Ordinanza ingiunzione o revoca n. 474 del 04/08/2025

Azienda Ospedaliero-Universitaria Careggi: trattamento illecito tramite dossier sanitario e sanzione pecuniaria

Il Garante ha esaminato il trattamento di dati sanitari effettuato dall’Azienda Ospedaliero-Universitaria Careggi mediante applicativi riconducibili al dossier sanitario. Il procedimento è nato da un accertamento ispettivo volto a verificare la conformità del sistema alle Linee guida del 4 giugno 2015 sul dossier sanitario e alla disciplina del GDPR.

Origine del procedimento e attività ispettiva

Nel corso dell’ispezione è stato accertato che l’Azienda utilizzava due applicativi relativi alle cartelle ambulatoriali e di ricovero, tramite i quali erano possibili ricerche anche storiche sui pazienti e, secondo i profili di autorizzazione attribuiti, l’accesso a documentazione sanitaria di diverse unità operative. Il Garante ha ricondotto tali funzionalità alla nozione di dossier sanitario, in quanto consentivano una consultazione integrata di eventi clinici presenti e pregressi.

L’Azienda ha precisato che i dati sanitari erano accessibili a un numero elevato di operatori abilitati nel tempo e che i trattamenti non erano stati inizialmente adeguati alle novità introdotte dal Regolamento (UE) 2016/679. In sede ispettiva è emerso che non vi era una specifica informativa aggiornata, non era stato acquisito il consenso specifico per il dossier e l’oscuramento era limitato, di regola, all’intera cartella sanitaria.

Quadro normativo richiamato

Il Garante ha richiamato:

• gli artt. 5, par. 1, lett. a), b), c) e f), 9, 25 e 32 GDPR;
• l’art. 75 del d.lgs. 196/2003;
• le Linee guida in materia di dossier sanitario adottate il 4 giugno 2015.

L’Autorità ha ribadito che il dossier sanitario costituisce un trattamento autonomo e facoltativo, distinto dal trattamento svolto dal professionista sanitario per la prestazione di cura del singolo episodio clinico. Per questo richiede un’apposita informativa, il consenso esplicito dell’interessato, la possibilità di oscuramento di singoli eventi o documenti, l’informazione sul diritto di conoscere gli accessi e un’adeguata limitazione dei profili di accesso.

Violazioni riscontrate

Il Garante ha ritenuto accertate diverse criticità:

• mancata acquisizione di un consenso specifico e informato per il dossier sanitario;
• assenza, al momento dell’ispezione, di un’informativa adeguata e aggiornata;
• mancata previsione di oscuramenti parziali, con facoltà per l’interessato sostanzialmente limitata all’oscuramento dell’intera cartella;
• omessa informazione circa il diritto di conoscere gli accessi al dossier;
• configurazione dei profili di autorizzazione non sufficientemente aderente al principio di limitazione degli accessi al solo personale effettivamente coinvolto nel processo di cura;
• assenza, alla data dei controlli, di sistemi automatici di alert per individuare accessi anomali o a rischio.

Secondo l’Autorità, tali elementi hanno comportato la violazione dei principi di liceità, correttezza e trasparenza, integrità e riservatezza, nonché dei principi di protezione dei dati fin dalla progettazione e per impostazione predefinita.

Misure correttive adottate dall’Azienda

Dopo l’attività ispettiva, l’Azienda ha dichiarato di aver avviato e in parte completato una serie di interventi correttivi, tra cui:

• blocco degli accessi al dossier fino all’acquisizione del consenso del paziente;
• aggiornamento dell’informativa e della modulistica;
• introduzione di una procedura informatizzata con OTP per l’acquisizione di tre consensi distinti: attivazione del dossier, acquisizione degli eventi pregressi e inserimento di dati soggetti a maggior tutela;
• aggiornamento delle procedure per oscuramento, revoca dell’oscuramento e visione degli accessi;
• predisposizione di policy di provisioning e deprovisioning;
• formazione specifica del personale;
• controlli a campione sugli accessi;
• avvio della valutazione di impatto ex art. 35 GDPR;
• predisposizione di una procedura per la gestione dei data breach.

L’Azienda ha inoltre dichiarato di aver limitato l’accesso allo storico dei documenti sanitari al solo personale medico che ha in cura l’interessato e di aver ridotto la profondità temporale degli accessi, escludendo i documenti più risalenti oltre una soglia di 10 anni.

Valutazioni finali e sanzione

Il Garante ha ritenuto che le difese dell’Azienda non fossero idonee a superare i rilievi contestati. Ha quindi dichiarato l’illiceità del trattamento di dati personali effettuato tramite dossier sanitario in violazione degli artt. 5, par. 1, lett. a) e f), 9, 25 e 32 GDPR, dell’art. 75 del Codice privacy e delle Linee guida del 2015.

Pur prendendo atto che le misure correttive avevano fatto cessare gli effetti della condotta, l’Autorità ha ritenuto non applicabili misure correttive ulteriori e ha adottato ordinanza-ingiunzione ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR e dell’art. 166 del Codice.

Nella quantificazione della sanzione sono stati considerati, tra gli altri elementi:

• la natura particolarmente sensibile dei dati sanitari;
• il numero dei pazienti interessati;
• la durata della violazione, estesa per più anni;
• il fatto che il Garante abbia appreso la violazione tramite ispezione;
• la collaborazione dell’Azienda e l’assenza di precedenti specifici sul medesimo oggetto;
• la circostanza che non erano accessibili cartelle cliniche complete, ma solo alcune informazioni.

L’importo finale della sanzione è stato determinato in euro 20.000. Il Garante ha inoltre disposto la pubblicazione del provvedimento sul proprio sito internet e l’annotazione nel registro interno. Il testo segnala infine che il Tribunale di Firenze, con sentenza n. 1947/2026 del 9 aprile 2026, ha ridotto la sanzione a euro 20.000.