Indice
- Il caso
- Dossier sanitario e Linee guida del 2015
- Consenso esplicito, informativa, accessi e privacy by design
- Rideterminazione della sanzione
1. Il caso
Con la sentenza n. 1947/2026, pubblicata il 9 aprile 2026, la quarta sezione civile del Tribunale di Firenze si è pronunciata sull’opposizione proposta da un’azienda ospedaliero-universitaria avverso un’ordinanza-ingiunzione del Garante per la protezione dei dati personali. Il Garante aveva irrogato una sanzione pecuniaria di 80.000 euro, oltre alla sanzione accessoria della pubblicazione del provvedimento sul proprio sito, per il trattamento di dati sanitari attraverso un applicativo aziendale di consultazione dello storico clinico dei pazienti.
2. Dossier sanitario e linee guida del 2015
Il Dossier Sanitario Elettronico (DSE) è l’archivio digitale degli eventi clinici presenti e trascorsi (referti di laboratorio, documentazione relativa a ricoveri, accessi al pronto soccorso, ecc.) riferiti ad un interessato (paziente), costituito presso un organismo sanitario (es. ospedale o clinica privata) – in
qualità di “unico titolare del trattamento” e reso accessibile ai diversi professionisti che vi operano al suo interno e che assistono il paziente nel processo di cura.
L’Azienda contestava l’applicabilità al proprio sistema delle linee guida del Garante del 4 giugno 2015 in materia di dossier sanitario. Sosteneva che l’applicativo raccogliesse soltanto i dati degli eventi clinici occorsi presso la propria struttura (lettere di dimissione, diagnosi di uscita, lettere al curante) e che la sua portata circoscritta lo distinguesse dal dossier. Sosteneva inoltre che le Linee guida fossero superate dall’evoluzione della pratica clinica, fondata su percorsi di cura trasversali. A suo avviso la base giuridica andava individuata nell’art. 9, par. 2, lett. h) GDPR (finalità di cura) e non nel consenso di cui alla lett. a).
Il Tribunale ha respinto la tesi con due argomenti:
- Criterio della titolarità. Il dossier sanitario è costituito presso un unico titolare del trattamento, mentre il fascicolo sanitario elettronico prevede una pluralità di titolari. Un sistema che tratta i dati dei percorsi sanitari svolti presso una sola struttura ricade nella nozione di dossier. La definizione delle Linee guida non indica inoltre il tipo di dati che devono esservi contenuti.
- Contraddizione difensiva (“delle due, l’una”). L’Azienda, per dimostrare l’adempimento dell’obbligo di trasparenza, aveva invocato la pubblicazione sul proprio sito di un’informativa dedicata al dossier sanitario. Il Tribunale ha osservato che, se il sistema non fosse stato un dossier, sarebbero state legittime le contestazioni su informativa, privacy by design e sicurezza. Se invece lo fosse stato, sarebbero state applicabili le Linee guida e la loro violazione sarebbe stata correttamente valutata.
3. Consenso esplicito, informativa, accessi e privacy by design
Il Tribunale ha confermato l’impianto accertativo del Garante, fondato sul Regolamento (UE) 2016/679, sul Codice privacy e sulle Linee guida. Le Linee guida richiedono per i dossier sanitari un consenso specifico, il diritto all’oscuramento dei documenti, la limitazione degli accessi al solo personale sanitario coinvolto nella cura, un sistema di alert sugli accessi anomali e la possibilità per il paziente di sapere chi ha consultato i propri dati.
All’epoca dell’ispezione risultavano accertate le seguenti carenze:
- Mancata acquisizione di un consenso specifico per il dossier, con conseguente assenza di informazione al paziente sul diritto all’oscuramento e sulla conoscibilità degli accessi.
- Assenza di un sistema di alert conforme alle Linee guida.
- Informativa carente nel contenuto. Il Garante non contestava la mancata pubblicazione, ma l’insufficienza dei contenuti. Trattandosi di un trattamento ulteriore rispetto alla mera finalità di cura, l’informativa doveva rispettare l’art. 13 GDPR come integrato dalle Linee guida.
- Violazione dei principi di privacy by design e di sicurezza del trattamento. È la violazione ritenuta più grave. Il profilo “medico” consentiva di ricercare lo storico di un paziente (ricoveri e lettere al curante) anche in unità operative diverse da quelle di abilitazione, senza che il professionista fosse coinvolto nel suo percorso di cura. Non era quindi rispettato il principio del need to know.
Il Tribunale ha chiarito che il Garante non aveva mai messo in dubbio la differenza di profilazione tra medico e infermiere. A essere contestata era la configurazione del profilo “medico”, troppo ampia.
4. Rideterminazione della sanzione
L’Azienda lamentava anche un difetto di motivazione, sostenendo che il Garante avesse indicato i fattori dell’art. 83 GDPR in modo generico e che il numero degli interessati lesi fosse stato sovrastimato. Il Tribunale ha ritenuto la motivazione sufficiente sul se sanzionare, perché il provvedimento valorizzava la categoria dei dati (particolarmente sensibili), il numero degli interessati (oltre 175.000 pazienti) e la durata della violazione (dal 2011 al 2025).
La questione decisiva era invece quella del quantum. Qualificando l’opposizione come giudizio a cognizione piena e natura interamente devolutiva, e richiamando la giurisdizione di merito sulle sanzioni delle autorità indipendenti (Cons. Stato, sez. VI, n. 4753/2012), il giudice ha ritenuto di poter rideterminare direttamente la sanzione. Alla luce del criterio per cui le sanzioni devono essere “effettive, proporzionate e dissuasive” (art. 83 GDPR), l’ha ridotta a 20.000 euro. Ha valorizzato l’assenza di reclami o richieste risarcitorie fino agli accertamenti ispettivi e l’adozione spontanea di misure correttive, senza attendere un provvedimento dell’Autorità. Le spese sono state compensate per la particolarità delle questioni trattate. È stata infine ritenuta irrilevante la questione sulla tardività della produzione documentale del Garante, perché i documenti non sono stati utilizzati ai fini della decisione.
