Nella newsletter dell'11 settembre il Garante per la protezione dei dati personali ha reso noto un provvedimento che, per l'importo, passerà inosservato accanto ai 5,5 milioni comminati nella stessa giornata a Banco Bilbao Italia. Ventiquattromila euro all'Azienda sanitaria universitaria Friuli centrale di Udine. Eppure è il provvedimento più utile dei due per chiunque si occupi di controllo degli accessi, dentro o fuori dalla sanità.

I fatti

Con il provvedimento n. 616 del 3 settembre 2026, adottato a seguito del reclamo di una dipendente dell'ospedale che era al tempo stesso paziente della struttura, l'Autorità ha accertato che una collega dello stesso reparto aveva consultato liberamente il dossier sanitario della reclamante. Il motivo: verificare, durante la pandemia, un'eventuale positività al Covid-19 e organizzare di conseguenza i turni di lavoro.

L'azienda si è difesa sostenendo che quella prassi fosse necessaria per conoscere le risorse umane effettivamente disponibili e per tutelare sia gli operatori sia i pazienti ricoverati. Il Garante ha respinto la difesa senza margini.

Il ragionamento dell'Autorità è netto: l'accesso al dossier sanitario è riservato esclusivamente ai medici e al personale che ha effettivamente in cura il paziente, e non può essere utilizzato per esigenze organizzative o amministrative. Il principio vale a maggior ragione quando la struttura riveste contemporaneamente il ruolo di datore di lavoro e quello di struttura sanitaria che ha in carico il paziente-dipendente: è precisamente la situazione in cui la confusione tra i due ruoli produce il danno maggiore.

Il Garante ha aggiunto un argomento che vale la pena riportare per intero, perché è di natura pratica e non giuridica: usare il dossier per finalità organizzative è anche inefficiente, dato che il dossier è per sua natura uno strumento incompleto — l'interessato ha la facoltà di oscurare alcuni dati sanitari, inclusi proprio quelli che potrebbero risultare determinanti per lo scopo organizzativo che si vorrebbe perseguire. In altri termini: lo strumento sbagliato non è solo illecito, è pure inaffidabile per il fine per cui lo si sta piegando.

Dall'istruttoria è emerso un quadro peggiore del singolo episodio. Il dossier della dipendente era stato oggetto di altri accessi non autorizzati, effettuati da professionisti sanitari che non avevano alcun rapporto di cura con lei. E tutte le violazioni sono state rese possibili dalla stessa lacuna strutturale: il sistema informatico aziendale non prevedeva né limiti specifici agli accessi né meccanismi di alert automatico in grado di segnalare condotte anomale del personale.

Non è la prima volta per questa azienda. Nel luglio 2022 il Garante aveva già sanzionato l'ASUFC per un totale di 70.000 euro su due casi di accessi abusivi al dossier sanitario, rilevando allora esattamente la stessa mancanza: l'assenza di indicatori di anomalia utili a orientare successivi interventi di audit.

Cosa significa per le aziende sanitarie italiane

Qui c'è un equivoco da smontare, e riguarda molti più titolari del trattamento delle sole ASL.

La reazione istintiva di fronte a un caso del genere è disciplinare: la collega ha guardato dove non doveva, si apre un procedimento, si aggiorna il regolamento interno, si fa un corso di formazione sulla privacy. È la risposta che l'organizzazione trova più naturale, perché individua un colpevole e non costa quasi nulla. Ed è la risposta che il Garante ha implicitamente giudicato insufficiente, sanzionando l'azienda e non l'individuo.

Il motivo è che l'articolo 32 del GDPR non chiede al titolare di vietare un comportamento: gli chiede di rendere tecnicamente e organizzativamente improbabile che quel comportamento accada, e di essere in grado di accorgersene quando accade comunque. Un sistema in cui chiunque presti servizio può consultare qualunque dossier, e in cui nessun allarme scatta quando un operatore consulta un paziente che non ha in cura, non è un sistema con un problema di persone. È un sistema con un problema di progettazione, e il titolare risponde della progettazione.

Il secondo elemento riguarda la giustificazione emergenziale. La pandemia ha prodotto in molte strutture italiane prassi nate per necessità e mai smantellate: accessi allargati "per gestire l'emergenza", deroghe ai profili autorizzativi, scambi informali di informazioni sanitarie tra reparti per organizzare le turnazioni. Questo provvedimento chiarisce che l'emergenza non ha sospeso il principio di finalità, e che una prassi organizzativa utile non diventa per ciò stesso lecita. Chi ha ereditato deroghe di quel periodo e non le ha riviste ha un problema aperto, oggi.

Il terzo elemento è il più trasversale, e non riguarda solo la sanità. Il dossier sanitario è un caso particolare di una categoria molto più ampia: il sistema in cui l'accesso coincide con l'autenticazione. Gestionali del personale, sistemi documentali, CRM, archivi di pratiche — ovunque il modello sia "se sei dentro, vedi tutto", esiste lo stesso rischio e la stessa responsabilità del titolare. Chi consiglia le aziende su questi temi troverà in questo provvedimento un argomento facilmente trasferibile fuori dal contesto sanitario: la profilazione granulare e il rilevamento delle anomalie non sono raffinatezze da grande organizzazione, sono misure attese.

Va detto, per onestà, che il rilievo mosso dal Garante è tecnicamente impegnativo da soddisfare in ambito clinico. Un profilo autorizzativo troppo stretto in un pronto soccorso è pericoloso per il paziente: il medico che prende in carico un caso urgente deve poter accedere subito, senza attendere l'assegnazione formale. È per questo che il modello corretto in sanità non è il blocco preventivo puro, ma la combinazione tra accesso motivato (break-the-glass, con registrazione della giustificazione) e controllo a posteriori (alert automatici e audit periodici). L'ASUFC non aveva né l'uno né l'altro, e questa è la differenza tra una scelta di bilanciamento discutibile e una lacuna sanzionabile.

Il quadro normativo

Il riferimento restano le Linee guida in materia di Dossier sanitario del Garante del giugno 2015, che già richiedevano al titolare particolare attenzione nell'individuazione dei profili di autorizzazione, con modalità tecniche di autenticazione che rispecchino le casistiche di accesso proprie di ciascuna struttura. Non è una novità normativa: è un requisito vecchio di undici anni.

Sul piano del GDPR, la contestazione poggia sugli articoli 5 (liceità e limitazione della finalità), 9 (trattamento di categorie particolari di dati, tra cui quelli sanitari) e 32 (misure tecniche e organizzative adeguate). Il fatto che il titolare sia anche datore di lavoro aggiunge il profilo dell'articolo 88 e della disciplina nazionale sui controlli sui lavoratori: conoscere lo stato di salute di un dipendente per organizzarne i turni non è un trattamento consentito al datore di lavoro, che può conoscere soltanto il giudizio di idoneità formulato dal medico competente.

Oltre alla sanzione, il Garante ha ordinato l'adozione di misure tecniche e organizzative adeguate a garantire la protezione dei dati di pazienti e dipendenti.

Cosa fare subito

  • Verificare se il proprio sistema consente a qualunque utente autenticato di consultare qualunque fascicolo. È la domanda da porre per prima, e la risposta onesta in molte strutture italiane è sì.
  • Attivare gli alert automatici sugli accessi anomali: consultazioni di pazienti non in carico, accessi fuori orario di servizio, volumi di consultazione sopra soglia, accesso al dossier di un collega. Sono correlazioni implementabili sui log applicativi esistenti.
  • Introdurre il break-the-glass dove il blocco preventivo è clinicamente rischioso: accesso consentito previa motivazione registrata, con revisione successiva obbligatoria. Il registro delle motivazioni è anche la prova di accountability davanti all'Autorità.
  • Programmare audit periodici sui log e documentarli. Avere i log e non guardarli mai equivale, in sede di ispezione, a non averli: il Garante contesta l'assenza di un processo, non l'assenza di un file.
  • Rivedere le deroghe autorizzative introdotte durante la pandemia e chiudere quelle non più giustificate. Se sono ancora attive nel 2026, non hanno più alcuna base.
  • Separare nettamente i trattamenti del titolare-datore di lavoro da quelli del titolare-struttura di cura: profili distinti, sistemi distinti, finalità distinte. La gestione delle assenze e dei turni passa dal medico competente e dagli strumenti HR, mai dal dossier clinico.
  • Aggiornare il registro dei trattamenti e la valutazione d'impatto del dossier sanitario tenendo conto del doppio ruolo dell'ente quando i pazienti sono anche dipendenti: è lo scenario di rischio che questo provvedimento mette al centro.