Dossier sanitario e accessi non autorizzati: il provvedimento del Garante n. 616 del 3 settembre 2026 — configurazione degli applicativi, alert automatici e responsabilità del titolare in un sistema informativo regionale condiviso

Abstract

Con il provvedimento n. 616 del 3 settembre 2026 il Garante per la protezione dei dati personali ha dichiarato illecita la condotta di un’azienda sanitaria universitaria che aveva configurato il dossier sanitario aziendale in modo da consentire la consultazione dei referti di una dipendente-paziente per finalità di organizzazione dei turni di reparto durante l’emergenza pandemica, in assenza di sistemi automatici di rilevamento delle anomalie di accesso e con un unico intervallo di blocco per inattività delle postazioni, fissato in trenta minuti, uguale per tutti gli ambiti operativi. L’Autorità ha ravvisato la violazione degli articoli 5, paragrafo 1, lettere a), b), c) e f), 9, 25 e 32 del Regolamento (UE) 2016/679, dell’articolo 75 del Codice e delle Linee guida in materia di Dossier sanitario del 2015, irrogando una sanzione di ventiquattromila euro e prescrizioni conformative a sessanta giorni. Si sostiene qui che il valore del provvedimento risieda meno nella sanzione che nella riaffermazione di due principi: la titolarità non si diluisce nel sistema informativo regionale condiviso e la sicurezza va progettata per contesto operativo, non per default uniforme.

Premessa

In premessa va detto che il dossier sanitario, nella ricostruzione costante dell’Autorità, è strumento distinto sia dalla cartella clinica sia dal Fascicolo sanitario elettronico: trattasi dell’insieme dei dati personali generati da eventi clinici occorsi presso un’unica struttura sanitaria, raccolti in un contenitore unitario consultabile dal personale che interviene nel processo di cura. Le “Linee guida in materia di Dossier sanitario” adottate dal Garante il 4 giugno 2015 e pubblicate in Gazzetta Ufficiale n. 164 del 17 luglio 2015 ne definiscono i presupposti: facoltatività per l’interessato, diritto di oscuramento, delimitazione degli accessi al personale coinvolto nel percorso di cura, profilazione delle autorizzazioni, tracciamento e controllo degli accessi mediante indicatori di anomalia. Come noto, tali linee guida continuano a produrre effetti anche dopo la piena applicazione del Regolamento (UE) 2016/679, in forza dell’articolo 22, comma 4, del decreto legislativo 101/2018, nei limiti della compatibilità con la disciplina europea.

Il perimetro dell’analisi che segue è quello del provvedimento n. 616 del 3 settembre 2026, adottato su reclamo di un’interessata nei confronti dell’Azienda sanitaria universitaria Friuli centrale. La vicenda tocca tre piani che nella prassi tendono a sovrapporsi e che invece il provvedimento tiene distinti: il piano della base giuridica — se e a quali condizioni un datore di lavoro che sia al tempo stesso struttura di cura possa attingere ai dati sanitari del proprio dipendente; il piano delle misure tecniche e organizzative — quali controlli il titolare debba predisporre per prevenire e rilevare accessi non autorizzati; il piano della ripartizione dei ruoli fra azienda sanitaria titolare, Regione e società in house responsabile del trattamento, in un contesto di applicativi comuni a tutto il servizio sanitario regionale. Per quanto di stretto interesse in questa sede, l’analisi si concentra sui profili di accountability e di sicurezza, che appaiono i più trasferibili ad altri contesti, anche extra-sanitari.

I fatti accertati e lo svolgimento dell’istruttoria

Il procedimento origina, secondo quanto riportato nel provvedimento, dal reclamo di una dipendente dell’azienda che lamentava plurime violazioni connesse al dossier sanitario aziendale. Le doglianze investivano, in primo luogo, un accesso avvenuto nel 2022 finalizzato a verificare il suo stato di positività al Covid-19 ai fini della programmazione dei turni in reparto; in secondo luogo, accessi da parte di professionisti sanitari che non avevano in cura la reclamante; in terzo luogo, la presunta possibilità di consultare referti di altre strutture attraverso il sistema di prenotazione denominato “SDAWEB”; inoltre, la configurazione che consentiva l’accesso trasversale a tutti i referti del dipartimento chirurgico a prescindere dalla presa in carico; infine, la lamentata assenza di file di log sul sistema di prenotazione.

Va segnalato che la stessa azienda avesse formulato un esposto alla Procura della Repubblica presso il Tribunale di Udine, qualificando come “non abusivo” il primo accesso, in quanto “effettuato su mandato della direzione medica” e “per lo svolgimento della prestazione lavorativa”, e come “impropri e illegittimi” gli accessi dei professionisti che non avevano in cura l’interessata, ipotizzando per questi ultimi la fattispecie di cui all’articolo 615-ter del codice penale. L’azienda rappresentava altresì che i professionisti lavorano su “pc condivisi” collocati in ambienti ad alto afflusso di personale e che, pertanto, qualcuno avrebbe potuto approfittare di una temporanea assenza del titolare dell’utenza.

Nel riscontro istruttorio l’azienda ha argomentato che, nel contesto emergenziale, “la conoscenza dell’esito negativo del tampone rappresentava la conditio sine qua non per l’accesso al reparto e l’unico strumento nella disponibilità dell’azienda che garantiva questa rapidità di verifica era, per l’appunto, il visore referti – dossier sanitario”, aggiungendo che “non era all’epoca possibile implementare altre modalità per effettuare le predette verifiche”. Quanto al blocco delle postazioni, l’azienda ha dichiarato che “tutti i PC dell’Azienda hanno una policy per cui lo schermo si blocca se non viene toccata la tastiera per più di 30 minuti”, precisando che “la scelta della tempistica è frutto del bilanciamento tra le esigenze operative dei sanitari e le esigenze di sicurezza” e che, nei reparti di emergenza, “l’operazione di effettuare il log out molto spesso non rientra tra le priorità degli operatori nel momento in cui vengono chiamati perché sta giungendo un codice rosso”.

Sul versante dell’accesso trasversale al dipartimento chirurgico, l’azienda ha ricondotto la scelta a “esigenze organizzative, legate alla rotazione del personale all’interno del dipartimento”, sostenendo che la configurazione “non ha mai agevolato o favorito accessi impropri alla documentazione sanitaria di terzi”. Quanto al sistema di prenotazione, l’azienda ha negato che consenta l’accesso a referti sanitari e ha elencato le operazioni tracciate, fra cui login e logout e l’identificativo dell’operatore per le registrazioni e gli annullamenti di appuntamento.

Rileva sul piano sistemico l’interlocuzione con la Regione Friuli Venezia Giulia e con la società in house che gestisce il Sistema Informativo Socio-Sanitario Regionale. La Regione, secondo il provvedimento, “non ha fornito direttamente elementi di merito”, rinviando alla nota della società quale responsabile del trattamento. Quest’ultima ha confermato che il “Visore Documenti” è componente applicativa comune messa a disposizione di tutte le aziende sanitarie e degli IRCCS, ha quantificato in circa sette milioni gli accessi registrati negli ultimi sei mesi — di cui oltre l’ottantadue per cento a seguito di presa in carico amministrativa e poco meno del diciotto per cento tramite autodichiarazione — e ha dato conto di un’evoluzione applicativa volta a rendere i titolari autonomi nella configurazione delle autodichiarazioni, con messa in produzione prevista entro il primo semestre 2026 “salvo una diversa prioritarizzazione di altre progettualità in itinere”. Ha inoltre dichiarato che “ad oggi non sono ancora implementate soluzioni di deep learning per l’analisi automatica dei comportamenti di accesso”, collocando tali approcci nel perimetro della strategia regionale in materia di “intelligenza artificiale”, in coerenza con la legge 132/2025.

Nell’incontro del 4 marzo 2026 con Regione, società in house e un’altra azienda sanitaria regionale è stata ribadita la titolarità dei trattamenti in capo alle aziende sanitarie e agli IRCCS, con la conseguente necessità che siano effettivamente rispettate le prerogative dei titolari.

Il quadro normativo di riferimento

La disciplina europea

Il primo ancoraggio è l’articolo 5, paragrafo 1, del Regolamento (UE) 2016/679, nelle lettere richiamate dalla contestazione. La lettera a) impone che i dati siano trattati “in modo lecito, corretto e trasparente nei confronti dell’interessato”; la lettera b) vincola la raccolta a “finalità determinate, esplicite e legittime” e vieta ulteriori trattamenti incompatibili; la lettera c) richiede che i dati siano “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”; la lettera f) impone il trattamento “in maniera da garantire un’adeguata sicurezza dei dati personali”, inclusa la protezione da trattamenti non autorizzati o illeciti. A questi si affianca il paragrafo 2 dello stesso articolo, che codifica la responsabilizzazione: il titolare è “competente per il rispetto del paragrafo 1 e in grado di comprovarlo”.

In termini più concreti, la combinazione fra limitazione della finalità e minimizzazione produce, nel dossier sanitario, un effetto preciso: l’accesso è legittimo soltanto se e nella misura in cui serva alla cura di quello specifico paziente da parte di quello specifico operatore. Ogni impiego ulteriore — organizzativo, amministrativo, gestionale, disciplinare — costituisce un trattamento per finalità diversa, che necessita di autonoma base giuridica e che, trattandosi di dati relativi alla salute, deve superare anche il vaglio dell’articolo 9.

L’articolo 9, paragrafo 1, pone infatti il divieto generale di trattare dati relativi alla salute, salvo le eccezioni del paragrafo 2. Il provvedimento richiama, in particolare, la lettera b) — trattamento necessario per assolvere obblighi ed esercitare diritti specifici in materia di diritto del lavoro e della sicurezza sociale, “nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo” e in presenza di garanzie appropriate —, la lettera g) sul motivo di interesse pubblico rilevante, la lettera h) sulla medicina del lavoro e la lettera i) sui motivi di interesse pubblico nel settore della sanità pubblica, che a sua volta esige una base normativa recante “misure appropriate e specifiche per tutelare i diritti e le libertà dell’interessato, in particolare il segreto professionale”.

Vengono poi in rilievo l’articolo 25 e l’articolo 32. Il primo, sulla protezione dei dati fin dalla progettazione e per impostazione predefinita, impone al titolare di attuare misure tecniche e organizzative adeguate — “sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso” — volte ad attuare in modo efficace i principi di protezione dei dati e a integrare nel trattamento le garanzie necessarie. Il secondo richiede misure “adeguate per garantire un livello di sicurezza adeguato al rischio”, tenendo conto dello stato dell’arte, dei costi di attuazione, nonché “della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche”.

Va detto che l’articolo 32 non prescrive misure nominate: non esiste un tempo di blocco schermo “a norma”, né un catalogo di alert obbligatori. La norma è a struttura aperta e rinvia a una valutazione del rischio che il titolare deve compiere e documentare. Proprio per questo, come si vedrà, la contestazione non riguarda tanto l’adozione di un valore piuttosto che un altro, quanto l’assenza di una differenziazione ragionata per contesto operativo.

Completa il quadro l’articolo 88, che consente al diritto degli Stati membri o ai contratti collettivi di prevedere norme più specifiche per il trattamento nel rapporto di lavoro, con garanzie appropriate per la dignità umana e gli interessi legittimi dei lavoratori; e i considerando 51, 52 e 53, che chiariscono la logica di eccezionalità del trattamento dei dati sanitari.

La disciplina nazionale

Sul piano interno, l’articolo 75 del decreto legislativo 196/2003 — nella formulazione risultante dalle modifiche del decreto legislativo 101/2018 — costituisce la disposizione cardine: il trattamento dei dati relativi alla salute effettuato per finalità di tutela della salute e incolumità fisica dell’interessato o di terzi o della collettività deve essere effettuato ai sensi degli articoli 9, paragrafi 2, lettere h) e i), e 3 del Regolamento, dell’articolo 2-septies del Codice, nonché nel rispetto delle specifiche disposizioni di settore. Trattasi, in sostanza, della norma che àncora l’intero trattamento sanitario alla cornice di eccezione dell’articolo 9 e alle misure di garanzia dell’Autorità.

Rilevano inoltre gli articoli 2-ter e 2-sexies del Codice quanto alla base giuridica del trattamento da parte di soggetti pubblici e ai motivi di interesse pubblico rilevante, nel testo applicabile ratione temporis; l’articolo 157 quanto al potere di richiedere informazioni; gli articoli 154-bis, 166 e 168 quanto alle procedure sanzionatorie, alla pubblicazione e alla responsabilità per dichiarazioni mendaci; l’articolo 152 e l’articolo 10 del decreto legislativo 150/2011 quanto all’opposizione giudiziaria. Sul versante lavoristico va richiamato il decreto legislativo 81/2008, che individua nel medico competente l’unico soggetto legittimato a svolgere la sorveglianza sanitaria, con la conseguente separazione funzionale rispetto al datore di lavoro, il quale può conoscere l’esito di idoneità ma non i dati clinici sottostanti.

Quanto alla disciplina emergenziale, il provvedimento richiama l’articolo 17-bis del decreto-legge 18/2020, precisando che esso “non ha e non avrebbe potuto derogare la disciplina sulla protezione dei dati che, si evidenzia, si fonda su un Regolamento europeo”, avendo invece previsto semplificazioni nella comunicazione fra titolari, applicabili solo se indispensabili e comunque nel rispetto dell’articolo 5 del Regolamento. L’affermazione è metodologicamente importante: il rapporto fra fonte europea direttamente applicabile e legislazione nazionale d’urgenza non è di deroga ma di specificazione entro i margini che il Regolamento stesso concede.

Le linee guida e i precedenti dell’Autorità

Le Linee guida in materia di Dossier sanitario del 4 giugno 2015 costituiscono il parametro tecnico-applicativo. Il provvedimento ne richiama in particolare il punto 7, lettera b), secondo cui “il titolare del trattamento deve mettere in opera sistemi per il controllo degli accessi anche al database e per il rilevamento di eventuali anomalie che possano configurare trattamenti illeciti, attraverso l’utilizzo di indicatori di anomalie (c.d. alert) utili per orientare successivi interventi di audit. Il titolare deve prefigurare, quindi, l’attivazione di specifici alert che individuino comportamenti anomali o a rischio relativi alle operazioni eseguite dagli incaricati del trattamento (es. relativi al numero degli accessi eseguiti, alla tipologia o all’ambito temporale degli stessi)”.

Sono inoltre richiamate le “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del 14 giugno 2007, n. 23, i cui principi il Garante considera “tuttora validi”; il documento di indirizzo del 14 maggio 2021 sul ruolo del datore di lavoro e del medico competente alla luce del quadro emergenziale; le FAQ in materia di trattamento dei dati nel contesto lavorativo pubblico e privato nell’ambito dell’emergenza sanitaria; nonché una serie di precedenti sanzionatori — il provvedimento del 26 maggio 2022, quello del 10 novembre 2022, quello del 12 ottobre 2023 e quello del 9 maggio 2024 — che hanno progressivamente scolpito i confini dell’uso del dossier. Sul piano europeo, la quantificazione della sanzione richiama le Linee guida 4/2022 del Comitato europeo per la protezione dei dati sul calcolo delle sanzioni amministrative pecuniarie, adottate nella versione del 24 maggio 2023.

L’uso del dossier per finalità organizzative: la tenuta del divieto anche in emergenza

Il primo nucleo della decisione riguarda l’accesso al dossier per verificare la positività della dipendente ai fini della turnistica. L’Autorità muove da una premessa strutturale: il dossier sanitario è strumento “facoltativo e per sua natura incompleto”, perché l’interessato può non aderirvi e può oscurare singoli eventi clinici. Ne discende, in termini più pragmatici, che il dossier non è e non può essere una fonte affidabile per decisioni amministrative: se un dipendente ha oscurato un referto, l’azienda che consultasse il dossier per organizzare i turni otterrebbe un’informazione strutturalmente parziale, con il paradosso di trattamenti illeciti e al tempo stesso inidonei allo scopo.

Il secondo passaggio è la separazione dei ruoli. Il datore di lavoro può trattare dati sulla salute dei dipendenti soltanto nei casi normativamente previsti, tipicamente su segnalazione del medico competente, unico soggetto legittimato alla sorveglianza sanitaria ai sensi del decreto legislativo 81/2008. Il Regolamento conferma tale impianto distinguendo, all’articolo 9, paragrafo 2, lettera h), i trattamenti di medicina del lavoro da quelli che il datore compie, ai sensi della lettera b), per assolvere obblighi in materia di diritto del lavoro. La circostanza che il medesimo ente sia al contempo datore di lavoro e struttura di cura non consente la commistione: le due qualità corrispondono a due titolarità funzionalmente distinte e a due basi giuridiche distinte.

Il terzo passaggio riguarda l’emergenza. L’azienda ha invocato i protocolli condivisi del 14 e del 24 marzo 2020 e il contratto collettivo del comparto sanità. L’Autorità replica che “nessuna disposizione adottata nel periodo pandemico, neanche i protocolli conclusi a livello nazionale (omissis) o il contratto collettivo nazionale di lavoro relativo al personale del comparto sanità richiamati dall’Azienda in atti, hanno disposto misure di deroga ai principi sopra richiamati, alla specifica disciplina applicabile al dossier sanitario o a quella relativa al trattamento dei dati effettuato nell’ambito del rapporto di lavoro”. La lettura appare allo scrivente coerente con il dato positivo: l’articolo 9, paragrafo 2, lettera b), richiede che il trattamento sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo; i protocolli prevedevano l’informazione al datore sulla condizione di salute nei casi ivi contemplati, ma non l’autonoma acquisizione dell’informazione da una banca dati clinica.

Merita attenzione il rigetto della difesa secondo cui, nel giorno dell’accesso, risultava aperto un percorso di cura per la reclamante, avendo la stessa prenotato un episodio ambulatoriale della medesima specialità. L’Autorità osserva che la circostanza non rileva “in quanto l’accesso non è stato effettuato per finalità di cura ma, come espressamente riconosciuto dall’Azienda, per la gestione dei turni di lavoro”. Si ritiene che il punto abbia portata generale: la liceità dell’accesso non si misura sulla mera esistenza formale di un titolo astratto di legittimazione — la presa in carico — ma sulla finalità concretamente perseguita dall’operatore in quel momento. In sostanza, un profilo autorizzativo correttamente configurato non sana un accesso finalizzato ad altro; la finalità è elemento del trattamento, non attributo dell’utenza.

Va infine segnalato il richiamo ai precedenti del 10 novembre 2022 e del 12 ottobre 2023: nel primo era stata sanzionata un’azienda che aveva allargato in via emergenziale le regole di visibilità a tutto il personale sanitario; nel secondo, un’azienda che aveva usato il dossier proprio per l’organizzazione dei turni. La ripetizione della fattispecie in contesti diversi suggerisce che non si tratti di un’anomalia isolata ma di una prassi organizzativa diffusa, maturata nell’urgenza e non successivamente rivista.

Le misure di sicurezza: alert automatici, controlli a campione, blocco per inattività

Il secondo nucleo della decisione è il più interessante per il professionista, perché tocca l’interpretazione operativa dell’articolo 32 e dell’articolo 25.

Quanto al monitoraggio degli accessi, l’azienda aveva rappresentato di aver avviato dal 2024 un sistema di rilevamento delle anomalie basato sull’esame di file Excel contenenti le risultanze di query eseguite sull’audit del visore. L’Autorità ha ritenuto la misura insufficiente, rilevando che l’azienda “non ha adottato un sistema per il rilevamento automatico di eventuali anomalie”, limitandosi “ad effettuare solo controlli a posteriori” in caso di contestazione da parte degli interessati. La distinzione è fra tracciamento e controllo: il log, di per sé, è condizione necessaria ma non sufficiente; ciò che le Linee guida del 2015 richiedono è un livello ulteriore, quello dell’analisi sistematica e possibilmente automatizzata dei log, con soglie e indicatori che segnalino i comportamenti anomali — numerosità degli accessi, tipologia, collocazione temporale — e orientino l’audit successivo.

Si ritiene che questa impostazione debba essere letta in continuità con la logica del rischio. In un sistema che registra, secondo i dati forniti in istruttoria, circa sette milioni di accessi in sei mesi su scala regionale, un controllo manuale a posteriori è statisticamente inidoneo a intercettare l’accesso abusivo isolato; l’efficacia deterrente risulta ridotta, perché l’operatore sa che la verifica interverrà, se mai, solo a fronte di un reclamo. In termini più pragmatici, l’automazione costituisce qui il presupposto di effettività della misura.

L’Autorità rileva inoltre che l’azienda non aveva adottato neppure un sistema di controllo a campione, osservando che si sarebbe potuto verificare periodicamente se le misure adottate determinassero accessi da parte di personale che non aveva preso in carico il paziente, e che “tale misura avrebbe senz’altro determinato un effetto dissuasivo”. Appare chiaro allo scrivente che il campionamento è qui valorizzato come misura organizzativa a basso costo, complementare e non alternativa all’alert automatico: una sorta di soglia minima di diligenza esigibile anche in assenza di strumenti evoluti.

Il profilo più discusso è quello del blocco automatico delle postazioni. L’azienda aveva fissato in trenta minuti l’intervallo di inattività, uniforme per tutti i dispositivi, motivandolo come bilanciamento fra esigenze operative e sicurezza, e argomentando che nei reparti di emergenza il logout manuale spesso non è materialmente eseguibile. Ha inoltre sostenuto che, data la condivisione degli spazi, “si potrebbe plausibilmente ipotizzare che chi ha effettivamente visualizzato l’elenco di documenti di XX si sia ‘impossessato’ della postazione pc loggata (omissis) dopo soli 2 minuti, o 5, o 10”, sicché anche un tempo di blocco inferiore non avrebbe impedito l’accesso.

L’Autorità respinge l’argomento osservando che “l’inserimento del blocco automatico in funzione delle specifiche esigenze connesse ai differenti ambiti operativi aziendali avrebbe ridotto il rischio di un accesso abusivo, ovvero avrebbe costituito una misura tecnica idonea per garantire un livello di sicurezza adeguato al rischio come richiede il Regolamento”. La contestazione, dunque, non verte sul numero trenta in sé, ma sull’assenza di differenziazione: la valutazione by design richiesta dall’articolo 25 impone di individuare tempi diversi per ambiti operativi diversi — la postazione di un ambulatorio a bassa rotazione non presenta lo stesso profilo di rischio di un terminale condiviso in pronto soccorso — “nell’intento di ridurre al minimo il tempo di latenza senza compromettere il requisito di efficacia del percorso assistenziale”.

Il ragionamento merita una considerazione critica di metodo, formulata in termini dubitativi. L’obiezione difensiva aveva una sua consistenza logica sul piano della causalità: se l’accesso è avvenuto pochi minuti dopo l’allontanamento dell’operatore, un timeout più breve non lo avrebbe impedito. Tuttavia, la responsabilità ex articolo 32 non è costruita sulla causalità dell’evento singolo ma sull’adeguatezza ex ante della misura rispetto al rischio: il titolare risponde di non aver predisposto un presidio proporzionato, indipendentemente dalla dimostrazione che quel presidio avrebbe impedito quello specifico accesso. Si ritiene che l’impostazione dell’Autorità sia corretta sul piano dogmatico, pur dovendosi riconoscere che essa sposta l’onere difensivo su un terreno arduo: al titolare non basta dimostrare l’inefficacia causale della misura omessa, occorrendo piuttosto dimostrare che la scelta adottata era il risultato di una valutazione documentata e ragionevole.

A ciò si aggiunge il rilievo sulla “vulnerabilità sistemica” nei confronti del comportamento doloso dei dipendenti, dichiarata dalla stessa azienda. L’Autorità osserva che tale consapevolezza “avrebbe dovuto suggerire al titolare di adottare ogni misura tecnica e organizzativa volta a ridurre il rischio di accessi non autorizzati anche attraverso misure con finalità deterrenti”. In sostanza, l’ammissione di una vulnerabilità nota si converte in aggravamento dell’obbligo: il rischio conosciuto e non mitigato è, nell’economia dell’articolo 32, meno difendibile del rischio ignoto. Si tratta di un passaggio che i titolari farebbero bene a considerare quando redigono valutazioni d’impatto e registri dei rischi, poiché documentare una minaccia senza documentare il trattamento del rischio espone a una contestazione più agevole.

L’accesso trasversale e la profondità di accesso

Un profilo ulteriore, che il provvedimento tratta nella parte motiva, riguarda la configurazione che consentiva al personale di consultare tutti i referti del dipartimento chirurgico a prescindere dalla presa in carico. L’azienda l’ha giustificata con la rotazione del personale all’interno del dipartimento.

L’Autorità ribadisce che le Linee guida richiedono al titolare di effettuare un monitoraggio delle ipotesi in cui il personale possa avere necessità di consultare il dossier per finalità di cura e, sulla base di tale ricognizione, di individuare i profili di autorizzazione; indicazione, si osserva, “perfettamente aderente al principio della ‘protezione dei dati fin dalla progettazione'”. Il Garante insiste inoltre sulla nozione di “profondità di accesso”, specie per il personale amministrativo: chi si occupa di prenotazioni deve poter consultare unicamente i dati indispensabili alla prenotazione, non l’intero contenuto clinico.

La difesa secondo cui la configurazione “non ha mai agevolato o favorito accessi impropri (omissis) e, infatti, mai sono giunte segnalazioni in tal senso” appare allo scrivente non decisiva per una ragione logica prima che giuridica: l’assenza di segnalazioni, in un contesto privo di controlli automatici sugli accessi, non è indice di assenza di accessi impropri ma, più probabilmente, di assenza di capacità di rilevarli. Il provvedimento non sviluppa espressamente questo argomento, ma la struttura della motivazione — che lega l’omesso monitoraggio all’impossibilità di intercettare le anomalie — appare coerente con tale lettura.

Va segnalato, per completezza e per correttezza verso la parte, che le contestazioni relative al sistema di prenotazione non risultano confermate nel dispositivo: l’azienda ha dichiarato che attraverso tale sistema non è possibile accedere ad alcun referto e ha descritto le operazioni tracciate. Non si ha evidenza, nel testo del provvedimento, di un accertamento contrario su questi punti, che restano dunque estranei alla dichiarazione di illiceità.

Titolarità, sistemi informativi regionali e responsabilità per la configurazione

Il profilo forse più rilevante in prospettiva di sistema è quello della ripartizione dei ruoli. La società in house ha rappresentato che gli interventi evolutivi sull’applicativo sono esaminati in tavoli tecnici cui partecipano i titolari e la società stessa, coordinati dalla direzione centrale salute, “per valutarne coerenza, fattibilità tecnico-organizzativa e priorità, tenendo conto delle risorse effettivamente disponibili”, e che i titolari “operano pertanto in un contesto di armonizzazione della scelta dei mezzi del trattamento, nell’ambito della convergenza verso un sistema regionale condiviso”.

La descrizione è, in sé, ragionevole sul piano dell’efficienza amministrativa. Il problema è la sua traduzione in termini di responsabilità. L’articolo 4, punto 7, del Regolamento definisce titolare chi determina finalità e mezzi del trattamento; l’articolo 28 configura il responsabile come chi tratta per conto del titolare e sulla base di istruzioni documentate. Quando la piattaforma è unica, sviluppata e manutenuta da un soggetto terzo su indirizzo regionale, e le evoluzioni dipendono da prioritarizzazioni sovraordinate, il titolare formale può trovarsi nella condizione di non poter modificare autonomamente le regole di visibilità. È esattamente ciò che è emerso in istruttoria, dove la società ha dichiarato che la funzionalità destinata a rendere i titolari autonomi nella configurazione delle autodichiarazioni era “in fase di completamento”, con messa in produzione prevista entro il primo semestre 2026 salvo diversa prioritarizzazione.

L’Autorità non accoglie questa circostanza come esimente. Nell’incontro del 4 marzo 2026 è stata “ribadita la titolarità dei trattamenti effettuati attraverso il dossier in capo alle aziende sanitarie regionali e agli IRCCS e, di conseguenza, la necessità che siano effettivamente rispettate le prerogative proprie delle predette aziende, in qualità di titolari del trattamento”. Si ritiene che il messaggio sia duplice e vada letto in entrambe le direzioni: da un lato, il titolare non può invocare la centralizzazione tecnologica per deresponsabilizzarsi; dall’altro, il fornitore e il coordinatore regionale non possono comprimere le prerogative del titolare fino a renderle nominali, perché ciò genererebbe una dissociazione fra responsabilità giuridica e potere effettivo di determinazione dei mezzi.

Va detto che la questione ha una rilevanza che eccede il caso di specie e riguarda tutte le amministrazioni che operano su piattaforme condivise, dagli applicativi sanitari regionali ai sistemi centralizzati della pubblica amministrazione. Appare chiaro allo scrivente che, in simili architetture, occorre almeno che il titolare disponga di leve documentate: la possibilità di richiedere formalmente modifiche, la tracciabilità delle richieste e dei riscontri, la definizione contrattuale dei livelli di servizio anche in materia di sicurezza, e — laddove la modifica non sia ottenibile nei tempi necessari — l’adozione di misure compensative organizzative sotto il proprio diretto controllo. Il provvedimento, del resto, valorizza proprio misure di questo tipo: il controllo a campione e la formazione sono presidi che nessuna prioritarizzazione regionale impedisce di attivare.

Si segnala, inoltre, che l’Autorità ha dato conto di un provvedimento sanzionatorio adottato il 3 luglio 2026 nei confronti di un’altra azienda sanitaria della medesima Regione, nell’ambito del quale erano state richieste informazioni alla Regione e alla società in house sullo stato degli interventi al sistema, riservandosi “l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento”. La riserva lascia intendere che l’attenzione dell’Autorità non si esaurisca sul singolo titolare ma investa la catena di governance regionale; non si ha evidenza, allo stato, di quali misure siano state poi adottate.

Un’ultima annotazione riguarda il riferimento della società in house alle tecnologie di “intelligenza artificiale” per l’analisi dei comportamenti di accesso, collocate nel quadro della legge 132/2025. Il tema è delicato: un sistema che analizzi i pattern di accesso del personale sanitario configura un trattamento dei dati dei lavoratori con finalità potenzialmente valutative, che richiede un’attenta verifica rispetto alle garanzie in materia di controlli a distanza e, nel perimetro del Regolamento (UE) 2024/1689, una valutazione della classificazione del sistema. Si ritiene che l’adozione di soluzioni di questo tipo non possa prescindere da una valutazione d’impatto ai sensi dell’articolo 35 del Regolamento (UE) 2016/679 e dal coinvolgimento delle rappresentanze sindacali secondo le procedure previste dall’ordinamento nazionale.

La quantificazione della sanzione e le prescrizioni conformative

Sul piano sanzionatorio, l’Autorità applica l’articolo 83, paragrafo 3, trattandosi di unica condotta produttiva di plurime violazioni, con conseguente applicazione del massimo edittale previsto per la violazione più grave, riconducibile al paragrafo 5 — che, per le violazioni dei principi, delle condizioni di liceità e dei diritti degli interessati, fissa il limite in venti milioni di euro o, per le imprese, nel 4 per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. La gravità complessiva è ritenuta “media”, con richiamo al punto 60 delle Linee guida 4/2022 del Comitato europeo per la protezione dei dati.

Gli elementi valorizzati nella quantificazione sono, secondo quanto riportato: la circostanza che l’uso del dossier per la turnistica sia avvenuto su mandato della direzione medica aziendale; la reiterazione degli interventi dell’Autorità sulla corretta configurazione del dossier, anche nei confronti di aziende della medesima Regione; il fatto che l’Autorità sia venuta a conoscenza del caso attraverso un reclamo. L’importo è determinato in ventiquattromila euro, con sanzione accessoria della pubblicazione dell’ordinanza-ingiunzione sul sito del Garante, motivata “in ragione dell’impatto che le impostazioni presenti sul dossier sanitario aziendale hanno potuto avere su un numero considerevole di pazienti”.

Si osserva che l’importo appare contenuto rispetto ai massimali edittali, e che la motivazione lascia intendere un bilanciamento fra la natura pubblica del titolare, il contesto emergenziale e, per converso, la circostanza aggravante della reiterazione di problematiche già oggetto di precedenti interventi nella stessa Regione. Il riferimento al “mandato della direzione medica” merita una lettura attenta: esso non attenua la responsabilità dell’ente, ma la conferma, poiché dimostra che la condotta non è stata l’iniziativa estemporanea di un singolo operatore bensì una prassi organizzativa avallata al livello direzionale — e dunque, per l’appunto, imputabile al titolare in quanto scelta di configurazione.

Quanto alle misure correttive, ai sensi dell’articolo 58, paragrafo 2, lettera d), l’Autorità ingiunge di far conoscere entro sessanta giorni le misure adottate per limitare l’accesso al dossier alle sole finalità di cura, escludendolo per il personale che agisce in qualità di datore di lavoro, e per introdurre indicatori di anomalie automatici e sistemi di blocco per inattività differenziati per ambito operativo. Ai sensi dell’articolo 58, paragrafo 1, lettera a), del Regolamento e dell’articolo 157 del Codice, è altresì prescritto di comunicare entro novanta giorni le iniziative intraprese. Resta ferma la facoltà di definizione agevolata mediante pagamento della metà dell’importo, ai sensi dell’articolo 166, comma 8, del Codice.

Adempimenti e indicazioni operative per DPO e titolari

Muovendo dal provvedimento, si suggerisce di affrontare la materia secondo una sequenza che parte dal censimento e arriva alla verifica di efficacia, tenendo presente che la maggior parte delle contestazioni qui esaminate non riguarda l’assenza assoluta di misure ma la loro indifferenziazione rispetto al contesto.

Il primo passaggio è la ricognizione delle finalità di accesso: si ritiene indispensabile che il titolare mappi, con il concorso delle direzioni sanitarie e dei responsabili di dipartimento, tutte le ipotesi concrete in cui il personale ha necessità di consultare il dossier, distinguendo gli accessi clinici da quelli amministrativi correlati alla cura, e verificando che non residuino impieghi organizzativi, gestionali o datoriali. La ricognizione non è un adempimento formale: le Linee guida del 2015 la pongono come presupposto logico della successiva profilazione, e il provvedimento la richiama espressamente come attuazione dell’articolo 25. Da essa discende la revisione dei profili autorizzativi, che deve tradurre la mappatura in regole di visibilità effettivamente differenziate, superando le configurazioni trasversali per dipartimento laddove non siano giustificate da un’effettiva rotazione assistenziale documentata; ove la rotazione esista, si suggerisce di privilegiare meccanismi di abilitazione dinamica legata al turno effettivo anziché abilitazioni statiche permanenti.

Strettamente connessa è la modulazione della profondità di accesso, che impone di distinguere non solo chi può accedere ma a che cosa: al personale amministrativo di prenotazione devono essere resi visibili i soli dati necessari alla prenotazione; al personale sanitario di una determinata specialità, i documenti pertinenti al percorso di cura in corso. In termini più pragmatici, la domanda da porsi in sede di configurazione non è “questo operatore è autorizzato al dossier?” ma “di quali informazioni ha bisogno questo operatore, in questo momento, per questo paziente?”.

Sul versante della sicurezza, il primo adempimento è la differenziazione dei tempi di blocco per inattività in funzione del contesto operativo. Si ritiene che il titolare debba condurre e documentare una valutazione che consideri, per ciascuna tipologia di postazione, il grado di condivisione, l’affluenza di personale e utenza, la collocazione fisica, la criticità delle informazioni accessibili e l’impatto operativo di un blocco frequente; da tale valutazione discenderanno valori differenziati, verosimilmente più stringenti per i terminali condivisi in aree ad alto transito. Ove tempi molto brevi risultino incompatibili con l’assistenza, si suggerisce di considerare misure compensative quali l’autenticazione tramite badge o token con sblocco rapido, la schermatura fisica dei monitor, il logout automatico su allontanamento del dispositivo di autenticazione, oppure la separazione fra sessione di sistema operativo e sessione applicativa, con timeout applicativo più aggressivo di quello di sistema.

Il nucleo dell’intervento riguarda tuttavia il sistema di rilevamento automatico delle anomalie. Occorre definire indicatori misurabili — numero di accessi per operatore in un dato intervallo, accessi a pazienti non presenti nella lista di presa in carico, accessi in fasce orarie incompatibili con il turno, accessi ripetuti allo stesso dossier, accessi a soggetti con cognome coincidente con quello dell’operatore, accessi a personalità note o a dipendenti della struttura — e associare a ciascuno una soglia di allerta, un destinatario della segnalazione e un flusso di verifica. Si ritiene che l’alert privo di un processo di gestione documentato equivalga, sul piano dell’accountability, all’alert assente: il provvedimento censura non solo la mancanza dello strumento ma la sua sostituzione con controlli a posteriori attivati solo dal reclamo. Parallelamente va istituito un programma di audit a campione, con periodicità definita, numerosità del campione motivata, criteri di selezione documentati e verbalizzazione degli esiti; l’Autorità ne valorizza espressamente la funzione dissuasiva, che opera a condizione che il personale sia informato della sua esistenza.

Su questo si innesta la formazione mirata e la dichiarazione di responsabilità: la formazione generica sul Regolamento non soddisfa il requisito posto dalle Linee guida, che richiedono una formazione specifica sulle condizioni di accesso al dossier, sulle conseguenze disciplinari e penali dell’accesso abusivo — con riferimento all’articolo 615-ter del codice penale — e sulle modalità corrette di chiusura della sessione. Si suggerisce di documentare presenze, contenuti ed esiti di verifica dell’apprendimento, e di rinnovare la formazione con cadenza almeno biennale e comunque a ogni modifica rilevante della configurazione.

Sul piano documentale, il titolare deve aggiornare la valutazione d’impatto sulla protezione dei dati relativa al dossier sanitario, che rientra pacificamente fra i trattamenti su larga scala di dati relativi alla salute per i quali l’articolo 35 del Regolamento la impone; la valutazione deve dare conto del rischio di accesso abusivo interno, delle misure adottate e del rischio residuo, e deve essere riesaminata alla luce delle evidenze provenienti dagli alert e dagli audit. Va inoltre verificata la coerenza del registro dei trattamenti, nel quale l’uso del dossier per finalità diverse dalla cura non deve comparire come trattamento ammesso, e va rivista l’informativa resa agli interessati, che deve chiarire in modo comprensibile il perimetro degli accessi, il diritto di oscuramento e la facoltà di non aderire.

Un capitolo autonomo riguarda i rapporti con il fornitore e con il coordinamento regionale. Si suggerisce di formalizzare per iscritto, nell’accordo ex articolo 28 del Regolamento, non solo le istruzioni generali ma i requisiti specifici di configurabilità: la possibilità per il titolare di definire autonomamente profili, profondità di accesso, indicatori di anomalia e tempi di conservazione dei log; i tempi di riscontro alle richieste di modifica; le modalità di escalation in caso di mancata implementazione. Ove la piattaforma non consenta al titolare l’autonomia richiesta, si ritiene opportuno che la circostanza sia formalmente rappresentata alla struttura regionale competente e documentata agli atti, accompagnata dall’individuazione delle misure compensative adottate nel frattempo: il provvedimento in esame non riconosce valore esimente alla centralizzazione, ma una condotta documentata e diligente costituisce elemento valutabile ai sensi dell’articolo 83, paragrafo 2.

Quanto alla gestione degli accessi anomali accertati, occorre predisporre una procedura che colleghi il rilevamento alla valutazione della violazione dei dati personali ai sensi degli articoli 33 e 34 del Regolamento, all’informazione dell’interessato ove ricorrano i presupposti, all’attivazione del procedimento disciplinare e, nei casi che integrino ipotesi di reato, alla segnalazione all’autorità giudiziaria. Si osserva che nel caso esaminato l’azienda aveva effettivamente presentato esposto alla Procura; tale iniziativa, pur apprezzabile, non è stata ritenuta idonea a compensare le carenze preventive, il che conferma che la reazione all’evento non surroga la sua prevenzione.

Infine, si suggerisce al responsabile della protezione dei dati di includere il dossier sanitario fra gli oggetti ricorrenti del proprio piano di monitoraggio ai sensi dell’articolo 39, paragrafo 1, lettera b), del Regolamento, verificando periodicamente non la mera esistenza delle procedure ma la loro effettiva applicazione: quanti alert sono stati generati, quanti audit eseguiti, quali esiti, quali azioni correttive. Nella prassi applicativa dei sistemi di gestione, la distanza fra procedura documentata e procedura praticata è il punto in cui più frequentemente si concentra la non conformità; e appare chiaro allo scrivente che, in materia di accessi al dossier, tale distanza è anche il punto in cui si concentra il rischio per gli interessati.

Conclusioni

Il provvedimento n. 616 del 3 settembre 2026 non introduce principi nuovi: ribadisce, con riferimenti espliciti ai propri precedenti del 2022, del 2023 e del 2024, un orientamento consolidato sull’uso del dossier sanitario. Proprio questa continuità, tuttavia, solleva la questione più interessante, che è di efficacia sistemica: se fattispecie sostanzialmente identiche si ripresentano a distanza di anni e all’interno della medesima Regione, occorre chiedersi se lo strumento sanzionatorio individuale, applicato al singolo titolare, sia sufficiente quando la causa della non conformità risiede in una configurazione applicativa condivisa da tutte le aziende del sistema. La riserva espressa dall’Autorità circa ulteriori misure correttive lascia intendere che il problema sia stato colto; non si ha evidenza, allo stato, degli sviluppi.

Resta aperta la questione della dissociazione fra titolarità formale e governo effettivo dei mezzi nei sistemi informativi centralizzati. La soluzione adottata — ribadire la titolarità aziendale e sollecitare il rispetto delle sue prerogative — è giuridicamente ineccepibile, ma lascia il titolare in una posizione scomoda quando la modifica richiesta dipende da prioritarizzazioni sovraordinate e da risorse non proprie. Si ritiene che l’evoluzione naturale di questo orientamento consista nel valorizzare, in sede di quantificazione e di valutazione della colpevolezza, la diligenza documentata del titolare nel sollecitare gli interventi e nell’adottare misure compensative; e, specularmente, nel considerare la responsabilità dei soggetti che governano l’architettura regionale, sia pure entro i confini che il Regolamento assegna al responsabile del trattamento ai sensi dell’articolo 28 e, ove ne ricorrano i presupposti fattuali, alla contitolarità ai sensi dell’articolo 26.

Una seconda prospettiva evolutiva riguarda l’automazione del controllo. L’Autorità richiede indicatori di anomalia automatici; la società in house prospetta l’impiego futuro di tecniche di apprendimento automatico per l’analisi dei comportamenti di accesso. Si apre qui un terreno di intersezione fra la disciplina della protezione dei dati, quella dei controlli sul lavoratore e quella del Regolamento (UE) 2024/1689: sistemi che profilano i comportamenti del personale sanitario, ancorché con finalità di sicurezza, incidono su interessi dei lavoratori e richiedono una progettazione che ne delimiti rigorosamente le finalità, escluda usi valutativi impropri e preveda intervento umano sulle segnalazioni. Appare chiaro allo scrivente che la soluzione tecnologica al problema degli accessi abusivi non è neutrale e reclama, a sua volta, una valutazione d’impatto e un confronto con le rappresentanze.

Un terzo profilo, meno esplorato, riguarda la coerenza fra dossier sanitario e Fascicolo sanitario elettronico nella sua configurazione attuale: la coesistenza di strumenti con regimi di consenso, oscuramento e visibilità differenti genera, per il personale operativo, una complessità che il provvedimento non affronta ma che costituisce, secondo il parere di chi scrive, una delle cause pratiche della confusione applicativa. Una razionalizzazione delle regole di accesso, anche a livello di linee guida aggiornate, agevolerebbe l’adempimento più di quanto non faccia la reiterazione di sanzioni di importo contenuto.

Infine, va segnalato che la vicenda conferma la centralità del reclamo dell’interessato come innesco dell’accertamento. L’Autorità lo annovera fra gli elementi considerati nella quantificazione. L’assenza di controlli interni automatici rimette all’iniziativa dell’interessato l’emersione delle non conformità; ciò, per un titolare pubblico che tratta dati sulla salute di milioni di persone, costituisce un profilo di criticità rilevante fra quelli emersi dall’istruttoria.

Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR)
• Regolamento (UE) 2024/1689 (AI Act)
• Decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)
• Decreto legislativo 9 aprile 2008, n. 81
• Decreto legislativo 1° settembre 2011, n. 150
• Decreto legislativo 10 agosto 2018, n. 101
• Legge 24 novembre 1981, n. 689
• Legge 23 settembre 2025, n. 132
• Decreto-legge 17 marzo 2020, n. 18
• Decreto-legge 8 ottobre 2021, n. 139
• Codice penale, articolo 615-ter
• Garante per la protezione dei dati personali, provvedimento 3 settembre 2026, n. 616
• Garante per la protezione dei dati personali, Linee guida in materia di Dossier sanitario, 4 giugno 2015
• Garante per la protezione dei dati personali, Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, 14 giugno 2007, n. 23
• Garante per la protezione dei dati personali, documento di indirizzo 14 maggio 2021
• Garante per la protezione dei dati personali, provvedimento 26 maggio 2022 [Nota redazionale: verificare il numero di raccolta del provvedimento 26 maggio 2022 prima della pubblicazione.]
• Garante per la protezione dei dati personali, provvedimento 10 novembre 2022
• Garante per la protezione dei dati personali, provvedimento 12 ottobre 2023
• Garante per la protezione dei dati personali, provvedimento 9 maggio 2024
• Garante per la protezione dei dati personali, regolamento n. 1/2000
• Garante per la protezione dei dati personali, regolamento n. 1/2019
• Comitato europeo per la protezione dei dati, Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR