Ordinanza ingiunzione o revoca n. 449 del 11/06/2026

ASL Lecce: carenze nella formalizzazione di autorizzazioni, istruzioni e formazione privacy nel reparto di Urologia

Il provvedimento riguarda ASL Lecce e trae origine da una segnalazione del Comando Carabinieri per la Tutela della Salute di Lecce, nell’ambito di accertamenti delegati dall’autorità giudiziaria. L’Autorità ha esaminato la gestione dei dati personali e sanitari dei pazienti ricoverati presso l’U.O.C. di Urologia del Presidio Ospedaliero "Vito Fazzi", concentrandosi su designazioni interne, istruzioni al personale, misure di sicurezza e formazione.

Origine del procedimento e fatti accertati

Dalla segnalazione e dagli accertamenti istruttori è emerso che l’Azienda non era in grado di esibire documentazione formale relativa alle procedure da adottare per tutelare la riservatezza dei dati sensibili dei pazienti. In particolare:

• non risultavano circolari o disposizioni interne specifiche per i reparti;
• non risultavano atti formali relativi alla nomina delle persone autorizzate al trattamento ai sensi dell’art. 2-quaterdecies del Codice;
• non era provata la consegna di istruzioni documentate al personale dell’U.O.C. di Urologia;
• non emergeva che il regolamento aziendale in materia di protezione dei dati personali fosse stato formalmente reso disponibile al personale interessato.

Sono state inoltre segnalate criticità materiali nella custodia delle cartelle cliniche: il carrello risultava munito di serratura ma, secondo quanto riferito, la chiave non era nella disponibilità del personale, con il contenitore di fatto lasciato aperto; il locale infermeria era presidiato ma la porta non veniva chiusa a chiave in caso di allontanamento.

Evento di violazione dei dati e formazione

Nel corso degli accertamenti è stata altresì segnalata una mancata comunicazione di un evento di violazione dei dati personali verificatosi il XX, relativo all’affiancamento all’attività lavorativa di un soggetto non autorizzato, reso possibile con la complicità di un dirigente medico poi sottoposto a procedimento disciplinare. L’Azienda ha rappresentato di aver reagito con verifiche interne e licenziamento senza preavviso del medico coinvolto, escludendo la necessità di notifica del data breach perché l’evento non avrebbe avuto finalità di esfiltrazione di dati.

È stato anche rappresentato che, pur essendo stati organizzati in precedenza diversi corsi aziendali in materia di privacy, nessuno dei 44 dipendenti dell’U.O.C. di Urologia aveva partecipato a tali iniziative al momento della segnalazione.

Difese dell’Azienda e ulteriori sviluppi organizzativi

ASL Lecce ha sostenuto che esistesse un modello organizzativo formalizzato con deliberazione del Direttore Generale n. 851 del 5 luglio 2019, che individuava i designati al trattamento e attribuiva loro il compito di nominare gli autorizzati e di impartire istruzioni, anche tramite modelli aziendali. Ha inoltre richiamato:

• istruzioni orali al personale;
• corsi di formazione già svolti e ulteriori corsi programmati;
• l’avvio di un piano obbligatorio di formazione su "Privacy e Cybersicurezza";
• la futura individuazione di referenti privacy in ciascuna unità complessa;
• la predisposizione di documentazione scaricabile dalla intranet aziendale.

Nel corso dell’audizione, l’Azienda ha ribadito la cooperazione con l’Autorità, ha sottolineato le difficoltà organizzative di una struttura con circa 9.000 dipendenti e ha affermato di aver successivamente formalizzato la designazione degli autorizzati, impegnandosi a rendere più capillari istruzioni e formazione.

Quadro normativo richiamato

Il Garante ha richiamato come norme rilevanti:

• l’art. 5, par. 1, lett. f), e par. 2, GDPR, sul principio di integrità e riservatezza e sull’accountability;
• l’art. 24 GDPR, sugli obblighi del titolare;
• l’art. 29 GDPR, sull’obbligo di istruzione di chi agisce sotto l’autorità del titolare;
• l’art. 32 GDPR, sulla sicurezza del trattamento;
• l’art. 2-quaterdecies del Codice privacy, sulla designazione di persone fisiche espressamente autorizzate;
• le Linee guida EDPB 07/2020, in particolare il punto 118, sulla necessità che le istruzioni del titolare siano documentate;
• l’art. 83 GDPR, per la determinazione della sanzione;
• gli artt. 58, par. 2, lett. i), e 166 del Codice, per l’adozione dell’ordinanza-ingiunzione.

Valutazioni del Garante

L’Autorità ha ritenuto che, al momento della segnalazione, il personale dell’U.O.C. di Urologia non fosse stato espressamente designato e che le istruzioni asseritamente impartite in forma orale non fossero state in alcun modo documentate. Di conseguenza, ASL Lecce non ha dimostrato:

• di aver correttamente designato le persone autorizzate al trattamento;
• di aver fornito istruzioni specifiche, adeguate e documentate;
• di aver adottato misure organizzative idonee ad assicurare riservatezza e consapevolezza del personale;
• di aver assicurato una formazione adeguata in materia di protezione dei dati personali.

Per il Garante ciò integra una violazione del principio di responsabilizzazione, poiché il titolare non è stato in grado di comprovare il rispetto degli obblighi previsti dal GDPR.

Sanzione, criteri di quantificazione e misure disposte

Il Garante ha qualificato la gravità della violazione come media, considerando natura, durata e contesto della stessa. Ai fini della quantificazione della sanzione ha tenuto conto, tra gli altri elementi:

• della difficoltà di assicurare formazione a un numero molto elevato di dipendenti;
• dell’assenza di precedenti provvedimenti e di violazioni pertinenti;
• del fatto che la violazione è emersa a seguito di segnalazione;
• della collaborazione proattiva e delle misure successive adottate dall’Azienda.

È stata quindi irrogata ad ASL Lecce una sanzione amministrativa pecuniaria di euro 4.500 per la violazione degli artt. 5, par. 1, lett. f), e par. 2, 24, 29 e 32 GDPR, nonché dell’art. 2-quaterdecies del Codice privacy. Il provvedimento precisa anche la possibilità di definizione agevolata della controversia mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice.

Infine, l’Autorità ha disposto:

• la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure nel registro interno previsto dal Regolamento del Garante n. 1/2019.