Dossier sanitario, quando l’accesso non è per curare si rischia la sanzione
Il Garante per la protezione dei dati personali ha sanzionato per 24.000 euro l’Azienda sanitaria universitaria Friuli centrale (ASUFC), con sede a Udine, per un caso di accessi al dossier sanitario di una paziente da parte di personale che non aveva alcun ruolo di cura nei suoi confronti. Il provvedimento, il n. 616 del 3 settembre 2026, ricostruisce una vicenda che nasce nel 2022 e che offre a ogni azienda sanitaria, ospedaliera o comunque titolare di dati sulla salute uno spunto molto concreto su come organizzare davvero i controlli sugli accessi, non solo sulla carta.
Cosa era successo
Secondo quanto accertato dal Garante, nel 2022 alcuni componenti del personale sanitario avevano consultato il dossier di una paziente per verificarne la positività al Covid-19, allo scopo dichiarato di organizzare i turni del reparto, su indicazione della direzione medica. A questo si è aggiunto un secondo profilo di irregolarità, cioè tre professionisti sanitari che avevano consultato lo stesso dossier pur non avendo la paziente in cura, un accesso che l’istruttoria ha ricondotto a un possibile uso di postazioni condivise tra più operatori.
Le violazioni contestate
Il Garante ha ritenuto violati gli articoli 5, paragrafo 1, lettere a), b), c) e f), 9, 25 e 32 del GDPR, oltre all’articolo 75 del Codice Privacy e alle Linee guida in materia di dossier sanitario del 4 giugno 2015, che l’Autorità richiama come riferimento tuttora applicabile. Il principio di fondo, già consolidato ma qui ribadito con chiarezza, è che l’accesso al dossier sanitario deve restare riservato a chi ha effettivamente in cura la persona: verificare lo stato di salute di un paziente per organizzare turni di lavoro, per quanto la finalità possa apparire legittima sul piano organizzativo, resta un trattamento privo di base giuridica adeguata, perché il dossier sanitario nasce e vive per finalità di cura, non per finalità amministrative.
Cosa non funzionava nei controlli
Al di là del singolo episodio, il Garante ha censurato due carenze strutturali che hanno reso possibili gli accessi, cioè l’assenza di indicatori di anomalia capaci di segnalare consultazioni sospette o non coerenti con il ruolo dell’operatore, e un tempo di inattività dei personal computer uniforme, fissato a 30 minuti per l’intera azienda, senza distinzioni legate alle diverse esigenze operative dei reparti. È proprio su questo secondo punto che si misura la differenza tra una policy scritta e un sistema che la fa rispettare: un timeout troppo lungo, uguale per tutti gli ambiti, moltiplica il rischio che una postazione rimasta aperta venga usata da chi non dovrebbe.
Le misure correttive
L’Autorità ha imposto all’azienda un termine di 60 giorni per limitare effettivamente l’accesso al dossier sanitario alle sole finalità di cura, implementare alert automatici in grado di intercettare accessi anomali e differenziare i tempi di blocco delle postazioni in base agli ambiti operativi. Sono indicazioni che vanno lette come un libretto di istruzioni minimo per chiunque gestisca un dossier sanitario strutturato.
Non è un caso isolato
Nel provvedimento il Garante richiama un proprio precedente intervento sanzionatorio del 3 luglio 2026 nei confronti di un’altra azienda sanitaria della regione Friuli-Venezia Giulia, per fatti dello stesso tipo. Il Provvedimento del 3 luglio 2026 (doc. web n. 10272963) del Garante Privacy riguarda una notifica di violazione dei dati personali trasmessa dall’Azienda Sanitaria Universitaria Giuliano Isontina (ASUGI) in merito a accessi irregolari al dossier sanitario aziendale e conferma che gli accessi per finalità organizzative sono un rischio ricorrente, non un’eccezione isolata, e che il Garante sta seguendo la materia con una certa continuità.
Cosa verificare nella propria organizzazione
Per aziende sanitarie, ospedali, RSA e in generale per chiunque gestisca dati sulla salute di pazienti o dipendenti, il caso suggerisce una verifica pratica su alcuni fronti, riassunti nella checklist qui sotto.
| Elemento | Dettaglio |
| Ente sanzionato | Azienda Sanitaria Universitaria Friuli Centrale (ASUFC), Udine |
| Provvedimento | N. 616 del 3 settembre 2026 (doc web 10293994) |
| Sanzione | 24.000 euro |
| Norme violate | Artt. 5(1)(a)(b)(c)(f), 9, 25, 32 GDPR; art. 75 Codice Privacy; Linee guida Dossier sanitario del 4 giugno 2015 |
| Fatti | 2022: accesso al dossier per verificare positività Covid-19 e organizzare turni; accessi di 3 professionisti senza rapporto di cura con la paziente |
| Misure correttive | Entro 60 giorni: limitare l’accesso alle finalità di cura, attivare alert automatici, differenziare i timeout dei pc per reparto |
Fonte: Garante per la protezione dei dati personali, Provvedimento n. 616 del 3 settembre 2026 (doc web 10293994).
| Checklist per aziende sanitarie, ospedali e RSA |
| Il sistema distingue, per ogni accesso, se chi consulta ha davvero in cura la persona? |
| Esistono alert automatici sugli accessi anomali, oltre a eventuali controlli a campione? |
| I tempi di inattività e blocco dei pc sono calibrati per reparto, invece di un valore unico aziendale? |
| Il personale è formato sul fatto che una finalità organizzativa non giustifica da sola l’accesso a dati sanitari altrui? |
Fonte: Elaborazione iSimply sulla base del provvedimento n. 616 del 3 settembre 2026 del Garante per la protezione dei dati personali.
Enrico Capirone – Presidente iSimply srl, DPO
Fonte ufficiale: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10293994
Nota volontaria di trasparenza sull’uso dell’intelligenza artificiale. Questo contenuto è stato predisposto con il supporto di strumenti di IA generativa ed è stato sottoposto a revisione umana sostanziale, verifica delle fonti ufficiali e controllo editoriale. iSimply srl detiene la responsabilità editoriale della pubblicazione. L’art. 50, par. 4, del Regolamento (UE) 2024/1689 prevede un obbligo di trasparenza per i testi generati o manipolati dall’IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico. Il medesimo paragrafo esclude tale obbligo quando il contenuto generato dall’IA è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione. iSimply sceglie comunque di rendere trasparente l’impiego di strumenti di IA nel processo redazionale.