Il controllo degli accessi al dossier sanitario serve a verificare che ogni consultazione abbia una ragione di cura e sia compatibile con il ruolo dell’operatore e con le scelte del paziente. L’appartenenza alla stessa struttura non autorizza a leggere qualunque storia clinica. Per la direzione sanitaria, l’IT e il DPO, il risultato da costruire è una matrice degli accessi accompagnata da controlli sulle anomalie, una procedura di verifica e un riscontro comprensibile all’interessato.
Le FAQ del Garante sul dossier sanitario definiscono lo strumento come condivisione della storia clinica all’interno di un’unica struttura. Il dossier va distinto dalla cartella di un singolo episodio e dal fascicolo sanitario elettronico, che segue una disciplina propria. Chiamare una piattaforma «cartella elettronica» non esclude che alcune sue funzioni realizzino un dossier: conta quali eventi rende visibili e a quali professionisti.
Identificare le funzioni che producono condivisione
Elencare reparti, applicazioni, documenti e modalità di consultazione. Includere anteprime, motori di ricerca, riepiloghi, esportazioni e accessi da dispositivi mobili. Una limitazione sul referto completo è inefficace se la diagnosi resta leggibile nei risultati della ricerca o nell’elenco delle prestazioni.
La mappatura dei sistemi e dei flussi deve distinguere i documenti generati dal reparto, quelli ricevuti da altre unità e le copie inviate a servizi esterni. È particolarmente utile nei gruppi sanitari: marchio comune e contratto informatico comune non dimostrano che tutte le società operino come un solo titolare del trattamento.
Indicare per ogni funzione il motivo clinico per cui serve e il responsabile che può validarlo. Il fornitore descrive le possibilità tecniche; la struttura decide se quelle possibilità corrispondono al proprio modello assistenziale. Non accettare una configurazione aperta solo perché rende più semplice la migrazione dal sistema precedente.
Separare consenso al dossier e trattamento necessario alla cura
Secondo le FAQ del Garante, il dossier richiede consenso informato e la mancata adesione non impedisce le cure. La revoca interrompe l’ulteriore implementazione e la condivisione con gli altri reparti, mentre le informazioni restano disponibili al professionista che le ha redatte. Queste scelte riguardano il dossier e non vanno trasformate in un consenso generico a qualsiasi trattamento sanitario.
La procedura deve stabilire dove si registra la scelta, come viene aggiornata e quanto tempo impiega a raggiungere tutte le applicazioni. Una revoca acquisita allo sportello ma ignorata dal visualizzatore radiologico crea due comportamenti incompatibili per lo stesso paziente.
Verificare anche chi può agire per l’interessato e quali documenti dimostrano quel potere nel caso concreto. Il cambio della rappresentanza e il raggiungimento della maggiore età devono avere un percorso di aggiornamento. Non basta mantenere indefinitamente la prima preferenza inserita durante una precedente assistenza pediatrica.
Costruire una matrice di autorizzazioni utilizzabile
La matrice deve collegare funzione, contesto di cura e dati disponibili. «Medico» è una qualifica troppo ampia per descrivere ogni accesso possibile; «amministrativo» non significa necessità di leggere diagnosi e anamnesi. Le FAQ richiamano per il personale amministrativo l’accesso alle sole informazioni necessarie alla propria attività.
| Profilo dell’esempio | Accesso ordinario | Condizione da verificare |
|---|---|---|
| Professionista che segue il paziente | Informazioni cliniche pertinenti al percorso | Relazione di cura attuale e ruolo assegnato |
| Addetto alla prenotazione | Dati utili a prenotazione e identificazione | Assenza di visibilità generalizzata sui referti |
| Addetto alla fatturazione | Elementi amministrativi necessari | Separazione dai contenuti clinici non necessari |
| Tecnico applicativo | Funzioni di manutenzione autorizzate | Accesso ai dati reali limitato e motivato |
| Operatore trasferito di reparto | Nuovo profilo coerente con le mansioni | Revoca delle autorizzazioni non più necessarie |
Questa tabella è un modello organizzativo, non un elenco normativo esaustivo di professioni autorizzate. La struttura deve adattarla alle attività concrete e verificare le eccezioni con la direzione sanitaria. Le misure tecniche e organizzative devono spiegare anche chi approva e chi esegue le modifiche ai profili.
Rendere effettivo l’oscuramento
Il paziente può chiedere che alcuni dati o documenti non siano visibili tramite il dossier; la scelta è revocabile e non deve essere desumibile dal dossier. Le informazioni sottoposte a tutela particolare richiedono le cautele indicate nelle FAQ e nella disciplina applicabile. La gestione delle categorie particolari dell’articolo 9 aiuta a evitare che tutte le informazioni cliniche siano trattate come un insieme indifferenziato.
Il collaudo dell’oscuramento deve usare almeno due profili diversi e più punti di ingresso. Controllare referto, riepilogo, ricerca, esportazione e notifiche. Se il sistema mostra «documento nascosto dal paziente» con data, reparto e tipo di esame, può rendere riconoscibile proprio l’evento che si voleva sottrarre alla condivisione.
Conservare separatamente la prova della richiesta e dell’esecuzione, accessibile a chi deve amministrare la scelta. Non occorre mostrarla indiscriminatamente a ogni utilizzatore clinico. La tracciabilità della preferenza e la visibilità del contenuto sanitario rispondono a esigenze diverse.
Registrare gli accessi con dettagli sufficienti
I log devono consentire di ricostruire una consultazione: identità dell’operatore, contesto organizzativo, paziente o documento coinvolto, momento e operazione effettuata. Le linee guida del Garante del 4 giugno 2015 costituiscono il riferimento specifico per il dossier, da leggere con il quadro GDPR e le successive disposizioni applicabili.
La progettazione dei log di sicurezza richiede integrità, orologi coerenti, accessi limitati e regole di conservazione documentate. Non confondere i log clinici con i soli accessi degli amministratori di sistema: descrivono eventi e responsabilità differenti.
Il provvedimento del Garante dell’11 settembre 2025, sezione 3.1, ribadisce la conservazione dei log delle operazioni sul dossier per almeno ventiquattro mesi dalla data dell’operazione registrata. Richiama anche i campi minimi: operatore, data e ora, postazione, paziente e tipo di operazione. È una regola specifica dei log del dossier, distinta dalla conservazione della documentazione clinica e dal minimo previsto per gli accessi degli amministratori di sistema. La configurazione deve garantirla anche dopo migrazioni e cambi di fornitore.
Provare che il sistema registri anche consultazioni attraverso interfacce secondarie. Un applicativo può tracciare l’apertura dalla propria schermata ma non una chiamata tramite integrazione. In tal caso il rapporto finale sarebbe incompleto anche se il database dei log risultasse perfettamente protetto.
Cercare anomalie senza trasformarle automaticamente in colpe
Definire indicatori coerenti con la struttura: accessi a pazienti senza relazione di cura apparente, consultazioni numerose in un intervallo breve, utilizzo di account cessati, attività incompatibile con il turno o richieste ripetute su un medesimo dossier. Un indicatore avvia una verifica; non dimostra da solo un accesso illecito.
Il controllo deve considerare consulenze, guardie, sostituzioni e attività assistenziali che possono essere registrate in sistemi diversi. Prima di contestare un evento, verificare se la relazione di cura era documentata altrove. Allo stesso tempo, evitare giustificazioni generiche come «poteva servire»: servono elementi collegati alla consultazione specifica.
Assegnare la prima analisi a persone autorizzate e limitare l’accesso al contenuto clinico durante l’indagine. Spesso bastano reparto, orario, contesto e operazione. Aprire tutti i referti per verificare chi li ha aperti può moltiplicare inutilmente l’esposizione.
Un caso ipotetico di anomalia chiusa correttamente
Un controllo rileva dodici consultazioni effettuate da un account di un professionista trasferito da un reparto a un altro. L’analista conserva gli eventi e verifica l’assegnazione del profilo. La direzione sanitaria accerta che dieci consultazioni riguardavano pazienti presi in carico nel nuovo reparto; due non hanno una giustificazione assistenziale documentata.
Il primo intervento corregge il profilo rimasto troppo ampio e verifica gli altri trasferimenti della stessa procedura. Per i due eventi residui viene aperta un’istruttoria riservata, senza riportare i nomi dei pazienti nella riunione generale dell’IT. Il referente competente valuta separatamente se vi sia una violazione di dati personali e quali misure siano necessarie.
Il verbale distingue quindi una causa tecnica confermata, accessi giustificati e accessi ancora da chiarire. Non scrive «dodici violazioni» sulla base dell’allarme iniziale e non chiude tutto come falso positivo soltanto perché la maggioranza degli eventi era legittima.
Rispondere alla richiesta di conoscere le consultazioni
Le FAQ confermano il diritto del paziente a conoscere gli accessi al dossier con indicazione della struttura o del reparto, della data e dell’ora. Preparare un’estrazione comprensibile, verificare l’identità del richiedente e spiegare eventuali codici tecnici. Non consegnare semplicemente un file interno pieno di identificativi senza significato per il destinatario.
Il provvedimento del settembre 2025 ribadisce, per questa richiesta specifica, il riscontro entro quindici giorni dal ricevimento; in caso di particolare complessità o altro giustificato motivo, comunicato all’interessato, il riscontro integrale deve arrivare entro trenta giorni dal ricevimento. Distinguere questo percorso da un’istanza più ampia di accesso ai dati personali e coordinare i termini applicabili. Le comunicazioni relative ai diritti richiedono un responsabile, una data di ricezione e un controllo dell’effettiva consegna. Se il paziente segnala una consultazione sospetta, l’estrazione del prospetto non sostituisce la verifica dell’anomalia.
Collegare il controllo alla gestione degli incidenti
Per le violazioni, applicare il quadro attuale degli articoli 33 e 34 del GDPR. Le pagine storiche del dossier contengono anche riferimenti procedurali anteriori al GDPR: non copiare automaticamente vecchi modelli, indirizzi e scadenze nel piano attuale. La comunicazione agli interessati deve essere valutata sulla base del rischio elevato e delle circostanze accertate.
Il rapporto periodico alla direzione dovrebbe mostrare copertura dei log, anomalie investigate, tempi di correzione dei profili, richieste ricevute e risultati dei collaudi di oscuramento. Sono informazioni utilizzabili per decidere. Il solo numero degli accessi complessivi descrive il volume del servizio, ma non dimostra che la struttura sappia distinguere una consultazione necessaria da una curiosità indebita.
Verificare account condivisi e sessioni lasciate aperte
L’attribuzione dell’accesso è fragile quando più persone usano la stessa credenziale oppure lavorano su una sessione aperta dal collega precedente. Nel controllo sul campo, osservare il cambio turno e le postazioni comuni: la policy scritta può prevedere account individuali mentre il lavoro reale segue una scorciatoia diversa.
La soluzione deve essere compatibile con l’assistenza. Valutare blocco rapido, autenticazione adeguata al contesto e procedure di emergenza tracciate, senza lasciare una password comune affissa alla postazione. Nel verbale distinguere le carenze del sistema dagli errori dell’operatore e assegnare azioni a chi può rimuoverne la causa. Se il log identifica soltanto una postazione condivisa, il rapporto deve dichiarare il limite di attribuzione: non è corretto associare automaticamente ogni evento alla persona titolare dell’account senza verificare come quella postazione veniva utilizzata.