[doc. web n. 10272963]

Provvedimento del 3 luglio 2026

Registro dei provvedimenti
n. 481 del 3 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente e il dott. Agostino Ghiglia, componenti e l’Avv. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018 n. 101, recante disposizioni per l'adeguamento dell’ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTE le “Linee guida in materia di Dossier sanitario” adottate dal Garante il 4 giugno 2015 (Provvedimento pubblicato in G.U. 164 del 17 luglio 2015, doc. web n. 4084632);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n.9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n.1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. L’attività istruttoria

L’Azienda sanitaria universitaria Giuliano Isontina (ASUGI) ha trasmesso una notifica di violazione dei dati personali ai sensi dell’art. 33 del Regolamento (notifica del 16 luglio 2025 integrata l’11 agosto 2025) in cui ha rappresentato che, a seguito di una richiesta di accesso ai dati trattati mediante il dossier sanitario aziendale da parte del XX, sono stati riscontrati ripetuti accessi al dossier sanitario dell’istante da parte della XX (ex coniuge dell’interessato) e di altri tre sanitari (due medici e una infermiera) operanti nel reparto di pediatria.

Nella predetta notifica è stato inoltre rappresentato che il XX ha manifestato il proprio consenso al dossier sanitario, nonché presentato richiesta di anonimato con riferimento alle prestazioni erogate dal XX, che, pertanto, XX non sono più visibili attraverso il dossier sanitario aziendale.

È stato poi precisato che i predetti sanitari hanno avuto accesso non solo al dossier del XX, ma anche a quelli di altre tre persone vicine all’interessato ([OMISSIS]). Al riguardo, nel qualificare la gravità del potenziale impatto della violazione come alto per l’interessato, l’ASUGI ha precisato che i “dati, dopo essere stati copiati illegittimamente, sono stati utilizzati, a detta dell'interessato, dalla moglie in una causa di divorzio per ottenere l'affidamento esclusivo del XX”. La visualizzazione dei dati degli altri soggetti coinvolti (XX), secondo quanto dichiarato in atti, “non ha prodotto, a detta degli stessi, effetti negativi su di loro: allo stato attuale sembra che l'interesse principale degli accessi illegittimi fosse focalizzato sul primo segnalante, XX”.

Nella citata notifica di violazione dei dati personali ASUGI ha precisato di aver avviato un procedimento disciplinare nei confronti dei predetti sanitari ed effettuato una segnalazione alla Procura della Repubblica sui fatti oggetto di notifica.

Con riferimento alle misure tecniche e organizzative, in essere al momento della violazione, ASUGI ha rappresentato che gli accessi sono “limitati al personale autorizzato e soltanto ai pazienti presi in carico dalla struttura (salvo forzatura volontaria per necessità o urgenze che devono essere dichiarate e vengono registrate a sistema)”.

A seguito della predetta notifica di violazione dei dati personali, l’Ufficio ha chiesto informazioni all’Azienda con la nota del 23 settembre 2025 (prot. n. 124313) a cui è stato fornito riscontro con la nota del 23 ottobre 2025 in cui è stato rappresentato, in particolare, che:

- “Lo strumento informatico denominato "Visore Documenti", che costituisce il Dossier Sanitario Elettronico (DSE) aziendale, è fornito dalla Regione Friuli Venezia Giulia a tutti gli Enti sanitari del Servizio Sanitario Regionale ed è sviluppato e manutenuto dalla società in house regionale Insiel S.p.A. (…) la Regione FVG è titolare delle applicazioni informatiche in uso alle Aziende Sanitarie e del relativo codice sorgente, sulla base della normativa speciale regionale”;

- “Il sistema in uso nel reparto di Pediatria prevede, per impostazione tecnica non modificabile da parte di questa Azienda, una limitazione automatica degli accessi al solo personale autorizzato e soltanto ai pazienti presi in carico dalla struttura presso cui opera l'operatore sanitario”;

- “Per far fronte a situazioni di necessità clinica urgente o a specifiche esigenze assistenziali è previsto in aggiunta l’accesso diretto al sistema tramite forzatura volontaria di tale limitazione mediante una maschera di autodichiarazione delle motivazioni”;

- “I sanitari che hanno effettuato gli accessi oggetto della notifica di violazione (XX e altri tre operatori sanitari operanti presso la Struttura Complessa di Pediatria) erano dotati dei seguenti profili di autorizzazione”: due infermieri e due medici;

- “Gli operatori coinvolti hanno utilizzato la funzionalità di forzatura del sistema accedendo ai dossier sanitari mediante la maschera di autodichiarazione, indicando come motivazione che i pazienti erano in cura presso la struttura ma non ancora registrati amministrativamente nel sistema”. “Dalle verifiche interne condotte è emerso che tale motivazione non corrispondeva al vero”;

- “Con riferimento alla richiesta di conoscere le motivazioni in forza delle quali è consentito al personale sanitario operante presso la Struttura Complessa di Pediatria di accedere al dossier sanitario di pazienti adulti, si rappresenta che chi cura il paziente pediatrico deve essere sempre messo nelle condizioni di valutare dati clinici di pazienti adulti, in particolare dei parenti del minore, visto che in molti percorsi clinici questo risulta utile per la diagnosi e la cura del minore”. “Il sistema informatico fornito dalla Regione, comunque, non consente attualmente una differenziazione automatica dei profili di accesso che limiti la consultazione ai soli dati dei minori, rendendo tecnicamente possibile l'accesso anche ai dossier di pazienti adulti, anche in questo caso mediante forzatura del sistema con autodichiarazione della motivazione”. “Tale criticità è stata oggetto di specifica segnalazione alla Regione FVG e a Insiel S.p.A. di cui al Prot. n. 83932/2023 del 11/10/2023 (Allegato5), nell'ambito della DPIA condotta da ASUGI, con richiesta di implementazione di profili di autorizzazione differenziati che consentano una gestione più granulare degli accessi (cfr. richiesta evolutiva R3 allegata alla DPIA del 02/10/2023, descritta più avanti)”;

- “Come già rappresentato, il sistema "Visore Documenti" prevede, per impostazione nativa:

- Limitazione automatica degli accessi ai soli pazienti in carico: il personale sanitario del reparto di pediatria può visualizzare esclusivamente i dossier dei pazienti presi in carico nel proprio reparto e per il periodo temporale in cui si articola il processo assistenziale;

-  Gestione della presa in carico amministrativa: il sistema informativo ospedaliero mappa e codifica gli episodi di cura (ricoveri, accessi ambulatoriali) e attiva la visibilità dei documenti sanitari nel visore documenti solo per il personale della struttura a cui l’episodio afferisce;

-  Parametri temporali di presa in carico: ASUGI ha richiesto e ottenuto da Insiel S.p.A., nel marzo 2023, la personalizzazione dei parametri temporali di presa in carico, estendendo la visibilità a 7 giorni prima dell'accesso ambulatoriale e a 30 giorni dopo la dimissione da ricovero o l'accesso ambulatoriale, al fine di garantire la continuità assistenziale;

-  Tracciatura completa degli accessi: ogni accesso al DSE è registrato nei log di sistema con indicazione di operatore, data, ora, paziente consultato, documenti visualizzati e, in caso di forzatura, motivazione autodichiarata”.

ASUGI ha inoltre rappresentato che nel 2023, in occasione della stesura della valutazione di impatto sull’uso del dossier sanitario aziendale, ha ravvisato “la necessità di alcune specifiche evolutive del sistema che richiedono interventi tecnici da parte della Regione FVG e di Insiel S.p.A., al fine di introdurre ulteriori misure di sicurezza idonee a mitigare il rischio residuo”; tuttavia tali richieste, sono “tuttora in fase di valutazione da parte della Regione”.

In particolare, nel 2023, l’Azienda ha rappresentato alla Regione e ad Insiel S.p.A., in qualità di responsabile del trattamento, la necessità dei seguenti interventi correttivi:

- R2: Implementazione della gestione della presa in carico amministrativa per tutti gli applicativi in uso in ASUGI;

- R3: Implementazione di diverse profondità di accesso, in modo da poter associare diverse visibilità a diversi ruoli professionali;

- R4: Implementazione di ruoli ad hoc con visibilità modulata per il personale amministrativo che deve svolgere specifiche attività preparatorie alle prestazioni sanitarie;

- R5: Implementazione di una funzionalità per cui i medici di guardia abbiano visibilità diretta sui reparti ai quali prestano assistenza, limitatamente al periodo di servizio;

- R6: Realizzazione della presa in carico amministrativa per tutti i percorsi di prevenzione, diagnosi, cura e riabilitazione censiti, con possibilità per ASUGI di gestire in autonomia nuovi percorsi;

- R7: Messa a disposizione dell'intera base dati dei log (non solo i log di accesso con autodichiarazione) per permettere controlli più consistenti;

- R8: Resa più dettagliata della maschera di autodichiarazione per le diverse casistiche mappate e attuazione di controlli automatici di consistenza della dichiarazione; 

- R10: Implementazione di soluzioni di deep learning, nel rispetto della normativa, per l’analisi della grande mole di log di accesso e l'individuazione di eventuali anomalie.

In merito a quest’ultimo punto, ASUGI ha evidenziato che “al momento dei fatti non erano implementati sistemi automatici di alert per il rilevamento in tempo reale di comportamenti anomali o a rischio. Gli accessi illeciti oggetto della notifica sono stati infatti rilevati soltanto a seguito della richiesta di accesso ai dati personali presentata dal XX, che ha consentito di riscontrare le anomalie”. “I sistemi di analisi dei log forniti da Insiel a seguito delle richieste del 2023 si sono rivelati non completamente adeguati alla rilevazione di anomalie d’accesso al Visore documentale”, in quanto “hanno semplicemente registrato l'azione di forzatura e la motivazione dichiarata”.

Fermo restando quanto precisato, l’Azienda a seguito dei fatti oggetto della notifica di violazione dei dati personali e in attuazione del piano di azione della DPIA, ha inoltre dichiarato di stare per adottare “con Deliberazione del Direttore Generale, la Procedura per la verifica degli accessi al Visore Referti/Dossier Sanitario Elettronico, che disciplina le modalità con cui l'Azienda effettua controlli a campione sugli accessi effettuati mediante forzatura del sistema”, prevedendo controlli periodici con cadenza almeno trimestrale (estrazione dei log degli accessi effettuati con forzatura del sistema -accessi a pazienti non in carico- e selezione di un campione casuale per i controlli); verifica puntuale della legittimità degli accessi (per ciascun accesso selezionato, verifica della coerenza con le mansioni dell'operatore, con l’appartenenza alla struttura e con l'esistenza di un episodio di cura giustificativo, anche attraverso contatto diretto con l'operatore o con il suo responsabile); documentazione degli esiti (report trimestrale trasmesso ai livelli direzionali competenti); segnalazione delle irregolarità al Dipartimento Risorse Umane per l'avvio di eventuali procedimenti disciplinari e al responsabile per la protezione die dati per la valutazione dell'eventuale obbligo di notifica all'Autorità Garante ai sensi dell'art. 33 del Regolamento.

Considerato quanto rappresentato da ASUGI in merito alle caratteristiche tecniche del sistema informatico regionale, l’Ufficio, con nota dell’11 novembre 2025 (prot. n. 153069), ha chiesto informazioni alla Regione Friuli Venezia Giulia e ad Insiel S.p.A..

Con e-mail del 18 dicembre 2025, la predetta Regione ha inviato una nota di risposta in cui non ha fornito direttamente elementi di merito rispetto a quanto richiesto, limitandosi a rinviare, per un “riscontro congiunto e coordinato”, a quanto indicato nella nota formulata da Insiel S.p.A., quale responsabile del trattamento dei dati di titolarità delle Aziende del Servizio sanitario regionale.

Nella predetta risposta Insiel S.p.A. ha confermato che lo strumento Visore Documenti è in uso nell’ambito del Sistema Informativo Socio-Sanitario Regionale (SISSR), quale componente applicativa comune ed è messo a disposizione di tutte le Aziende Sanitarie e degli IRCCS dalla Regione.

In tale risposta è stato, in particolare, rappresentato che:

- negli ultimi sei mesi, il Visore Documenti ha registrato complessivamente circa sette milioni di accessi, di cui oltre l’82% effettuati a seguito di presa in carico amministrativa e poco meno del 18% tramite autodichiarazione;

- “Al momento per i “medici di guardia” non sono previsti limiti temporali di accesso. La soluzione proposta da ASUGI consiste nell’integrare la “funzionalità per i medici di guardia” con il sistema regionale di gestione delle presenze/assenze”;

- “La nuova funzionalità tesa a rendere i Titolari del trattamento autonomi nella configurazione delle autodichiarazioni, in coerenza con la propria organizzazione e con i rispettivi percorsi assistenziali, è in fase di completamento; la relativa evoluzione applicativa è in corso di realizzazione, con messa in produzione prevista al momento, salvo una diversa prioritarizzazione di altre progettualità in itinere, entro il primo semestre 2026”;

- “in riferimento alle evoluzioni della maschera di autocertificazione, consentirà di modulare una precisa profondità di accesso anche per ruolo e per specifica professionalità in un determinato percorso di cura”;

- “Ad oggi non sono ancora implementate soluzioni di deep learning per l’analisi automatica dei comportamenti di accesso; tali approcci, tuttavia, si collocano nel perimetro della più ampia strategia regionale di impiego di tecnologie di IA in ambito sanitario, in coerenza con la Legge 23 settembre 2025, n. 132 in materia di intelligenza artificiale”;

- “Non è previsto un ruolo di accesso al Visore Documenti giacché il personale amministrativo non è abilitato al sistema; eventuali futuri sviluppi verranno implementati in analogia a quanto previsto per il FSE 2.0”.

Con specifico riferimento al margine di autonomia delle aziende sanitarie in merito alle modifiche da apportare al dossier sanitario, Insiel S.p.A. ha specificato che “L’applicativo Visore Documenti rientra nel portafoglio delle soluzioni del Sistema Informativo Socio-Sanitario Regionale (SISSR), rese disponibili dalla Regione Friuli Venezia Giulia, tramite INSIEL, a tutte le Aziende del SSR e agli IRCCS. Gli interventi evolutivi e gli adeguamenti di sistema vengono esaminati in tavoli tecnici cui partecipano i Titolari e INSIEL, coordinati dalla DCS, per valutarne coerenza, fattibilità tecnico-organizzativa e priorità, tenendo conto delle risorse effettivamente disponibili e dei benefici attesi per l’intero SSR, privilegiando soluzioni scalabili e uniformi. INSIEL, sulla base degli esiti del confronto, recepisce gli indirizzi condivisi e li traduce in interventi di implementazione tecnica, assicurandone la sostenibilità tecnologica. I Titolari del trattamento operano pertanto in un contesto di armonizzazione della scelta dei mezzi del trattamento, nell’ambito della convergenza verso un sistema regionale condiviso”.

In relazione a quanto rappresentato in atti, su richiesta dell’Ufficio, in data 3 marzo 2026 si è svolto un incontro da remoto con i rappresentanti della Regione Friuli Venezia Giulia, di Insiel S.p.A. e di ASUGI nell’ambito del quale è stata ribadita la titolarità dei trattamenti effettuati attraverso il dossier in capo alle aziende sanitarie regionali e agli IRCSS e, di conseguenza, la necessità che siano effettivamente rispettate le prerogative proprie delle predette aziende, in qualità di titolari del trattamento, volte a garantire il pieno rispetto della disciplina sulla protezione dei dati personali.

In relazione alle modifiche sopra richiamate richieste da ASUGI nel 2023 ad Insiel S.p.A. e alla Regione, quest’ultima ha rappresentato l’intenzione di condividere con le aziende regionali un cronoprogramma per la realizzazione delle stesse anche alla luce degli atti regionali del 2026 in cui è stata esplicitata l’intenzione di garantire che il coordinamento regionale non ostacoli l’esercizio delle funzioni di determinazione delle finalità e dei mezzi del trattamento e di controllo proprie del titolare del trattamento.

In relazione alle risultanze della predetta attività istruttoria, l’Ufficio, con nota del 19 marzo 2026 (prot. n. 35691), ha notificato all’Azienda sanitaria universitaria Giuliano Isontina, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articolo 58, par. 2, del Regolamento, invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

In particolare, nella predetta nota l’Ufficio ha evidenziato che la configurazione del dossier sanitario effettuata dall’Azienda è stata posta in essere in violazione dei principi di base del trattamento di cui agli artt. 5, par. 1, lett. a) e f), 9, 25 e 32 del Regolamento e delle Linee guida in materia di Dossier sanitario del 4 giugno 2015. La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 4 e par. 5 del Regolamento. 

Con nota dell’8 aprile 2026, l’Azienda ha inviato gli scritti difensivi chiedendo, ai sensi dell’art. 166, comma 6 del Codice, di essere sentita in audizione (riscontro alla richiesta di audizione con nota del 14 aprile 2026, prot. n. 57010). Successivamente, con nota del 24 aprile 2026, ha chiesto di poter posticipare l’audizione per poter acquisire “ulteriori elementi istruttori” (riscontro alla richiesta di proroga dell’audizione con nota del 28 aprile 2026, prot. n. 64972). Con successiva nota dell’11 maggio 2026, ASUGI ha poi rinunciato alla richiesta di audizione fornendo ulteriori memorie.

Nelle memorie presentate l’8 aprile 2026, l’Azienda, ribadendo quanto già rappresentato in atti, ha evidenziato, in particolare, che:

- i fatti sono stati “determinati da condotte individuali difformi e mendaci” e che la stessa si è attivata immediatamente avviando un procedimento disciplinare nei confronti degli autori dell’illecito e denunciando l’accaduto alle autorità competenti;

- “ASUGI non ha mai dichiarato di limitarsi a controlli a posteriori e il sistema delle autodichiarazioni non può essere considerato un mezzo ordinario di accesso. ASUGI ha dichiarato, al contrario, di disporre della tracciatura completa degli accessi, dell’accesso ai log e di strumenti direzionali messi a disposizione dal sistema regionale, pur in assenza, al momento dei fatti, di sistemi automatici di alert in tempo reale e pur in un contesto in cui le ulteriori evolutive richieste avanzate alla Regione e a Insiel nel 2023 non erano ancora disponibili”;

- “Pertanto, in mancanza di tali interventi correttivi richiesti alla Regione e a Insiel, ASUGI sta adottando una procedura aziendale di verifica periodica della conformità degli accessi basata sulle dichiarazioni dei sanitari al momento dell’accesso. Tale misura si inserisce in una cornice già esistente di credenziali, profili, regole, log e controlli, ed è stata avviata quale rafforzamento organizzativo ulteriore”. “Tale procedura rappresenta un aggravio organizzativo importante dal momento che richiede attività manuali da parte degli operatori, e non è considerata efficace in modo definitivo secondo l’analisi dei rischi svolta in occasione della DPIA”;

- “ASUGI prende atto che l’Autorità, nel procedimento in corso, ritiene imputabile all’Azienda la titolarità del trattamento effettuato mediante dossier sanitario in quanto connesso alla finalità di cura. Tuttavia, ASUGI ha sempre sostenuto che la propria titolarità nel trattamento sia limitata ai trattamenti di cura e non riguardino le fasi di progettazione, per le quali non può esercitare alcuna prerogativa propria del titolare del trattamento. Infatti, come riportato nella stessa documentazione agli atti, e come già evidenziato in precedenti procedimenti, il sistema “Visore Documenti” è fornito dalla Regione Friuli-Venezia Giulia a tutte le aziende del Servizio sanitario regionale, ed è sviluppato e manutenuto da Insiel S.p.A., con funzionalità e logiche applicate in modo identico a tutte le aziende della Regione FVG. La Regione FVG è titolare delle applicazioni informatiche in uso alle aziende sanitarie e del relativo codice sorgente, sulla base della normativa speciale regionale”;

- “pur nel rispetto delle prerogative e dei doveri del titolare, il margine di azione di ASUGI sulle logiche strutturali del sistema non era pieno né illimitato, specie con riguardo alla configurazione delle causali di autodichiarazione, agli algoritmi di selezione delle anomalie, alla disponibilità integrale e strutturata dei log e alle logiche generali di correlazione tra accesso e percorso di cura”.

ASUGI ha inoltre effettuato, anche con riferimenti giurisprudenziali, una disamina delle effettive prerogative delle aziende sanitarie rispetto alle scelte regionali, richiamando in particolare i conteziosi tra ASUGI, ASFO e ASUFC e il Garante in merito ai provvedimenti sanzionatori adottati il 15 dicembre 2022 che vertevano su un’altra fattispecie distinta dal dossier sanitario (stratificazione degli interessati sulla base del rischio sanitario attraverso l’uso di un algoritmo fornito dalla Regione), ma comunque attinente per quanto riguarda i profili relativi alla titolarità del trattamento e al margine di autonomia delle aziende sanitarie rispetto alle politiche regionali e che hanno visto l’adozione di specifiche sentenze successivamente richiamate.

ASUGI, con la nota dell’11 maggio 2026, in cui ha rinunciato alla richiesta di audizione, ha rappresentato inoltre che “successivamente al deposito degli scritti difensivi è stato (…) messo a disposizione da Insiel S.p.A., nell’ambito delle interlocuzioni con Regione Friuli-Venezia Giulia, e in via di test, un indicatore di anomalia relativo agli accessi effettuati mediante maschera di autodichiarazione. In particolare, tale indicatore prevede la segnalazione della presunta anomalia in presenza di cinque accessi effettuati con maschera di autodichiarazione, in cinque giornate diverse, negli ultimi quindici giorni, da parte del medesimo operatore nei confronti del medesimo paziente”. Secondo quanto rappresentato in atti, “tale indicatore non avrebbe intercettato gli accessi oggetto di contestazione”; al riguardo l’Azienda ha sostenuto che gli “strumenti di controllo fondati su criteri meramente quantitativi, al pari del controllo massivo dei log, ove basato sulla sola ricorrenza della forzatura e sulla motivazione dichiarata dall’operatore, possono costituire un supporto all’attività di verifica, ma non consentono, se non integrati con una piena informatizzazione dei processi di cura e con causali di accesso sufficientemente granulari, di distinguere in modo immediato e affidabile gli accessi leciti da quelli potenzialmente anomali”.

ASUGI ha infine evidenziato che, successivamente al deposito degli scritti difensivi, ha continuato a rappresentare alla Regione l’esigenza di procedere con gli interventi evolutivi già richiesti, con particolare riferimento alla piena informatizzazione dei percorsi di cura con il dettaglio di tutti i percorsi di cura mappati e l’automatismo di apertura della visibilità come “presa in carico” con conseguente riduzione a ipotesi effettivamente residuali dell’utilizzo della maschera di autodichiarazione e alla definizione di strumenti di controllo e alert coerenti con tali presupposti. Tali implementazioni risultano, secondo quanto rappresentato in atti, allo stato, ancora in fase di valutazione e pianificazione da parte dei soggetti competenti.

2. Esito dell’attività istruttoria.

In base ai profili fattuali sopra evidenziati e alle affermazioni rese dall’Azienda nel corso dell’istruttoria svolta dall’Uffici, di cui i dichiaranti rispondono ai sensi dell’art. 168 Codice, si ritiene di confermare le violazioni rilevate nell’atto di contestazione per le ragioni di seguito esposte.

2.1. Il quadro giuridico di riferimento

In via preliminare, si rappresenta che il trattamento di dati personali deve avvenire nel rispetto della normativa applicabile in materia di protezione dei dati personali e, in particolare, delle disposizioni del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, il “Regolamento”) e del d.lgs. n. 196 del 30 giugno 2003 (Codice in materia di protezione dei dati personali – di seguito, il “Codice”).

Con particolare riferimento alla questione in esame, si evidenzia che i dati personali devono essere “trattati in modo lecito corretto e trasparente” (principio di “liceità, correttezza e trasparenza” e “in maniera da garantire un’adeguata sicurezza (…), compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti (principio di “integrità e riservatezza”)” (art. 5, par. 1, lett. a) e f) del Regolamento).

Gli stessi dati devono essere, altresì, trattati nel rispetto del principio di protezione dei dati fin dalla progettazione e per impostazione predefinita secondo il quale, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso, il titolare del trattamento deve mettere in atto misure tecniche e organizzative adeguate, volte ad attuare in modo efficace i principi di protezione dei dati e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del Regolamento e tutelare i diritti degli interessati; il titolare è tenuto, altresì, a mettere in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l’accessibilità (art. 25 del Regolamento).

Il Regolamento prevede poi che il titolare del trattamento metta in atto “misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio”, tenendo conto, tra l’altro, “della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche” (art. 32 del Regolamento).

Con riferimento ai trattamenti in esame, il Garante ha adottato le “Linee guida in materia di Dossier sanitario - 4 giugno 2015” (Provvedimento del 4.6.2015, pubblicato in G.U. 164 del 17 luglio 2015, consultabile su www.gpdp.it doc web n. 4084632), nelle quali sono state individuate un primo quadro di cautele, al fine di delineare specifiche garanzie e responsabilità, nonché misure e accorgimenti necessari ed opportuni da porre a garanzia dei cittadini, in relazione ai trattamenti di dati sanitari che li riguardano, che, al pari degli altri provvedimenti dell’Autorità, continuano ad applicarsi anche dopo la piena applicazione del Regolamento, in quanto compatibili con lo stesso (art. 22, comma 4, d.lgs n. 101/2018).

Nelle suddette Linee guida il Garante, al fine di scongiurare il rischio di un accesso alle informazioni trattate mediante il dossier sanitario da parte di soggetti non autorizzati o di comunicazione a terzi di dati sanitari da parte di soggetti a ciò abilitati, ha specificamente chiesto al titolare del trattamento di porre particolare attenzione nell’individuazione dei profili di autorizzazione e nella formazione dei soggetti abilitati, dovendo essere limitato l’accesso al dossier al solo personale sanitario che interviene nel processo di cura del paziente ed essere adottate modalità tecniche di autenticazione al dossier che rispecchino le casistiche di accesso a tale strumento proprie di ciascuna struttura sanitaria.

A tal fine, nelle predette Linee guida, il Garante ha indicato ai titolari del trattamento di effettuare un monitoraggio delle ipotesi in cui il relativo personale sanitario può avere necessità di consultare il dossier sanitario, per finalità di cura dell’interessato e, in base a tale ricognizione, individuare i diversi profili di autorizzazione all’accesso.

L’accesso al dossier deve essere limitato, poi, al tempo in cui si articola il processo di cura, ferma restando la possibilità di accedere nuovamente al dossier qualora ciò si renda necessario in merito al tipo di trattamento medico da prestare all’interessato.

Nelle predette Linee guida, il Garante ha ritenuto che “il titolare del trattamento deve mettere in opera sistemi per il controllo degli accessi anche al database e per il rilevamento di eventuali anomalie che possano configurare trattamenti illeciti, attraverso l’utilizzo di indicatori di anomalie (c.d. alert) utili per orientare successivi interventi di audit. Il titolare deve prefigurare, quindi, l’attivazione di specifici alert che individuino comportamenti anomali o a rischio relativi alle operazioni eseguite dagli incaricati del trattamento (es. relativi al numero degli accessi eseguiti, alla tipologia o all’ambito temporale degli stessi)” (punto 7, lett. b).

Come indicato nelle citate Linee guida, il dossier sanitario è l’insieme dei dati personali generati da eventi clinici presenti e trascorsi riguardanti l’interessato messi in condivisione logica a vantaggio dei professionisti sanitari che presso lo stesso titolare del trattamento lo assistono.

La finalità del trattamento è riconducibile -come anzidetto- ad un miglior inquadramento dello stato di salute dell’interessato. La titolarità di tale trattamento è da imputare alla struttura sanitaria presso la quale è effettuato il trattamento, legittimamente deputata a perseguire (con il consenso dell’interessato) anche attraverso il dossier le istituzionali finalità di cura.

La titolarità del trattamento dei dati personali effettuato attraverso il dossier sanitario aziendale è naturalmente connessa alle competenze e finalità espressamente conferite dal quadro normativo vigente alla struttura sanitaria con specifico riferimento all’erogazione di prestazioni sanitarie nei confronti degli assistiti (cfr. in tal senso, con riferimento al Fascicolo Sanitario Elettronico, sentenza della Corte di Cassazione del 15.10.2025, n. 27558).

Sul punto, rispetto a quanto sostenuto nelle memorie difensive, si evidenzia che la titolarità dei trattamenti di dati effettuati attraverso il dossier riguarda presupporti ben diversi rispetto alla circostanza che la Regione abbia messo a disposizione alle aziende sanitarie regionali il software denominato “visore documenti” utilizzato come dossier sanitario, il cui sviluppo, manutenzione e gestione tecnica sono affidati alla società Insiel S.p.a. (responsabile del trattamento di ASUGI e società in house alla Regione), e sia proprietaria del relativo codice sorgente. Come convenuto nel corso del richiamato incontro del 4 marzo 2026, la Regione non può essere, altresì, considerata titolare dei dati sulla salute trattati attraverso il dossier sanitario, in quanto alla stessa non sono attribuite finalità di cura (finalità primaria del dossier), ma solo finalità di coordinamento e controllo del servizio sanitario regionale. Le finalità di cura sono, infatti, attribuite dal quadro normativo vigente, solo alle strutture socio sanitarie del servizio sanitario regionale che le perseguono anche attraverso lo strumento (facoltativo) del dossier sanitario, che -nel caso in esame- è fornito dalla Regione. La titolarità e la proprietà del sistema informativo e del relativo codice sorgente non va infatti confusa con la titolarità del trattamento dei dati sulla salute dei pazienti che sono raccolti e trattati dall’Azienda per le finalità di cura dell’interessato e che risulta disciplinata dalla specifica disciplina sulla protezione dei dati personali.

Sul punto, si richiama la recente sentenza della Corte di Cassazione del 6 marzo 2025, n. 6067 che, intervenendo su uno dei provvedimenti sopra richiamati adottati dal Garante il 15 dicembre 2022 relativo ai sistemi sanitari della Regione Friuli Venezia Giulia, ha affermato che l’Azienda sanitaria, quale titolare del trattamento, ha il dovere di esercitare tutte le sue prerogative a tutela dell’utilizzo dei dati di cui è titolare, non ricorrendo alcuna causa di esenzione di responsabilità da parte del titolare del trattamento in merito ad eventuali disposizioni regionali adottate in materia. 

Al riguardo, si rappresenta inoltre che il Tribunale di Trieste, con sentenza del 25 maggio 2026, successiva alle memorie difensive, ha deciso sulla controversia tra ASUGI e il Garante che verteva sulla medesima fattispecie su cui era già intervenuta la Corte di Cassazione con la sentenza da ultimo citata con riferimento ad altra Azienda sanitaria regionale e ha confermato il provvedimento adottato dall’Autorità il 15 dicembre 2022 nei confronti di ASUGI accogliendo il ricorso con esclusivo riferimento alla misura della sanzione irrogata dal Garante. Tale sentenza, che costituisce l’ultima da un punto di vista temporale sui provvedimenti adottati dal Garante il 15.12.2022 nei confronti di tre aziende sanitarie della Regione Friuli Venezia Giulia in merito ai trattamenti effettuati per profilare gli assistiti per classi rischio sanitario, ha confermato la posizione sostenuta dall’Autorità e già riconosciuta dalla Corte di Cassazione in merito all’imputazione della titolarità dei trattamenti effettuati dalle aziende sanitarie anche attraverso sistemi informativi e indicazioni fornite della Regione. In particolare, la predetta sentenza ha evidenziato l’esistenza di una responsabilità in capo ad ASUGI, per omessa vigilanza, essendo “inequivocabilmente titolare e l’unico soggetto legittimato a trattare le informazioni sulla salute degli assistiti sulla base del quadro normativo vigente” e ha ritenuto che la stessa Azienda, quale titolare del trattamento, aveva pertanto il dovere di esercitare tutte le sue prerogative a tutela dell’utilizzo dei dati. 

In merito ai richiami effettuati nelle memorie difensive da ASUGI relativamente alla disciplina regionale che attribuisce funzioni di indirizzo alla Regione anche relativamente ai sistemi informativi sanitari, si evidenzia che la predetta sentenza del Tribunale di Trieste ha ricordato all’Azienda che la disciplina regionale “cede alla norma primaria” e “in ogni caso, la legittimità dell’atto amministrativo non può precludere la tutela dei diritti dei terzi”.

Ciò premesso, giova ricordare che il titolare può designare come responsabile del trattamento un soggetto distinto decidendo di delegare allo stesso tutte o parte delle attività di trattamento (art. 28 del Regolamento) e che il trattamento di dati personali per conto del titolare comporta innanzitutto che il soggetto distinto tratti i dati personali a beneficio del titolare del trattamento (punto 79 delle Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR, EDPB, 7.7.2021). Pertanto, il ruolo di responsabile del trattamento non scaturisce dalle caratteristiche del soggetto che tratta i dati, ma dalle sue attività concrete in un contesto specifico (punto 82 delle linee guida 07/2020). 

I titolari del trattamento devono fornire ai responsabili istruzioni relative a ciascuna attività di trattamento. Tali istruzioni possono riguardare, a titolo esemplificativo, i trattamenti ammessi e quelli vietati, procedure più dettagliate, modalità di messa in sicurezza dei dati, ecc. Il responsabile, limitandosi a quanto disposto dal titolare del trattamento, ha la possibilità di suggerire elementi che, se accettati dal titolare del trattamento, diventano parte delle istruzioni impartite (punto 116 delle linee guida 07/2020).

Nel decidere se affidare o meno il trattamento dei dati personali a un determinato prestatore di servizi, i titolari del trattamento dovrebbero valutare attentamente se il prestatore dei servizi in questione consenta loro di esercitare un livello di controllo sufficiente, tenendo conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi potenziali per gli interessati (punto 83 delle linee guida).

2.2. Le violazioni accertate dall’Autorità

In via preliminare si sottolinea che in materia il Garante con provvedimento del 26 maggio 2022, n. 210 (doc. web n. 9791909) ha ingiunto a Insiel S.p.a., in qualità di responsabile del trattamento della Regione Friuli Venezia Giulia e delle aziende sanitarie regionali, di adottare soluzioni tecniche organizzative al fine di assicurare il pieno rispetto delle disposizioni in materia di protezione dei dati personali nei trattamenti effettuati attraverso il dossier sanitario aziendale in uso presso le aziende sanitarie regionali, tra le quali figura anche codesta Azienda.

Nel richiamare il suddetto provvedimento e nel prendere atto che, con riferimento alla condotta degli autori degli illeciti accessi al dossier sanitario, sono stati avviati dei procedimenti disciplinari ed è stata effettuata una denuncia alle autorità competenti, sulla base degli elementi acquisiti a seguito dell’attività istruttoria, nonché delle successive valutazioni di questo Dipartimento, emergono le seguenti criticità relative agli obblighi in materia di trattamento dei dati personali effettuato attraverso il dossier sanitario.

2.2.1 Profili di autorizzazione per l’accesso al dossier

Alla luce di quanto dichiarato in atti, la configurazione del dossier sanitario presente in ASUGI al momento dei fatti in esame non era pienamente conforme ai principi generali del trattamento e a quanto indicato nelle Linee guida del Garante del 2015, in quanto l’Azienda, in qualità di titolare dei dati sulla salute trattati attraverso il dossier sanitario, non ha adottato adeguate misure tecniche e organizzative che erano nella sua disponibilità volte a garantire che i professionisti sanitari operanti all’interno della stessa potessero accedere ai soli dossier degli interessati che erano loro in carico.

In particolare, dalla documentazione in atti emerge che gli accessi in esame sono stati effettuati utilizzando il sistema della autodichiarazione che prevede l’accesso al dossier di pazienti in cura presso la struttura, ma non ancora registrati amministrativamente nel sistema. Tale autodichiarazione ha consentito di accedere ai dati e ai documenti sanitari di quattro pazienti adulti, sebbene gli stessi non fossero in cura presso gli autori dell’accesso e, più in generale, presso il reparto di pediatria, ciò in quanto, secondo quanto dichiarato in atti, il sistema visore referti “non consente attualmente una differenziazione automatica dei profili di accesso che limiti la consultazione ai soli dati dei minori”.

Dai dati forniti da Insiel S.p.A. è emerso che il 18% degli accessi al dossier sanitario è effettuato attraverso il sistema delle autodichiarazioni, piuttosto che della presa in carico del paziente.

Al riguardo, si evidenzia che, secondo i principi generali del trattamento e quanto già richiamato dal Garante nelle citate Linee guida, il titolare del trattamento deve effettuare un costante monitoraggio delle ipotesi in cui il relativo personale sanitario può avere necessità di consultare il dossier sanitario, per finalità di cura dell’interessato e, in base a tale ricognizione, individuare i diversi profili di autorizzazione all’accesso legati si diversi di percorsi di presa in carico del paziente. L’accesso al dossier attraverso il sistema delle autodichiarazioni deve essere limitato a casi eccezionali in cui non è possibile predeterminare il paziente che sarà preso in carico dal professionista sanitario (es. pronto soccorso, guardia medica), limitandone comunque l’accesso al tempo strettamente necessario.

Da quanto emerge in atti, l’uso del sistema dell’autocertificazione presso l’Azienda non appare confinato ad ipotesi straordinarie, essendo utilizzato in circa 2 casi su 10 accessi che vengono effettuati al dossier sanitario dei pazienti.

La fattispecie in esame evidenzia quindi come la motivazione autodichiarata dai predetti professionisti (pazienti in cura presso la struttura ma non ancora registrati amministrativamente nel sistema) non sia più considerata utilizzabile solo per casi eccezionali in cui è necessario erogare una prestazione sanitaria a soggetti indeterminabili a priori, piuttosto come un mezzo consueto per accedere al dossier sanitario di soggetti che normalmente, in quanto adulti, non sono presi in carico dal reparto di pediatria.

Fermo restando la manifestata necessità per i professionisti sanitari del reparto di Pediatria di conoscere -in taluni casi- informazioni sanitarie dei parenti del minore, in relazione alla patologia trattata, si evidenzia che con riferimento a tale fattispecie di accesso limitata solo ad alcuni percorsi clinici devono essere comunque rispettate tutte le condizioni di liceità sopra evidenziate (consenso informato al dossier sanitario dell’interessato adulto e presa in carico da parte del professionista che esegue l’accesso).

L’Azienda avrebbe dovuto quindi implementare soluzioni che rendessero di default l’accesso limitato ai soli dossier dei pazienti pediatrici, prevedendo specifiche modalità di accesso al dossier sanitari di adulti solo se strettamente necessario in funzione del percorso di cura del paziente pediatrico e nel rispetto dei principi di liceità dell’accesso sopra evidenziati.

La circostanza che l’Azienda avesse, già dal 2023, evidenziato alla Regione e a Insiel S.p.A., in qualità di responsabile del trattamento, la necessità di implementare profili di autorizzazione differenziati, che consentano una gestione più granulare degli accessi anche con riferimento alla profondità di accesso (richiesta evolutiva R3) e di estendere la gestione della presa in carico amministrativa a tutti gli applicativi in uso in ASUGI (richiesta evolutiva R2), pur evidenziando un comportamento attento da parte del titolare circa l’adozione di misure per il rispetto della disciplina sulla protezione dei dati personale, non esenta lo stesso dalla responsabilità in merito alla mancata adozione delle stesse. 

Come sopra evidenziato, l’Azienda sanitaria, quale titolare del trattamento, ha infatti il dovere di esercitare tutte le sue prerogative a tutela dell’utilizzo dei dati di cui è titolare, non ricorrendo alcuna causa di esenzione di responsabilità da parte del titolare del trattamento in merito ad eventuali disposizioni regionali adottate in materia (sentenza della Corte di Cassazione del 6 marzo 2025, n. 6067).

Ciò premesso, spettava e spetta al titolare (ASUGI e le altre aziende sanitarie regionali) esercitare tutte le prerogative alle stesse concesse a tutela dell’utilizzo dei dati trattati e dei diritti fondamentali a questi connessi.

Al riguardo, si prende atto di quanto dichiarato dalla Regione e da Insiel S.p.A. secondo cui “La nuova funzionalità tesa a rendere i Titolari del trattamento autonomi nella configurazione delle autodichiarazioni, in coerenza con la propria organizzazione e con i rispettivi percorsi assistenziali, è in fase di completamento; la relativa evoluzione applicativa è in corso di realizzazione, con messa in produzione prevista al momento, salvo una diversa prioritarizzazione di altre progettualità in itinere, entro il primo semestre 2026”.

In merito, si prende ulteriormente atto della circostanza che ASUGI, nel corso del presente procedimento, ha continuato a rappresentare alla Regione l’esigenza di procedere con gli interventi evolutivi già richiesti, con particolare riferimento alla piena informatizzazione dei percorsi di cura con il dettaglio di tutti i percorsi di cura mappati e l’automatismo di apertura della visibilità come “presa in carico” con conseguente riduzione a ipotesi effettivamente residuali dell’utilizzo della maschera di autodichiarazione e alla definizione di strumenti di controllo e alert coerenti con tali presupposti. 

Tutto ciò premesso, la tipologia di autodichiarazioni utilizzate presso l’Azienda e l’attribuzione di profili di abilitazione e autorizzazione al dossier sanitario aziendale non pienamente differenziati in ordine alle diverse mansioni svolte e alle diverse e connesse attività di trattamento effettuate dai medici e dal personale del reparto di pediatria, non risultano conformi ai principi di protezione dei dati fin dalla progettazione di cui all’art. 25 del Regolamento e a quanto indicato nelle citate Linee guida.

In base al principio della “protezione dei dati fin dalla progettazione” (art. 25, par. 1, del Regolamento), il titolare infatti deve adottare misure tecniche e organizzative adeguate ad attuare i principi di protezione dei dati (art. 5 del Regolamento) e integrare nel trattamento le necessarie garanzie per soddisfare i requisiti del Regolamento e tutelare i diritti e le libertà degli interessati. 

Gli elementi sopra descritti hanno reso possibile che personale sanitario (due medici e due infermieri) operanti preso il reparto di pediatria accedessero al dossier sanitario di quattro interessati adulti non direttamente assistiti dai predetti professionisti e che non erano legati da vincoli di parentela con i pazienti del reparto di pediatria e quindi, in assenza, quindi, di alcun presupposto giuridico (art. 5, lett. a) e 9 del Regolamento).

2.2.2. controllo degli accessi al dossier

Secondo quanto dichiarato in atti, si rileva inoltre che, pur essendo previsto il tracciamento delle operazioni di accesso e consultazione del dossier sanitario, l’Azienda non ha adottato un sistema per il rilevamento automatico di eventuali anomalie che possano configurare trattamenti illeciti, ovvero l’utilizzo di indicatori di anomalie (c.d. alert) volti ad individuare comportamenti anomali o a rischio relativi alle operazioni eseguite dai soggetti autorizzati al trattamento (es. numero degli accessi eseguiti, tipologia o ambito temporale degli stessi), utili per orientare successivi interventi di audit, limitandosi ad effettuare solo controlli a posteriori l’caso di contestazione da parte degli interessati.

Dalla documentazione in atti emerge che codesta Azienda non aveva neppure adottato un sistema di controllo a campione degli accessi al dossier con riferimento, ad esempio, alla modalità di accesso tramite autodichiarazione anche alla luce della circostanza che due accessi su dieci al dossier sanitario sono effettuati proprio attraverso tale modalità. In particolare, avrebbe potuto verificare a campione se, nel caso di accesso con l’autodichiarazione sopra richiamata (pazienti in cura presso la struttura ma non ancora registrati amministrativamente nel sistema), effettivamente il professionista sanitario aveva poi reso una prestazione sanitaria al soggetto di cui aveva consultato il dossier sanitario. Tale misura avrebbe senz’altro determinato un effetto dissuasivo rispetto a tentavi di accessi illeciti da parte del personale sanitario.

Al riguardo, l’Azienda ha evidenziato che i sistemi di analisi dei log forniti da Insiel S.p.A. non erano completamente adeguati alla rilevazione di anomalie d’accesso al Visore documentale, in quanto registrano “semplicemente” l’azione di forzatura e la motivazione dichiarata, nonché di aver richiesto, già nel 2023, alla Regione a ad Insiel S.p.A., in qualità di responsabile del trattamento, la messa a disposizione dell'intera base dati dei log (non solo i log di accesso con autodichiarazione) per permettere controlli più consistenti (richiesta R7) e controlli automatici di consistenza delle autodichiarazioni (richiesta R8).

Nel prendere atto di tali richieste, rileva tuttavia evidenziare che, a seguito dei fatti in esame, l’Azienda, in via autonoma (quindi senza il coinvolgimento della Regione e di Insiel S.p.A.), ha dichiarato di stare per adottare “con Deliberazione del Direttore Generale, una Procedura per la verifica degli accessi al Visore Referti / Dossier Sanitario Elettronico, che disciplina le modalità con cui l'Azienda effettua controlli a campione sugli accessi effettuati mediante forzatura del sistema”, prevedendo controlli periodici con cadenza almeno trimestrale (estrazione dei log degli accessi effettuati con forzatura del sistema -accessi a pazienti non in carico- e selezione di un campione casuale per i controlli; verifica puntuale della legittimità degli accessi (per ciascun accesso selezionato, verifica della coerenza con le mansioni dell'operatore, con l’appartenenza alla struttura e con l'esistenza di un episodio di cura giustificativo, anche attraverso contatto diretto con l'operatore o con il suo responsabile); documentazione degli esiti (report trimestrale trasmesso ai livelli direzionali competenti); segnalazione delle irregolarità al Dipartimento Risorse Umane per l'avvio di eventuali procedimenti disciplinari e al responsabile per la protezione dei dati per la valutazione dell'eventuale obbligo di notifica all'Autorità Garante ai sensi dell'art. 33 del Regolamento).

Tale procedura descritta in atti come “un aggravio organizzativo” rappresenta una misura tecnico organizzativa volta a ridurre i rischi di accesso non autorizzato al dossier sanitario propria di un approccio by design alla disciplina sulla protezione dei dati personali che avrebbe potuto essere implementata anche prima dei fatti in esame. La circostanza che tale misura si pone come “rafforzamento” di quelle già in essere relative alle credenziali di autenticazione e alla registrazione dei log non qualifica la stessa come non necessaria.

L’intenzione espressa nelle memorie difensive di adottare tale procedura da parte di ASUGI dimostra come la stessa avrebbe potuto dotarsi -indipendentemente da un intervento regionale o di Insiel S.p.A.- di strumenti di riduzione del rischio di accessi illeciti al dossier anche prima del verificarsi dei fatti in esame. L’adozione di tali misure da parte dell’Azienda, che non risulterebbero quindi vincolate da un intervento di Insiel S.p.A, avrebbe potuto evitare gli accessi al dossier sanitario in esame anche solo in considerazione del fatto che avrebbe potuto costituire un elemento di dissuasione per i professionisti sanitari che avrebbero saputo della circostanza che sui propri accessi effettuati mediante autodichiarazione sarebbero stati effettuati controlli a campione, relativi alla coerenza tra autodichiarazione, mansione, reparto e presa in carico del paziente, potendo essere poi intrapresi procedimenti disciplinari in caso di violazioni riscontrate.

Sul punto, si prende atto che, successivamente alle prime memorie difensive dell’Azienda e a seguito delle interlocuzioni tra l’Azienda, la Regione Friuli-Venezia Giulia e Insiel S.p.A, quest’ultima ha messo a disposizione di ASUGI un indicatore di anomalia relativo agli accessi effettuati mediante maschera di autodichiarazione (segnalazione di presunta anomalia in presenza di cinque accessi effettuati con maschera di autodichiarazione, in cinque giornate diverse, negli ultimi quindici giorni, da parte del medesimo operatore nei confronti del medesimo paziente). 

Tale indicatore assieme ai controlli a campione che l’Azienda avrebbe potuto effettuare in via autonoma, come dimostrano i recenti interventi sopra descritti, avrebbero potuto costituire elementi di reale dissuasione alla realizzazione delle condotte in esame.

Nel prendere atto degli interventi integrativi al sistema visore referti indicati da Insiel S.p.A. e di quelli programmati da ASUGI e di quanto rappresentato dalla Regione Friuli Venezia Giulia nella riunione del 4 marzo 2026, nonché della circostanza che è stato avviato un procedimento disciplinare nei confronti dei predetti sanitari ed effettuata una segnalazione alla Procura della Repubblica sui fatti oggetto di notifica, sulla base degli elementi acquisiti e della documentazione in atti risulta accertato che la configurazione del dossier sanitario effettuata dall’Azienda, come dimostrato dai fatti in esame, è stata effettuata in violazione dei principi di base del trattamento di cui agli artt. 5, par. 1, lett. a) e f), 9, 25 e 32 del Regolamento. La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 4, lett. a) e par. 5, lett. a) del Regolamento.

3. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ e considerato che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante” ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive e nelle successive note integrative, relative al richiamato procedimento non consentono di superare i rilievi notificati dall’Ufficio con gli atti di avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Per tali ragioni si rileva l’illiceità del trattamento di dati personali effettuato dall’Azienda sanitaria universitaria Giuliano Isontina con riferimento al procedimento avviato a seguito della notifica di violazione, nei termini di cui in motivazione, in particolare, per aver trattato dati personali attraverso il dossier sanitario in violazione dei principi di base del trattamento di cui agli artt. 5, par. 1, lett. a) e f), 9, 25 e 32 del Regolamento e delle Linee guida in materia di Dossier sanitario del 4 giugno 2015” (cit.).

4. Misure correttive

L’art. 58, par. 2, del Regolamento prevede in capo al Garante una serie di poteri correttivi, di natura prescrittiva e sanzionatoria, da esercitare nel caso in cui venga accertato un trattamento illecito di dati personali.

Tra questi poteri, l’art. 58, par. 2, lett. d) del Regolamento, prevede il potere di “ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine”.

Alla luce delle valutazioni sopra richiamate, tenuto conto che l’Azienda ha dichiarato di aver programmato l’adozione di misure correttive (controlli a campione) e che Insiel S.p.A ha messo a disposizione di ASUGI un indicatore di anomalia degli accessi e che la Regione Friuli Venezia Giulia ha dichiarato in atti l’adozione, entro il primo semestre del 2026, di evoluzioni applicative del sistema informativo utilizzato per il dossier sanitario per rendere conforme il trattamento dei dati effettuato tramite tale strumento ai principi sopra richiamati, l’Autorità si riserva, in attesa di successive verifiche in merito alle procedure in corso di attuazione, l’adozione delle misure correttive di cui all’art. 58, par. 2, del Regolamento.

4. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice). 

La violazione dei principi di base del trattamento di cui agli artt. 5, par. 1, lett. a) e f), 9, 25 e 32 del Regolamento e delle Linee guida in materia di Dossier sanitario del 4 giugno 2015 causata dalla condotta dell’Azienda sanitaria universitaria Giuliano Isontina è soggetta all’applicazione della sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 4 e 5, del Regolamento.

Si consideri che il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Ritenuto di dover applicare il par. 3 dell’art. 83 del Regolamento laddove prevede che “se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente Regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5. 

Alla luce di quanto sopra illustrato e, in particolare, della categoria di dati personali interessata dalla violazione che, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, trattandosi di dati sulla salute, del numero dei soggetti interessati i cui dati sono stati trattati tramite il dossier sanitario in violazione delle disposizioni sopra richiamate, dei precedenti interventi del Garante in materia anche con riferimento alla specifica realtà regionale, si ritiene che il livello di gravità della violazione commessa dall’Azienda sia medio (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60).

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nella fattispecie in esame, sono state tenute in considerazione le circostanze sotto riportate:

- le misure implementate dall’Azienda, gli strumenti forniti da Insiel S.p.A. e le dichiarazioni rese dalla Regione Friuli Venezia Giulia in merito al trattamento dei dati personali dei pazienti effettuato attraverso il dossier sanitario al fine di conformarlo al quadro normativo vigente anche al fine di tutelare i diritti e le liberta degli interessati (art. 83, par. 2, lett. c) del Regolamento;

- il Garante ha preso conoscenza delle violazioni a seguito di una notifica di violazione (art. 83, par. 2, lett. h del Regolamento);

- l’Azienda è destinataria di precedenti provvedimenti prescrittivi o sanzionatori relativamente ad una fattispecie diversa, ma avente elementi di attinenza con quella in esame ed ha collaborato nel corso dell’attività istruttoria che l’ha vista coinvolta (art. 83, par. 2, lett. e) e f) del Regolamento);

- caratteristiche del sistema regionale in ordine allo sviluppo e all’implementazione dei sistemi informativi sanitari da parte delle aziende sanitarie regionali (art. 83, par. 2, lett. d) del Regolamento);

- la circostanza che molti degli aspetti oggetto di violazione erano stati oggetto di altri interventi sanzionatori e correttivi da parte dell’Autorità nell’ultimo decennio (art. 83, par. 2, lett. k) del Regolamento).

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di determinare l’ammontare della sanzione amministrativa pecuniaria da applicare nei confronti della Azienda, ai sensi dell’art. 83, par. 5 del Regolamento nella misura di euro somma di euro 10.000,00 (diecimila/00).

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione della gravità della condotta contestata che coinvolge la disciplina sulla protezione dei dati personali di un numero elevato di interessati, della tipologia di dati personali oggetto di illecito trattamento e della circostanza che tali trattamenti sono stati oggetto di uno specifico provvedimento generale adottato dal Garante fin dal 2015.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara l’illiceità del trattamento di dati personali effettuato, descritti, dall’Azienda sanitaria universitaria Giuliano Isontina per la violazione dei principi di base del trattamento di cui agli artt. 5, par. 1, lett. a) e f), 9, 25 e 32 del Regolamento e delle Linee guida in materia di Dossier sanitario del 4 giugno 2015”.

ORDINA

- ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, all’Azienda sanitaria universitaria Giuliano Isontina, con sede legale in Via Costantino Costantinides, 2- 34128 Trieste (Partita IVA 01337320327), di pagare la somma di euro 10.000,00 (diecimila/00), a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

- ai sensi dell’art. 157 del Codice, all’Azienda sanitaria universitaria Giuliano Isontina di far conoscere a questa Autorità, entro (30) trenta giorni dalla notifica del presente provvedimento, la data in cui è stata adottata la Procedura per la verifica degli accessi al Visore Referti/Dossier Sanitario Elettronico descritta in atti;

- ai sensi dell’art. e 157 del Codice, alla Regione Friuli Venezia Giulia e ad Insiel S.p.A. di far conoscere a questa Autorità, entro (30) trenta giorni dalla notifica del presente provvedimento, le misure che sono state adottate per rispondere alle richieste presentate da ASUGI in qualità di titolare del trattamento in merito alla configurazione delle autodichiarazioni per l’accesso al dossier sanitario, atteso che secondo quanto dichiarato in atti, la relativa evoluzione applicativa doveva essere completata entro il primo semestre 2026.

INGIUNGE

alla predetta Azienda, di pagare la predetta somma di euro 10.000,00 (diecimila/00), secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento -sempre secondo le modalità indicate in allegato- di un importo pari alla metà della sanzione irrogata entro il termine di cui all'art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.                                                          

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento;

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 3 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori