Garante Privacy 2026: le strutture sanitarie sotto la lente

Il Garante per la protezione dei dati personali ha pubblicato il piano delle attività ispettive per il primo semestre 2026, e tra i settori prioritari c’è di nuovo la sanità. Per una struttura sanitaria privata la notizia non è un allarme astratto: i controlli si concentrano su punti concreti — chi accede ai dati clinici, come si gestisce un data breach, come si documentano i consensi — e su questi il Garante ha già sanzionato. Vediamo cosa verifica nel 2026 e come arrivarci preparati.

Cosa controlla il Garante nel 2026

Il Garante ha programmato almeno quaranta accertamenti nel primo semestre 2026, anche con il supporto della Guardia di Finanza, e la sanità è tra le aree a più alta attenzione per la delicatezza dei dati trattati. Le verifiche nel settore sanitario si concentrano su tre ambiti:

• Dossier sanitario e profili di accesso. L’accesso ai dati clinici deve rispettare i principi di necessità e minimizzazione: solo il personale che ha una relazione di cura con il paziente dovrebbe poterne consultare i dati. L’accesso indiscriminato da parte di personale amministrativo o di professionisti non coinvolti nella cura è tra le violazioni più frequenti.
• Tracciabilità degli accessi. La struttura deve poter dimostrare chi ha avuto accesso a quali dati, quando e per quale motivo. L’assenza o l’incompletezza dei registri di accesso è già stata sanzionata.
• Gestione dei data breach. Quando una violazione di dati può comportare un rischio per i diritti e le libertà delle persone, va notificata al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore (articolo 33 del GDPR), sulla base di una valutazione del rischio documentata; se il rischio è improbabile la notifica non è dovuta. Nei casi di rischio elevato va informato anche l’interessato (articolo 34), salvo le eccezioni dell’art. 34(3): dati resi inintelligibili da misure adeguate, misure successive che scongiurano il rischio elevato, o comunicazione individuale che richiederebbe sforzi sproporzionati. Le misure di rimedio adottate devono essere concrete e documentate.

Le sanzioni del 2025: il Garante non esita

I provvedimenti del 2025 mostrano che il Garante sanziona le strutture sanitarie, anche pubbliche, sulla gestione del dossier sanitario:

• con il provvedimento del 29 aprile 2025, la Regione Lombardia ha ricevuto una sanzione di 50.000 euro per violazioni nella gestione del dossier sanitario;
• con il provvedimento del 4 agosto 2025, l’Azienda Ospedaliero-Universitaria Careggi di Firenze è stata sanzionata con 80.000 euro per l’illiceità del trattamento tramite il proprio dossier sanitario.

Gli importi si riferiscono a strutture pubbliche — per la struttura privata il parametro di proporzionalità è diverso — ma l’orientamento del Garante è chiaro: sul dossier sanitario e sugli accessi non c’è margine di leggerezza.

Cosa deve fare una struttura sanitaria privata

In vista di una possibile ispezione, le azioni prioritarie per studi medici e poliambulatori sono quattro.

1. Verifica il registro dei trattamenti. Chi tratta dati sanitari su larga scala tiene un registro dei trattamenti (articolo 30 del GDPR): controlla che sia completo e allineato alle attività reali.
2. Controlla i profili di accesso. Il personale di reception deve avere lo stesso accesso del medico specialista? I permessi vanno tarati sul principio del «bisogno di conoscere»: ogni operatore vede solo ciò che serve al suo ruolo.
3. Documenta la raccolta dei consensi. In caso di ispezione, ogni trattamento deve avere una base giuridica dimostrabile; per i trattamenti facoltativi (come le comunicazioni promozionali) il consenso va documentato e rispettato.
4. Datti una procedura per i data breach. La gestione di un incidente — un laptop rubato, un accesso non autorizzato, una email al destinatario sbagliato — va codificata: chi valuta, chi notifica il Garante, quali rimedi adottare.

Come DBMedica supporta la conformità

La conformità non è uno stato che si raggiunge una volta: è un processo continuo che richiede strumenti capaci di rendere visibili e governabili le dinamiche quotidiane del trattamento dei dati. DBMedica è un software gestionale medico in cloud per studi e centri medici, che tiene insieme agenda, cartella clinica e fatturazione con i dati custoditi in cloud. Su alcuni dei punti che il Garante verifica offre basi concrete.

Gli accessi sono governati da permessi per ruolo e per sede: la segreteria gestisce gli appuntamenti senza entrare nelle cartelle cliniche, il medico vede i pazienti della propria agenda, e nelle strutture con più sedi i dati restano separati per sede. È la risposta concreta al principio di minimizzazione dell’accesso. Sul fronte dei consensi, il gestionale documenta in anagrafica lo stato di ogni informativa e consenso — quale è stato raccolto, quando, se è ancora valido — così che la base giuridica di un trattamento sia dimostrabile senza cercarla tra fogli sparsi. I dati clinici sono conservati cifrati e ogni modifica alle cartelle genera una nuova versione, con lo storico consultabile.

Restano invece responsabilità della struttura le procedure organizzative: il registro dei trattamenti, la procedura di gestione dei data breach e la tracciabilità completa degli accessi. Il gestionale fa la sua parte tecnica; il percorso di conformità lo governa il titolare del trattamento.

Arrivare preparati, non rincorrere

Con la sanità di nuovo tra i settori prioritari del Garante, la conformità sui dati dei pazienti non è un adempimento da rimandare: profili di accesso ordinati, consensi documentati e una procedura per gli incidenti sono ciò che distingue una struttura pronta da una esposta. Guarda il gestionale per poliambulatorio di DBMedica e richiedi una demo gratuita: permessi per ruolo e sede, consensi documentati e dati cifrati in cloud, verificati sulla tua struttura.

Domande Frequenti