Il Garante per la protezione dei dati personali ha richiamato l’Azienda ospedaliero universitaria di Sassari dopo un episodio di comunicazione indebita di dati sanitari, classificato dall’Autorità come trattamento illecito ma ricondotto a una violazione circoscritta e priva di dolo.
La vicenda, tornata d’attualità nel dibattito sulla governance degli accessi alle informazioni cliniche, riguarda la consegna a un’avente diritto di documentazione sanitaria contenente anche esami diagnostici riferiti a un’altra paziente. Secondo il provvedimento pubblicato dal Garante, l’episodio ha determinato una violazione degli obblighi di riservatezza e delle misure di sicurezza richieste dal GDPR per il trattamento dei dati relativi alla salute.
Che cosa ha accertato il Garante
Nel provvedimento del 26 febbraio 2026, l’Autorità spiega di avere ricevuto una segnalazione relativa alla presenza, all’interno di una cartella clinica rilasciata a un familiare, di un tracciato ECG e di un referto medico riconducibili a un soggetto terzo. L’AOU di Sassari ha attribuito l’accaduto a un errore materiale nella gestione cartacea dei documenti, in un contesto ancora non completamente digitalizzato.
Il Garante ha tuttavia ritenuto che gli elementi forniti dall’azienda non fossero sufficienti a superare i rilievi istruttori, confermando le violazioni degli articoli 5, 9 e 32 del GDPR. In particolare, il provvedimento richiama l’obbligo di comunicare i dati sanitari soltanto in presenza di un idoneo presupposto giuridico e di adottare misure tecniche e organizzative adeguate al rischio.
Perché il caso è rilevante
Pur qualificando l’episodio come violazione minore, l’Autorità ha sottolineato che anche un singolo errore nella gestione degli accessi o nell’assemblaggio della documentazione clinica può trasformarsi in un data breach. Il caso evidenzia quindi l’importanza del principio need-to-know, della segregazione dei privilegi e dei controlli di qualità sui processi documentali, soprattutto negli ambienti sanitari dove i dati trattati sono particolarmente sensibili.
L’azienda, secondo quanto riportato nel provvedimento, ha introdotto misure correttive come una migliore organizzazione delle cartelle cartacee, un registro delle non conformità, attività formative obbligatorie e la prosecuzione del percorso verso la cartella clinica elettronica regionale. Per strutture pubbliche e private, il messaggio è chiaro: la digitalizzazione da sola non basta, se non è accompagnata da regole puntuali sugli accessi, verifiche operative e responsabilità ben definite.