In una struttura sanitaria il dato più delicato non è quello che esce: è quello che viene guardato da chi non doveva guardarlo. Un provvedimento del Garante del luglio 2026 lo mostra con precisione, e spiega perché il DPO strutture sanitarie Napoli non sia una casella da riempire nel protocollo ma la figura che deve accorgersi di un problema prima dell’Autorità. La vicenda riguarda un’azienda sanitaria del Nord-Est, ma il meccanismo contestato è identico in ogni poliambulatorio, casa di cura o azienda ospedaliera d’Italia.
Il caso: quattro dossier aperti con una forzatura
Nel dossier sanitario aziendale di un’azienda sanitaria due medici e due infermieri di un reparto di pediatria avevano effettuato accessi ripetuti ai dossier di quattro pazienti adulti, non in cura presso di loro. Per farlo avevano utilizzato la funzione di cosiddetta forzatura, accompagnata da un’autodichiarazione di presa in carico che, secondo la stessa azienda, non corrispondeva al vero.
Il Garante ha dichiarato illecito il trattamento richiamando gli articoli 5, paragrafo 1, lettere a) e f), 9, 25 e 32 del Regolamento, oltre alle proprie Linee guida sul dossier sanitario del 2015. Alla struttura è stato chiesto di comunicare entro trenta giorni la data di adozione di una procedura di verifica degli accessi.
Le due contestazioni che pesano
Il provvedimento non si limita a sanzionare il comportamento dei quattro operatori. Contesta all’azienda, in quanto titolare, due carenze organizzative.
- L’assenza di alert automatici. Un sistema che consente la forzatura senza generare alcuna segnalazione è un sistema che lascia l’accesso anomalo invisibile.
- L’assenza di controlli a campione. Dove nessuno guarda i log, la tracciatura esiste sulla carta e non nella realtà. È l’equivalente di una telecamera che registra su un nastro che nessuno rivede.
Dietro entrambe c’è l’articolo 25: la protezione dei dati fin dalla progettazione e per impostazione predefinita non è un principio programmatico, è un criterio di configurazione dei sistemi. Un dossier che permette a chiunque di autodichiararsi la presa in carico, senza verifica e senza allarme, non è configurato in modo conforme.
DPO strutture sanitarie Napoli: la responsabilità non si delega al fornitore
Il passaggio più interessante, e quello che riguarda direttamente ogni struttura campana, è un altro. Lo strumento di consultazione utilizzato era fornito dalla Regione e gestito da una società informatica regionale. L’azienda sanitaria, cioè, non aveva scelto né progettato la piattaforma.
Il Garante ha comunque affermato che il titolare doveva esercitare le proprie prerogative, anche rispetto alle scelte regionali, e ha chiesto a Regione e società fornitrice di comunicare, a loro volta, le misure adottate sulla configurazione delle autodichiarazioni. Tradotto: usare una piattaforma imposta da altri non trasferisce ad altri la posizione di titolare. Se la configurazione è inadeguata, il titolare deve pretendere che venga corretta, e deve poterlo documentare.
È esattamente il punto in cui la nomina del responsabile del trattamento ex articolo 28 mostra la propria consistenza o la propria inconsistenza, come già osservato nell’approfondimento sulla nomina del responsabile del trattamento.
Perché nelle strutture sanitarie il DPO è obbligatorio
L’articolo 37 del Regolamento impone la designazione del responsabile della protezione dei dati, tra l’altro, quando le attività principali del titolare consistono nel trattamento su larga scala di categorie particolari di dati. I dati relativi alla salute sono categoria particolare ai sensi dell’articolo 9: per un poliambulatorio, una casa di cura, un laboratorio di analisi o un’azienda sanitaria la condizione è integrata per definizione.
Alla designazione obbligatoria si somma, per gli enti pubblici, l’obbligo che deriva dalla loro stessa natura. In entrambi i casi la nomina va comunicata al Garante, e la designazione puramente formale — un nome su una delibera, senza risorse, senza accesso ai processi, senza coinvolgimento nelle scelte tecnologiche — è tra le situazioni che l’Autorità contesta con maggiore frequenza. Il tema è trattato nell’articolo sul DPO esterno a Napoli per enti e aziende.
Cosa emerge in verifica
Nelle strutture sanitarie le contestazioni seguono percorsi ricorrenti: accessi al dossier non giustificati da ragioni di cura, tracciature non conservate o non consultate, profili abilitati che restano attivi dopo la cessazione del rapporto, informative che non distinguono le finalità di cura da quelle amministrative o di ricerca, fornitori informatici inquadrati senza istruzioni verificabili.
Nessuna di queste situazioni emerge da una lettura del cartaceo: emergono dai sistemi e dai log. Ed è qui che si misura la differenza tra una struttura che ha un DPO operativo e una che ne ha soltanto il nome. Sullo stesso versante si colloca l’approfondimento dedicato agli accessi al dossier sanitario negli studi medici.
Il punto per chi dirige una struttura
La domanda da porsi non è se la struttura abbia nominato un DPO. È se quel DPO, oggi, sia in condizione di sapere chi ha aperto quali cartelle nell’ultimo mese e con quale motivazione. Se la risposta è negativa, la carenza non è documentale: è organizzativa, ed è proprio quella che il Garante ha contestato nel provvedimento di luglio.
Lo studio ha sede a Napoli, assiste strutture sanitarie pubbliche e private in tutta Italia e ricopre incarichi di DPO per enti e poliambulatori: le modalità di incarico sono descritte nella pagina sul DPO e l’obbligo di nomina per aziende e pubblica amministrazione e nel servizio di consulenza privacy. Una struttura che voglia sapere quanto regge il proprio assetto può chiedere dalla pagina dei contatti un esame preliminare della documentazione e delle configurazioni. Per il contenzioso amministrativo davanti al giudice il riferimento è lo studio legale dell’avv. Elio Errichiello.
Avv. Elio Errichiello
