Ordinanza ingiunzione o revoca n. 533 del 25/09/2025

Azienda Ospedaliero Universitaria di Ferrara: illecito trattamento tramite dossier sanitario

Il Garante ha esaminato il trattamento di dati sulla salute effettuato dall’Azienda Ospedaliero Universitaria di Ferrara attraverso il dossier sanitario aziendale (Patient Organizer di SAP), a seguito del reclamo di una dipendente che lamentava la possibile divulgazione di informazioni cliniche relative a un aborto. L’istruttoria ha riguardato la configurazione dei profili di accesso, l’uso di utenze generiche e l’ampiezza delle consultazioni consentite a diverse categorie di personale.

Origine del reclamo e svolgimento dell’istruttoria

La reclamante, dipendente dell’ospedale, ha riferito che notizie molto dettagliate sul proprio evento clinico sarebbero circolate tra colleghi, anche su un gruppo di lavoro WhatsApp, ipotizzando un’estrazione dei dati dal sistema informatico ospedaliero. L’Ufficio ha chiesto chiarimenti all’Azienda, che ha descritto il funzionamento del dossier sanitario, i sistemi di autenticazione e di tracciamento, nonché le misure adottate dopo il reclamo, tra cui l’eliminazione di alcune utenze generiche e la revisione dei profili di accesso.

Quadro normativo richiamato

Il Garante ha richiamato gli artt. 5, par. 1, lett. a), b), c) e f), 9, 25 e 32 del GDPR, nonché le Linee guida in materia di dossier sanitario del 4 giugno 2015. È stato ribadito che il dossier sanitario è un trattamento ulteriore e facoltativo rispetto alla singola cura, utilizzabile solo per finalità di assistenza e con accesso limitato al personale sanitario che interviene nel processo di cura. L’Autorità ha richiamato anche il principio di protezione dei dati fin dalla progettazione e per impostazione predefinita, oltre all’esigenza di misure tecniche e organizzative adeguate al rischio.

Profili di autorizzazione e utenze generiche

Dagli atti è emerso che, all’epoca dei fatti, erano ancora in uso utenze generiche, compresa un’utenza della radiologia da cui è risultato l’accesso al dossier della reclamante. Il Garante ha ritenuto che l’utilizzo di account non nominali impedisse una corretta attribuzione delle operazioni e pregiudicasse il controllo da parte del titolare, in violazione degli obblighi di sicurezza e dei principi di privacy by design/by default. È stato inoltre evidenziato che l’accesso al dossier era consentito a personale che non era coinvolto nella cura della reclamante.

Accessi consentiti per finalità diverse dalla cura

Il provvedimento censura l’uso del dossier anche per finalità estranee alla cura, in particolare:

• organizzazione di visite mediche preventive e periodiche del personale esposto a rischio professionale;
• attività del personale di guardiania, sebbene limitate ad alcune informazioni;
• accesso di utenze amministrative di reparto;
• accesso di utenze infermieristiche che emettono attestazioni di avvenuta prestazione specialistica;
• accesso dei medici del lavoro.

Secondo il Garante, tali finalità devono essere perseguite con strumenti diversi dal dossier sanitario, anche perché questo può essere incompleto per effetto dell’oscuramento esercitabile dall’interessato.

Profondità dell’accesso e limitazione dei dati

L’Autorità ha ritenuto non conforme che taluni profili potessero accedere a tutte le tipologie di referti e cartelle cliniche. In particolare, per il profilo delle utenze infermieristiche che rilasciano attestazioni di prestazione specialistica, l’accesso avrebbe dovuto essere limitato al solo elenco delle prestazioni per le quali è consentito rilasciare l’attestazione, senza visualizzare i referti completi. Il Garante ha ribadito che spetta al titolare determinare la c.d. profondità dell’accesso, limitandolo a quanto indispensabile per la funzione svolta.

Valutazioni su farmacovigilanza e guardiania

È stata ritenuta illegittima anche la modalità di accesso denominata “farmacovigilanza”: la normativa di settore richiamata dall’Azienda non prevede infatti il ricorso al dossier sanitario, ma l’accesso a una base dati completa e distinta per verificare completezza e congruità dei dati. Quanto al personale di guardiania, l’Azienda ha precisato che l’accesso era limitato alle informazioni necessarie a individuare reparto, stanza e letto del paziente; tale aspetto è stato tuttavia ricondotto nel più ampio contesto delle criticità di configurazione del dossier.

Violazioni accertate

Il Garante ha dichiarato l’illiceità del trattamento per violazione dei principi di base del trattamento e delle Linee guida sul dossier sanitario, in particolare per:

• accesso al dossier da parte di soggetti non coinvolti nel percorso di cura;
• uso di utenze generiche e non nominali;
• accessi consentiti per finalità diverse dalla cura;
• mancata limitazione della profondità dell’accesso;
• insufficiente conformazione del trattamento ai principi di liceità, minimizzazione, limitazione della finalità, integrità e riservatezza, privacy by design e privacy by default.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d) e dell’art. 157 del Codice, il Garante ha ingiunto all’Azienda di:

• eliminare l’accesso al dossier sanitario con la modalità denominata “farmacovigilanza”, assicurando ai soggetti previsti dalla normativa l’accesso a una base dati completa;
• limitare l’accesso del profilo delle utenze infermieristiche che emettono attestazioni di avvenuta prestazione specialistica al solo elenco delle prestazioni rilevanti;
• trasmettere entro 90 giorni dalla notifica idonea documentazione sulle misure adottate e sulle misure previste nella procedura aziendale per il nuovo dossier sanitario CDR.

Sanzione e pubblicazione

Per le violazioni accertate è stata applicata una sanzione amministrativa pecuniaria di euro 20.000,00, determinata tenendo conto, tra l’altro, della natura particolarmente sensibile dei dati, del numero elevato di interessati coinvolti (175.582 pazienti), della durata della violazione, della collaborazione dell’Azienda e delle misure correttive temporaneamente adottate. Il Garante ha inoltre disposto la pubblicazione dell’ordinanza-ingiunzione sul proprio sito internet e l’annotazione nel registro interno delle violazioni.