Dossier sanitario solo per la cura: il Garante privacy sanziona gli accessi a fini organizzativi

Lo ha ribadito il Garante per la protezione dei dati personali con il provvedimento del 3 settembre 2026 (registro n. 616, doc. web n. 10293994), con cui ha sanzionato per 24.000 euro l'Azienda sanitaria universitaria Friuli centrale (ASUFC) di Udine.

Il caso

Il caso nasce dal reclamo di una dipendente dell'ospedale che era anche una paziente ed i cui dati sanitari erano stati utilizzati per la stesura dei turni di lavoro. Secondo l'azienda, la pratica era necessaria per sapere su quali risorse umane poter contare e per tutelare operatori e pazienti ricoverati.

L'istruttoria

Nel corso dell'istruttoria era emerso:

• che una collega dello stesso reparto aveva consultato il dossier sanitario della lavoratrice reclamante per verificare, durante la pandemia, un'eventuale positività al Covid-19 e pianificare di conseguenza i turni;
• che il dossier della lavoratrice reclamante era stato oggetto anche di altri accessi abusivi, da parte di professionisti sanitari che non la avevano in cura.

Le violazioni accertate

Tra le violazioni accertate ci sono i principi di liceità, limitazione delle finalità, minimizzazione, integrità e riservatezza, oltre agli obblighi di protezione dei dati fin dalla progettazione e di sicurezza del trattamento. Secondo il Garante, gli illeciti sono stati possibili perché il dossier aziendale non prevedeva limiti specifici all'accesso né alert automatici capaci di segnalare possibili condotte illecite dei dipendenti.

La posizione del Garante

Il Garante ha respinto la tesi della Datrice, precisando che il dossier sanitario può essere consultato solo dai medici e dal personale che hanno in cura il paziente, e non può essere usato per finalità amministrative o organizzative, tanto più quando l'ospedale è anche il datore di lavoro dell'interessato.

Le esigenze organizzative, ha ricordato l'Autorità, vanno gestite con strumenti dedicati. Il dossier è pensato per aiutare il professionista a comprendere il percorso clinico del paziente ed è, per sua natura, uno strumento incompleto: chi vi è iscritto può oscurare alcuni dati sanitari, anche quelli che sarebbero decisivi per lo scopo organizzativo perseguito.

Oltre alla sanzione, il Garante ha ordinato all'azienda di adottare, entro 60 giorni, misure tecniche e organizzative adeguate a tutelare i dati di pazienti e dipendenti, in particolare sistemi di controllo degli accessi e di rilevamento delle anomalie.

Il messaggio vale anche fuori dal mondo sanitario

Una finalità legittima, come pianificare i turni o proteggere le persone, non rende lecito uno strumento sproporzionato. Per le strutture sanitarie, inoltre, non basta registrare gli accessi: servono limiti alla consultazione e sistemi che segnalino i comportamenti anomali.