Con il Provvedimento 3 settembre 2026, n. 616 (testo in calce), il Garante per la protezione dei dati personali torna su un tema che riguarda non soltanto la gestione delle informazioni sanitarie, ma anche il modo in cui i sistemi informativi vengono progettati. La vicenda dell’Azienda sanitaria universitaria Friuli Centrale (ASUFC) mette infatti in relazione tre profili strettamente connessi: la corretta individuazione della finalità del trattamento, la delimitazione degli accessi e l’adozione di misure di sicurezza adeguate al rischio.
Il punto di partenza è un accesso al dossier sanitario di una dipendente effettuato per verificare la sua positività al Covid-19 in vista dell’organizzazione dei turni. Un’esigenza organizzativa comprensibile, soprattutto nel pieno dell’emergenza pandemica, ma perseguita attraverso uno strumento destinato a una funzione diversa.
Il provvedimento è interessante proprio perché sposta l’attenzione dalla condotta del singolo operatore alla struttura del sistema. Non basta, infatti, stabilire formalmente quali accessi siano consentiti: il titolare deve progettare il trattamento in modo che le autorizzazioni, la profondità delle informazioni consultabili, il monitoraggio degli accessi e le misure di sicurezza siano coerenti con la finalità perseguita e con il rischio concreto.
La decisione offre così una lettura molto concreta di alcuni principi ormai centrali nel GDPR, dalla limitazione della finalità alla privacy by design, dalla minimizzazione all’accountability. E mostra come, in sanità, la protezione dei dati non possa essere considerata soltanto un problema di procedure interne, ma debba essere incorporata nell’architettura tecnologica con cui quei dati vengono trattati.
Il caso ASUFC
Con il provvedimento n. 616 del 3 settembre 2026, il Garante per la protezione dei dati personali è tornato sul rapporto tra dossier sanitario, organizzazione del lavoro e sicurezza dei sistemi informativi. La vicenda riguarda l’Azienda sanitaria universitaria Friuli Centrale (ASUFC) ed è nata dal reclamo di una dipendente.
Tra gli episodi esaminati vi è un accesso effettuato nel 2022 al dossier della lavoratrice per verificarne la positività al Covid-19 in vista dell’organizzazione dei turni. L’Azienda aveva spiegato che, in piena emergenza, la verifica tempestiva degli esiti dei tamponi era funzionale alla tutela dei pazienti e del personale e che il “visore referti” era allora lo strumento più rapido disponibile.
Il Garante ha però separato l’esigenza organizzativa dallo strumento utilizzato per perseguirla. Il dossier sanitario è destinato alla condivisione delle informazioni necessarie al percorso di cura e non può essere utilizzato come fonte informativa per sapere quali lavoratori siano disponibili a svolgere il servizio.
Il punto non cambia per il fatto che l’accesso sia avvenuto in una struttura sanitaria che, contemporaneamente, riveste il ruolo di datore di lavoro. La stessa organizzazione può essere titolare di trattamenti differenti, ma ciascun trattamento conserva finalità e limiti propri.
| Trattamento dei dati personali nell’intelligenza artificiale tra GDPR e AI ACT, 12 ore – 4 incontri live, Altalex Formazione. Il Corso è rivolto ad Avvocati, Consulenti informatici, Consulenti privacy, Dirigenti, Manager, impiegati e funzionari di aziende private ed Enti pubblici, Responsabili della protezione dei dati. Scopri subito programma e relatori |
La pandemia non amplia la finalità del dossier
La difesa dell’Azienda faceva leva sul contesto emergenziale e sull’art. 17-bis del d.l. n. 18/2020. Il Garante ha ricordato che la normativa emergenziale aveva previsto alcune semplificazioni nel trattamento e nella comunicazione dei dati personali, purché indispensabili alla gestione dell’emergenza, ma non aveva derogato ai principi dell’art. 5 GDPR né introdotto una generale possibilità di utilizzare il dossier sanitario per finalità organizzative.
La stessa conclusione era già emersa nella prassi dell’Autorità. Nel provvedimento del 12 ottobre 2023, n. 473, relativo all’ASST di Lodi, il Garante aveva esaminato accessi al dossier compiuti per conoscere gli esiti dei tamponi dei colleghi e organizzare i turni, escludendo che tale utilizzo potesse essere ricondotto alla finalità di cura. Nel caso ASUFC, l’Autorità richiama inoltre il precedente del 10 novembre 2022 sull’estensione delle regole di visibilità del dossier durante la pandemia.
La questione, quindi, non è se l’organizzazione del servizio sanitario sia un’esigenza legittima. Il problema è se, per soddisfarla, possa essere utilizzato uno strumento creato per una funzione diversa. Per il Garante, nel caso esaminato, la risposta è negativa.
Questo non significa che il datore di lavoro non possa trattare dati relativi alla salute del dipendente. Significa che tale trattamento deve trovare il proprio specifico fondamento giuridico e rispettare necessità e minimizzazione. Sapere che un lavoratore non è disponibile non equivale, di regola, a conoscere referti, diagnosi o ulteriori informazioni cliniche.
Privacy by design: non basta decidere chi può entrare
La parte più interessante del provvedimento riguarda la configurazione del sistema. Le Linee guida sul dossier sanitario del 4 giugno 2015 già chiedevano ai titolari di individuare profili di autorizzazione coerenti con le concrete esigenze di cura. Il provvedimento del 2026 collega espressamente questa impostazione all’art. 25 GDPR: la protezione dei dati deve essere incorporata nella progettazione del trattamento, non affidata soltanto alle istruzioni rivolte agli operatori.
Non basta, dunque, stabilire quali categorie di utenti siano abilitate ad accedere al dossier. Occorre stabilire anche che cosa possano vedere. È la cosiddetta “profondità di accesso”: un soggetto che deve svolgere una funzione amministrativa collegata alla cura non ha necessariamente bisogno di visualizzare l’intera documentazione clinica. Il Garante aveva già richiamato questo principio nel provvedimento del 9 maggio 2024 relativo all’Azienda ospedale-università di Padova.
La distinzione è particolarmente importante nei sistemi sanitari complessi, dove una piattaforma è utilizzata da professionalità diverse. La matrice dei permessi, la segregazione dei ruoli e la limitazione delle informazioni visualizzabili diventano così misure sostanziali di protezione dei dati.
È significativo, in questo senso, che il dossier utilizzato dalle aziende sanitarie friulane sia inserito in un’infrastruttura regionale comune. Nel corso dell’istruttoria è emerso che il “Visore Documenti” è una componente del Sistema Informativo Socio-Sanitario Regionale messa a disposizione dalla Regione attraverso Insiel.
L’esistenza di un sistema condiviso, però, non elimina la responsabilità delle singole aziende in qualità di titolari dei trattamenti. La standardizzazione dell’infrastruttura deve quindi convivere con una configurazione degli accessi coerente con le diverse funzioni.
 GDPR e Normativa Privacy Commentario, A cura di: Belisario Ernesto, Riccio Giovanni Maria, Scorza Guido, Ed. Ipsoa, 2022. Il volume offre il commento dei singoli articoli del Regolamento n. 2016/679/UE, integrato con le norme del decreto di adeguamento della normativa nazionale (d.lgs. n. 101/2018).Scarica gratuitamente l’estratto |
Trenta minuti, alert e sicurezza adeguata al rischio
Un secondo passaggio riguarda il blocco automatico dei computer. ASUFC aveva previsto, per tutte le postazioni, il blocco dopo trenta minuti di inattività, anche per ragioni organizzative legate ai reparti di emergenza, nei quali un operatore può essere chiamato ad abbandonare improvvisamente la postazione.
Il Garante non ha stabilito che trenta minuti siano, in assoluto, un intervallo illecito. Ha censurato l’adozione di un’unica soglia per tutti i dispositivi aziendali, senza una valutazione differenziata delle esigenze dei diversi ambiti operativi. La misura di sicurezza deve infatti essere adeguata al rischio concreto, secondo l’art. 32 GDPR.
La stessa impostazione è coerente con la sentenza della Corte di giustizia del 14 dicembre 2023, causa C-340/21, che richiede una valutazione concreta dell’adeguatezza delle misure di sicurezza, in rapporto ai rischi dello specifico trattamento. Il GDPR non impone l’eliminazione di ogni rischio, ma una gestione del rischio proporzionata alla natura del trattamento.
Lo stesso vale per il monitoraggio degli accessi. ASUFC aveva riferito di avere avviato dal 2024 verifiche mediante estrazioni e analisi di file Excel. Secondo il Garante, ciò non equivale a un sistema automatico di individuazione delle anomalie. Le Linee guida del 2015 chiedono invece di predisporre indicatori di anomalia, o alert, utili a far emergere comportamenti a rischio e a orientare i successivi controlli.
Non viene prescritto l’uso di una particolare tecnologia: ciò che rileva è la capacità del sistema di individuare automaticamente comportamenti anomali, per esempio in relazione al numero, alla tipologia o alla collocazione temporale degli accessi. La protezione deve quindi funzionare come processo continuo e non soltanto come verifica successiva al reclamo.
Conclusioni
Il Garante ha accertato la violazione degli artt. 5, 9, 25 e 32 GDPR, dell’art. 75 del Codice privacy e delle Linee guida del 2015, irrogando ad ASUFC una sanzione amministrativa di 24.000 euro.
Nella quantificazione, l’Autorità ha considerato, tra l’altro, la natura sanitaria dei dati, il contesto pandemico, il fatto che l’accesso fosse avvenuto su mandato della direzione medica e le scelte di configurazione del dossier operate a livello regionale e aziendale.
Accanto alla sanzione economica, il provvedimento impone misure correttive: limitare l’accesso al dossier alle finalità di cura, escludendolo quando il personale opera nella qualità di datore di lavoro dell’interessato, introdurre alert automatici e configurare il blocco delle postazioni tenendo
IN COLLABORAZIONE CON
>> Scopri il Corso online il trattamento dei dati personali nell’utilizzo dell’intelligenza artificiale di Altalex!
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
