Prescrizioni del Garante n. 125 del 26/02/2026

Azienda Ospedaliero Universitaria di Sassari: ammonimento per errata inclusione di dati sanitari in cartella clinica

Il provvedimento riguarda l'Azienda Ospedaliero Universitaria di Sassari e un trattamento di dati sanitari effettuato nell'ambito della gestione di cartelle cliniche. L'istruttoria è stata avviata a seguito di una segnalazione relativa alla presenza, nella documentazione sanitaria rilasciata a un'interessata, di esami e referti riferibili a un soggetto terzo.

Origine della segnalazione e fatti contestati

La segnalante ha riferito che, in qualità di erede legittimo di una paziente, aveva richiesto copia della cartella clinica della congiunta all'Ufficio Cartelle Cliniche dell'AOU di Sassari. Dalla documentazione consegnata sarebbero emersi:

• dati sensibili e risultati di esami diagnostici inseriti erroneamente;
• un tracciato ECG e un referto medico riferibili a un'altra persona;
• l'assenza, nella cartella rilasciata, del tracciato elettrocardiografico della paziente interessata.

Istruttoria e difese del titolare

L'Autorità ha chiesto informazioni all'Azienda ai sensi dell'art. 157 del Codice privacy. Il titolare ha rappresentato che l'episodio avrebbe riguardato un solo documento, in un contesto in cui le due pazienti presentavano elementi anagrafici e clinici sovrapponibili: stesso cognome, ricovero nello stesso reparto, nel medesimo periodo, età simile e medesima patologia cardiologica.

Nella memoria difensiva l'Azienda ha sostenuto che:

• l'errore era dovuto a una fase manuale di stampa e archiviazione, quindi a un errore materiale colposo e non doloso;
• l'evento era isolato e circoscritto nel tempo;
• il trattamento era svolto in ambito sanitario e in un processo ancora cartaceo, in transizione verso la cartella clinica elettronica regionale;
• il documento errato era stato rimosso e reinserito nella cartella corretta;
• l'evento era stato annotato nel registro interno delle non conformità e segnalato al DPO;
• era stata inviata una nota di scuse alla segnalante, invitandola a distruggere il documento errato e a non diffonderne i dati;
• non risultavano danni concreti per le persone coinvolte.

Valutazioni del Garante sulle violazioni

Il Garante ha richiamato la particolare tutela dei dati relativi alla salute, evidenziando che il titolare deve adottare misure tecniche e organizzative adeguate al rischio, capaci di garantire riservatezza, integrità e disponibilità dei dati, ai sensi degli artt. 5, par. 1, lett. f), e 32 GDPR.

Ha inoltre ribadito che, in ambito sanitario, le informazioni sullo stato di salute possono essere comunicate solo all'interessato o a terzi in presenza di un idoneo presupposto giuridico o di una delega scritta dell'interessato, richiamando l'art. 9 GDPR.

All'esito dell'istruttoria l'Autorità ha ritenuto non superati i rilievi iniziali e ha confermato la violazione degli artt. 5, par. 1, lett. f), 9 e 32 GDPR, poiché nella cartella clinica rilasciata erano stati inseriti esami diagnostici riconducibili a un altro soggetto, in assenza di adeguate garanzie di sicurezza e riservatezza.

Qualificazione del caso come violazione minore e scelta dell'ammonimento

Pur dichiarando l'illiceità del trattamento, il Garante ha valorizzato alcuni elementi attenuanti:

• l'episodio era isolato;
• mancava il dolo;
• il titolare aveva adottato misure per prevenire la reiterazione;
• l'Azienda aveva collaborato durante tutta la fase istruttoria;
• non risultavano precedenti procedimenti pertinenti a carico del titolare.

Sulla base di tali elementi, il caso è stato qualificato come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida WP 253 del Gruppo di lavoro art. 29, come fatte proprie dal Comitato europeo per la protezione dei dati. Il Garante ha quindi ritenuto sufficiente un ammonimento ai sensi dell'art. 58, par. 2, lett. b) GDPR, anziché una sanzione pecuniaria.

Provvedimenti finali e pubblicazione

Nel dispositivo finale il Garante:

• ha dichiarato, ai sensi dell'art. 57, par. 1, lett. f) GDPR, l'illiceità del trattamento effettuato dall'Azienda Ospedaliero Universitaria di Sassari;
• ha ammonito il titolare ai sensi dell'art. 58, par. 2, lett. b) GDPR per la violazione degli artt. 5, par. 1, lett. f), 9 e 32 GDPR;
• ha ritenuto sussistenti i presupposti dell'art. 17 del Regolamento n. 1/2019 del Garante;
• ha disposto la pubblicazione del provvedimento sul sito dell'Autorità ai sensi dell'art. 154-bis, comma 3, del Codice privacy.

È stato infine richiamato il termine per proporre ricorso davanti all'autorità giudiziaria ordinaria, ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. n. 150/2011.