Garante privacy, azienda sanitaria di Udine sanzionata per 24mila euro
Il dossier sanitario è accessibile solo per ragioni di cura
Il Garante privacy ha inflitto una sanzione di 24mila euro all’Azienda sanitaria universitaria Friuli centrale (ASUFC) di Udine per non aver configurato il dossier sanitario aziendale in modo tale da impedire al personale di visionare lo stato di salute dei colleghi per finalità diverse da quelle di cura.
Con provvedimento (n. 616 del 3 settembre 2026, doc. web n. 10293994) l’Autorità – intervenuta a seguito del reclamo di una dipendente, che era al contempo paziente dell’ospedale – ha accertato che una collega del reparto dove lavorava, aveva avuto liberamente accesso al suo dossier sanitario per verificare, durante la pandemia, l’eventuale positività al Covid-19 e pianificare i turni.
Secondo l’azienda sanitaria la pratica si era resa necessaria per sapere su quali risorse umane poter contare e per garantire la tutela degli operatori e dei pazienti ricoverati.
Nel provvedimento il Garante ha ribadito come l’accesso al dossier sanitario sia consentito solo ai medici e al personale che ha in cura un paziente, e non per esigenze organizzative e amministrative, specie se l’ospedale è sia il datore di lavoro che l’autorità sanitaria che lo ha in carico.
Le finalità amministrative e organizzative devono essere infatti perseguite utilizzando strumenti a ciò dedicati e non il dossier sanitario, che nasce per aiutare il professionista ad inquadrare lo stato di salute del paziente nel suo percorso medico. L’uso del dossier per finalità amministrative costituisce peraltro una modalità inefficiente in quanto per sua natura incompleto, avendo l’interessato la possibilità di oscurare i dati sanitari che magari sono indispensabili proprio per la finalità organizzativa perseguita.
Nel corso dell’istruttoria il Garante privacy ha inoltre accertato che il dossier della reclamante era stato oggetto anche di altri accessi abusivi da parte di professionisti sanitari che non l’avevano in cura. Entrambi gli illeciti erano stati possibili perché la configurazione del dossier sanitario aziendale non prevedeva specifici limiti all’accesso, né sistemi di alert automatici finalizzati a segnalare eventuali possibili condotte illecite dei dipendenti.
Oltre alla sanzione pecuniaria, l’Autorità ha ordinato all’azienda ospedaliera di adottare misure tecniche ed organizzative idonee a garantire la tutela dei dati dei pazienti e dei dipendenti. In particolare, l’adozione di sistemi di controllo degli accessi e di rilevamento delle anomalie.
(info: Newsletter n. 551 dell'11 settembre 2026 Garante Privacy)