Lavorare in una struttura sanitaria non significa avere automaticamente il diritto di consultare la cartella clinica e i dati di tutti i pazienti. Il Garante per la protezione dei dati personali ha esaminato il caso di quattro operatori di ASUGI che avevano consultato i dossier di quattro adulti non in cura presso il reparto di pediatria, utilizzando una procedura di autodichiarazione per superare il blocco del sistema informatico.
Il principio ribadito dal Garante è chiaro: la possibilità tecnica di accedere a un dato non equivale al diritto di consultarlo. L’accesso deve essere legato a una reale necessità assistenziale e coerente con il ruolo del professionista. Anche l’autodichiarazione deve restare uno strumento per situazioni eccezionali e non diventare una scorciatoia per aggirare i controlli. Per questo servono profili di autorizzazione differenziati, controlli e sistemi capaci di individuare accessi anomali.
La responsabilità della corretta gestione degli accessi resta in capo alla struttura sanitaria, anche quando il sistema è gestito a livello regionale. Per le violazioni riscontrate, ASUGI è stata sanzionata con 10mila euro. La regola finale è semplice: password e credenziali non autorizzano a vedere tutto; serve una concreta ragione professionale e assistenziale.
