Il provvedimento del 3 settembre 2026 riafferma che il dossier sanitario serve solo alla cura, non alle scelte aziendali, e che la sicurezza deve adattarsi al contesto operativo, non uniformarsi per default.
Cosa ha deciso il Garante
Con il provvedimento n. 616 del 3 settembre 2026, il Garante ha sanzionato un’azienda sanitaria universitaria del Friuli Venezia Giulia per aver usato il dossier di una dipendente-paziente per verificarne lo stato di positività al Covid-19 al fine di organizzare i turni di reparto. L’Autorità ha ritenuto la condotta illecita nonostante fosse stata autorizzata dalla direzione medica aziendale durante l’emergenza pandemica. La sanzione è stata fissata in ventiquattromila euro, accompagnata da prescrizioni conformative a sessanta giorni e dall’obbligo di comunicare iniziative di rimedio entro novanta giorni.
L’istruttoria ha accertato violazioni degli articoli 5, 9, 25 e 32 del Regolamento (UE) 2016/679, dell’articolo 75 del Codice della privacy e delle Linee guida in materia di Dossier sanitario del 4 giugno 2015. Il provvedimento riafferma un orientamento consolidato già espresso in quattro precedenti decisioni adottate tra il 2022 e il 2024, di cui almeno due riguardavano aziende della medesima Regione con fattispecie sostanzialmente identiche.
I profili di configurazione e sicurezza
L’Autorità ha censurato tre ordini di carenze tecniche e organizzative. In primo luogo, l’assenza di sistemi automatici di rilevamento delle anomalie: l’azienda si limitava a esaminare file Excel contenenti risultanze di audit solo a posteriori, quando sopraggiungeva un reclamo dell’interessato. La distinzione tra tracciamento dei log e controllo dei log è decisiva: registrare gli accessi non basta, occorre analizzarli sistematicamente attraverso indicatori misurabili, quali la numerosità degli accessi per operatore, gli accessi a pazienti non in carico e gli accessi anomali per orario o modalità, con soglie di allerta e flussi di verifica documentati.
In secondo luogo, il Garante ha contestato il blocco automatico delle postazioni fissato uniformemente a trenta minuti per tutti i dispositivi e tutti gli ambienti. L’azienda sosteneva che tempi più brevi non avrebbero comunque impedito l’accesso avvenuto pochi minuti dopo l’allontanamento dell’operatore, in ambienti ad alto transito. L’Autorità ha rigettato l’argomento: la responsabilità non si fonda sulla causalità dell’evento singolo ma sull’adeguatezza ex ante della misura rispetto al rischio. Ogni contesto operativo — ambulatorio a bassa rotazione, pronto soccorso, reparto condiviso — presenta profili di rischio differenti e richiede tempi di blocco differenziati, possibilmente combinati con misure compensative quali autenticazione tramite badge, schermatura dei monitor o logout automatico su allontanamento del dispositivo.
Le basi giuridiche e il divieto in emergenza
L’azienda ha invocato il contesto emergenziale e i protocolli nazionali del marzo 2020, sostenendo che nessuno strumento normativo le permetteva di verificare la condizione di salute dei dipendenti con la rapidità richiesta. Il Garante ha replicato che nessuna disposizione pandemica, neppure i protocolli o il contratto collettivo del comparto sanità, ha derogato ai principi di protezione dei dati né alla disciplina specifica del dossier. Inoltre, la semplice esistenza di una presa in carico clinica non legittima un accesso finalizzato ad altro: la finalità è elemento del trattamento, non attributo dell’utenza, e un accesso per motivi organizzativi resta illecito anche se compiuto da chi formalmente è autorizzato a consultare il dossier per fini di cura.
Titolarità nei sistemi informativi regionali
L’Autorità ha riaffermato la titolarità dei trattamenti in capo alle aziende sanitarie, nonostante il dossier sia gestito tramite un’applicazione comune sviluppata da una società in house su coordinamento regionale. La società aveva rappresentato che le modifiche alle configurazioni passano per tavoli tecnici che valutano priorità e fattibilità, e che i titolari operano in un contesto di armonizzazione verso un sistema regionale condiviso. Il Garante non accoglie questa circostanza come esimente: il titolare non può invocare la centralizzazione tecnologica per deresponsabilizzarsi, ma il coordinatore regionale non può neppure comprimere le prerogative del titolare fino a renderle nominali. In un incontro del 4 marzo 2026, l’Autorità ha ribadito che le aziende devono disporre di leve documentate per richiedere modifiche, con tracciabilità dei riscontri e definizione contrattuale dei livelli di servizio in materia di sicurezza.
Cosa devono fare le imprese
Le aziende sanitarie devono avviare immediatamente una ricognizione documentata delle finalità concrete di accesso al dossier, distinguendo gli accessi clinici da quelli amministrativi e escludendo usi organizzativi, gestionali o datoriali. Sulla base di tale mappatura, vanno rivisti i profili autorizzativi e la profondità di accesso: al personale amministrativo di prenotazione devono essere visibili solo i dati necessari alla prenotazione, non il contenuto clinico completo. Il nucleo dell’intervento è la definizione di indicatori di anomalia automatici — numero di accessi per operatore, accessi a pazienti non in carico, accessi anomali per orario, accessi a soggetti con cognome coincidente con l’operatore — con soglie misurabili, destinatari di segnalazione e flussi di verifica documentati. Parallelamente vanno istituiti audit periodici a campione con criteri di selezione motivati e verbalizzazione degli esiti.
Occorre inoltre differenziare i tempi di blocco per inattività in funzione del contesto operativo, sulla base di una valutazione documentata che consideri grado di condivisione, affluenza di personale, criticità dell’informazione e impatto operativo. Ove tempi molto brevi risultino incompatibili con l’assistenza, si ricorrano a misure compensative quali badge, schermatura fisica dei monitor o logout automatico su allontanamento del dispositivo. Va aggiornata la valutazione d’impatto sulla protezione dei dati, il registro dei trattamenti e l’informativa agli interessati; va formalizzato in iscritto l’accordo con il fornitore, specificando i requisiti di configurabilità autonoma; va istituita una procedura di gestione degli accessi anomali accertati, che colleghi il rilevamento alla notifica del data breach e all’attivazione del procedimento disciplinare. Il responsabile della protezione dei dati deve includere il dossier nel piano di monitoraggio ricorrente, verificando non la mera esistenza delle procedure ma la loro effettiva applicazione.
Gli interrogativi aperti
Il provvedimento solleva tre questioni di sistema. La prima riguarda l’efficacia: se fattispecie identiche si ripresentano a distanza di anni nella medesima Regione, il ricorso a sanzioni individuali appare insufficiente quando la causa risiede in una configurazione applicativa condivisa. La seconda riguarda la dissociazione tra titolarità formale e governo effettivo dei mezzi nei sistemi informativi centralizzati: il titolare rimane responsabile ma non dispone delle leve modificative, che dipendono da prioritarizzazioni sovraordinate. La terza riguarda l’automazione del controllo tramite tecniche di apprendimento automatico per l’analisi dei comportamenti di accesso: tali sistemi incidono su interessi dei lavoratori e richiedono una progettazione rigorosa che escluda usi valutativi impropri, ancorché finalizzati a sicurezza, e preveda intervento umano, ai sensi del Regolamento (UE) 2024/1689.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
