Le sanzioni del Garante in sanità aiutano a capire quali scelte organizzative rendono illecito un trattamento: accessi troppo ampi, utilizzo del dossier per scopi diversi dalla cura, comunicazioni che rivelano una patologia e informazioni incomplete sul passaggio dei dati. Per usarle correttamente bisogna leggere insieme fatti, motivazione, dispositivo e aggiornamenti giudiziari. Il solo importo non spiega quale controllo sia mancato.
Questa guida esamina tre decisioni pubblicate, con verifica delle pagine ufficiali al 30 settembre 2026. Sono esempi selezionati per problemi differenti, non una classifica statistica delle violazioni più frequenti. Le indicazioni operative servono a direzioni sanitarie, responsabili informatici e DPO per trasformare i casi in verifiche concrete; il quadro generale degli adempimenti resta nella guida GDPR per strutture sanitarie e ASL.
Come leggere una sanzione senza confondere le cifre
La data della decisione può essere diversa da quella del comunicato che la presenta. Inoltre, una cifra può riferirsi a una contestazione iniziale, alla sanzione irrogata, a un pagamento agevolato oppure all’importo rideterminato dal giudice. Quando un ospedale prepara una relazione interna, dovrebbe annotare esattamente quale passaggio documenta il valore riportato e conservare il collegamento alla fonte aggiornata.
Una decisione può accertare più condotte. Non è corretto attribuire l’intera somma a un solo errore se il dispositivo distingue violazioni diverse. Analogamente, la pubblicazione del provvedimento non prova che siano esauriti i rimedi giurisdizionali. Nei casi seguenti gli importi sono quelli spiegati dalla fonte citata; non si presume una definitività giudiziaria che quella fonte non attesta.
Le misure correttive possono incidere sull’organizzazione più della multa: restringere la consultazione, rivedere l’informativa, introdurre controlli e dimostrare l’attuazione entro un termine. Il confronto con altre sanzioni del Garante privacy è utile per il metodo di lettura, senza trasferire automaticamente a una clinica le conclusioni di un caso diverso.
ASUFC: 24.000 euro per il dossier usato anche nella gestione dei turni
Con il provvedimento n. 616 del 3 settembre 2026, il Garante ha sanzionato l’Azienda sanitaria universitaria Friuli centrale per 24.000 euro. La vicenda riguardava, tra gli altri aspetti, l’accesso al dossier di una paziente che era anche dipendente, per verificarne la positività al Covid-19 ai fini della turnistica. Il fatto che l’azienda fosse contemporaneamente struttura di cura e datore di lavoro non rendeva intercambiabili quelle finalità.
L’Autorità ha respinto l’idea che l’emergenza pandemica consentisse quel riutilizzo del dossier. Ha inoltre rilevato carenze nei controlli automatici degli accessi e nell’adozione di un unico intervallo di inattività delle postazioni, fissato a trenta minuti, senza una valutazione adeguata dei diversi contesti operativi. La decisione non stabilisce un tempo universale di blocco valido per tutti gli ospedali: chiede una scelta che riduca il rischio senza compromettere l’efficacia dell’assistenza.
Per il titolare, la verifica utile consiste nel ricostruire chi può consultare quali dati e per quale attività. Un coordinatore può avere bisogno di informazioni organizzative per predisporre i turni, ma ciò non autorizza l’accesso al dossier clinico per ricavarle. Anche un’identità professionale valida e una password personale lasciano aperto il problema della finalità concreta della consultazione.
Il dispositivo prescrive la conformazione alle misure entro sessanta giorni dalla notifica e la comunicazione delle iniziative all’Autorità entro novanta giorni. Sono termini del caso, non scadenze generali del GDPR. Per una struttura diversa, la lezione è predisporre un controllo verificabile: permessi collegati alla cura, indicatori automatici di anomalie e configurazioni delle postazioni motivate in relazione al reparto. La guida al controllo degli accessi al dossier sanitario approfondisce questa organizzazione.
Careggi: leggere anche la riduzione giudiziaria del 2026
La pagina del provvedimento n. 474 del 4 agosto 2025, relativo all’Azienda ospedaliero-universitaria Careggi, riporta una nota successiva: il Tribunale di Firenze, con sentenza n. 1947/2026 del 9 aprile 2026, ha ridotto la sanzione a 20.000 euro. Citare oggi la vicenda senza quell’aggiornamento darebbe un’informazione incompleta. La nota consente di riferire la riduzione; non consente, da sola, di ricostruire tutte le ragioni della sentenza o gli eventuali ulteriori rimedi.
L’istruttoria descriveva un sistema che permetteva ricerche sulla storia sanitaria del paziente. Il problema non era soltanto la disponibilità tecnica delle cartelle: mancavano una corretta informazione sul dossier e la gestione specifica del relativo consenso, mentre era ancora richiesto un generico consenso per finalità di cura. Anche l’oscuramento e l’informazione sui diritti del paziente richiedevano un’organizzazione coerente con lo strumento utilizzato.
Il dossier sanitario riunisce informazioni su eventi clinici diversi all’interno di una struttura e costituisce un trattamento ulteriore rispetto all’assistenza del singolo episodio. Perciò il consenso al dossier non può essere sostituito da una firma indistinta all’accettazione. Il paziente deve comprendere la scelta e poter ricevere la prestazione anche senza aderire a quel trattamento facoltativo, secondo la disciplina applicabile.
Una verifica pratica deve seguire il percorso completo: cosa legge il paziente, cosa registra l’operatore, quali informazioni diventano visibili, come viene recepita la revoca e come funziona l’oscuramento. Un modulo aggiornato non basta se il gestionale mantiene una configurazione precedente. Viceversa, una funzione tecnica disponibile ma sconosciuta al paziente non realizza un diritto concretamente esercitabile.
Medtronic: 250.000 euro per le email e 50.000 per la trasparenza
Nel provvedimento n. 62 dell’8 febbraio 2024, il Garante ha ordinato a Medtronic Italia il pagamento complessivo di 300.000 euro, distinguendo due condotte. La prima sanzione, di 250.000 euro, riguardava comunicazioni di servizio agli utilizzatori di un’app collegata alla gestione del diabete: gli indirizzi erano visibili reciprocamente ai destinatari, fra i quali 732 in Italia.
La società sottolineava che il messaggio non conteneva referti. Il contesto, però, associava i destinatari all’utilizzo di un sistema per il diabete e rivelava informazioni sulla salute. È un punto essenziale per ospedali, laboratori e fornitori: anche un elenco di indirizzi, un appuntamento o l’oggetto di un messaggio può rivelare una condizione sanitaria senza riportare una diagnosi in chiaro.
La seconda sanzione, di 50.000 euro, riguardava l’informazione sulla base giuridica del collegamento tra l’account del paziente e quello del professionista sanitario. La decisione descriveva una comunicazione fra titolari distinti e informazioni insufficienti nelle versioni dell’informativa esaminate. Il pulsante che consentiva il collegamento non sostituiva una spiegazione comprensibile dell’operazione e del suo presupposto giuridico.
Per prevenire problemi analoghi, occorre verificare sia il canale sia il significato dei dati comunicati. Un invio individuale riduce l’esposizione dell’elenco dei destinatari, ma non risolve un indirizzo errato o una condivisione priva di base giuridica. Gli strumenti di invio devono quindi essere accompagnati da controlli sui destinatari, autorizzazioni e istruzioni, con prove su casi realistici prima dell’uso ordinario.
Cura, dossier, FSE e consegna dei referti non sono lo stesso trattamento
Il trattamento necessario alla cura può fondarsi sulla condizione dell’articolo 9, paragrafo 2, lettera h), con i requisiti di segretezza del paragrafo 3; deve avere anche un fondamento appropriato nell’articolo 6. Il consenso non è richiesto indistintamente per ogni attività sanitaria. Tuttavia, questa regola non autorizza automaticamente servizi facoltativi, comunicazioni ulteriori o riutilizzi per finalità commerciali.
Le FAQ del Garante sul dossier sanitario aiutano a separare l’aggregazione interna dalla singola prestazione. Il Fascicolo sanitario elettronico segue invece la propria disciplina: le FAQ attuali sul FSE distinguono l’alimentazione automatica dal consenso alla consultazione e dalle specifiche condizioni di accesso in emergenza. Trasferire al FSE una regola letta in un provvedimento sul dossier può quindi produrre una conclusione errata.
Anche la consegna online di un referto richiede una valutazione propria del canale e del servizio. La guida sulla consegna sicura dei referti online consente di approfondire destinatari e modalità; non ogni documento clinico è liberamente distribuibile con qualsiasi mezzo digitale. Nella mappa interna conviene distinguere queste operazioni, i destinatari e le garanzie: chiamarle tutte “gestione sanitaria” nasconde differenze che le decisioni rendono decisive.
Dalla decisione a controlli dimostrabili
Per gli accessi, confrontate l’organigramma con i permessi effettivi. Un trasferimento di reparto o la conclusione di un incarico deve tradursi nella revisione delle abilitazioni. Le istruzioni agli autorizzati al trattamento devono spiegare anche i divieti concreti: curiosità sui familiari, consultazioni per conto di colleghi e uso delle credenziali altrui. La formazione serve a riconoscere questi casi e a segnalarli, non a raccogliere soltanto una firma di presenza.
I log devono permettere di ricostruire gli eventi rilevanti; conservarli senza verificarli lascia scoperta la rilevazione delle anomalie. Definite chi esamina gli alert, come distingue un accesso clinicamente giustificato da uno anomalo e quando coinvolge il responsabile competente. La motivazione di un’emergenza deve poter essere valutata, senza trasformare una funzione eccezionale in una scorciatoia ordinaria.
Per le comunicazioni, controllate un campione di percorsi diversi: promemoria di appuntamenti, invio di documenti e collegamento con una piattaforma esterna. Verificate dati visualizzati, deleghe pertinenti e ruolo dei soggetti. Un fornitore può essere responsabile per alcune operazioni e titolare autonomo per altre; il contratto commerciale non decide da solo la qualificazione.
Il registro delle attività di trattamento aiuta a mantenere questa mappa. Le basi giuridiche, pur non essendo un campo espressamente imposto dall’articolo 30, sono utili da documentare insieme alle operazioni. La disponibilità di un registro non dimostra però che permessi, informative e procedure corrispondano a quanto vi è scritto: servono riscontri sull’attività effettiva.
Gestire un incidente e conservare le ragioni delle decisioni
Non ogni guasto informatico costituisce una violazione di dati personali. Quando sono compromesse riservatezza, integrità o disponibilità dei dati, occorre valutare la violazione e i rischi per le persone. La notifica al Garante deve avvenire senza ingiustificato ritardo e, ove possibile, entro settantadue ore dalla conoscenza, salvo che sia improbabile un rischio per diritti e libertà. Un ritardo richiede motivazione; le informazioni mancanti possono essere fornite successivamente secondo l’articolo 33.
La comunicazione ai pazienti è una decisione distinta: l’articolo 34 la richiede senza ingiustificato ritardo quando è probabile un rischio elevato, ferme le condizioni di esenzione previste. La sola etichetta “dato sanitario” non sostituisce l’analisi, ma la sensibilità delle informazioni, i destinatari e le conseguenze possibili pesano nella valutazione. Recuperare un file non dimostra automaticamente che nessuno lo abbia visto o copiato.
Documentate ogni violazione di dati personali, anche quando non viene notificata, con fatti, effetti e rimedi, come richiesto dall’articolo 33, paragrafo 5. Un registro delle violazioni dovrebbe rendere leggibile la motivazione delle scelte. Nel caso di ransomware, l’indagine deve comprendere anche perdita di disponibilità e possibili accessi o esfiltrazioni: il ripristino delle prestazioni sanitarie e la protezione dei pazienti richiedono attività coordinate.
Prima di chiudere l’incidente, separate il contenimento dalla soluzione stabile. Disattivare temporaneamente una funzione può bloccare un accesso improprio, ma occorre anche definire come il personale continuerà a svolgere le prestazioni necessarie. Registrate chi autorizza la riattivazione, quale controllo è stato introdotto e come viene verificato. È una raccomandazione organizzativa: il suo contenuto dipende dal sistema coinvolto, non da un termine uniforme imposto a tutte le strutture.
Se la prima analisi era incompleta, conservate la sequenza degli aggiornamenti. Per esempio, una comunicazione inizialmente ritenuta limitata agli indirizzi email può risultare rivelatrice di una patologia dopo l’esame del contesto. Annotare quando emerge questo elemento permette di spiegare perché è cambiata la valutazione del rischio e quali decisioni sono state adottate di conseguenza.
DPIA, DPO e responsabilità della direzione
La valutazione d’impatto è obbligatoria per il trattamento su larga scala delle categorie particolari e negli altri casi previsti dall’articolo 35, inclusi quelli individuati negli elenchi applicabili. Va svolta prima del trattamento e riesaminata quando cambia il rischio. Una nuova integrazione del dossier o una maggiore profondità degli accessi può richiedere di rivedere l’analisi, non soltanto aggiornare il nome del software.
Le autorità e gli organismi pubblici devono designare un DPO o RPD, salvo l’eccezione delle autorità giurisdizionali nell’esercizio delle funzioni. Per una struttura privata, rilevano fra gli altri i trattamenti di categorie particolari su larga scala nell’ambito delle attività principali. Non è corretto applicare la stessa motivazione a ogni professionista individuale e a un grande ospedale privato.
Il DPO informa, consiglia e sorveglia; la direzione deve assegnare risorse e decidere gli interventi. Per chiudere un rilievo, chiedete evidenze proporzionate: configurazione modificata, verifica di un campione di accessi, informativa effettivamente presentata e prova che l’anomalia venga gestita. Una data di completamento dichiarata senza riscontro non dimostra che il rischio individuato sia stato affrontato.
Domande pratiche sulle sanzioni sanitarie
Un singolo accesso illecito comporta automaticamente una multa?
No. Occorre valutare i fatti, le violazioni accertate e le circostanze del caso. Tuttavia, un solo reclamo può rivelare una configurazione che espone molti pazienti. Il numero di accessi conosciuti non è quindi l’unico elemento da considerare: contano anche ampiezza dei permessi, controlli e conseguenze possibili.
Correggere subito il problema elimina la sanzione?
Non automaticamente. La cooperazione e le misure adottate possono essere considerate nella valutazione, ma non cancellano necessariamente il trattamento precedente. Inoltre, la correzione deve risolvere la causa: formare nuovamente un operatore può essere utile, ma non sostituisce la modifica di un sistema che consente a chiunque di consultare dati estranei ai propri compiti.
È sufficiente una dichiarazione del fornitore sulla sicurezza?
È un elemento da verificare rispetto al servizio concreto. La struttura deve capire quali configurazioni controlla, quali interventi dipendono dal fornitore e come ottiene evidenza delle attività svolte. I casi esaminati mostrano perché il controllo degli accessi e la trasparenza vadano verificati nel percorso realmente utilizzato dal personale e dai pazienti.