Puoi consultare la cartella di un paziente solo perché lavori nella struttura?

Settembre, con il rientro dalle ferie e il ritorno alla normale organizzazione dello studio, può essere l'occasione per affrontare un tema spesso sottovalutato: chi può realmente accedere ai dati dei pazienti? Il fatto che un medico, un infermiere, un collaboratore o un addetto disponga delle credenziali per entrare in un gestionale non significa necessariamente che possa consultare liberamente tutte le informazioni disponibili. Un recente provvedimento del Garante per la protezione dei dati personali, adottato il 3 luglio 2026, ha richiamato l'attenzione proprio sugli accessi indebiti ai dossier sanitari, ribadendo l'importanza di limitare la consultazione delle informazioni al personale effettivamente coinvolto nel percorso di cura del paziente.

Il punto centrale è che la protezione dei dati sanitari non dipende soltanto da password e sistemi informatici, ma anche dalla corretta organizzazione degli accessi. Non tutti devono poter vedere tutto. Definire chi può accedere alle informazioni, per quali finalità e in quali limiti rappresenta una misura fondamentale per tutelare la riservatezza dei pazienti e prevenire accessi non giustificati. Il caso esaminato dal Garante mostra concretamente cosa può accadere quando queste regole non vengono rispettate.

Due medici e due infermieri hanno consultato dossier di pazienti adulti

La vicenda riguarda l’Azienda sanitaria universitaria Giuliano Isontina (ASUGI). Quattro operatori del reparto di pediatria, due medici e due infermieri, hanno aperto le cartelle sanitarie di quattro persone adulte che non erano loro pazienti né in cura presso il reparto. Il sistema informatico bloccava normalmente l’accesso, ma gli operatori hanno usato una funzione che permetteva di superare il blocco. Per farlo, dovevano dichiarare che il paziente era seguito dalla struttura, ma non era ancora stato inserito nel sistema. Ma non era vero: quelle persone non erano seguite da loro e non erano in cura nel reparto di pediatria. Gli operatori hanno quindi usato questa funzione per entrare nelle loro cartelle. Quando ASUGI ha scoperto gli accessi, ha avviato procedimenti disciplinari contro i quattro operatori e ha segnalato il caso alla Procura della Repubblica. Il Garante, però, non ha guardato soltanto alla condotta dei singoli professionisti. L'Autorità ha analizzato anche come era stato organizzato il sistema di accesso ai dossier sanitari e quali strumenti fossero stati predisposti per prevenire e individuare eventuali consultazioni non autorizzate.

Scopri come il team di OKPrivacy può aiutarti a proteggere i tuoi dati e quelli dei tuoi pazienti

Avere una password non significa poter consultare tutti i pazienti

È questo uno dei principi più importanti che emergono dal provvedimento: la possibilità tecnica di accedere a un dato non coincide con il diritto di consultarlo.

L'accesso al dossier sanitario deve essere collegato alla presa in carico del paziente e alle effettive esigenze di cura. La struttura deve quindi stabilire quali operatori possano accedere alle informazioni, in relazione alle loro mansioni, e quali dati siano effettivamente necessari per svolgere l'attività assistenziale. Non basta, dunque, lavorare nello stesso ospedale o nella stessa azienda sanitaria. E non basta nemmeno possedere credenziali che, dal punto di vista informatico, consentano di visualizzare determinate informazioni. Deve esistere una ragione professionale e assistenziale che giustifichi l'accesso. È proprio qui che entra in gioco la corretta organizzazione dei sistemi informatici: la privacy del paziente non può essere affidata esclusivamente alla responsabilità individuale dell'operatore, ma deve essere sostenuta da regole, autorizzazioni e controlli adeguati.

L'autodichiarazione può servire in casi particolari, ma non diventare una scorciatoia

Il sistema di ASUGI prevedeva una procedura di autodichiarazione pensata per consentire l'accesso in situazioni nelle quali il paziente non fosse ancora stato registrato amministrativamente. Si tratta di una possibilità che può avere una sua ragione, ad esempio quando un professionista deve intervenire su un paziente che non è ancora presente formalmente nel sistema. Il problema nasce quando una procedura pensata per situazioni particolari diventa una modalità ordinaria per aggirare le limitazioni all'accesso. Nel periodo esaminato dal Garante, il sistema aveva registrato circa sette milioni di accessi al dossier sanitario. Oltre l'82% era avvenuto dopo la presa in carico amministrativa, mentre poco meno del 18% degli accessi era stato effettuato attraverso l'autodichiarazione.

Secondo il Garante, proprio una percentuale così significativa rende necessario un controllo specifico sulla correttezza degli accessi effettuati attraverso questa modalità. La procedura deve rimanere collegata a una reale necessità assistenziale, non diventare un modo per superare i limiti previsti dal sistema.

In pediatria può essere necessario conoscere dati di familiari adulti

La vicenda presenta anche una particolarità che impedisce di ridurre la questione a una semplice regola secondo cui un pediatra o un infermiere pediatrico non potrebbe mai consultare dati relativi a un adulto.

ASUGI aveva spiegato che, nell'ambito di determinati percorsi clinici, può essere necessario conoscere informazioni sanitarie relative ai familiari adulti di un minore, quando tali informazioni risultino rilevanti per la diagnosi o per la cura del bambino. Il punto, quindi, non è vietare in assoluto questo tipo di accesso. Anche in questi casi, però, deve esserci una concreta esigenza assistenziale e devono essere rispettate le condizioni previste per la consultazione del dossier sanitario. La possibilità che un'informazione possa risultare utile non equivale a un'autorizzazione generale. Anche in presenza di una possibile esigenza clinica, l'accesso deve essere proporzionato, giustificato e coerente con il ruolo dell'operatore.

Ogni professionista deve avere un accesso coerente con il proprio ruolo

Il Garante richiama inoltre l'importanza di definire profili di autorizzazione differenziati. Medici, infermieri e altri operatori non hanno necessariamente bisogno di consultare le stesse informazioni e non svolgono le stesse attività. Per questo, i sistemi dovrebbero consentire di stabilire diversi livelli di accesso sulla base delle mansioni, della struttura di appartenenza e del percorso assistenziale. Nel caso di ASUGI, il Garante ha rilevato criticità proprio nella configurazione dei profili di accesso e ha richiamato la necessità di una gestione più granulare, in modo da associare differenti livelli di visibilità alle diverse figure professionali. L'obiettivo è semplice: chi deve curare deve poter accedere alle informazioni necessarie per farlo; chi non ha una ragione assistenziale non deve poter consultare liberamente il dossier.

Scopri come il team di OKPrivacy può aiutarti a proteggere i tuoi dati e quelli dei tuoi pazienti

Non basta registrare chi entra: gli accessi devono essere controllati

Un altro punto centrale riguarda la tracciabilità degli accessi. Il sistema di ASUGI registrava diversi elementi: l'operatore, la data e l'ora dell'accesso, il paziente consultato, i documenti visualizzati e, in caso di forzatura, anche la motivazione indicata. Ma registrare gli accessi non è sufficiente. Occorre anche essere in grado di individuare comportamenti anomali e verificare successivamente se l'accesso fosse realmente giustificato. Nel caso esaminato, al momento dei fatti non erano presenti sistemi automatici di alert capaci di segnalare anomalie. Il Garante ha quindi richiamato l'attenzione sull'importanza di controlli e verifiche, compresi controlli a campione sugli accessi effettuati attraverso la forzatura del sistema. La struttura deve poter verificare, ad esempio, se l'accesso sia coerente con la mansione dell'operatore, con il reparto di appartenenza e con una concreta attività di cura.

La responsabilità resta della struttura sanitaria

ASUGI aveva evidenziato che il sistema informatico era inserito nell'infrastruttura regionale e che alcune modifiche tecniche erano quindi legate alla Regione Friuli-Venezia Giulia e a Insiel, società incaricata dello sviluppo e della manutenzione del sistema. Questo, però, non elimina le responsabilità della struttura sanitaria. Il Garante ha ribadito che la titolarità del trattamento dei dati effettuato attraverso il dossier sanitario per finalità di cura resta in capo alla struttura. Di conseguenza, l'azienda sanitaria deve adottare e pretendere le misure necessarie per garantire che gli accessi siano correttamente regolati e controllati, anche quando il sistema tecnologico utilizzato è condiviso o gestito a livello regionale.

Il Garante: trattamento illecito e sanzione di 10mila euro

Al termine dell'istruttoria, il Garante ha ritenuto illecito il trattamento effettuato da ASUGI, rilevando criticità rispetto ai principi di liceità, correttezza e trasparenza, integrità e riservatezza, protezione dei dati fin dalla progettazione e sicurezza del trattamento. L'Autorità ha quindi adottato il provvedimento del 3 luglio 2026 e ha applicato ad ASUGI una sanzione amministrativa di 10.000 euro, disponendo inoltre specifiche misure e comunicazioni relative alla verifica degli accessi e agli interventi sul sistema. Il caso mostra così che la tutela dei dati sanitari non riguarda soltanto il singolo operatore che effettua un accesso non giustificato. Riguarda anche il modo in cui la struttura progetta, autorizza, limita e controlla l'accesso alle informazioni.

La regola di fondo è quindi chiara: lavorare in una struttura sanitaria non significa poter consultare i dati di tutti i pazienti. La password consente tecnicamente di entrare in un sistema, ma è la concreta necessità professionale e assistenziale a stabilire se quell'accesso sia legittimo.