Garante privacy. Accessi al dossier sanitario senza finalità di cura, sanzione da 24mila euro all’Azienda sanitaria di Udine

Una configurazione del dossier sanitario aziendale che non prevedeva specifiche limitazioni agli accessi né sistemi automatici di alert in grado di rilevare possibili utilizzi illeciti.

È una delle violazioni accertate dal Garante per la protezione dei dati personali nei confronti dell’Azienda sanitaria universitaria Friuli centrale (Asufc) di Udine, alla quale è stata comminata una sanzione di 24mila euro.

Il provvedimento (n. 616 del 3 settembre 2026, doc. web n. 10293994), adottato a seguito del reclamo di una dipendente che era anche paziente dell’ospedale, riguarda in particolare l’accesso al suo dossier sanitario da parte di una collega per verificarne, durante la pandemia, l’eventuale positività al Covid-19 ai fini della pianificazione dei turni.

Secondo l’azienda sanitaria la pratica si era resa necessaria per sapere su quali risorse umane poter contare e per garantire la tutela degli operatori e dei pazienti ricoverati.

Il Garante ha invece ribadito che il dossier può essere consultato solo dai medici e dal personale che hanno in cura il paziente e non può essere utilizzato per finalità amministrative o organizzative, specie se l’ospedale è sia il datore di lavoro che l’autorità sanitaria che lo ha in carico.

Le finalità amministrative e organizzative devono essere infatti perseguite utilizzando strumenti a ciò dedicati e non il dossier sanitario, che nasce per aiutare il professionista ad inquadrare lo stato di salute del paziente nel suo percorso medico. L’uso del dossier per finalità amministrative costituisce peraltro una modalità inefficiente in quanto per sua natura incompleto, avendo l’interessato la possibilità di oscurare i dati sanitari che magari sono indispensabili proprio per la finalità organizzativa perseguita.

Nel corso dell’istruttoria il Garante privacy ha inoltre accertato che il dossier della reclamante era stato oggetto anche di altri accessi abusivi da parte di professionisti sanitari che non l’avevano in cura. Entrambi gli illeciti erano stati possibili perché la configurazione del dossier sanitario aziendale non prevedeva specifici limiti all’accesso, né sistemi di alert automatici finalizzati a segnalare eventuali possibili condotte illecite dei dipendenti.

Oltre alla sanzione pecuniaria, l’Autorità ha ordinato all’azienda ospedaliera di adottare misure tecniche ed organizzative idonee a garantire la tutela dei dati dei pazienti e dei dipendenti. In particolare, l’adozione di sistemi di controllo degli accessi e di rilevamento delle anomalie.