Ordinanza ingiunzione o revoca n. 487 del 11/09/2025

Casa di Cura Città di Roma - trattamento illecito del dossier sanitario e sanzione pecuniaria

Il Garante per la protezione dei dati personali ha concluso un procedimento avviato a seguito di un accertamento ispettivo presso la Casa di Cura Città di Roma, relativo alla configurazione e gestione del dossier sanitario elettronico. L’Autorità ha ritenuto che, alla data dell’ispezione, il trattamento non fosse conforme al GDPR, al Codice privacy e alle Linee guida sul dossier sanitario del 4 giugno 2015.

Origine del procedimento e contesto dell’istruttoria

L’attività ispettiva è stata svolta per verificare il rispetto della disciplina in materia di protezione dei dati personali, con focus specifico sul dossier sanitario. La struttura utilizzava un software gestionale che svolgeva anche le funzioni di dossier sanitario, impiegato per finalità di cura e, in forma limitata, per alcune attività amministrative. Al dossier non accedevano strutture esterne.

Nel corso dell’istruttoria sono state esaminate:

• le modalità di acquisizione del consenso al dossier sanitario;
• il trattamento dei dati relativi a eventi pregressi;
• l’informativa resa agli interessati;
• i profili di autorizzazione del personale;
• la tracciabilità degli accessi e delle operazioni;
• le misure tecniche e organizzative di sicurezza.

Quadro normativo richiamato

Il Garante richiama in particolare:

• gli artt. 5, par. 1, lett. a), b), c) e f), par. 2, 9, 25 e 32 GDPR;
• l’art. 75 del Codice privacy;
• le Linee guida in materia di dossier sanitario del 4 giugno 2015;
• il principio di accountability e quello di protezione dei dati sin dalla progettazione e per impostazione predefinita.

L’Autorità ribadisce che il dossier sanitario costituisce un trattamento facoltativo e distinto rispetto alla singola prestazione sanitaria, con necessità di consenso specifico e informato dell’interessato, inclusa la facoltà di opporsi all’inserimento del pregresso.

Consenso al dossier e consenso al pregresso

Dagli accertamenti è emerso che la Casa di Cura raccoglieva il consenso al dossier sanitario in forma cartacea e lo registrava nel gestionale tramite flag. Tuttavia, la manifestazione di consenso al dossier comportava automaticamente anche il consenso al trattamento delle informazioni relative a eventi sanitari pregressi all’istituzione del dossier.

Il Garante ha considerato tale configurazione non conforme alle Linee guida, poiché il consenso al pregresso deve essere espresso in modo specifico e informato, non potendo essere automaticamente ricompreso nel consenso al dossier. L’Autorità ha inoltre rilevato che la struttura non era stata in grado di comprovare pienamente le modalità di espressione del diniego al trattamento tramite dossier per tutti i pazienti indicati.

Informativa e diritto di conoscere gli accessi

Un ulteriore profilo di criticità ha riguardato l’informativa. Pur essendo stata fornita un’informativa estesa, questa non riportava adeguatamente il diritto dell’interessato di conoscere gli accessi effettuati sul proprio dossier sanitario, con indicazione della struttura o reparto, della data e dell’ora.

Nel corso dell’ispezione la Casa di Cura aveva dichiarato di non essere in grado di fornire tale riscontro, perché le consultazioni non erano tracciate con il livello di dettaglio richiesto. Solo successivamente la struttura ha riferito di aver attivato un modulo aggiuntivo che avrebbe consentito la rilevazione dei log di accesso e delle operazioni eseguite.

Il Garante ha ritenuto che, al momento dell’accertamento, la configurazione del dossier fosse comunque in violazione del principio di liceità, correttezza e trasparenza.

Profili di autorizzazione e accesso al dossier

L’istruttoria ha evidenziato che la profilazione degli accessi non era sufficientemente limitata alle effettive esigenze di cura.

In sintesi, è emerso che:

• il profilo medico poteva accedere alla documentazione sanitaria di tutti i pazienti ricoverati e dimessi in tutti i reparti, anche senza una concreta necessità di intervento sul caso;
• il profilo infermieristico poteva consultare i dati sanitari di pazienti ricoverati in qualsiasi reparto e, tramite funzione di ricerca, anche di pazienti dimessi in passato;
• il profilo amministrativo poteva visualizzare informazioni sanitarie, dati di dimissione e contenuti del registro operatorio, con accesso alla SDO in chiaro.

Il Garante ha osservato che il dossier sanitario deve essere accessibile solo al personale che interviene nel processo di cura, e che, per eventuali funzioni amministrative correlate alla cura, l’accesso deve essere limitato ai soli dati necessari. La configurazione riscontrata è stata quindi ritenuta in contrasto con i principi di minimizzazione, limitazione della finalità, accountability e privacy by design.

Tracciabilità degli accessi, log e alert

La Casa di Cura ha dichiarato che, alla data dell’ispezione, il sistema registrava solo alcune operazioni tecniche e i login/logout, ma non le consultazioni del dossier. Non erano inoltre presenti sistemi automatici di alert per individuare anomalie o accessi a rischio, né erano effettuati controlli a campione sui file di log.

Le Linee guida sul dossier sanitario richiedono invece:

• la registrazione automatica degli accessi e delle operazioni compiute;
• l’indicazione, per ogni accesso, di almeno codice identificativo dell’operatore, data e ora, postazione di lavoro, identificativo del paziente e tipologia di operazione;
• la conservazione dei log per almeno 24 mesi;
• sistemi di alert e controllo per intercettare anomalie e possibili trattamenti illeciti.

Il Garante ha quindi accertato la violazione degli artt. 25 e 32 GDPR e delle Linee guida del 2015.

Misure correttive adottate successivamente

Nel corso del procedimento la Casa di Cura ha comunicato di aver avviato o completato alcune misure correttive, tra cui:

• richiesta di attivazione di un modulo aggiuntivo del software gestionale per la tracciabilità dei log;
• riconfigurazione dei profili di autorizzazione per le diverse classi di utenza;
• aggiornamento del materiale formativo, includendo una sezione specifica sul dossier sanitario;
• svolgimento di corsi di formazione dedicati per il personale;
• aggiornamento delle nomine e delle istruzioni ai soggetti autorizzati;
• predisposizione di un ordine di servizio per registrare anche le generalità del soggetto che presta il consenso per il minore.

L’Autorità ha preso atto di tali interventi, osservando però che essi non eliminavano l’illiceità della configurazione riscontrata al momento degli accertamenti.

Valutazioni del Garante e qualificazione della violazione

Il Garante ha ritenuto che il trattamento fosse illecito per pluralità di profili, con violazione degli artt. 5, 9, 25 e 32 GDPR e dell’art. 75 del Codice, oltre che delle Linee guida sul dossier sanitario.

Ha sottolineato che:

• i dati trattati erano dati sanitari, quindi particolarmente sensibili;
• il numero degli interessati coinvolti era elevato;
• la violazione si protraeva dal 2017;
• le carenze riguardavano aspetti strutturali di progettazione del sistema e non meri errori episodici.

Pur considerando la collaborazione della struttura, l’assenza di precedenti specifici e le misure correttive adottate, il Garante ha ritenuto la gravità complessiva della violazione di livello medio.

Sanzione, criteri di quantificazione e pubblicazione

In applicazione dell’art. 83 GDPR e dell’art. 166 del Codice, il Garante ha irrogato alla Casa di Cura Città di Roma una sanzione amministrativa pecuniaria pari a 12.000 euro.

Nella quantificazione sono stati valorizzati, tra gli altri, i seguenti elementi:

• adozione successiva di misure correttive;
• scoperta delle violazioni tramite accertamenti d’ufficio;
• collaborazione durante l’ispezione;
• assenza di precedenti specifici;
• circostanza che, in alcuni casi, l’accesso ai dati era comunque parzialmente limitato.

Il Garante ha inoltre disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito istituzionale;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione nel registro interno delle violazioni e delle misure adottate.

Termini di pagamento e impugnazione

La Casa di Cura deve pagare la sanzione entro 30 giorni dalla notifica del provvedimento, con facoltà di definizione agevolata mediante pagamento della metà dell’importo nei termini previsti dalla legge. Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge.