 du RGPD imposent d’assurer la sécurité du traitement des données en mettant en œuvre des mesures techniques et organisationnelles appropriées. Dans le cas présent, l’APD a constaté que le responsable du traitement avait enfreint les articles susmentionnés. Cette violation était due à la perte de données à caractère personnel stockées, résultant de l’absence de prise en compte d’une procédure judiciaire en cours, qui nécessitait la préservation des échantillons en question.

Troisièmement, en ce qui concerne la déclaration du responsable du traitement selon laquelle les échantillons de tissus humains ne sont pas des données biométriques, l’APD a considéré que, indépendamment du fait que les lames soient ou non classées comme données biométriques, elles peuvent certainement, dans le cas présent, être classées comme catégories particulières de données à caractère personnel en vertu de l’article 9 RGPD. En effet, le matériel biologique prélevé par le responsable du traitement comportait des numéros se rapportant à l’identité de la personne physique à laquelle il appartenait. En outre, les échantillons révèlaient des informations concernant la prestation de services de soins de santé et constituent donc des données relatives à la santé au sens de l’article 4 par. 15  RGPD.

Pour les raisons susmentionnées, l’APD a estimé que le responsable du traitement avait enfreint les art. 5, 9 et 32 RGPD  et lui a infligé une amende de 18 000 euros.

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)