Dossier sanitario: il Garante ribadisce che è accessibile solo per ragioni di cura

Il Garante privacy, con provvedimento del 3 settembre 2026, ha sanzionato un’azienda sanitaria per non aver configurato il dossier sanitario aziendale in modo da impedire ai lavoratori di accedere alle informazioni inerenti allo stato di salute dei colleghi per finalità diverse da quelle di cura.

Il provvedimento si trova a valle del reclamo che era stato presentato da un dipendente che era anche paziente dell’Azienda e che aveva lamentato la possibilità per il personale sanitario di accedere a tutti i referti del dipartimento a prescindere dalla presa in carico del paziente.

Il Garante, nel confermare le plurime violazioni, ha rammentato che il trattamento dei dati relativi alla salute dei dipendenti può essere legittimamente effettuato solo quando sia “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato”.

Il datore di lavoro – ha rammentato il Garante - nel rispetto dei principi di protezione dei dati e delle disposizioni di settore applicabili, può trattare dati personali relativi alla salute dei dipendenti solo per le finalità e alle condizioni normativamente previste ovvero su specifica segnalazione del medico competente, unico soggetto legittimato per legge a svolgere compiti di sorveglianza sanitaria, nel rispetto degli specifici limiti e presupposti stabiliti dalla disciplina in materi a di tutela della salute e della sicurezza nei luoghi di lavoro.

Nel caso di specie, il Garante ha ritenuto che la condotta dell’azienda fosse illecita nella misura in cui aveva configurato il dossier sanitario aziendale in modo da consentirne l’accesso per fini diversi da quelli di cura.

Oltre alla sanzione pecuniaria, all’azienda è stato ingiunto di:

• adottare le misure dirette a limitare l’accesso al dossier esclusivamente al perseguimento di finalità di cura, escludendo lo stesso da parte di personale che agisce in qualità di datore di lavoro dell’interessato;
• introdurre l’utilizzo di indicatori di anomalie (c.d. alert) automatici e sistemi di blocco automatico del pc per inattività che tengano conto delle specifiche esigenze connesse ai differenti ambiti operativi aziendali, nell’intento di ridurre al minimo il tempo di latenza senza compromettere il requisito di efficacia del percorso assistenziale.