Ordinanza ingiunzione o revoca n. 346 del 14/05/2026

Illiceità del trattamento tramite dossier sanitario presso l’A.O.R.N. "Azienda ospedaliera dei colli" di Napoli

Il provvedimento riguarda il trattamento di dati sanitari effettuato dall’A.O.R.N. "Azienda ospedaliera dei colli" di Napoli mediante un dossier sanitario implementato sull’applicativo ASAP_sio. L’istruttoria è scaturita da un accertamento ispettivo del 20 e 21 gennaio 2026 volto a verificare il rispetto delle Linee guida del Garante in materia di dossier sanitario del 4 giugno 2015.

Attività ispettiva e configurazione del dossier

L’Azienda utilizzava dal 2022 la funzionalità di order entry del sistema ASAP_sio, fornito da Nexera srl e collegato al subfornitore Engineering, come dossier sanitario. Il dossier era alimentato con richieste di esami di laboratorio e radiologia e con i relativi referti, prodotti in occasione di prestazioni ambulatoriali, di pronto soccorso e di ricovero.

Nel corso dell’ispezione è emerso che:

• l’informativa in uso non era allineata al trattamento effettivamente svolto, poiché descriveva trattamenti ulteriori rispetto a quelli realmente presenti nel dossier;
• il consenso era raccolto una tantum al primo contatto, ma non era stato richiesto un consenso specifico per i c.d. dati pregressi;
• i professionisti sanitari erano abilitati con profili differenziati, ma la configurazione consentiva in alcuni casi accessi più ampi del necessario;
• la funzione "ricerca paziente" permetteva al medico di cercare qualsiasi assistito tramite nome, cognome, codice fiscale o data di nascita;
• erano tracciate solo creazione, modifica e cancellazione, non le consultazioni; per i login/logout era registrata solo la data e ora dell’ultimo accesso;
• non erano presenti sistemi di alert né audit log;
• non erano stati fissati termini specifici di conservazione, poi individuati solo dopo l’ispezione.

Rilievi in materia di trasparenza e informativa

Il Garante ha ritenuto violato l’art. 13 GDPR, in combinato con i principi di liceità, correttezza, trasparenza e limitazione della conservazione. L’informativa originaria non rappresentava correttamente il reale perimetro del dossier, non chiariva adeguatamente le tipologie di dati trattati e non indicava il periodo di conservazione.

Successivamente all’attività ispettiva, l’Azienda ha adottato una nuova informativa, più precisa sulla natura e tipologia dei dati contenuti nel dossier, limitandolo a richieste di esami e relativi referti e indicando un periodo di conservazione pari a 10 anni antecedenti alla data di consultazione.

Consenso ai dati pregressi

Le Linee guida del 2015 qualificano il dossier sanitario come trattamento facoltativo, ulteriore rispetto alla cura del singolo evento clinico, e richiedono un consenso specifico e informato anche per l’inserimento e la consultazione di eventi clinici pregressi rispetto all’istituzione del dossier.

Nel caso esaminato, l’Azienda aveva acquisito il consenso al dossier, ma non un consenso distinto per i dati pregressi, assumendo che il consenso all’attivazione del dossier valesse anche per i dati anteriori. Il Garante ha ritenuto tale impostazione non conforme, pur prendendo atto che l’Azienda ha poi riformulato i consensi includendo espressamente il pregresso.

Profili di accesso, limitazione delle finalità e minimizzazione

L’Autorità ha richiamato le Linee guida sul dossier sanitario, che impongono l’accesso al solo personale sanitario coinvolto nel processo di cura e l’adozione di profili autorizzativi coerenti con le effettive esigenze assistenziali.

Nel caso di specie, è stato rilevato che:

• la direzione sanitaria poteva accedere al dossier anche per attività di controllo della cartella clinica, finalità ritenuta estranea all’uso proprio del dossier;
• la funzione "ricerca paziente" consentiva al medico di individuare assistiti e visualizzare lo storico delle prestazioni, anche quando il paziente non era in cura presso quel medico in quel momento;
• l’accesso ai singoli documenti restava in parte limitato alla sola unità operativa di appartenenza, ma la possibilità di consultazione dello storico risultava comunque troppo ampia.

A seguito dell’ispezione, l’Azienda ha eliminato la funzione "ricerca paziente" e ha ricondotto l’accesso allo storico alla sola lista pazienti della U.O. di riferimento, con ulteriore limitazione temporale per i dimessi a 60 giorni dalla chiusura dell’evento clinico. È stato anche escluso l’uso del dossier per attività diverse dalla cura.

Tracciabilità degli accessi e misure di sicurezza

Le Linee guida richiamate dal Garante impongono la registrazione automatica degli accessi e delle operazioni compiute sul dossier, con conservazione dei log per almeno 24 mesi, oltre all’adozione di sistemi di alert per individuare anomalie o accessi a rischio.

All’atto dell’accertamento erano tracciate solo le operazioni di creazione, modifica e cancellazione; le consultazioni non erano registrate. Non erano presenti sistemi di alert né audit log. L’Azienda ha successivamente dichiarato di aver storicizzato login e logout, di registrare l’ultimo accesso e di aver esteso la tracciatura anche alle consultazioni del dossier, anche per poter fornire riscontro agli interessati sulle operazioni eseguite sul proprio dossier.

Valutazione complessiva e esito del procedimento

Il Garante ha ritenuto che il trattamento fosse illecito per violazione degli artt. 5, par. 1, lett. a), b), c), e) e f), 9, 13, 25 e 32 GDPR, dell’art. 75 del Codice privacy e delle Linee guida sul dossier sanitario. Ha inoltre osservato che il titolare non aveva fornito elementi idonei a superare i rilievi notificati con l’avvio del procedimento.

Poiché l’Azienda aveva già adottato le misure necessarie a conformare il trattamento, la condotta contestata era cessata e non ricorrevano i presupposti per ulteriori misure correttive ex art. 58, par. 2, GDPR.

Sanzione amministrativa e criteri di quantificazione

In applicazione degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 del Codice, il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 15.000,00. Nella quantificazione ha considerato, in particolare:

• la natura particolarmente sensibile dei dati sanitari trattati;
• la mole delle prestazioni annue, pari a circa 40.000;
• la durata della violazione, dal dicembre 2023;
• la tempestiva adozione delle misure correttive;
• l’assenza di reclami o segnalazioni;
• la collaborazione dell’Azienda e l’assenza di precedenti specifici;
• la circostanza che, per i dati pregressi, il paziente era comunque informato verbalmente e che l’accesso storico era comunque limitato quanto ai documenti visualizzabili.

Il Garante ha qualificato la gravità della violazione come media e ha richiamato i criteri di cui all’art. 83, par. 2 e 3 GDPR.

Dispositivo

Il provvedimento dispone:

• la dichiarazione di illiceità del trattamento;
• l’ingiunzione all’Azienda di pagare euro 15.000,00 entro 30 giorni dalla notifica;
• la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine per proporre ricorso;
• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito del Garante;
• l’annotazione nel registro interno dell’Autorità.

È inoltre prevista l’opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.