Dossier sanitario, accessi del personale e sicurezza: il Garante torna sui limiti di utilizzo dei dati sanitari
Con il provvedimento n. 616 del 3 settembre 2026, il Garante per la protezione dei dati personali torna ad occuparsi del dossier sanitario e, più in generale, dei limiti entro i quali le strutture sanitarie possono consentire al proprio personale l’accesso alle informazioni relative alla salute dei pazienti.
Il caso trae origine dal reclamo di una dipendente di una Azienda sanitaria del nord Italia, la quale aveva lamentato alcuni accessi al proprio dossier sanitario. Tra questi assume particolare rilievo quello effettuato, durante l’emergenza pandemica, allo scopo di verificare la positività al Covid-19 della lavoratrice e organizzare conseguentemente i turni di reparto. Altri accessi risultavano invece effettuati da professionisti sanitari che non avevano in cura l’interessata.
La prima indicazione che emerge dal provvedimento riguarda la rigorosa delimitazione delle finalità del dossier sanitario. Secondo il Garante, esso costituisce uno strumento destinato alla cura del paziente e non può trasformarsi in una banca dati utilizzabile dall’azienda sanitaria per finalità ulteriori, neppure quando queste siano connesse all’organizzazione dell’attività sanitaria.
È particolarmente significativa, sotto questo profilo, la circostanza che l’Azienda rivestisse contemporaneamente la posizione di struttura sanitaria e di datore di lavoro dell’interessata. La coincidenza soggettiva del titolare non determina, infatti, una sovrapposizione delle finalità del trattamento: i dati raccolti e resi disponibili per finalità di cura non diventano, per ciò solo, utilizzabili per la gestione del rapporto di lavoro.
Neppure l’emergenza pandemica, osserva l’Autorità, aveva determinato una generale sospensione dei principi del GDPR. Le disposizioni emergenziali avevano introdotto alcune semplificazioni, ma non avevano derogato ai principi di liceità, limitazione della finalità e minimizzazione. Il dossier sanitario non poteva pertanto essere utilizzato per conoscere direttamente lo stato di salute del dipendente ai fini dell’organizzazione dei turni. Né assume rilievo che, al momento dell’accesso, fosse formalmente aperto un percorso di cura: ciò che conta è la finalità concreta per la quale l’accesso viene effettuato.
Ma il profilo forse più interessante del provvedimento riguarda la sicurezza degli accessi.
L’Azienda aveva configurato il blocco automatico delle postazioni dopo trenta minuti di inattività, evidenziando le difficoltà operative proprie, in particolare, dei reparti di emergenza. Il Garante ritiene tuttavia insufficiente una soluzione uniforme: il tempo di inattività deve essere determinato by design, sulla base del rischio e delle caratteristiche dei differenti contesti operativi, riducendo quanto più possibile l’intervallo durante il quale una postazione lasciata incustodita può essere utilizzata da altri soggetti.
Ancora più rilevante è l’affermazione relativa ai controlli. Non è sufficiente conservare i log e utilizzarli quando emerge una contestazione. Il titolare deve predisporre strumenti capaci di individuare in modo automatico comportamenti anomali, mediante indicatori – i c.d. alert – costruiti, ad esempio, sul numero, sulla tipologia e sulla collocazione temporale degli accessi. A ciò possono affiancarsi controlli a campione, ai quali il Garante riconosce anche una funzione deterrente.
È un passaggio importante perché traduce l’accountability da principio astratto a requisito tecnico-organizzativo: in sistemi che consentono l’accesso a grandi quantità di dati sanitari, la sicurezza non può essere soltanto reattiva, ma deve divenire proattiva, cercando di intercettare l’anomalia prima che sia l’interessato a segnalarla.
Il Garante ha quindi accertato la violazione degli artt. 5, 9, 25 e 32 GDPR, dell’art. 75 del Codice privacy e delle Linee guida sul dossier sanitario del 2015, irrogando una importante sanzione e prescrivendo all’Azienda di limitare l’utilizzo del dossier alle finalità di cura e di introdurre alert automatici e sistemi di blocco delle postazioni calibrati sui diversi contesti operativi.
Al di là dell’importo della sanzione, il provvedimento contiene dunque un’indicazione di portata più generale: la disponibilità tecnica di un dato non coincide con la sua utilizzabilità giuridica. E, soprattutto, quando si trattano dati sanitari, non è sufficiente autorizzare correttamente gli accessi: occorre progettare sistemi capaci di prevenire, rilevare e rendere concretamente verificabili gli utilizzi impropri.
Avv. Juri Monducci