Privacy in Asufc mal tutelata secondo il Garante. Irrorata ennesima multa (24mila euro) che come nel 2023 (55mila) prima o poi pagheranno i cittadini

Il rispetto della  privacy dei pazienti (e dei dipendenti) alla Asufc (Azienda sanitaria Friuli centrale), non è proprio il loro forte. Intendiamoci si parla di episodi, ma quando ci sono eccezioni alla giusta regola, è probabile che questa non funzioni bene. La pensa così il Garante Privacy almeno  giudicando dalle ultime decisioni prese. Ma di una cosa siamo certi, alla fine a pagare, chiunque abbia torto o ragione, sarà sempre il cittadino. L’ultima performance è di questi giorni: L’Autorità del Garante è intervenuta in seguito al reclamo di una dipendente Asufc  – che era contemporaneamente paziente dell’ospedale -, accertando che una collega del reparto nel quale lavorava, aveva avuto accesso al suo dossier sanitario per verificare, durante la pandemia, l’eventuale positività al Covid, in modo da pianificare i turni. Il Garante ritendo illegittima la procedura ha inflitto una sanzione di 24mila euro all’Azienda sanitaria per non aver configurato il dossier sanitario aziendale in modo da impedire al personale  di visionare lo stato di salute dei colleghi per finalità diverse da quelle di cura. Ma a pagare la sanzione non sarà la dirigenza della Azienda ma sempre  le casse pubbliche (quindi noi). L’azienda paga e il Garante incassa con in mezzo, presumiamo, le parcelle dei avvocatoni che di certo studieranno i ricorsi. Del resto l’imperativo categorico, come vale per un coniuge fedifrago beccato sul fatto, è negare sempre anche davanti all’evidenza dei fatti, soprattutto quando si sa che alla fine si vince anche quando si perde. Ma torniamo alla vicenda, secondo Asufc quella che era stata  messa in atto era una pratica necessaria per sapere su quali risorse umane poter contare e per garantire la tutela di operatori e pazienti e per questo già in sede del procedimento istruttorio aveva trasmesso scritti difensivi nei quali sottolineava la peculiarità della situazione legata alla pandemia (velo emergenziale come liste d’attesa e mancanza personale medico  sotto il quale forzare ogni principio) e dimostrava per questo di aver agito nel pieno rispetto delle normative che regolano l’attività assistenziale e datoriale, garantendo la continuità operativa anche in caso di emergenza e assicurando un intervento tempestivo a fronte di eventuali condotte dolose dei dipendenti. Di diverso avviso il Garante, secondo cui l’accesso al dossier sanitario è consentito solamente ai medici e al personale che ha in cura il paziente, e non per esigenze organizzative, come nel caso in cui l’ospedale sia anche datore di lavoro del paziente. Le finalità amministrative e organizzative, ha stabilito il Garante, devono essere perseguite con gli appositi strumenti, e non con il dossier sanitario, nel quale fra l’altro alcuni dati possono essere oscurati per scelta dell’interessato. Ma l’Autorità non si è limitata al caso della dipendente, ha accertato altri possibili accessi abusivi ai dossier, resi possibili da una configurazione informatica che non prevedeva limiti o alert, tanto che oltre alla sanzione pecuniaria, il Garante ha ordinato all’Azienda di adottare misure tecniche e organizzative idonee. Ma ovviamente la dirigenza dell’Asufc, che non ama essere criticata, ha fatto sapere che sono in corso valutazioni sul proseguo della vicenda, una resistenza che comunque vada ai cittadini costerà ancora di più, ma che non avrà nessuna conseguenza per chi la decide.  Ma quello del 3 settembre scorso non è l’unico inciampo sul terreno privacy nel quale è incorsa l’Azienda Friuli Centrale, in questo caso in buona compagnia insieme alle altre aziende sanitarie Asfo (Friuli Occidentale) e Asugi (Giuliano isontina). Parliamo di una ben più grave vicenda. La vicenda era del 2022 quando venne irrogata una sanzione di 55.000 euro perché le suddette aziende avevano utilizzato un algoritmo “predittivo” per classificare e stratificare il profilo di rischio sanitario di circa 40.000 assistiti, creando elenchi di soggetti fragili. Ovviamente anche in quel caso la decisione del Garante venne rigettata e venne opposto ricorso al Tribunale di Udine che l’accolse nello stesso anno vedendo l’esultanza, ai microfoni del Tgr Rai, del Direttore Generale, Denis Caporale che chiosò: “Consapevoli di aver lavorato nel rispetto della legge e per il bene della popolazione, accogliamo con soddisfazione la sentenza con la quale veniamo assolti dalla sanzione amministrativa”. Peccato però che nel Luglio 2025  arrivò  la conferma della sanzione in Cassazione. Insomma per il cosiddetto “caso algoritmi”  la Corte di Cassazione ha dato  definitivamente ragione al Garante, confermando l’illecito. Bene che il Garante lo sia per davvero e che almeno le storture vengano raddrizzate, ma alla fine il risultato di tutto il teatrino delle sanzioni è che, a pagare, sarà sempre “Pantalone”, una partita di giro nella quale ai dirigenti che resistevano e hanno sbagliato, nulla viene tolto, mentre i cittadini del Fvg sono cornuti e mazziati.  Il costo preciso e definitivo di tutto, anche  in termini di parcelle legali del ricorso in Cassazione,  non è ancora quantificabile in via definitiva, poiché la Suprema Corte non ha liquidato le spese. Con l’Ordinanza n. 6067 del 6 marzo 2025, la Corte di Cassazione ha accolto il ricorso del Garante, cassato la precedente sentenza del Tribunale di Udine e rinviato la causa al medesimo Tribunale, ovviamente davanti a un giudice diverso. Ciò comporta due importanti conseguenze economiche per l’ASUFC. Rinvio delle spese di lite: La Cassazione ha demandato proprio al giudice del rinvio (il Tribunale di Udine) il compito di effettuare la statuizione sulle spese del giudizio di legittimità determinando l’ammontare esatto dei costi legali  al grado di Cassazione, Tutto sarà quindi stabilito solo al termine del nuovo esame del merito. Questo si aggiunge al rischio della sanzione originaria.  Poiché la decisione della Cassazione ha ribaltato l’esito del primo grado dando ragione all’Authority, torna in bilico la multa originaria di 55.000 euro inflitta dal Garante nel dicembre 2022. Oltre alla sanzione principale, il costo effettivo finale per le casse pubbliche dell’azienda sanitaria comprenderà le parcelle dei legali interni o esterni che hanno curato la difesa nei vari gradi di giudizio, i contributi unificati e gli oneri accessori di rinvio.

Caso violazione privacy dipendente: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10293994

Caso algoritmo https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9845156