Pubblicato il

Dietro il banco della farmacia: i dati sanitari e le sanzioni

Copertina dell'articolo sulla privacy nelle farmacie a Napoli e sul trattamento dei dati sanitari dei clienti

Una farmacia di quartiere serve ogni giorno decine di persone e, senza che nessuno ci pensi, raccoglie una delle concentrazioni di dati sanitari più dense che esistano fuori da un ospedale. È per questo che la privacy nelle farmacie a Napoli, come nel resto d’Italia, non è un adempimento di facciata: ogni ricetta, ogni tessera fedeltà, ogni prenotazione di un servizio comporta il trattamento di categorie particolari di dati, con il regime più severo che il Regolamento europeo conosce.

Quali dati passano, davvero, da una farmacia

L’elenco è più lungo di quanto il titolare immagini. Ricette mediche, elettroniche e cartacee, con l’indicazione del farmaco e quindi, indirettamente, della patologia. Dati identificativi collegati alle esenzioni. Informazioni raccolte per i servizi aggiuntivi: prenotazioni, misurazioni, test, somministrazioni. Dati di contatto per le comunicazioni ai clienti. Immagini della videosorveglianza. Dati dei dipendenti e dei collaboratori.

L’articolo 9 del Regolamento UE 2016/679 vieta in via generale il trattamento dei dati relativi alla salute, ammettendolo solo al ricorrere di condizioni specifiche, tra cui quelle legate alle finalità di medicina preventiva, diagnosi e assistenza sanitaria prestata da un professionista soggetto al segreto professionale. È un titolo di legittimazione che copre l’attività tipica, non tutto ciò che accade in farmacia: le finalità promozionali, i programmi di fidelizzazione e le comunicazioni commerciali seguono regole proprie.

Privacy nelle farmacie a Napoli: dove nascono le contestazioni

Nella pratica, le criticità ricorrenti sono poche e sempre le stesse.

La prima riguarda la riservatezza del banco. Un ambiente in cui il cliente successivo sente il nome del farmaco richiesto, o legge il monitor del gestionale, è un ambiente in cui il titolare non ha adottato le misure tecniche e organizzative adeguate che l’articolo 32 del Regolamento richiede, come ricordato nell’approfondimento sulle misure di sicurezza e le sanzioni. È una misura che non costa nulla e la cui assenza si nota immediatamente.

La seconda riguarda gli accessi al gestionale. Credenziali condivise tra gli addetti, profili non differenziati, assenza di log consultabili: sono gli stessi rilievi che l’Autorità muove alle strutture sanitarie quando verifica chi abbia consultato un fascicolo, tema trattato nell’articolo sul controllo degli accessi ai dossier sanitari.

La terza riguarda le finalità ulteriori. La tessera fedeltà che profila gli acquisti, l’invio di messaggi promozionali, la segnalazione di promozioni su prodotti collegati a una patologia: sono trattamenti distinti, che richiedono una base giuridica autonoma e un’informativa separata, e che non possono essere coperti dal consenso prestato per l’assistenza farmaceutica.

Il responsabile della protezione dei dati

L’articolo 37 del Regolamento impone la designazione del responsabile della protezione dei dati quando le attività principali del titolare consistono nel trattamento, su larga scala, di categorie particolari di dati. Stabilire se una singola farmacia rientri in quella soglia richiede una valutazione concreta, che tenga conto del volume dei trattamenti, dell’ampiezza dell’attività e dei servizi offerti; la valutazione va però fatta, e documentata, perché l’assenza di designazione, quando l’obbligo sussiste, è essa stessa una violazione.

Per le strutture associate o per i gruppi di farmacie il tema si pone in termini ancora più netti. Lo studio ha trattato il perimetro della figura negli articoli sulla nomina obbligatoria del DPO e sul DPO esterno per enti e aziende.

Fornitori, software e conservazione

Il gestionale della farmacia, il servizio di assistenza remota, la piattaforma di prenotazione dei servizi, il laboratorio esterno: ciascuno tratta dati per conto della farmacia e va regolato con l’atto di nomina previsto dall’articolo 28, questione affrontata nell’articolo sulla nomina del responsabile del trattamento. Un contratto di manutenzione che consente al fornitore di accedere all’archivio senza alcun inquadramento è una delle carenze più facili da rilevare in un’ispezione.

Quanto alla conservazione, le ricette e la documentazione contabile seguono termini di legge; tutto il resto no, e va definito. Archivi di dati promozionali mantenuti per anni, registrazioni di videosorveglianza conservate oltre il necessario, rubriche di contatti mai ripulite: sono trattamenti in corso, non materiale dimenticato.

L’esposizione sanzionatoria

La violazione delle condizioni poste dall’articolo 9 rientra, in base all’articolo 83 del Regolamento, nella fascia sanzionatoria più alta. Per un’impresa di dimensioni contenute il riferimento rilevante è il massimale assoluto, e il dato è sufficiente a rendere l’idea. Accanto alla sanzione restano i poteri correttivi del Garante, compreso il divieto di proseguire un trattamento, e il rischio risarcitorio verso i clienti.

Da dove partire

La verifica utile non si fa sui modelli scaricati da internet: si fa guardando il registro dei trattamenti reale, le informative effettivamente esposte, la configurazione degli accessi al gestionale, i contratti con i fornitori e la disposizione fisica degli spazi. È un lavoro di poche ore, che evita di scoprire le carenze quando arriva una richiesta di informazioni.

Lo studio, con sede a Napoli e attività in tutta Italia, assiste farmacie, poliambulatori e strutture sanitarie private nella verifica dei trattamenti, nella designazione del responsabile della protezione dei dati e nella gestione dei reclami: il punto di ingresso è la pagina sulla consulenza e compliance privacy e, per un primo contatto, la pagina contatti. Per il contenzioso amministrativo che riguarda le farmacie — sedi, concorsi, autorizzazioni — il riferimento è avvocatoelioerrichiello.it.

Avv. Elio Errichiello

Pubblicato il

Quattro dossier aperti con una forzatura: cosa ha contestato il Garante

DPO strutture sanitarie Napoli: copertina sugli accessi forzati al dossier sanitario contestati dal Garante

In una struttura sanitaria il dato più delicato non è quello che esce: è quello che viene guardato da chi non doveva guardarlo. Un provvedimento del Garante del luglio 2026 lo mostra con precisione, e spiega perché il DPO strutture sanitarie Napoli non sia una casella da riempire nel protocollo ma la figura che deve accorgersi di un problema prima dell’Autorità. La vicenda riguarda un’azienda sanitaria del Nord-Est, ma il meccanismo contestato è identico in ogni poliambulatorio, casa di cura o azienda ospedaliera d’Italia.

Il caso: quattro dossier aperti con una forzatura

Nel dossier sanitario aziendale di un’azienda sanitaria due medici e due infermieri di un reparto di pediatria avevano effettuato accessi ripetuti ai dossier di quattro pazienti adulti, non in cura presso di loro. Per farlo avevano utilizzato la funzione di cosiddetta forzatura, accompagnata da un’autodichiarazione di presa in carico che, secondo la stessa azienda, non corrispondeva al vero.

Il Garante ha dichiarato illecito il trattamento richiamando gli articoli 5, paragrafo 1, lettere a) e f), 9, 25 e 32 del Regolamento, oltre alle proprie Linee guida sul dossier sanitario del 2015. Alla struttura è stato chiesto di comunicare entro trenta giorni la data di adozione di una procedura di verifica degli accessi.

Le due contestazioni che pesano

Il provvedimento non si limita a sanzionare il comportamento dei quattro operatori. Contesta all’azienda, in quanto titolare, due carenze organizzative.

  • L’assenza di alert automatici. Un sistema che consente la forzatura senza generare alcuna segnalazione è un sistema che lascia l’accesso anomalo invisibile.
  • L’assenza di controlli a campione. Dove nessuno guarda i log, la tracciatura esiste sulla carta e non nella realtà. È l’equivalente di una telecamera che registra su un nastro che nessuno rivede.

Dietro entrambe c’è l’articolo 25: la protezione dei dati fin dalla progettazione e per impostazione predefinita non è un principio programmatico, è un criterio di configurazione dei sistemi. Un dossier che permette a chiunque di autodichiararsi la presa in carico, senza verifica e senza allarme, non è configurato in modo conforme.

DPO strutture sanitarie Napoli: la responsabilità non si delega al fornitore

Il passaggio più interessante, e quello che riguarda direttamente ogni struttura campana, è un altro. Lo strumento di consultazione utilizzato era fornito dalla Regione e gestito da una società informatica regionale. L’azienda sanitaria, cioè, non aveva scelto né progettato la piattaforma.

Il Garante ha comunque affermato che il titolare doveva esercitare le proprie prerogative, anche rispetto alle scelte regionali, e ha chiesto a Regione e società fornitrice di comunicare, a loro volta, le misure adottate sulla configurazione delle autodichiarazioni. Tradotto: usare una piattaforma imposta da altri non trasferisce ad altri la posizione di titolare. Se la configurazione è inadeguata, il titolare deve pretendere che venga corretta, e deve poterlo documentare.

È esattamente il punto in cui la nomina del responsabile del trattamento ex articolo 28 mostra la propria consistenza o la propria inconsistenza, come già osservato nell’approfondimento sulla nomina del responsabile del trattamento.

Perché nelle strutture sanitarie il DPO è obbligatorio

L’articolo 37 del Regolamento impone la designazione del responsabile della protezione dei dati, tra l’altro, quando le attività principali del titolare consistono nel trattamento su larga scala di categorie particolari di dati. I dati relativi alla salute sono categoria particolare ai sensi dell’articolo 9: per un poliambulatorio, una casa di cura, un laboratorio di analisi o un’azienda sanitaria la condizione è integrata per definizione.

Alla designazione obbligatoria si somma, per gli enti pubblici, l’obbligo che deriva dalla loro stessa natura. In entrambi i casi la nomina va comunicata al Garante, e la designazione puramente formale — un nome su una delibera, senza risorse, senza accesso ai processi, senza coinvolgimento nelle scelte tecnologiche — è tra le situazioni che l’Autorità contesta con maggiore frequenza. Il tema è trattato nell’articolo sul DPO esterno a Napoli per enti e aziende.

Cosa emerge in verifica

Nelle strutture sanitarie le contestazioni seguono percorsi ricorrenti: accessi al dossier non giustificati da ragioni di cura, tracciature non conservate o non consultate, profili abilitati che restano attivi dopo la cessazione del rapporto, informative che non distinguono le finalità di cura da quelle amministrative o di ricerca, fornitori informatici inquadrati senza istruzioni verificabili.

Nessuna di queste situazioni emerge da una lettura del cartaceo: emergono dai sistemi e dai log. Ed è qui che si misura la differenza tra una struttura che ha un DPO operativo e una che ne ha soltanto il nome. Sullo stesso versante si colloca l’approfondimento dedicato agli accessi al dossier sanitario negli studi medici.

Il punto per chi dirige una struttura

La domanda da porsi non è se la struttura abbia nominato un DPO. È se quel DPO, oggi, sia in condizione di sapere chi ha aperto quali cartelle nell’ultimo mese e con quale motivazione. Se la risposta è negativa, la carenza non è documentale: è organizzativa, ed è proprio quella che il Garante ha contestato nel provvedimento di luglio.

Lo studio ha sede a Napoli, assiste strutture sanitarie pubbliche e private in tutta Italia e ricopre incarichi di DPO per enti e poliambulatori: le modalità di incarico sono descritte nella pagina sul DPO e l’obbligo di nomina per aziende e pubblica amministrazione e nel servizio di consulenza privacy. Una struttura che voglia sapere quanto regge il proprio assetto può chiedere dalla pagina dei contatti un esame preliminare della documentazione e delle configurazioni. Per il contenzioso amministrativo davanti al giudice il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello

Pubblicato il

Chi può davvero aprire la cartella del paziente

Privacy negli studi medici a Napoli: dossier sanitario e accessi ai dati dei pazienti

Il tema della privacy negli studi medici a Napoli viene quasi sempre affrontato con un anno di ritardo: dopo il reclamo di un paziente, dopo una richiesta di chiarimenti, dopo una lettera che nessuno si aspettava. Fino a quel momento la percezione diffusa è che gli adempimenti siano carta, e che la carta si possa scaricare da internet.

I provvedimenti dell’Autorità raccontano un’altra storia. I dati relativi alla salute appartengono alle categorie particolari dell’articolo 9 del GDPR e il loro trattamento è presidiato in modo specifico: l’articolo 2-septies del Codice in materia di protezione dei dati personali attribuisce al Garante il compito di adottare le misure di garanzia per i dati genetici, biometrici e relativi alla salute, e l’Autorità ha chiarito che il rispetto di tali misure costituisce condizione essenziale per la liceità e la correttezza del trattamento.

Il punto dolente: chi accede alla cartella del paziente

La contestazione che ricorre con più frequenza non riguarda l’informativa o il consenso. Riguarda gli accessi.

Con il provvedimento n. 533 del 25 settembre 2025 il Garante ha sanzionato per ventimila euro un’azienda ospedaliero-universitaria contestando, tra l’altro: l’utilizzo di utenze generiche per l’accesso ai dossier sanitari, che rende impossibile risalire a chi ha consultato che cosa; accessi effettuati per finalità diverse da quelle di cura, comprese esigenze amministrative e organizzative; l’assenza di misure idonee a limitare l’accesso al tempo strettamente necessario; una profondità di accesso eccessiva rispetto ai compiti di alcuni profili. Le norme richiamate sono gli articoli 5, 9, 25 e 32 del Regolamento.

Un secondo provvedimento, il n. 474 del 4 agosto 2025, ha riguardato un’altra azienda ospedaliero-universitaria, con contestazioni analoghe: accessi consentiti a personale non coinvolto nel percorso di cura, profili di autorizzazione e tracciamento inadeguati, assenza di alert sulle anomalie, pazienti non adeguatamente informati e impossibilità di oscuramento.

Il principio che se ne ricava è netto: il dossier sanitario è accessibile per ragioni di cura, e per nient’altro.

Perché questo riguarda anche lo studio di tre persone

È facile pensare che il problema riguardi i grandi ospedali, con migliaia di operatori e sistemi informativi complessi. Ma le contestazioni non nascono dalle dimensioni: nascono da tre domande alle quali qualunque struttura deve saper rispondere.

  • Chi può accedere ai dati dei pazienti? Se la risposta è “tutti quelli che hanno la password dello studio”, il problema esiste già.
  • Come si dimostra chi ha acceduto? Se gli accessi non sono tracciati e riferibili a una persona fisica, ricostruire un evento a posteriori è impossibile.
  • Per quanto tempo restano accessibili? L’accesso illimitato nel tempo a dati non più necessari è, di per sé, una criticità.

Un poliambulatorio, un laboratorio di analisi, uno studio associato o un singolo professionista che tratti dati sanitari si trovano davanti alle stesse domande, con organizzazioni più fragili e spesso senza nessuno che se ne occupi.

Un errore ricorrente: confondere l’obbligo di legge con la conformità

Molte strutture sanitarie sono convinte di essere a posto perché conservano le cartelle per il tempo previsto dalla normativa sanitaria e perché fanno firmare un modulo all’accettazione. Sono due adempimenti diversi da quelli che il Regolamento richiede, e nessuno dei due risponde alle domande che l’Autorità pone in sede di verifica.

Il consenso informato al trattamento sanitario, in particolare, non è il consenso al trattamento dei dati, e il trattamento dei dati per finalità di cura non si fonda, di regola, sul consenso. Continuare a raccogliere una firma sbagliata non mette al riparo da nulla: semmai documenta che l’impostazione è errata.

Che cosa si rischia

L’articolo 83 del GDPR prevede due scaglioni sanzionatori. Il primo, del paragrafo 4, arriva fino a dieci milioni di euro o al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Il secondo, del paragrafo 5, arriva fino a venti milioni o al 4%, e comprende in particolare le violazioni degli articoli 5, 6, 9 e da 12 a 22: principi, basi giuridiche, categorie particolari di dati, diritti degli interessati.

I dati sanitari stanno nell’articolo 9. Vale a dire: nello scaglione più alto.

Nel graduare la sanzione l’Autorità applica i criteri del paragrafo 2: natura, gravità e durata della violazione, carattere doloso o colposo, misure adottate per attenuare il danno, grado di responsabilità anche alla luce degli articoli 25 e 32, precedenti violazioni, grado di cooperazione, categorie di dati interessate, modalità con cui l’Autorità ne ha avuto notizia. Su alcuni di questi criteri si può incidere prima; su altri, soltanto prima.

Il reclamo del paziente è quasi sempre l’innesco

È bene esserne consapevoli: l’Autorità raramente bussa alla porta senza ragione. Nella grande maggioranza dei casi l’istruttoria nasce da un reclamo — un paziente che scopre che qualcuno ha guardato la sua cartella, un ex dipendente, un familiare coinvolto in una vicenda personale. Su questo abbiamo scritto nell’articolo dedicato alla consulenza privacy a Napoli per aziende e studi professionali.

Da quel momento il tempo lavora contro: ciò che non è stato predisposto prima non si improvvisa in trenta giorni, e le risposte fornite all’Autorità entrano nel fascicolo.

Privacy negli studi medici a Napoli: da dove si comincia

Non da un modello scaricato. Si comincia da una ricognizione reale di come i dati circolano nella struttura: quali trattamenti si effettuano, con quali sistemi, chi vi accede e a quale titolo, che cosa resta tracciato, che cosa dicono le informative consegnate ai pazienti e che cosa dice il registro dei trattamenti, che è il primo documento richiesto in caso di verifica. Un quadro generale degli adempimenti a carico dei professionisti sanitari è nella pagina su medici e normativa privacy, mentre l’entità delle conseguenze economiche è illustrata nell’articolo su quanto costa una violazione del GDPR.

Lo studio ha sede a Napoli, assiste strutture sanitarie, poliambulatori e professionisti in tutta Italia e svolge incarichi di responsabile della protezione dei dati. Per il contenzioso amministrativo e le altre materie il riferimento è il sito avvocatoelioerrichiello.it.

Se volete sapere a che punto siete davvero, scriveteci dalla pagina contatti: esamineremo in via preliminare la documentazione esistente e vi indicheremo le criticità che, in caso di controllo, verrebbero contestate per prime.

Avv. Elio Errichiello

Pubblicato il

Il DPO negli studi medici e laboratori di analisi

Il DPO negli studi medici e laboratori di analisi può essere una figura spesso obbligatoria, bisogna quindi analizzare la normativa per comprendere quando è così.

Il Data Protection Officer, è “un soggetto designato dal titolare o dal responsabile del trattamento per assolvere a funzioni di supporto e di controllo, consultive, formative e informative relativamente all’applicazione del RGPD”.

Leggi tutto “Il DPO negli studi medici e laboratori di analisi”

Pubblicato il

La Digital Health: breve analisi della nuova frontiera della medicina

IL 5G consentirà la connettività anche in territori privi di infrastrutture, inaugurando la digitalizzazione sanitaria o Digital Health

Il veloce incremento delle nuove tecnologie e la loro pervasività in molteplici settori della vita quotidiana, grazie anche all’avvento prossimo del cd. 5G che consentirà la connettività anche in territori privi di infrastrutture, hanno incontrato anche il comparto della salute, inaugurando la digitalizzazione sanitaria (Digital Health o eHealth), che consiste, secondo la definizione della World Health Organization, nell’uso di tecnologie informatiche e di telecomunicazioni a vantaggio della salute umana, volta a fornire un’assistenza sanitaria sempre più personalizzata (patient centered) e che può estrinsecarsi attraverso molteplici attività, come la richiesta di accesso in tempo reale alle informazioni, dato il consistente aumento dei dati socio-sanitari (big data).

Leggi tutto “La Digital Health: breve analisi della nuova frontiera della medicina”