Dossier sanitario consultato senza motivo: Asufc Udine multata 24mila euro

Il Garante per la protezione dei dati personali ha sanzionato per 24mila euro l'Azienda sanitaria universitaria Friuli centrale (Asufc) di Udine, colpevole di aver lasciato che il personale accedesse liberamente allo stato di salute dei colleghi attraverso il dossier sanitario aziendale, senza che questo fosse configurato in modo da impedirlo. Il provvedimento, il n. 616 del 3 settembre 2026, nasce dal reclamo di una dipendente dell'ospedale che, allo stesso tempo, ne era anche paziente.

L'Autorità ha accertato che una collega dello stesso reparto della donna aveva consultato senza autorizzazione il suo dossier sanitario durante il periodo della pandemia, allo scopo di verificare un'eventuale positività al Covid-19 e organizzare di conseguenza i turni di lavoro. Non solo: durante l'istruttoria è emerso che il dossier della dipendente era stato oggetto anche di ulteriori accessi da parte di altri professionisti sanitari che non l'avevano in cura.

Il Garante ha ribadito un principio già affermato in precedenti pronunce: il dossier sanitario può essere consultato soltanto da chi ha effettivamente in cura il paziente, e non per finalità organizzative o amministrative come la pianificazione dei turni di lavoro. Un principio che, secondo l'Autorità, vale a maggior ragione quando l'ospedale riveste contemporaneamente il ruolo di datore di lavoro e di struttura sanitaria che ha in cura il dipendente-paziente.

Le esigenze di tipo amministrativo e organizzativo, ha ricordato il Garante, devono essere gestite attraverso strumenti dedicati a questo scopo, e non tramite il dossier sanitario, che nasce invece per supportare il professionista nella comprensione del percorso clinico del paziente. L'Autorità ha inoltre sottolineato come l'utilizzo del dossier per finalità diverse da quelle di cura sia anche inefficiente dal punto di vista pratico: si tratta infatti di uno strumento per sua natura incompleto, dato che l'interessato ha la facoltà di oscurare alcuni dati sanitari, compresi quelli che potrebbero risultare determinanti proprio per le finalità organizzative che si intendeva perseguire.

Nel provvedimento è stata inoltre contestata all'azienda sanitaria friulana l'assenza di limitazioni specifiche agli accessi al sistema e la mancanza di sistemi automatici capaci di rilevare eventuali comportamenti anomali da parte del personale. Oltre alla sanzione pecuniaria, il Garante ha ordinato all'Asufc di adottare misure tecniche e organizzative adeguate per il controllo degli accessi al dossier sanitario e per l'individuazione tempestiva di eventuali condotte illecite.

Come riporta Sardegnagol, questo non è il primo caso che coinvolge l'azienda sanitaria friulana: negli anni scorsi il Garante aveva già sanzionato l'Asufc per vicende analoghe legate ad accessi impropri ai dati sanitari dei pazienti da parte di personale non coinvolto nel loro percorso di cura.