Ordinanza ingiunzione o revoca n. 616 del 03/09/2026

Sanzione all’ASUFC per l’utilizzo improprio del dossier sanitario aziendale

Il provvedimento del 3 settembre 2026 riguarda il trattamento di dati sanitari effettuato dall’Azienda sanitaria universitaria Friuli centrale (ASUFC) mediante il dossier sanitario aziendale. Il procedimento è stato avviato a seguito del reclamo di un’interessata, dipendente dell’Azienda, che ha segnalato accessi al proprio dossier, l’utilizzo dello strumento per verificare la positività al Covid-19 ai fini della programmazione dei turni, la possibilità di accessi non correlati alla presa in carico e carenze nei sistemi di tracciamento e controllo.

Il Garante ha dichiarato illecito il trattamento, ha adottato misure correttive ai sensi dell’art. 58, par. 2, lett. d), GDPR e ha irrogato una sanzione amministrativa di 24.000 euro.

Fatto e svolgimento dell’istruttoria

La reclamante ha lamentato, tra l’altro, che nel 2022 il proprio dossier sanitario era stato consultato per verificare lo stato di positività al Covid-19, così da consentire la programmazione dei turni in reparto. L’Azienda aveva qualificato tale accesso come non abusivo, in quanto effettuato su mandato della direzione medica e per esigenze connesse alla prestazione lavorativa.

Sono stati inoltre segnalati accessi effettuati da operatori sanitari che non avevano in cura l’interessata, la possibilità di accesso a documentazione sanitaria di altre strutture e la configurazione di una visibilità trasversale sui referti del dipartimento chirurgico. L’Azienda aveva anche riferito dell’assenza di file di log relativi a determinate operazioni del sistema SDAWEB.

Dopo la richiesta di informazioni del 4 marzo 2026, l’ASUFC ha risposto il 1° aprile 2026. L’Ufficio ha inoltre acquisito informazioni dalla Regione Friuli Venezia Giulia e da Insiel S.p.A., responsabile del trattamento per i dati di titolarità delle aziende del Servizio sanitario regionale. In un incontro del 4 marzo 2026 è stata ribadita la titolarità dei trattamenti in capo alle aziende sanitarie e agli IRCCS, nonostante l’utilizzo di una piattaforma regionale condivisa.

Il procedimento sanzionatorio e correttivo è stato avviato il 4 maggio 2026 ai sensi dell’art. 166, comma 5, del Codice privacy. L’Azienda ha presentato memoria difensiva il 28 maggio 2026.

Trattamenti esaminati

L’istruttoria ha riguardato principalmente:

• l’accesso al dossier sanitario per verificare l’esito dei tamponi Covid-19 della dipendente, ai fini della gestione dei turni;
• gli accessi al dossier da parte di personale non coinvolto nel percorso di cura;
• la configurazione della visibilità dei documenti sanitari e la possibilità di accessi trasversali all’interno del dipartimento chirurgico;
• le misure tecniche e organizzative per prevenire accessi non autorizzati da postazioni condivise;
• l’esistenza di sistemi di audit, alert automatici e controllo degli accessi anomali.

Con riferimento al sistema SDAWEB, l’ASUFC ha chiarito che non sarebbe stato possibile accedere a referti sanitari e che il sistema tracciava alcune operazioni amministrative, oltre a login e logout. Tali elementi non hanno tuttavia superato i rilievi relativi alla configurazione e all’utilizzo del dossier sanitario.

Finalità del dossier sanitario e uso durante la pandemia

Le Linee guida in materia di Dossier sanitario adottate dal Garante il 4 giugno 2015 stabiliscono che il dossier può essere consultato dal personale sanitario coinvolto nel processo di cura dell’interessato. Le garanzie e gli accorgimenti previsti dalle Linee guida continuano ad applicarsi, in quanto compatibili con il GDPR, ai sensi dell’art. 22, comma 4, del d.lgs. n. 101/2018.

Il Garante ha richiamato gli artt. 5, par. 1, lett. a), b), c) e f), 9, 25 e 32 GDPR, nonché l’art. 75 del Codice privacy. In particolare, i dati devono essere trattati in modo lecito, corretto e trasparente, per finalità determinate, esplicite e legittime, ed essere adeguati, pertinenti e limitati a quanto necessario.

L’emergenza Covid-19 non ha introdotto una deroga generale a tali principi. L’art. 17-bis del d.l. n. 18/2020 prevedeva semplificazioni nel trattamento e nella comunicazione dei dati solo quando indispensabili per la gestione dell’emergenza, comunque nel rispetto dell’art. 5 GDPR e delle misure appropriate a tutela degli interessati.

Secondo il Garante, né i protocolli nazionali per il contrasto alla diffusione del virus, né il contratto collettivo del comparto sanità, né le esigenze di programmazione dei turni autorizzavano l’utilizzo del dossier sanitario per finalità organizzative o lavoristiche.

Il dossier sanitario è uno strumento facoltativo e, anche per la possibilità di oscuramento dei dati, intrinsecamente incompleto. Esso può essere utilizzato esclusivamente per finalità di cura dell’interessato e non per reperire informazioni sanitarie necessarie alla gestione dei turni o alla verifica della disponibilità lavorativa.

Distinzione tra finalità di cura e gestione del rapporto di lavoro

L’Azienda ha sostenuto che l’accesso fosse giustificato dalla necessità di tutelare la salute dei pazienti e del personale e che, nel giorno dell’accesso, fosse aperto un percorso di cura per la dipendente.

Il Garante ha respinto entrambe le argomentazioni. La circostanza che fosse stata prenotata una prestazione sanitaria non trasformava l’accesso in un trattamento per finalità di cura, poiché l’accesso era stato concretamente effettuato per organizzare i turni.

Il datore di lavoro può trattare dati personali dei lavoratori, comprese categorie particolari, nei limiti degli artt. 6, 9 e 88 GDPR, dell’art. 2-ter e dell’art. 2-sexies del Codice, nella formulazione applicabile ratione temporis, e della normativa di settore. Per i dati relativi alla salute, il trattamento deve essere necessario per obblighi e diritti in materia di lavoro, sicurezza sociale o protezione sociale, sulla base del diritto dell’Unione o nazionale o di un contratto collettivo, con garanzie appropriate.

Il Garante ha inoltre richiamato il ruolo distinto del medico competente, cui spettano i compiti di sorveglianza sanitaria previsti dal d.lgs. n. 81/2008. Il datore di lavoro non può acquisire direttamente, o tramite strumenti destinati alla cura, informazioni sanitarie del dipendente in assenza di una specifica previsione normativa.

La separazione tra funzione datoriale e funzione sanitaria resta necessaria anche quando le due funzioni fanno capo alla stessa azienda.

Configurazione degli accessi e privacy by design

Le Linee guida sul dossier sanitario impongono al titolare di individuare i profili di autorizzazione in funzione delle concrete necessità di accesso e di limitare la consultazione al personale sanitario che interviene nel processo di cura.

Il titolare deve effettuare una ricognizione dei casi in cui il personale può avere necessità di consultare il dossier e configurare conseguentemente i diversi profili autorizzativi. Tale impostazione costituisce attuazione dei principi di privacy by design e by default previsti dall’art. 25 GDPR.

Il Garante ha sottolineato anche l’esigenza di graduare la profondità dell’accesso, soprattutto quando sono coinvolti operatori amministrativi o soggetti che svolgono attività correlate alla cura. L’accesso deve essere limitato ai dati indispensabili per lo specifico compito.

Nel caso esaminato, la possibilità di accesso trasversale ai documenti del dipartimento chirurgico, indipendentemente dalla presa in carico del paziente, non è stata ritenuta compatibile con i principi di finalità e minimizzazione. Le esigenze organizzative derivanti dalla rotazione del personale non giustificano una visibilità generalizzata del dossier.

Misure di sicurezza e controllo degli accessi

Il Garante ha ritenuto insufficiente il sistema di sicurezza adottato dall’ASUFC. L’Azienda disponeva di credenziali personali, di formazione del personale e di controlli successivi mediante estrazioni e file Excel, ma non aveva predisposto un sistema automatico di rilevazione delle anomalie.

Le Linee guida richiedono sistemi per il controllo degli accessi e per il rilevamento di trattamenti illeciti attraverso indicatori di anomalia o alert, relativi, ad esempio, al numero degli accessi, alla tipologia delle operazioni e all’ambito temporale.

Secondo il Garante, l’Azienda si era limitata a controlli a posteriori, attivati in caso di contestazione da parte degli interessati. Non risultava inoltre adottato un sistema di controllo a campione degli accessi, che avrebbe potuto individuare tempestivamente consultazioni da parte di personale non coinvolto nella cura e produrre un effetto dissuasivo.

La circostanza che l’Azienda avesse segnalato alcuni fatti alla Procura della Repubblica e che fossero stati svolti audit successivi non escludeva la violazione, poiché tali attività non sostituivano i controlli preventivi o tempestivi richiesti dall’art. 32 GDPR.

Blocco automatico delle postazioni

I dispositivi aziendali erano configurati con un unico blocco automatico dopo 30 minuti di inattività. L’ASUFC aveva giustificato tale durata con le esigenze operative del personale del pronto soccorso e con la difficoltà di effettuare il logout quando sopraggiungevano emergenze assistenziali.

Il Garante ha ritenuto che il termine dovesse essere determinato tenendo conto della natura, dell’oggetto, del contesto e delle finalità del trattamento e dei rischi per i diritti e le libertà degli interessati, secondo gli artt. 25 e 32 GDPR.

L’impostazione corretta richiede una valutazione by design dei tempi di inattività, differenziata in base ai diversi ambiti operativi. Il tempo di latenza deve essere ridotto al minimo compatibile con l’efficacia del percorso assistenziale.

L’argomento dell’Azienda secondo cui un accesso abusivo avrebbe potuto verificarsi anche dopo un intervallo più breve non è stato condiviso. Un blocco automatico adeguatamente calibrato avrebbe comunque ridotto il rischio e costituito una misura tecnica idonea a garantire un livello di sicurezza proporzionato.

La stessa indicata “vulnerabilità sistemica” rispetto a comportamenti dolosi dei dipendenti avrebbe dovuto indurre l’Azienda ad adottare misure tecniche e organizzative più incisive, anche con funzione deterrente.

Violazioni accertate

Il Garante ha confermato la violazione:

• dell’art. 5, par. 1, lett. a), GDPR, relativo a liceità, correttezza e trasparenza;
• dell’art. 5, par. 1, lett. b), GDPR, relativo alla limitazione della finalità;
• dell’art. 5, par. 1, lett. c), GDPR, relativo alla minimizzazione dei dati;
• dell’art. 5, par. 1, lett. f), GDPR, relativo a integrità e riservatezza;
• dell’art. 9 GDPR, in materia di categorie particolari di dati, con specifico riguardo ai dati relativi alla salute;
• dell’art. 25 GDPR, relativo alla protezione dei dati fin dalla progettazione e per impostazione predefinita;
• dell’art. 32 GDPR, relativo alla sicurezza del trattamento;
• dell’art. 75 del Codice privacy;
• delle Linee guida in materia di Dossier sanitario del 4 giugno 2015.

La condotta illecita è stata individuata nella configurazione del dossier in modo da consentire l’accesso per finalità diverse dalla cura, nella mancata predisposizione di controlli automatici sugli accessi e nell’adozione di un unico intervallo di blocco dei dispositivi, non calibrato sulle specifiche esigenze e sui rischi dei diversi contesti operativi.

Misure correttive e termini

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, l’ASUFC deve comunicare entro 60 giorni dalla notifica del provvedimento le misure adottate per:

• limitare l’accesso al dossier esclusivamente alle finalità di cura;
• escludere l’utilizzo del dossier da parte del personale che agisce in qualità di datore di lavoro dell’interessato;
• introdurre indicatori automatici di anomalia o alert sugli accessi;
• adottare sistemi di blocco automatico dei PC per inattività calibrati sulle specifiche esigenze dei diversi ambiti operativi, riducendo il tempo di latenza senza compromettere il percorso assistenziale.

Ai sensi dell’art. 58, par. 1, lett. a), e dell’art. 157 del Codice privacy, l’Azienda deve inoltre comunicare al Garante, entro 90 giorni dalla notifica, le iniziative intraprese per dare attuazione alle misure prescritte.

Il Garante si è riservato l’adozione di ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, anche in relazione agli interventi sul sistema regionale Visore referti.

Sanzione e criteri di quantificazione

La violazione è stata ricondotta agli artt. 83, par. 4, lett. a), e 83, par. 5, lett. a), GDPR. Poiché le violazioni sono state considerate conseguenza di un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR, secondo cui l’importo complessivo non può superare quello previsto per la violazione più grave.

Nel determinare la sanzione, il Garante ha considerato:

• la natura sanitaria dei dati trattati;
• il fatto che la persona interessata fosse dipendente dell’Azienda;
• l’utilizzo del dossier durante il periodo pandemico;
• il mandato proveniente dalla direzione medica aziendale;
• le scelte di configurazione del dossier operate a livello regionale e aziendale;
• il livello complessivo di gravità, ritenuto medio, anche alla luce delle Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie;
• i precedenti interventi del Garante sulla corretta configurazione dei dossier sanitari, anche nei confronti di aziende della medesima Regione;
• l’origine del procedimento da un reclamo.

In applicazione dei principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR, è stata determinata una sanzione di euro 24.000.

Pubblicazione, pagamento e impugnazione

Il provvedimento dispone la pubblicazione sul sito internet del Garante, compresa la pubblicazione dell’ordinanza-ingiunzione, in ragione del possibile impatto delle impostazioni del dossier su un numero considerevole di pazienti.

L’ASUFC deve pagare euro 24.000 entro 30 giorni dalla notificazione, salvo la facoltà di definire la controversia mediante il pagamento della metà della sanzione nei termini previsti dall’art. 166, comma 8, del Codice privacy e dall’art. 10, comma 3, del d.lgs. n. 150/2011.

È possibile proporre opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.