Il provvedimento del 3 settembre 2026 sull’ASUFC conferma un orientamento ormai consolidato: il dossier sanitario può essere utilizzato. esclusivamente nell’ambito del percorso di cura e non può trasformarsi in uno strumento di gestione del personale.
La decisione si inserisce in una linea interpretativa che il Garante porta avanti da anni, rafforzando i principi di finalità, minimizzazione, separazione dei ruoli e privacy by design.
Indice degli argomenti
La possibilità di accesso a un dato sanitario non significa legittimità dell’accesso
C’è un principio che attraversa tutta la disciplina del dossier sanitario e che il Garante per la protezione dei dati personali torna a ribadire con particolare nettezza: la possibilità tecnica di accedere a un’informazione sanitaria non coincide con la legittimità dell’accesso.
Il tema assume una rilevanza particolare quando il soggetto che gestisce il dossier sanitario è anche il datore di lavoro dell’interessato.
È esattamente la situazione affrontata dal Garante nel provvedimento del 3 settembre 2026, n. 616 (doc. web n. 10293994), relativo all’azienda sanitaria universitaria Friuli Centrale (ASUFC), alla quale è stata applicata una sanzione amministrativa di 24.000 euro.
La vicenda riguarda, tra gli altri profili, l’accesso al dossier sanitario di una dipendente per verificarne lo stato di positività al Covid e stabilire se potesse essere inserita nei turni di lavoro. Il punto giuridico, però, va ben oltre il singolo accesso.
Il provvedimento rappresenta infatti l’ultimo tassello di una linea già delineata dal Garante attraverso le Linee guida del 2015 e numerosi interventi successivi, alcuni dei quali riguardano proprio l’utilizzo del dossier durante la pandemia e l’accesso ai dati sanitari dei lavoratori.
Il punto di partenza: che cos’è giuridicamente il dossier sanitario
Per comprendere la decisione occorre partire dalla natura stessa del dossier. Secondo le Linee guida del Garante del 4 giugno 2015, il dossier sanitario è l’insieme dei dati personali relativi agli eventi clinici presenti e passati dell’interessato, condivisi tra i professionisti sanitari che lo assistono all’interno di una medesima struttura sanitaria, allo scopo di documentarne la storia clinica e migliorare il processo di cura.
È dunque uno strumento costruito intorno a una precisa finalità: la cura della persona.
Il dossier costituisce, inoltre, un trattamento specifico e ulteriore rispetto a quello effettuato dal singolo professionista sanitario nel corso della prestazione.
Per questo motivo, il Garante lo considera un trattamento facoltativo, soggetto a specifiche garanzie.
La conseguenza è importante: proprio perché il dossier costituisce uno strumento ulteriore rispetto alla singola prestazione sanitaria, il suo perimetro di utilizzo non può essere esteso liberamente ad altre finalità.
Finalità: il primo limite all’accesso
Il principio della limitazione della finalità costituisce uno dei cardini della disciplina europea in materia di protezione dei dati personali.
L’articolo 5, paragrafo 1, lettera b), GDPR impone che i dati siano raccolti per
finalità determinate, esplicite e legittime e successivamente trattati in modo non incompatibile con tali finalità.
Nel caso del dossier sanitario, la finalità è particolarmente qualificata: prevenzione, diagnosi e cura dell’interessato.
Le Linee guida del Garante del 2009 già stabilivano che l’accesso al dossier dovesse essere consentito esclusivamente per tali finalità e ai soggetti operanti nell’ambito sanitario coinvolti nel processo di cura, escludendo espressamente, tra gli altri, i datori di lavoro.
Le Linee guida del 2015 hanno poi sistematizzato questo impianto, richiedendo alle strutture sanitarie di definire accuratamente i profili di autorizzazione e di limitare l’accesso al personale sanitario che interviene nel percorso assistenziale.
È su questa architettura che si innesta il provvedimento del 2026.
Il caso ASUFC: il datore di lavoro non può diventare “curante” per accedere al dossier
Nel caso esaminato dal Garante, l’azienda sanitaria aveva utilizzato il dossier per verificare la positività al Covid di una dipendente, allo scopo di organizzare i turni.
La difesa dell’azienda si inseriva nel contesto eccezionale della pandemia e nelle esigenze di tutela della salute dei pazienti e degli operatori. Ma il Garante ha distinto la necessità organizzativa dalla finalità di cura.
Il fatto che l’azienda sanitaria sia contemporaneamente struttura sanitaria e datore di lavoro non consente di utilizzare il dossier in entrambe le funzioni.
Il dossier rimane vincolato alla finalità per cui è stato costituito. E questo vale anche se il soggetto che accede possiede, in astratto, le credenziali necessarie per entrare nel sistema.
Il Garante sottolinea infatti che l’accesso non era stato effettuato per curare la lavoratrice, ma per gestire i turni di lavoro.
La circostanza che fosse formalmente aperto un percorso di cura non cambia la natura dell’operazione: ciò che rileva è la finalità concreta perseguita attraverso l’accesso.
La distinzione tra datore di lavoro e struttura sanitaria
È probabilmente questo il passaggio giuridicamente più significativo della decisione.
Il Regolamento generale sulla protezione dei dati non vieta in assoluto al datore di lavoro di trattare dati relativi alla salute dei dipendenti.
Al contrario, l’articolo 9, paragrafo 2, lettera b), consente determinati trattamenti quando siano necessari per assolvere obblighi ed esercitare diritti specifici in materia di diritto del lavoro, sicurezza sociale e protezione sociale, purché ricorrano le condizioni previste dalla normativa.
Il problema, quindi, non è che il datore di lavoro non possa mai trattare dati sanitari. Ma il punto è come e da quale fonte quei dati vengano acquisiti e per quale finalità vengano utilizzati.
Nel provvedimento del 2026 il Garante ricorda che il trattamento dei dati relativi alla salute dei dipendenti deve avvenire nei limiti stabiliti dalla normativa e, per gli aspetti di sorveglianza sanitaria, attraverso il medico competente, soggetto al quale l’ordinamento attribuisce specifiche funzioni.
Si tratta di una distinzione essenziale: il datore di lavoro può avere necessità di conoscere determinate informazioni relative all’idoneità del lavoratore. Non per questo può accedere direttamente alla sua storia clinica.
Il precedente del 2023: proprio i turni ospedalieri
La decisione del 2026 non arriva nel vuoto. Il Garante richiama espressamente il proprio provvedimento del 12 ottobre 2023, n. 473, doc. web n. 9954220, relativo a un caso estremamente vicino a quello oggi esaminato.
Anche in quella vicenda un’azienda sanitaria aveva utilizzato il dossier sanitario per finalità connesse all’organizzazione dei turni ospedalieri.
Il Garante aveva sanzionato l’azienda e ribadito che il dossier, proprio per la sua natura facoltativa e per la sua possibile incompletezza informativa, non può essere utilizzato per esigenze organizzative e amministrative.
Il principio vale anche quando il titolare riveste contemporaneamente la qualità di datore di lavoro e autorità sanitaria che ha in cura il dipendente.
Il precedente del 2023 rende quindi particolarmente significativo il provvedimento del 2026: non siamo davanti a una nuova interpretazione, ma alla conferma di un orientamento già espresso dal Garante.
Il precedente del 2022
La pandemia non giustifica la rimozione dei filtri.
Ancora più significativo è il provvedimento del 10 novembre 2022, n. 371, doc. web n. 9819792.
In quel caso, il Garante aveva sanzionato un’azienda sanitaria che, durante la pandemia, aveva modificato le regole di visibilità del dossier, rimuovendo i filtri che limitavano gli accessi.
La conseguenza era stata particolarmente ampia: il personale sanitario poteva consultare i dossier dei pazienti dell’azienda anche indipendentemente dal proprio effettivo coinvolgimento nel percorso di cura. La giustificazione era ancora una volta legata alle esigenze organizzative dell’emergenza.
Il Garante ha però chiarito che l’emergenza sanitaria non determina una sospensione generalizzata delle regole sulla protezione dei dati.
La situazione pandemica può incidere sulle modalità concrete di organizzazione dei trattamenti, ma non autorizza automaticamente l’ampliamento degli accessi a informazioni sanitarie.
Il dossier non è una banca dati organizzativa
La linea interpretativa che emerge dai provvedimenti è quindi molto precisa.
Il dossier sanitario non può essere trasformato in una banca dati dalla quale l’azienda ricava informazioni utili a:
- organizzare i turni;
- verificare la presenza o l’assenza del dipendente;
- conoscere lo stato di salute del personale;
- effettuare valutazioni organizzative;
- svolgere attività riconducibili alla gestione del rapporto di lavoro.
Il Garante evidenzia infatti una caratteristica strutturale del dossier: l’incompletezza informativa.
L’interessato può esercitare il diritto di oscuramento rispetto a determinate informazioni.
Di conseguenza, il dossier non è necessariamente una rappresentazione completa dello stato di salute di una persona.
Utilizzarlo come strumento organizzativo per decidere, per esempio, se un lavoratore possa essere inserito in turno sarebbe quindi problematico anche sotto il profilo dell’affidabilità del dato.
Minimizzazione: non basta essere autorizzati
Il secondo grande principio che emerge dalla giurisprudenza amministrativa del Garante è quello della minimizzazione dei dati.
L’articolo 5, paragrafo 1, lettera c), GDPR impone che i dati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
Nel contesto sanitario questo principio assume una dimensione tecnologica molto concreta.
Non è sufficiente stabilire che un determinato professionista può entrare nel sistema. Occorre stabilire quali informazioni può vedere.
Il Garante, nelle proprie Linee guida, ha quindi richiesto alle strutture di effettuare una ricognizione delle situazioni nelle quali i diversi operatori possono avere necessità di consultare il dossier e, sulla base di questa analisi, costruire differenti profili di autorizzazione.
È la differenza tra una semplice autorizzazione all’accesso e un sistema di accesso selettivo e proporzionato.
Privacy by design: la regola deve essere scritta nel software
Il provvedimento del 2026 richiama inoltre l’articolo 25 del General Data Protection Regulation sulla protezione dei dati fin dalla progettazione.
La conseguenza è di grande rilievo per le strutture sanitarie. La conformità non può essere affidata soltanto alla formazione degli operatori o a regole interne.
Il sistema informatico deve essere progettato in modo tale da ridurre a monte la possibilità di accessi impropri. Questo significa, tra l’altro:
- profilazione degli utenti;
- autorizzazioni differenziate;
- autenticazione adeguata;
- registrazione degli accessi;
- sistemi di alert;
- monitoraggio delle anomalie;
- blocco automatico delle postazioni;
- possibilità per l’interessato di conoscere chi ha consultato il proprio dossier.
Sono misure che il Garante aveva già delineato nelle Linee guida del 2015 e che continuano a costituire il riferimento dell’attuale attività di controllo.
La tracciabilità degli accessi non è un dettaglio
Un ulteriore elemento della disciplina riguarda la possibilità per il paziente di sapere chi ha consultato il proprio dossier.
Le Linee guida del 2015 prevedono che l’interessato possa chiedere al titolare informazioni sugli accessi effettuati, con indicazione della struttura o del reparto, nonché della data e dell’ora dell’accesso.
La tracciabilità assume quindi una funzione che non è soltanto informatica. È uno strumento di accountability.
Sapere che ogni consultazione viene registrata e può essere ricostruita costituisce infatti un elemento di deterrenza rispetto agli accessi non giustificati e consente al titolare di individuare eventuali anomalie.
Dal 2009 al 2026: una linea interpretativa coerente
Se si osservano in successione i principali interventi del Garante, emerge una linea sostanzialmente coerente.
Nel 2009, le prime Linee guida sul FSE e sul dossier sanitario avevano già stabilito che l’accesso dovesse essere legato alle finalità di prevenzione, diagnosi e cura, escludendo espressamente i datori di lavoro.
Poi, nel 2015, il Garante ha sistematizzato la materia con nuove Linee guida, rafforzando consenso, profilazione degli accessi, tracciamento e sicurezza. Durante la pandemia, nel 2022, l’Autorità è intervenuta contro l’ampliamento indiscriminato della visibilità del dossier.
Nel 2023 ha sanzionato l’utilizzo del dossier per l’organizzazione dei turni. Torna sul medesimo terreno nel 2026, ribadendo che il dossier non può essere utilizzato dal datore di lavoro per conoscere informazioni sanitarie del dipendente a fini organizzativi.
Il vero principio: separazione delle finalità e dei ruoli
Il valore giuridico del provvedimento del 2026 sta soprattutto nell’aver chiarito che la coincidenza soggettiva del titolare non comporta la coincidenza delle finalità.
Una stessa azienda può essere:
- struttura sanitaria che cura un paziente;
- datore di lavoro di quella stessa persona;
- titolare di sistemi informativi contenenti dati sanitari.
Ma queste tre dimensioni non possono essere automaticamente sovrapposte.
Quando l’azienda agisce come struttura sanitaria, l’accesso al dossier deve essere giustificato dalla cura.
Invece, quando agisce come datore di lavoro, il trattamento dei dati del dipendente deve trovare la propria base giuridica nella disciplina del rapporto di lavoro e della sicurezza, rispettando le specifiche garanzie previste dall’ordinamento.
Non è la qualifica dell’ente a determinare la liceità dell’accesso, ma la finalità concreta perseguita.
La pandemia come banco di prova
La particolare attenzione del Garante al periodo Covid è significativa. L’emergenza ha rappresentato un banco di prova per il rapporto tra protezione dei dati e necessità organizzative.
La risposta dell’Autorità non è stata quella di negare le esigenze di sicurezza sanitaria, ma di ricordare che anche in una situazione emergenziale occorre individuare la corretta base giuridica e il corretto strumento per perseguire quella finalità.
Nel provvedimento del 2026, il Garante osserva infatti che, in assenza di una specifica previsione normativa, il datore di lavoro non poteva acquisire informazioni sullo stato di salute del dipendente da fonti non previste, tanto meno attraverso il dossier sanitario.
In sostanza, la regola è quella della legalità del trattamento anche nell’emergenza.
La sanzione parla soprattutto ai sistemi informativi: I 24 mila euro inflitti all’ASUFC sono soltanto una parte della decisione.
L’aspetto forse più rilevante per le aziende sanitarie è rappresentato dalle misure correttive e dal richiamo alla progettazione dei sistemi.
Il messaggio del Garante è infatti rivolto non soltanto al singolo operatore che effettua un accesso improprio, ma soprattutto al titolare del trattamento. Se un dipendente può accedere facilmente a informazioni che non gli servono per svolgere le proprie funzioni, il problema può essere anche nella configurazione del sistema.
Ecco perché diventano centrali l’articolo 25 GDPR, sulla privacy by design, e l’articolo 32 GDPR, sulle misure di sicurezza.
In altre parole, la compliance non è soltanto una questione di procedure interne. Ma è anche una questione di architettura informatica.
Il dato sanitario non segue il dipendente nel rapporto di lavoro
La vicenda ASUFC consente quindi di ricostruire un principio ormai consolidato.
Il fatto che una persona sia contemporaneamente paziente e lavoratore della stessa struttura non consente all’organizzazione di utilizzare le informazioni contenute nel suo dossier sanitario per finalità lavorative.
Il dossier rimane ancorato alla cura. Per le esigenze del rapporto di lavoro esistono altri strumenti, altre basi giuridiche e, in materia di sorveglianza sanitaria, altri soggetti istituzionalmente competenti.
Il percorso tracciato dal Garante dal 2009 a oggi mostra una progressiva trasformazione del concetto di sicurezza: non basta più impedire l’accesso agli estranei.
Occorre impedire anche l’accesso dell’operatore legittimato quando, in quello specifico momento, sta perseguendo una finalità per la quale non è autorizzato a utilizzare quel dato.
Probabilmente è questa la lezione giuridica più importante del provvedimento del 3 settembre 2026.
Nel diritto della protezione dei dati, avere le chiavi di una porta non significa avere il diritto di aprirla. E nel dossier sanitario, la finalità di cura resta la chiave che legittima l’accesso.
Partecipa alla community