dossier sanitario

di

Garante privacy, azienda sanitaria di Udine sanzionata per 24mila euro. Il dossier sanitario è accessibile solo per ragioni di cura – Garante della Privacy Provvedimento del 3 settembre 2026 [10293994]

Garante privacy, azienda sanitaria di Udine sanzionata per 24mila euro. Il dossier sanitario è accessibile solo per ragioni di cura - Garante della Privacy Provvedimento del 3 settembre 2026 [10293994]

Il Garante privacy ha inflitto una sanzione di 24mila euro all’Azienda sanitaria universitaria Friuli centrale (ASUFC) di Udine per non aver configurato il dossier sanitario aziendale in modo tale da impedire al personale di visionare lo stato di salute dei colleghi per finalità diverse da quelle di cura.

Con provvedimento (n. 616 del 3 settembre 2026, doc. web n. 10293994) l’Autorità – intervenuta a seguito del reclamo di una dipendente, che era al contempo paziente dell’ospedale – ha accertato che una collega del reparto dove lavorava, aveva avuto liberamente accesso al suo dossier sanitario per verificare, durante la pandemia, l’eventuale positività al Covid-19 e pianificare i turni.

Secondo l’azienda sanitaria la pratica si era resa necessaria per sapere su quali risorse umane poter contare e per garantire la tutela degli operatori e dei pazienti ricoverati.

Nel provvedimento il Garante ha ribadito come l’accesso al dossier sanitario sia consentito solo ai medici e al personale che ha in cura un paziente, e non per esigenze organizzative e amministrative, specie se l’ospedale è sia il datore di lavoro che l’autorità sanitaria che lo ha in carico.

Le finalità amministrative e organizzative devono essere infatti perseguite utilizzando strumenti a ciò dedicati e non il dossier sanitario, che nasce per aiutare il professionista ad inquadrare lo stato di salute del paziente nel suo percorso medico. L’uso del dossier per finalità amministrative costituisce peraltro una modalità inefficiente in quanto per sua natura incompleto, avendo l’interessato la possibilità di oscurare i dati sanitari che magari sono indispensabili proprio per la finalità organizzativa perseguita.

Nel corso dell’istruttoria il Garante privacy ha inoltre accertato che il dossier della reclamante era stato oggetto anche di altri accessi abusivi da parte di professionisti sanitari che non l’avevano in cura. Entrambi gli illeciti erano stati possibili perché la configurazione del dossier sanitario aziendale non prevedeva specifici limiti all’accesso, né sistemi di alert automatici finalizzati a segnalare eventuali possibili condotte illecite dei dipendenti.

Oltre alla sanzione pecuniaria, l’Autorità ha ordinato all’azienda ospedaliera di adottare misure tecniche ed organizzative idonee a garantire la tutela dei dati dei pazienti e dei dipendenti. In particolare, l’adozione di sistemi di controllo degli accessi e di rilevamento delle anomalie.

Link: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10293994

Lascia un commento

di

Dossier sanitario: il Garante Privacy sanziona una Asl

Dossier sanitario: il Garante Privacy sanziona una Asl

Il Garante Privacy ha sanzionato per 75mila euro una Asl per non aver configurato correttamente le modalità di accesso al dossier sanitario elettronico (Dse). L’Autorità si è attivata a seguito di alcuni reclami e segnalazioni che lamentavano il trattamento illecito di dati personali effettuato tramite il sistema di archiviazione e refertazione delle prestazioni erogate dall’azienda sanitaria. In particolare, erano stati segnalati ripetuti accessi al Dse da parte di personale sanitario non coinvolto nel processo di cura dei pazienti. In un caso, una professionista della Asl era infatti riuscita a visionare gli esami di laboratorio dell’ex marito a sua insaputa pur essendo quest’ultimo non in cura da lei.

Dalle verifiche effettuate dall’Autorità è emerso che il sistema di gestione del Dse consentiva agli operatori sanitari di inserire manualmente, mediante autocertificazione, la motivazione per cui si rendeva necessario l’accesso al dossier sanitario. L’accesso al documento era inoltre consentito, per impostazione predefinita, ad una ampia lista di figure professionali che niente avevano a che fare con il percorso di cura dei pazienti, compreso il personale amministrativo.

Il tutto in violazione di quanto stabilito dal Garante Privacy con le “Linee guida in materia di Dossier sanitario” del giugno 2015, con cui l’Autorità ha stabilito che “il titolare del trattamento deve porre particolare attenzione nell’individuazione dei profili di autorizzazione, adottando modalità tecniche di autenticazione al dossier che rispecchino le casistiche di accesso proprie di ciascuna struttura” garantendo che l’accesso al dossier sia limitato al solo personale sanitario che interviene nel tempo nel processo di cura del paziente.

Il Garante Privacy ha infine accertato ulteriori illeciti, tra cui la mancata predisposizione di un sistema di alert, volto ad individuare comportamenti anomali o a rischio relativi alle operazioni eseguite dagli incaricati al trattamento (es. relativi al numero degli accessi eseguiti, alla tipologia o all’ambito temporale degli stessi).

Oltre ad applicare la sanzione amministrativa, l’Autorità ha dunque ordinato all’Asl di mettere in atto tutte le misure tecniche e organizzative necessarie per garantire la sicurezza dei dati personali trattati e scongiurare nuovi accessi abusivi.

Linhttps://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10001279k al documento: