VEDI ANCHE Newsletter dell'11 settembre 2026

[doc. web n. 10293994]

Provvedimento del 3 settembre 2026

Registro dei provvedimenti
n. 616 del 3 settembre 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente e il dott. Agostino Ghiglia, componenti e l’Avv. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), (di seguito “Codice”);

VISTE le “Linee guida in materia di Dossier sanitario” adottate dal Garante il 4 giugno 2015 (Provvedimento pubblicato in G.U. 164 del 17 luglio 2015, doc. web n. 4084632);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n.9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n.1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1 Origine dell’istruttoria preliminare

L’Autorità ha ricevuto il reclamo di XX che ha lamentato plurime violazioni della disciplina relativa al trattamento dei dati personali effettuato dall’Azienda sanitaria universitaria Friuli centrale (ASUFC) attraverso il dossier sanitario aziendale.

In particolare, le principali doglianze hanno riguardato i seguenti aspetti:

1. accesso nel 2022 al dossier sanitario della reclamante da parte della XX per verificare lo stato di positività al Covid-19 della stessa, al fine di effettuare i turni in reparto. Al riguardo, nella copia -presente in atti- dell’esposto formulato da ASUFC alla Procura della Repubblica presso il Tribunale di Udine, l’Azienda qualifica tale accesso come “non abusivo”, in quanto “effettuato su mandato della direzione medica” “per lo svolgimento della prestazione lavorativa”;

2. accesso al dossier sanitario della reclamante da parte dei XX, XX, XX che non avevano in cura la stessa. Con riferimento a tali accessi, nella copia del citato esposto -presente in atti- l’Azienda qualifica tali accessi come “impropri e illegittimi” in quanto la reclamante non era in cura presso i suddetti professionisti sanitari e ipotizza la fattispecie di reato di cui all’art. 615 ter del Codice, specificando che i suddetti professionisti lavorano su “pc condivisi” siti in stanze ad alto afflusso di personale e che pertanto qualcuno potrebbe aver approfittato di una temporanea assenza del titolare dell’utenza per accedere al dossier della reclamante;

3. possibilità per il personale sanitario di accedere anche a referti di altre strutture sanitarie (es. CRO di Aviano) attraverso il sistema di prenotazione “SDAWEB” (cfr. nota di ASUFC priva di data a firma dell’XX in risposta alla reclamante- in atti);

4. possibilità per il personale sanitario di accedere, tramite il dossier sanitario, a tutti i referti del dipartimento chirurgico a prescindere dalla presa in carico del paziente (c.d. accesso trasversale) (cfr. nota di ASUFC priva di data a firma dell’XX in risposta alla reclamante- in atti);

5. mancanza di file di log di accesso al sistema di prenotazione “SDAWEB” (cfr. nota di ASUFC priva di data a firma dell’XX in risposta alla reclamante- in atti).

1.2 Attività svolta

A seguito del predetto reclamo, l’Ufficio ha chiesto informazioni all’ASUFC con la nota del 4 marzo 2026 (prot. n. 33109) a cui è stato fornito riscontro con la nota del 1° aprile 2026, in cui è stato rappresentato, in particolare, in merito al richiamato:

punto 1 che:

“l’esigenza di conoscere tempestivamente l’esito dei tamponi era dettata anche dalla necessità di tutelare la salute dei pazienti ricoverati presso le varie strutture e dello stesso personale aziendale. (…) la conoscenza dell’esito negativo del tampone rappresentava la conditio sine qua non per l’accesso al reparto e l’unico strumento nella disponibilità dell’azienda che garantiva questa rapidità di verifica era, per l’appunto, il visore referti – dossier sanitario. Visto il periodo emergenziale e le note difficoltà che ha comportato nella gestione organizzativa delle aziende sanitarie, non era all’epoca possibile implementare altre modalità per effettuare le predette verifiche”;

“Se è vero che, in conformità alle Linee Guida, il dossier sanitario è consultabile da parte del personale sanitario nel processo di cura del paziente è vero anche che, in un contesto emergenziale come quello causato dal Covid 19, l’utilizzo del medesimo strumento – sempre e comunque in via eccezionale - per le verifiche descritte poteva ritenersi giustificato dal fatto che la finalità perseguita attraverso l’uso dello stesso era volto esclusivamente a tutelare in modo diretto la salute dell’operatore e, indirettamente, la salute dei pazienti”;

punto 2 che:

“l’accesso al dossier avviene tramite l’inserimento di credenziali personali e che, attualmente, tutti i PC dell’Azienda hanno una policy per cui lo schermo si blocca se non viene toccata la tastiera per più di 30 minuti. Per riprendere la sessione si deve inserire di nuovo utente e password. In alternativa, l’utente, prima di allontanarsi, può bloccare la postazione premendo i tasti CTRL-ALT-CANC. La scelta della tempistica è frutto del bilanciamento tra le esigenze operative dei sanitari e le esigenze di sicurezza”. Gli operatori coinvolti nella fattispecie in esame lavorano in un reparto di emergenza e “l’operazione di effettuare il log out molto spesso non rientra tra le priorità degli operatori nel momento in cui vengono chiamati perché sta giungendo un codice rosso o per l’improvviso peggioramento di un paziente e alcune volte non vi è neanche il tempo di farlo”;

sono stati effettuati corsi di formazione al personale sull’uso del visore referti nel 2022 e nel 2024 e “a seguito della messa a disposizione da parte di Insiel dell’apposito cruscotto, si è dato avvio anche ad un’attività periodica di audit nei confronti degli operatori che accedevano al dossier sanitario previa compilazione della dichiarazione di responsabilità”;

punto 3 che:

“Attraverso il sistema di prenotazione SDAWEB non è possibile accedere ad alcun referto sanitario”;

punto 4 che:

la possibilità per il personale sanitario di accedere, tramite il dossier sanitario, a tutti i referti del dipartimento chirurgico a prescindere dalla presa in carico del paziente (c.d. accesso trasversale) “risponde ad esigenze organizzative, legate alla rotazione del personale all’interno del dipartimento, che hanno imposto la trasversalità delle visibilità sul dipartimento chirurgico”. “La configurazione così adottata, a quanto consta, non ha mai agevolato o favorito accessi impropri alla documentazione sanitaria di terzi e, infatti, mai sono giunte segnalazioni in tal senso”;

punto 5 che:

il sistema SADA Web traccia: “le operazioni di login/logout dal sistema; l’identificativo dell’operatore che ha eseguito le operazioni di registrazione, annullo di un appuntamento; l’identificativo dell’operatore che ha eseguito le operazioni amministrative di gestione dei documenti (fatture, note, ricevute, rimborsi, operazioni di cassa)”.

In merito alla configurazione del dossier sanitario nelle aziende della Regione Friuli Venezia Giulia, questo Ufficio, con nota dell’11 novembre 2025 (prot. n. 153069), ha chiesto informazioni alla predetta Regione e ad Insiel S.p.A..

Con mail del 18 dicembre 2025, la citata Regione ha inviato una nota di risposta in cui non ha fornito direttamente elementi di merito rispetto a quanto richiesto da questo Ufficio, limitandosi a rinviare, per un “riscontro congiunto e coordinato”, a quanto indicato nella nota formulata da Insiel S.p.A., quale responsabile del trattamento dei dati di titolarità delle aziende del Servizio Sanitario Regionale (SSR).

Nella predetta risposta Insiel ha confermato che lo strumento Visore Documenti è in uso nell’ambito del Sistema Informativo Socio-Sanitario Regionale (SISSR), quale componente applicativa comune, e che è messo a disposizione di tutte le Aziende Sanitarie e degli IRCCS dalla Regione.

In tale risposta è stato, in particolare, rappresentato che:

negli ultimi sei mesi, il Visore Documenti ha registrato complessivamente circa sette milioni di accessi, di cui oltre l’82% effettuati a seguito di presa in carico amministrativa e poco meno del 18% tramite autodichiarazione;

“La nuova funzionalità tesa a rendere i Titolari del trattamento autonomi nella configurazione delle autodichiarazioni, in coerenza con la propria organizzazione e con i rispettivi percorsi assistenziali, è in fase di completamento; la relativa evoluzione applicativa è in corso di realizzazione, con messa in produzione prevista al momento, salvo una diversa prioritarizzazione di altre progettualità in itinere, entro il primo semestre 2026”;

“in riferimento alle evoluzioni della maschera di autocertificazione, consentirà di modulare una precisa profondità di accesso anche per ruolo e per specifica professionalità in un determinato percorso di cura”;

“Ad oggi non sono ancora implementate soluzioni di deep learning per l’analisi automatica dei comportamenti di accesso; tali approcci, tuttavia, si collocano nel perimetro della più ampia strategia regionale di impiego di tecnologie di IA in ambito sanitario, in coerenza con la Legge 23 settembre 2025, n. 132 in materia di intelligenza artificiale”.

Con specifico riferimento al margine di autonomia delle aziende sanitarie in merito alle modifiche da apportare al dossier sanitario, Insiel ha specificato che “L’applicativo Visore Documenti rientra nel portafoglio delle soluzioni del Sistema Informativo Socio-Sanitario Regionale (SISSR), rese disponibili dalla Regione Friuli Venezia Giulia, tramite INSIEL, a tutte le Aziende del SSR e agli IRCCS. Gli interventi evolutivi e gli adeguamenti di sistema vengono esaminati in tavoli tecnici cui partecipano i Titolari e INSIEL, coordinati dalla DCS, per valutarne coerenza, fattibilità tecnico-organizzativa e priorità, tenendo conto delle risorse effettivamente disponibili e dei benefici attesi per l’intero SSR, privilegiando soluzioni scalabili e uniformi. INSIEL, sulla base degli esiti del confronto, recepisce gli indirizzi condivisi e li traduce in interventi di implementazione tecnica, assicurandone la sostenibilità tecnologica. I Titolari del trattamento operano pertanto in un contesto di armonizzazione della scelta dei mezzi del trattamento, nell’ambito della convergenza verso un sistema regionale condiviso”.

In relazione a quanto rappresentato in atti, su richiesta dell’Ufficio, in data 4 marzo 2026 si è svolto un incontro da remoto con i rappresentanti della Regione Friuli Venezia Giulia, di Insiel e di un’altra azienda sanitaria regionale nell’ambito del quale è stata ribadita la titolarità dei trattamenti effettuati attraverso il dossier in capo alle aziende sanitarie regionali e agli IRCSS e, di conseguenza, la necessità che siano effettivamente rispettate le prerogative proprie delle predette aziende, in qualità di titolari del trattamento, volte a garantire il pieno rispetto della disciplina sulla protezione dei dati personali.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE

2.1 Avvio del procedimento (art. 166, comma 5, del Codice)

In base all’esame degli elementi acquisiti nel corso delle attività sopra descritte e all’accertamento delle presunte violazioni, con nota del 4 maggio 2026 (prot. n. 67418), notificata ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del titolare del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Le presunte violazioni contestate sono la violazione dei principi di base del trattamento di cui agli artt. 5, par. 1, lett. a), b) c) e f), 9, 25 e 32 del Regolamento, dell’art. 75 del Codice e delle Linee guida in materia di Dossier sanitario del 4 giugno 2015. La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 4 e par. 5 del Regolamento.

2.2 Difese della Parte (art. 166, comma 6, del Codice)

Con memoria del 28 maggio 2026, l’Azienda ha ribadito quanto già rappresentato in atti ed ha evidenziato, in particolare, che:

- “L’utilizzo del medesimo, seppur come già detto in via eccezionale, per le verifiche descritte, si ritiene possa collocarsi in linea con i vari Protocolli conclusi a livello nazionale per il contrasto e il contenimento della diffusione del virus SARS-CoV-2/COVID-19 negli ambienti di lavoro (Protocollo condiviso di regolazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro dd. 14.3.2020; Protocollo per la prevenzione e la sicurezza dei lavoratori della Sanità, dei Servizi Socio Sanitari e Socio Assistenziali in ordine all'emergenza sanitaria da «Covid-19» dd. 24.3.2020) nei quali è prevista l’informazione al datore di lavoro sulla condizione di salute del lavoratore, ma anche in linea con la mission istituzionale di ogni azienda sanitaria, ovvero la funzione assistenziale”;

- “sia il contratto collettivo nazionale di lavoro relativo al personale del comparto sanità, che il regolamento aziendale dell’orario di lavoro della dirigenza sanitaria prevedono che la programmazione della turnistica sia formalizzata entro il giorno 20 del mese precedente”;

- “nella giornata in cui XX ha visionato il proprio referto era aperto un percorso di cura – ovvero risultava una presa in carico per la stessa - in quanto aveva prenotato un episodio ambulatoriale per la medesima specialità”;

- sin dal 2024 è stato avviato un sistema per il rilevamento di eventuali anomalie attraverso l’esame di file Excel che contiene l’insieme delle risultanze delle query eseguite sull’audit del visore;

- “Considerato l’elevato numero di personale in turno, la condivisione degli spazi di lavoro, soprattutto nelle aree di pronto soccorso, ed in assenza di riscontri probatori certi si potrebbe plausibilmente ipotizzare che chi ha effettivamente visualizzato l’elenco di documenti di XX si sia “impossessato” della postazione pc loggata con le note credenziali dopo soli 2 minuti, o 5, o 10 da quando il collega titolare dell’account aveva lasciato la postazione e, quindi, anche in presenza di un tempo di blocco inferiore l’accesso si sarebbe comunque verificato”;

- l’Azienda ha una “vulnerabilità sistemica” nei confronti del comportamento doloso dei dipendenti.

3. VALUTAZIONI DELL’AUTORITA’.

In base ai profili fattuali sopra evidenziati e alle affermazioni rese dall’Azienda nel corso dell’istruttoria svolta dall’Ufficio, di cui i dichiaranti rispondono ai sensi dell’art. 168 Codice, si ritiene di confermare le violazioni rilevate nell’atto di contestazione per le ragioni di seguito esposte.

In via preliminare, si rappresenta che il trattamento di dati personali deve avvenire nel rispetto della normativa applicabile in materia di protezione dei dati personali e, in particolare, delle disposizioni del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, il “Regolamento”) e del d.lgs. n. 196 del 30 giugno 2003 (Codice in materia di protezione dei dati personali – di seguito, il “Codice”).

Con riferimento ai trattamenti in esame, il Garante ha adottato le “Linee guida in materia di Dossier sanitario - 4 giugno 2015” (Provvedimento del 4.6.2015, pubblicato in G.U. 164 del 17 luglio 2015, consultabile su www.gpdp.it doc web n. 4084632), nelle quali sono state individuate un primo quadro di cautele, al fine di delineare specifiche garanzie e responsabilità, nonché misure e accorgimenti necessari ed opportuni da porre a garanzia dei cittadini, in relazione ai trattamenti di dati sanitari che li riguardano, che, al pari degli altri provvedimenti dell’Autorità, continuano ad applicarsi anche dopo la piena applicazione del Regolamento, in quanto compatibili con lo stesso (art. 22, comma 4, d.lgs n. 101/2018).

Ai sensi del Regolamento, qualora il trattamento sia necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero, lo stesso deve essere effettuato sulla base del diritto dell’Unione o degli Stati membri che deve prevedere misure appropriate e specifiche per tutelare i diritti e le libertà dell'interessato, in particolare il segreto professionale (art. 9, par. 2, lett. i)).

Sin dalla dichiarazione dello stato di emergenza deliberato dal Consiglio dei Ministri in data 31 gennaio 2020, in conformità a quanto dettato dal Regolamento europeo per il perseguimento di motivi di interesse pubblico nel settore della sanità pubblica (citato art. 9, par. 2, lett. i), del Regolamento), sono stati adottati molti atti normativi d’urgenza, che contengono disposizioni anche relative al trattamento dei dati sulla salute effettuato nell’ambito degli interventi relativi all’emergenza sanitaria da Covid 19 che sono state frutto di un delicato bilanciamento tra le esigenze di sanità pubblica e quelle relative alla protezione dei dati personali.

In particolare, con specifico riferimento alla disciplina adottata nel nostro Paese, ai sensi del richiamato art. 9, par. 2, lett. i) del Regolamento, per fronteggiare la predetta emergenza sanitaria, l’art. 17-bis del d.l. n. 18/2020 non ha e non avrebbe potuto derogare la disciplina sulla protezione dei dati che, si evidenzia, si fonda su un Regolamento europeo, bensì ha previsto alcune semplificazioni, non applicabili al caso di specie, nel trattamento e nella comunicazione dei dati personali fra diversi titolari del trattamento da applicare solo qualora le stesse fossero risultate indispensabili ai fini dello svolgimento delle attività connesse alla gestione dell'emergenza sanitaria e comunque nel rispetto dei princìpi di cui all'art. 5 del Regolamento e adottando misure appropriate a tutela dei diritti e delle libertà degli interessati.

Il trattamento dei dati personali connesso alla gestione della predetta emergenza sanitaria doveva svolgersi pertanto nel pieno rispetto della disciplina vigente in materia di protezione dei dati personali e, in particolare, dei principi e dei limiti applicabili al trattamento, di cui all’art. 5 del Regolamento, secondo cui i dati devono essere trattati in modo lecito, corretto e trasparente nei confronti dell'interessato («liceità, correttezza e trasparenza»), “raccolti per finalità determinate, esplicite e legittime” e successivamente trattati in modo che non sia incompatibile con tali finalità e comunque, “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (principi della limitazione della finalità e di minimizzazione dei dati) (art. 5, par. 1, lett. a), b), c) e f) del Regolamento).

Nessuna disposizione adottata nel periodo pandemico, neanche i protocolli conclusi a livello nazionale per il contrasto e il contenimento della diffusione del virus SARS-CoV-2/COVID-19 o il contratto collettivo nazionale di lavoro relativo al personale del comparto sanità richiamati dall’Azienda in atti, hanno disposto misure di deroga ai principi sopra richiamati, alla specifica disciplina applicabile al dossier sanitario o a quella relativa al trattamento dei dati effettuato nell’ambito del rapporto di lavoro di seguito richiamata.

Con specifico riferimento all’uso del dossier sanitario durante il periodo pandemico, si richiamano inoltre i provvedimenti del 10 novembre 2022 (doc. web n. 9819792) e del 12 ottobre 2023 (doc. web n. 9954220). Nel primo è stata sanzionata un’Azienda sanitaria che aveva modificato le regole di visibilità del dossier sanitario nel periodo emergenziale consentendo, quindi, a tutto il personale sanitario di consultare i dossier sanitari di qualsiasi paziente fosse stato in cura presso l’Azienda a prescindere dalla circostanza che il soggetto che effettua l’accesso sia coinvolto nel percorso di cura dell’interessato e che quest’ultimo abbia manifestato il proprio consenso al trattamento dei dati effettuato attraverso il dossier.

Nel secondo, analogamente al caso di specie, un’altra azienda è stata sanzionata per aver utilizzato il dossier sanitario per finalità di organizzazione dei turni ospedalieri. In tale occasione l’Autorità ha ricordato che, attesa la natura facoltativa del dossier e l’incompletezza informativa (cfr. diritto di oscuramento) di tale strumento, lo stesso non può essere utilizzato per finalità riconducibili alla gestione di esigenze organizzative e amministrative del titolare anche nell’ipotesi in cui, come nel caso di specie, lo stesso assuma sia la veste di datore di lavoro che di autorità sanitaria che ha in cura l’interessata (cfr. anche Provvedimento del 26.5.2022, doc. web n. 9791909).

Si rappresenta inoltre che, in via generale, il datore di lavoro può trattare i dati personali dei lavoratori (art. 4, n. 1, del Regolamento), anche relativi a “categorie particolari”, nella gestione del rapporto di lavoro, se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” (artt. 6, par. 1, lett. c), 9, parr. 2, lett. b) e 4; 88 del Regolamento) oppure quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, parr. 1, lett. e), 2 e 3, e art. 9, par. 2, lett. g), del Regolamento; artt. 2-ter e 2- sexies del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139).

Più nello specifico, il trattamento dei dati relativi alla salute dei dipendenti può essere legittimamente effettuato solo quando sia “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato” (art. 9, parr. 2, lett. b), e 4, del Regolamento; v. pure, art. 88, del Regolamento e cons. 51-53).

In tale quadro si evidenzia che, in linea di continuità con quanto chiarito fin dalle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” (provv. 14 giugno 2007, n. 23, doc. web n. 1417809) i cui principi sono da considerarsi tuttora validi-, il datore di lavoro può trattare, nel rispetto dei principi di protezione dei dati e delle disposizioni di settore applicabili, dati personali relativi alla salute dei dipendenti solo per le finalità e alle condizioni normativamente previste ovvero su specifica segnalazione del medico competente, unico soggetto legittimato per legge a svolgere compiti di sorveglianza sanitaria, nel rispetto degli specifici limiti e presupposti stabiliti dalla disciplina in materi a di tutela della salute e della sicurezza nei luoghi di lavoro (d.lgs. 9 aprile 2008, n. 81). Tale separazione dei ruoli trova, peraltro, conferma nell’impianto del Regolamento, che considera in via autonoma i trattamenti necessari per le finalità di “medicina del lavoro” (art. 9, parr. 2, lett. h), e 3 del Regolamento), nel quale ambito è riconducibile la funzione del medico competente prevista dall’ordinamento nazionale, rispetto a quelli posti in essere dal datore di lavoro per assolvere i propri obblighi “in materia di diritto del lavoro”, ivi compresi quelli stabiliti dalle norme in materia di “salute e sicurezza sul lavoro” (cfr. combinato disposto artt. 9, par. 2, lett. b), e 88 del Regolamento; sul ruolo del datore di lavoro e del medico competente, anche alla luce del quadro normativo emergenziale, documento di indirizzo del 14 maggio 2021, doc. web n. 9585367).

Anche nell’eccezionale situazione emergenziale, tenuto conto delle problematiche derivanti dalle rappresentate pressanti esigenze di tutela della sicurezza dei luoghi di lavoro e dai connessi trattamenti di dati personali, i datori di lavoro dovevano operare nell’ambito e nei limiti previsti dalla disciplina applicabile, che costituisce la base giuridica dei relativi trattamenti, evitando di porre in essere iniziative non previste dalla legge - incluse le specifiche disposizioni introdotti nel periodo emergenziale e nei protocolli per la sicurezza dei luoghi di lavoro - con possibili effetti lesivi per gli interessati nel contesto lavorativo e professionale.

In tale quadro, in assenza di espresse previsioni normative, non era pertanto consentito al datore di lavoro raccogliere e trattare, direttamente dagli interessati o, come nel caso di specie, da altre fonti, dati personali anche relative allo stato di salute del lavoratore (cfr. tali principi sono stati ribaditi in numerosi provvedimenti adottai nel contesto pandemico, fin dalle FAQ in materia di “Trattamento dei dati nel contesto lavorativo pubblico e privato nell’ambito dell’emergenza sanitaria”, doc. web n. 9337010 e più di recente con provvedimento 26 maggio 2022 n. 195 doc. web n. 9788986, ancorché in relazione a vicende diverse da quella in esame). Si evidenzia dunque che nessuna disposizione emergenziale ha previsto la possibilità di conoscere tali informazioni attraverso il dossier sanitario che, come già evidenziato, è uno strumento informativo facoltativo e per sua natura incompleto che può essere utilizzato esclusivamente per finalità di cura dell’interessato.

In merito non rileva quanto indicato nelle memorie difensive in ordine alla circostanza che durante l’accesso al dossier dell’interessata fosse “aperto un percorso di cura – ovvero risultava una presa in carico per la stessa - in quanto aveva prenotato un episodio ambulatoriale per la medesima specialità”, in quanto l’accesso non è stato effettuato per finalità di cura ma, come espressamente riconosciuto dall’Azienda, per la gestione dei turni di lavoro.

Sotto altro profilo, rileva evidenziare che nelle suddette Linee guida il Garante, al fine di scongiurare il rischio di un accesso alle informazioni trattate mediante il dossier sanitario da parte di soggetti non autorizzati o di comunicazione a terzi di dati sanitari da parte di soggetti a ciò abilitati, ha specificamente raccomandato al titolare del trattamento di porre particolare attenzione nell’individuazione dei profili di autorizzazione e nella formazione dei soggetti abilitati, dovendo essere limitato l’accesso al dossier al solo personale sanitario che interviene nel processo di cura del paziente ed essere adottate modalità tecniche di autenticazione al dossier che rispecchino le casistiche di accesso a tale strumento proprie di ciascuna struttura sanitaria.

A tal fine, nelle predette Linee guida, il Garante ha indicato ai titolari del trattamento di effettuare un monitoraggio delle ipotesi in cui il relativo personale sanitario può avere necessità di consultare il dossier sanitario, per finalità di cura dell’interessato e, in base a tale ricognizione, individuare i diversi profili di autorizzazione all’accesso. Tale indicazione risulta perfettamente aderente al principio della “protezione dei dati fin dalla progettazione” (art. 25, par. 1, del Regolamento), secondo cui il titolare deve inoltre adottare misure tecniche e organizzative adeguate ad attuare i principi di protezione dei dati (art. 5 del Regolamento) e integrare nel trattamento le necessarie garanzie per soddisfare i requisiti del Regolamento e tutelare i diritti e le libertà degli interessati.

Analogamente, il Garante ha più volte evidenziato l’importanza che il titolare del trattamento individui la profondità dell’accesso alle informazioni di cui si compone il dossier sanitario, ciò a maggior ragione nelle ipotesi in cui sia consentito l’accesso da parte del personale che svolge funzioni amministrative correlate alla cura dell’interessato.

In tali casi, infatti, il titolare, in conformità al richiamato principio di minimizzazione dei dati,  deve prevedere delle limitazioni alla “profondità di accesso” al dossier da parte del personale preposto a tali funzioni, consentendo allo stesso di accedere ai soli dati indispensabili per svolgere i compiti ad essi demandati (ad es., il personale addetto alla prenotazione di esami diagnostici o visite specialistiche può consultare unicamente i soli dati indispensabili per la prenotazione stessa).

In merito alla fattispecie in esame si ricorda che il titolare deve garantire la protezione dei dati, mediante misure tecniche e organizzative adeguate, per evitare trattamenti non autorizzati o illeciti (principio di “integrità e riservatezza”)” (art. 5, par. 1, lett. a) e f) del Regolamento). Al riguardo, il Regolamento prevede che il titolare del trattamento metta in atto “misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio”, tenendo conto, tra l’altro, “della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche” (art. 32 del Regolamento).

Tra i principi applicabili al trattamento stabiliti all’art. 5 del Regolamento, merita in questa sede evidenziarsi anche quello di responsabilizzazione (accountability), in base al quale “il titolare del trattamento deve conformarsi ed essere in grado di comprovare sia il rispetto dei principi e degli adempienti previsti dal Regolamento” (artt. 5, par. 2, 24 del Regolamento). Ad esso si collega il richiamato dovere posto in capo al titolare del trattamento, ossia quello di assicurare che il diritto e la disciplina in materia di protezione dei dati personali degli interessati siano tutelati e applicati sin dalla progettazione e per impostazione predefinita (privacy by design e by default, art. 25 del Regolamento).

Al riguardo, si rappresenta che nelle predette Linee guida questa Autorità ha ritenuto che “il titolare del trattamento deve mettere in opera sistemi per il controllo degli accessi anche al database e per il rilevamento di eventuali anomalie che possano configurare trattamenti illeciti, attraverso l’utilizzo di indicatori di anomalie (c.d. alert) utili per orientare successivi interventi di audit. Il titolare deve prefigurare, quindi, l’attivazione di specifici alert che individuino comportamenti anomali o a rischio relativi alle operazioni eseguite dagli incaricati del trattamento (es. relativi al numero degli accessi eseguiti, alla tipologia o all’ambito temporale degli stessi)” (punto 7, lett. b).

Con specifico riferimento al blocco automatico del pc per inattività, i richiamati principi impongono al titolare di individuare un adeguato termine di inattività superato il quale interviene il blocco automatico del pc; ciò in relazione della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche. È necessario pertanto individuare, by design, una valutazione del tempo di inattività per l’inserimento del blocco automatico che tenga conto delle specifiche esigenze connesse ai differenti ambiti operativi aziendali, nell’intento di ridurre al minimo il tempo di latenza senza compromettere il requisito di efficacia del percorso assistenziale (cfr. provvedimento del 9 maggio 2024, doc. web 10027595).

Non appare condivisibile neanche la tesi sostenuta dall’Azienda nelle memorie difensive secondo cui, considerato l’elevato numero di personale in turno, la condivisione degli spazi di lavoro, soprattutto nelle aree di pronto soccorso, “si potrebbe plausibilmente ipotizzare che chi ha effettivamente visualizzato l’elenco di documenti di XX si sia “impossessato” della postazione pc loggata con le note credenziali dopo soli 2 minuti, o 5, o 10 da quando il collega titolare dell’account aveva lasciato la postazione e, quindi, anche in presenza di un tempo di blocco inferiore l’accesso si sarebbe comunque verificato”. Tale affermazione non appare ammissibile in quanto l’inserimento del blocco automatico in funzione delle specifiche esigenze connesse ai differenti ambiti operativi aziendali avrebbe ridotto il rischio di un accesso abusivo, ovvero avrebbe costituito una misura tecnica idonea per garantire un livello di sicurezza adeguato al rischio come richiede il Regolamento.

In tal senso, proprio la richiamata “vulnerabilità sistemica” dell’Azienda nei confronti del comportamento doloso dei dipendenti avrebbe dovuto suggerire al titolare di adottare ogni misura tecnica e organizzativa volta a ridurre il rischio di accessi non autorizzati anche attraverso misure con finalità deterrenti.

In merito all’avvio, sin dal 2024, di un sistema per il rilevamento di eventuali anomalie attraverso l’esame di file Excel che contiene l’insieme delle risultanze delle query eseguite sull’audit del visore, si rileva che l’Azienda non ha adottato un sistema per il rilevamento automatico di eventuali anomalie che possano configurare trattamenti illeciti, ovvero l’utilizzo di indicatori di anomalie (c.d. alert) volti ad individuare comportamenti anomali o a rischio relativi alle operazioni eseguite dai soggetti autorizzati al trattamento (es. numero degli accessi eseguiti, tipologia o ambito temporale degli stessi), utili per orientare successivi interventi di audit, limitandosi ad effettuare solo controlli a posteriori l’caso di contestazione da parte degli interessati.

Dalla documentazione in atti emerge che codesta Azienda non aveva neppure adottato un sistema di controllo a campione degli accessi al dossier. In particolare, avrebbe potuto verificare a campione durante il periodo pandemico se le misure adottate avessero determinato accessi al dossier da parte di personale che non aveva preso in carico il paziente. Tale misura avrebbe senz’altro determinato un effetto dissuasivo rispetto a i tentativi di accessi illeciti da parte del personale sanitario.

Nel prendere atto degli interventi integrativi al sistema visore referti indicati da Insiel S.p.A. e di quanto rappresentato dalla Regione Friuli Venezia Giulia nella riunione del 4 marzo 2026, nonché della circostanza che è stata effettuata una segnalazione alla Procura della Repubblica su alcuni dei fatti in esame, sulla base degli elementi acquisiti e della documentazione in atti risulta accertato che la configurazione del dossier sanitario effettuata dall’Azienda, come dimostrato dai fatti in esame, è stata effettuata in violazione dei principi di base del trattamento di cui agli artt. 5, par. 1, lett. a), b)c) e f), 9, 25 e 32 del Regolamento e dell’art. 75 del Codice, nonché delle richiamate Linee guida del Garante. La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 4, lett. a) e par. 5, lett. a) del Regolamento.

4. CONCLUSIONI.

Alla luce di tali considerazioni, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dall’Azienda sanitaria universitaria Friuli centrale (ASUFC), per aver configurato il dossier sanitario aziendale in modo da: consentire l’accesso al dossier sanitario di XX per fini diversi da quelli di cura ovvero per verificare lo stato di positività al Covid-19 della stessa, al fine di effettuazione dei turni in reparto; non effettuare controlli automatici sugli accessi al dossier sanitario; prevede per tutti i dispositivi aziendali un unico intervallo temporale di inattività del pc, individuato in 30 minuti, oltre il quale lo stesso viene bloccato senza tener conto delle specifiche esigenze connesse ai differenti ambiti operativi aziendali, nell’intento di ridurre al minimo il tempo di latenza senza compromettere il requisito di efficacia del percorso di assistenza; in violazione degli artt. 5, par. 1, lett. a), b), c) e f), 9, 25 e 32 del Regolamento e dell’art. 75 del Codice, nonché delle richiamate Linee guida del Garante.

5. MISURE CORRETTIVE

L’art. 58, par. 2, del Regolamento prevede in capo al Garante una serie di poteri correttivi, di natura prescrittiva e sanzionatoria, da esercitare nel caso in cui venga accertato un trattamento illecito di dati personali.

Tra questi poteri, l’art. 58, par. 2, lett. d) del Regolamento, prevede il potere di “ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine”.

Alla luce delle valutazioni sopra richiamate, tenuto conto di quanto dichiarato in atti ed essendo terminato il periodo pandemico, si ritiene di dover ingiungere all’Azienda, ai sensi del richiamato art. 58, par. 2, lett. d) Regolamento, di far conoscere entro (60) sessanta giorni dalla notifica del presente provvedimento le misure adottate per:

limitare l’accesso al dossier esclusivamente al perseguimento di finalità di cura, escludendo lo stesso da parte di personale che agisce in qualità di datore di lavoro dell’interessato;

introdurre l’utilizzo di indicatori di anomalie (c.d. alert) automatici e sistemi di blocco automatico del pc per inattività che tengano conto delle specifiche esigenze connesse ai differenti ambiti operativi aziendali, nell’intento di ridurre al minimo il tempo di latenza senza compromettere il requisito di efficacia del percorso assistenziale.

Ciò stante, considerato che l’Autorità ha adottato il 3 luglio 2026 un provvedimento sanzionatorio nei confronti di un’altra azienda sanitaria della Regione Friuli Venezia Giulia nel quale sono state chieste informazioni alla medesima Regione e ad Insiel sullo stato degli interventi disposti al sistema Visore referti, l’Autorità si riserva, l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

6. ORDINANZA INGIUNZIONE

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. artt. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1 Valutazione della condotta e individuazione della sanzione applicabile

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Nel caso di specie, le violazioni più gravi sono soggette alla sanzione prevista dall’art. 83, par. 5.

6.2 Quantificazione della sanzione amministrativa pecuniaria (art. 83, par. 2, del Regolamento)

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che il trattamento ha riguardato dati sulla salute di una paziente dipendente dell’Azienza effettuato durante il periodo pandemico su “mandato della direzione medica” e sulla base delle scelte di impostazione del dossier sanitario sia tipo regionale che aziendale, il livello complessivo di gravità si ritiene medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il titolare del trattamento è un azienda sanitaria universitaria, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze: l’uso del dossier sanitario per la determinazione dei turni ospedalieri è stata effettuato su mandato della direzione medica aziendale; l’Autorità è più volte intervenuta in merito alla corretta configurazione del dossier sanitario al fine di prevenire accessi illeciti anche attraverso dei provvedimenti adottati nei confronti di aziende appartenenti alla medesima regione; l’Autorità è venuta a conoscenza del caso in esame attraverso un reclamo;

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 24.000 (ventiquattromila) per la violazione degli artt. 5, par. 1, lett. a), b) c) e f), 9, 25 e 32 del Regolamento, dell’art. 75 del Codice e delle Linee guida in materia di Dossier sanitario del 4 giugno 2015.

In conclusione, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza- ingiunzione sul sito internet del Garante, in ragione dell’impatto che le impostazioni presenti sul dossier sanitario aziendale hanno potuto avere su un numero considerevole di pazienti.

PER QUESTI MOTIVI

ai sensi degli artt. 57 e 83 del Regolamento, si dichiara l’illiceità della condotta posta in essere dall’Azienda sanitaria universitaria Friuli centrale (ASUFC), con sede legale in Via Pozzuolo 330 – 33100 Udine, P.IVA/C.F. 02985660303, per la violazione degli artt. 5, par. 1, lett. a), b), c) e f), 9, 25 e 32 del Regolamento e dell’art. 75 del Codice, nonché delle richiamate Linee guida del Garante, nei termini di cui in motivazione;

ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, si prescrive all’ASUFC di conformarsi, entro il termine di (60) sessanta giorni dalla data della notifica del presente provvedimento, alle prescrizioni formulate al paragrafo n. 5 del presente provvedimento;

ai sensi dell’art. 58, par. 1, lett. a) e dell’art. 157 del Codice, si prescrive all’ASUFC di comunicare all’Autorità, entro il termine di (90) novanta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte al punto 5;

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, all’ASUFC, di pagare la somma di euro 24.000 (ventiquattromila) a titolo di sanzione amministrativa pecuniaria per la/e violazione/i indicata/e in motivazione.

SI INGIUNGE

all’ASUFC, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 24.000 (ventiquattromila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione della/e violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 3 settembre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori