Ordinanza ingiunzione o revoca n. 481 del 03/07/2026

ASUGI - trattamento illecito tramite dossier sanitario e accessi non autorizzati

Il provvedimento riguarda l’Azienda sanitaria universitaria Giuliano Isontina (ASUGI) e l’utilizzo del dossier sanitario aziendale. Il Garante ha accertato un trattamento illecito di dati sulla salute a seguito di accessi non autorizzati effettuati da personale sanitario del reparto di pediatria, anche tramite la funzione di autodichiarazione.

Fatti e origine del procedimento

Il procedimento è stato avviato a seguito di una notifica di violazione dei dati personali ai sensi dell’art. 33 GDPR, trasmessa da ASUGI il 16 luglio 2025 e integrata l’11 agosto 2025. L’Azienda ha rappresentato che, dopo una richiesta di accesso ai dati trattati tramite dossier sanitario da parte dell’interessato, erano stati riscontrati ripetuti accessi al suo dossier da parte della ex coniuge e di altri tre sanitari operanti nel reparto di pediatria.

ASUGI ha precisato che il gestore del dossier sanitario aveva già raccolto il consenso dell’interessato e che alcune prestazioni non risultavano più visibili nel dossier per effetto di una richiesta di anonimato. È stato inoltre rappresentato che i sanitari avevano consultato non solo il dossier dell’interessato, ma anche quelli di altre tre persone a lui vicine. L’Azienda ha qualificato il potenziale impatto come elevato e ha segnalato di aver avviato procedimenti disciplinari e una comunicazione alla Procura della Repubblica.

I trattamenti esaminati e il sistema informativo utilizzato

Il trattamento riguardava il dossier sanitario aziendale, realizzato tramite lo strumento informatico denominato "Visore Documenti", fornito dalla Regione Friuli Venezia Giulia e sviluppato e mantenuto da Insiel S.p.A. ASUGI ha chiarito che il sistema prevedeva una limitazione automatica degli accessi al solo personale autorizzato e ai pazienti presi in carico dalla struttura, con possibilità di forzatura volontaria mediante autodichiarazione in caso di necessità o urgenza.

Nel corso dell’istruttoria è emerso che gli operatori coinvolti avevano utilizzato la forzatura dichiarando che i pazienti erano in cura presso la struttura ma non ancora registrati amministrativamente, circostanza poi risultata non vera. Il sistema, inoltre, non consentiva una differenziazione automatica dei profili di accesso per limitare la consultazione ai soli dati dei minori.

I rilievi del Garante sui profili di autorizzazione

Il Garante ha ritenuto che la configurazione del dossier sanitario non fosse conforme ai principi di base del trattamento e alle Linee guida in materia di dossier sanitario del 4 giugno 2015. In particolare, ha evidenziato che l’Azienda non aveva adottato misure tecniche e organizzative adeguate per garantire che i professionisti sanitari potessero accedere solo ai dossier dei pazienti effettivamente in carico.

Secondo l’Autorità, l’autodichiarazione doveva restare uno strumento eccezionale, riservato a casi in cui non fosse possibile predeterminare il paziente da prendere in carico, come pronto soccorso o guardia medica. Nel caso concreto, invece, l’uso della forzatura risultava divenuto uno strumento ordinario, impiegato in una quota significativa degli accessi al dossier.

Il Garante ha osservato che, per i percorsi in pediatria in cui possa rendersi necessario consultare dati di adulti, il trattamento deve comunque rispettare i presupposti di liceità, inclusi il consenso informato al dossier sanitario dell’interessato adulto e la presa in carico da parte del professionista che effettua l’accesso.

Controllo degli accessi, alert e audit

L’Autorità ha rilevato che, pur essendo presente la tracciatura completa degli accessi, ASUGI non aveva implementato sistemi automatici di rilevazione delle anomalie, né controlli periodici a campione sugli accessi effettuati tramite autodichiarazione. Il Garante ha richiamato le Linee guida del 2015, secondo cui il titolare deve mettere in opera sistemi di controllo degli accessi e alert idonei a intercettare comportamenti anomali o a rischio.

ASUGI ha riferito di aver chiesto già nel 2023 alla Regione e a Insiel S.p.A. varie evoluzioni: maggiore granularità dei profili di accesso, gestione più diffusa della presa in carico amministrativa, disponibilità dell’intera base dati dei log e strumenti di analisi automatica. Ha inoltre dichiarato di essere in procinto di adottare una procedura aziendale per controlli a campione trimestrali sugli accessi tramite forzatura, con verifica della coerenza tra accesso, mansioni, appartenenza alla struttura ed episodio di cura, oltre a reportistica interna e segnalazioni disciplinari.

Il Garante ha considerato tale procedura una misura tecnicamente e organizzativamente adeguata, già implementabile prima dei fatti, e ha rilevato che avrebbe avuto anche un effetto dissuasivo nei confronti degli accessi illeciti.

Titolarità del trattamento e ruolo della Regione/di Insiel

Nel provvedimento il Garante ha ribadito che la titolarità del trattamento effettuato tramite dossier sanitario è in capo alla struttura sanitaria che persegue le finalità di cura, e non alla Regione o al fornitore del software, anche se questi gestiscono il sistema informativo e ne detengono il codice sorgente. La Regione svolge funzioni di coordinamento e controllo del servizio sanitario regionale, ma non è titolare dei dati sulla salute trattati per finalità di cura.

L’Autorità ha richiamato anche giurisprudenza recente, affermando che l’Azienda sanitaria resta tenuta a esercitare tutte le proprie prerogative a tutela dei dati di cui è titolare, senza poter invocare come esimente eventuali vincoli derivanti da disposizioni regionali. In questo quadro, Regione Friuli Venezia Giulia e Insiel S.p.A. sono stati coinvolti per informare l’Autorità sulle misure in corso di adozione per rendere il sistema conforme.

Violazioni accertate

Il Garante ha ritenuto integrata la violazione dei seguenti principi e obblighi:

• liceità, correttezza e trasparenza del trattamento, nonché integrità e riservatezza, ex art. 5, par. 1, lett. a) e f), GDPR;
• protezione dei dati fin dalla progettazione e per impostazione predefinita, ex art. 25 GDPR;
• sicurezza del trattamento, ex art. 32 GDPR;
• regole specifiche e cautele previste dalle Linee guida sul dossier sanitario del 4 giugno 2015;
• trattamento di dati sulla salute senza adeguato presupposto giuridico, in relazione all’art. 9 GDPR.

L’Autorità ha concluso che la configurazione del sistema ha reso possibile l’accesso da parte di due medici e due infermieri a dossier di quattro interessati adulti non assistiti dai medesimi professionisti e non legati da vincoli di parentela con i pazienti del reparto, in assenza di un valido titolo per la consultazione.

Valutazioni conclusive e sanzione

Il Garante ha dichiarato l’illiceità del trattamento e ha ritenuto applicabile la sanzione amministrativa pecuniaria di cui all’art. 83, par. 4 e 5, GDPR. Nella quantificazione ha considerato la natura particolarmente sensibile dei dati trattati, il numero degli interessati coinvolti, i precedenti interventi del Garante sul tema, la collaborazione di ASUGI e le peculiarità del contesto regionale.

La sanzione è stata determinata in euro 10.000,00. L’Autorità ha inoltre disposto la pubblicazione del provvedimento sul proprio sito web, in ragione della gravità della condotta e della particolare rilevanza pubblica della disciplina sui dossier sanitari.

Ordini e richieste informative

Il Garante ha ordinato ad ASUGI di pagare la sanzione entro 30 giorni dalla notifica del provvedimento. Ha inoltre chiesto all’Azienda di comunicare entro lo stesso termine la data di adozione della procedura per la verifica degli accessi al Visore Referti/Dossier Sanitario Elettronico.

Alla Regione Friuli Venezia Giulia e a Insiel S.p.A. è stato chiesto di riferire, sempre entro 30 giorni, sulle misure adottate per rispondere alle richieste avanzate da ASUGI in tema di configurazione delle autodichiarazioni per l’accesso al dossier sanitario, tenuto conto che l’evoluzione applicativa era indicata come prevista entro il primo semestre 2026.

Il provvedimento dispone infine l’annotazione nel registro interno dell’Autorità e indica la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.