Ordinanza ingiunzione o revoca n. 276 del 17/04/2026

Azienda USL di Modena: trattamento inesatto di dati sanitari e ritardo nel riscontro alle istanze di accesso

Il Garante ha esaminato il reclamo di una dipendente dell'Azienda USL di Modena relativo alla presenza di una scheda anagrafica di prova, poi collegata ad alcuni suoi dati personali per la prenotazione di una prestazione sanitaria, nonché al tardivo riscontro a due istanze di accesso ai dati personali. All'esito del procedimento, l'Autorità ha dichiarato l'illiceità del trattamento per violazione del principio di esattezza e degli obblighi di risposta ex artt. 12 e 15 GDPR, irrogando una sanzione amministrativa pecuniaria e disponendo la pubblicazione del provvedimento.

Fatti oggetto del reclamo

La reclamante ha riferito che presso l'Azienda erano presenti due distinte anagrafiche a lei riconducibili. La prima risultava correttamente compilata con i suoi dati identificativi e di residenza. La seconda, inizialmente creata come anagrafica di prova con denominazione di fantasia, era stata in seguito modificata con l'inserimento del nome, cognome e data di nascita dell'interessata, oltre a un indirizzo fittizio. Su tale scheda risultavano anche prestazioni e movimenti sanitari, tra cui prenotazioni e ricoveri, e la reclamante lamentava anche il ritardo con cui l'Azienda aveva risposto alle sue richieste di chiarimento e accesso.

Attività istruttoria svolta dal Garante

Ai sensi dell'art. 157 del Codice privacy, il Garante ha chiesto informazioni all'Azienda, che ha ricostruito la vicenda spiegando che la scheda di prova era stata creata dal Servizio ICT per verifiche sugli applicativi e che alcune prestazioni fittizie vi erano state inserite per test. L'Azienda ha poi chiarito che la modifica dell'anagrafica era stata effettuata da una dipendente per consentire la prenotazione di un tampone molecolare per la reclamante, in un contesto di urgenza organizzativa. Ha inoltre rappresentato che la scheda era stata successivamente ripristinata allo stato originario e che i ritardi nei riscontri derivavano dalla necessità di una ricostruzione approfondita, oltre che da criticità organizzative e da un attacco hacker che aveva rallentato le attività.

Valutazioni del Garante sul principio di esattezza

L'Autorità ha ritenuto confermata la violazione dell'art. 5, par. 1, lett. d) GDPR, osservando che una scheda anagrafica nata come prova era stata associata ad alcuni dati della reclamante, pur essendo già presente una scheda correttamente riferita alla stessa. Il Garante ha considerato irrilevante, ai fini dell'illiceità, il successivo ripristino della scheda allo stato originario, poiché la condotta aveva comunque determinato un trattamento di dati inesatti rispetto alle finalità perseguite. Non sono state adottate misure correttive ex art. 58, par. 2, GDPR, proprio perché il titolare aveva già provveduto al ripristino.

Valutazioni del Garante sul diritto di accesso e sui termini di risposta

Con riguardo alle richieste dell'interessata, il Garante ha accertato che l'Azienda non aveva risposto nei termini previsti dall'art. 12 GDPR alle istanze di accesso formulate ai sensi dell'art. 15 GDPR. L'Autorità ha preso atto delle giustificazioni addotte, tra cui la complessità della ricostruzione dei fatti, le interlocuzioni telefoniche con l'interessata, il contesto lavorativo interno e il richiamato attacco informatico subito dall'Azienda, ma ha comunque ritenuto integrata la violazione dell'obbligo di risposta tempestiva e trasparente nei confronti dell'interessata.

Sanzione amministrativa e criteri di quantificazione

La violazione del principio di esattezza e quella relativa al ritardo nel riscontro sono state sanzionate ai sensi dell'art. 83, par. 5, GDPR e dell'art. 166 del Codice privacy. Per la violazione dell'art. 5, par. 1, lett. d) GDPR, il Garante ha ritenuto il livello di gravità lieve, valorizzando l'assenza di dolo, il carattere isolato dell'episodio, il contesto di urgenza sanitaria e l'avvenuto ripristino della scheda; la sanzione è stata fissata in euro 500. Per la violazione degli artt. 12 e 15 GDPR, il livello di gravità è stato considerato medio, in ragione dell'incidenza sugli obblighi di trasparenza verso un solo interessato; la sanzione è stata determinata in euro 3.000. L'importo complessivo è quindi pari a euro 3.500.

Misure accessorie e impugnazione

Tenuto conto della natura dei dati relativi alla salute coinvolti e della rilevanza della condotta rispetto ai diritti degli interessati, il Garante ha disposto la pubblicazione dell'ordinanza-ingiunzione sul proprio sito internet. È stata inoltre ordinata la pubblicazione del provvedimento sul sito dell'Autorità e l'annotazione delle violazioni nel registro interno. Avverso il provvedimento è ammessa opposizione all'autorità giudiziaria ordinaria nei termini di legge.