La pronuncia n. 616/2026 del Garante è particolarmente interessante poiché affronta alcuni dei principali problemi che le strutture sanitarie devono considerare nella gestione dei propri sistemi informativi sia nell’uso quotidiano che in contesti emergenziali.
Nel provvedimento si fa chiarezza sulle finalità di consultazione del dossier, su chi può accedervi e con quale profondità, come devono essere configurate le postazioni di lavoro e quali controlli devono essere effettuati sugli accessi.
Altresì l’Autorità offre l’interpretazione del bilanciamento tra diritti dell’interessato e necessità di consultazione del dato in situazioni di emergenza come quella provocata dal Covid 19.
Sebbene il provvedimento riguardi una Azienda del Servizio Sanitario Nazionale, dunque pubblica, i principi che andremo a estrapolare dal provvedimento in esame sono generali e applicabili anche alle strutture sanitarie private autorizzate e accreditate.
Indice
Premessa: il dossier sanitario e la base giuridica del trattamento
Il dossier sanitario è uno strumento, pensato e messo a disposizione per la cura del paziente, che raccoglie
“l’insieme dei dati personali generati da eventi clinici presenti e trascorsi riguardanti l’interessato, messi in condivisione logica a vantaggio dei professionisti sanitari che presso lo stesso titolare del trattamento lo assistono, […]” (Linee guida del Garante del 4 giugno 2015).
Dunque, tramite il dossier, si documenta parte della storia clinica del paziente svoltasi presso la medesima struttura sanitaria per migliorarne il percorso terapeutico.
Il trattamento dei dati personali del paziente presso il dossier è ulteriore rispetto alla normale attività di cura svolta dal singolo professionista sanitario. Quest’ultimo, invero, per il tramite del dossier può conoscere informazioni su patologie diverse per le quali è richiesto l’intervento iniziale, dati raccolti prima del suo incontro con il paziente ossia informazioni, certamente utili in molti casi, ma non necessariamente indispensabili alla propria attività di cura che può essere svolta in maniera indipendente con l’utilizzo della cartella clinica.
Dal punto di vista giuridico, dunque, il trattamento dei dati sanitari offerto dal dossier è facoltativo. Ciò significa che il paziente deve poter scegliere se acconsentire a che le proproie informazioni cliniche siano condivise attraverso il dossier, nonché rese visibili a ulteriore personale sanitario diverso dal proprio curante.
La base giuridica del trattamento, pertanto, è il consenso come confermato anche dal Garante che amplia ancora il ragionamento richiedendo specifico consenso anche per il trattamento dei dati sanitari sul dossier pregressi.
La condotta dell’Azienda sanitaria universitaria Friuli
Il Garante ha ritenuto non conformi alle norme sul trattamento dei dati personali, con particolare attenzione a quelli sanitari, i seguenti comportamenti intervenuti dall’anno 2022:
- l’accesso al dossier sanitario dell’interessata e reclamante da parte di un soggetto dipendente dell’ASUFC per verificare lo stato di positività al Covid-19 della stessa, al fine di effettuare i turni in reparto. Si precisa che la persona che ha svolto reclamo era dipendente dell’Azienda e allo stesso tempo, in quanto positiva al Covid-19, sua paziente;
- l’accesso al dossier sanitario della reclamante da parte di alcuni sanitari, che non avevano in cura la stessa, solamente perché lavoravano “su “pc condivisi” siti in stanze ad alto afflusso di personale” con la conseguenza che “qualcuno potrebbe aver approfittato di una temporanea assenza del titolare dell’utenza per accedere al dossier della reclamante”;
- la possibilità per il personale sanitario di accedere anche a referti emessi presso altre strutture sanitarie mediante il sistema di prenotazione “SDAWEB”;
- la possibilità per il personale sanitario di accedere, tramite il dossier sanitario, a tutti i referti de dipartimento chirurgico a prescindere dalla presa in carico del paziente (c.d. accesso trasversale);
- mancanza di file di log di accesso al sistema di prenotazione “SDAWEB”.
Le diverse condotte dell’ASUFC, secondo la pronuncia del Garante, sono lesive di quanto disposto dalle Linee guida del Garante del 4 giugno 2015 sul dossier sanitario e degli artt. 5, 9, 24, 25 e 32 GDPR, l’art. 75 del Codice Privacy.
PIù esattamente, sono stati ritenuti violati i principi di minimizzazione e limitazione del trattamento del dato, nonché di integrità e riservatezza, le condizioni di legittimità del trattamento dei dati sanitari, il dovere del titolare di impostare in modo predefinito i propri sistemi con misure che non rendano accessibili i dati in modo incontrollato.
Vediamo nel dettaglio le argomentazioni dell’Autorità.
Il dossier serve alla cura, non alla gestione del personale
Il primo profilo affrontato dal provvedimento in esame riguarda la finalità del trattamento dei dati sanitari inseriti nel dossier.
In particolare, il Garante ha risposto al quesito: la consultazione del dossier sanitario della dipendente effettuata per verificare l’esito di un tampone Covid e organizzare conseguentemente i turni del reparto è da considerarsi compresa nella finalità affidata al dossier?
Si precisa che nella sua difesa l’Azienda ha giustificato il trattamento effettuato richiamando il contesto emergenziale e la necessità di tutelare la salute di pazienti e operatori.
Tale accesso al dossier sanitario è stato ritenuto non legittimo dal momento che la verifica dell’esito del tampone, per l’assunta tutela di pazienti e personale, esula dalla finalità di cura dell’interessato (unico scopo di consultazione del sistema dossier).
Il Garante, invero, spiega che l’emergenza Covid e le necessità particolari di quel periodo non hanno comportato deroghe ai principi fondamentali del GDPR. Le norme emergenziali hanno introdotto alcune semplificazioni nel trattamento dei dati sanitari, ma solo in ipotesi indispensabili e sempre nel rispetto di liceità, limitazione della finalità, minimizzazione e sicurezza.
Il dossier sanitario resta uno strumento destinato esclusivamente alla tutela della salute dell’interessato nella quale non rientra la finalità organizzativa o di gestione del personale, nonostante l’interesse pubblico alla sua salvaguardia. In altre parole, l’esigenza di tutelare la salute di soggetti diversi dal paziente non giustifica una restrizione del diritto di riservatezza dell’interessato e, dunque, una deroga non espressa alle finalità di trattamento dei dati previste per il dossier.
Non solo.
Le informazioni sulla salute del personale devono restare nell’ambito della sorveglianza sanitaria affidata al medico competente, mentre il datore di lavoro può conoscere soltanto ciò che la normativa gli consente di trattare per la gestione del rapporto di lavoro e della sicurezza. Questa separazione di ruoli valeva anche nel periodo emergenziale che non ha trasformato il dossier in una banca dati utilizzabile per esigenze organizzative del lavoro: anche in quel contesto occorreva rispettare le specifiche basi giuridiche e i limiti propri di ciascun trattamento.
La disponibilità tecnica di un’informazione non legittima automaticamente il suo utilizzo per una finalità diversa.
Il Garante richiama, quindi, direttamente i principi di limitazione della finalità e minimizzazione dell’art. 5 GDPR: un dato raccolto e reso disponibile per la cura non può essere utilizzato semplicemente perché utile anche nella gestione del rapporto di lavoro. Il trattamento eseguito dall’Azienda sanitaria fuoriesce altresì dal perimetro di legittimità tracciato dall’art. 9 GDPR che impone specifiche casistiche per il legittimo trattamento dei dati sanitari.
Avere le credenziali non significa poter vedere tutto
Un secondo punto centrale della pronuncia riguarda i profili di autorizzazione all’accesso al dossier sanitario.
Nel caso in esame era prevista per il personale sanitario del dipartimento una modalità di consultazione “trasversale”, che consentiva di visualizzare i referti anche indipendentemente dalla presa in carico del paziente e persino di pazienti presso altre strutture sanitarie del territorio.
Il trattamento dei dati del dossier, tuttavia, deve essere consentito soltanto ai professionisti effettivamente coinvolti nel percorso di cura del paziente, da cui deriva la scorrettezza dell’attribuzione generica della possibilità di visione dei dati contenuti nel dossier solo sulla base della tipologia di qualifica professionale o all’appartenenza ad un reparto.
Sul punto, le Linee guida sul dossier richiedono al Titolare del trattamento di svolgere un monitoraggio e una selezione delle casistiche di accesso al dossier andando così ad individuare i diversi profili di autorizzazione.
Un esempio di mappatura dei ruoli è quello, suggerito ancora dalle Linee guida, che vede contemplato nell’autorizzazione all’accesso il personale “operante nel reparto in cui è ricoverato il paziente, o che è stato coinvolto nella richiesta di una consulenza o nell’ambito delle procedure di un trapianto”.
Nella medesima ottica, deve essere regolamentata anche la cosiddetta “profondità di accesso” che riguarda quali e quanti dati possono essere visualizzati dai soggetti appositamente autorizzati.
Il personale che svolge attività amministrative connesse alla cura, ad esempio, può vedere soltanto le informazioni strettamente indispensabili allo svolgimento della propria funzione. Ma, sulla base delle singole caratteristiche della situazione, può risultare necessaria anche una differenziazione tra il personale sanitario stesso.
È una concreta applicazione della privacy by design e by default prevista dall’art. 25 GDPR.
L’applicazione delle impostazioni di autorizzazione e di accesso devono poi avere sistemi di controllo e di sicurezza per la prevenzione e gestione di eventuali violazioni come gli accessi abusivi. Anche in tal senso, l’Azienda sanitaria è stata riscontrata manchevole in violazione dell’art. 32 GDPR dal momento che non aveva impostato un corretto monitoraggio dei log e sistemi di relativi alert.
Anche 30 minuti possono essere troppi
Il provvedimento affronta poi un tema che si ripresenta molto di frequente nelle strutture sanitarie anche di tipologie molto diverse tra loro come quelle ospedaliere e ambulatoriali: il blocco automatico delle postazioni di lavoro.
In ambienti nei quali più operatori utilizzano gli stessi locali e le medesime postazioni – come pronto soccorso, reparti o ambulatori – una sessione lasciata aperta rischia di consentire ad altri soggetti di utilizzare le credenziali dell’operatore precedentemente autenticato e, dunque, di trattare dati per i quali non è autorizzato come quelli di un paziente che non ha in carico.
Dal punto di vista regolamentare non esiste un tempo di blocco valido per qualsiasi situazione, ma il Titolare del trattamento è comunque tenuto a valutare tali tempistiche in relazione al contesto operativo concreto, cercando un equilibrio tra sicurezza e continuità dell’attività assistenziale.
L’Azienda friulana aveva previsto per tutti i computer un blocco automatico dopo 30 minuti di inattività, considerabile una misura di sicurezza ex art. 32 GDPR, per i quali il Garante ha stabilito l’inadeguatezza rispetto ai rischi prospettati.
Cosa devono verificare oggi le strutture sanitarie
Il provvedimento offre quindi una preziosa occasione per tracciare le caratteristiche essenziali per una corretta configurazione del dossier sanitario.
A tal fine occorre mappare e organizzare:
- chi può accedere al dossier e in quali circostanze con particolare attenzione ai soggetti che possono avere in carico il paziente;
- quali tipologie informazioni ciascuna categoria di operatori può visualizzare e determinare per ciascun profilo la profondità di accesso;
- se esistono accessi trasversali o generalizzati che devono essere ulteriormente limitati;
- avere sistemi di sicurezza e monitoraggio idonei a rilevare eventuali non conformità.
Per stabilire uno standard di questi elementi diventa essenziale inquadrare correttamente il flusso del dato, ossia il percorso che l’informazione compie dalla raccolta, registrazione nel dossier, elaborazione e archiviazione, utilizzo per la cura, eventuale comunicazione a soggetti terzi che non hanno effettuato la raccolta fino alla cancellazione.
Tali attività evidenziano, altresì, l’importanza dell’effettuazione di audit periodici e controlli a campione per verificare che l’attualità delle mappatura e configurazione date al dossier.
Con il provvedimento analizzato, in conclusione, emerge la forte esigenza di costruire un sistema informativo intorno alle effettive necessità di cura, limitando per impostazione predefinita persone, informazioni e occasioni di accesso.
