Aziende sanitarie
9 provvedimenti — 8 sanzioni, 0 pareri, 1 altro
03/07/2026
Azienda sanitaria universitaria Giuliano Isontina
Il Garante ha sanzionato ASUGI per accessi illegittimi al dossier sanitario elettronico da parte di operatori sanitari, che hanno consultato cartelle cliniche di pazienti senza giustificazione clinica, in violazione dei principi di liceità e riservatezza. La violazione ha riguardato il caso di un paziente i cui dati sono stati utilizzati da un'ex coniuge in una causa di divorzio e l'accesso ai dati di altri tre pazienti. Il Garante ha ritenuto la violazione di gravità media in considerazione delle misure implementate e della collaborazione aziendale. AI
11/06/2026
ASL Lecce
Il Garante dichiara l'illiceità del trattamento di dati personali effettuato dalla ASL Lecce presso l'U.O.C. di Urologia del Presidio Ospedaliero 'Vito Fazzi' di Lecce. Sono state accertate violazioni relative a: mancanza di documentazione formale sulle procedure di protezione dei dati sensibili dei pazienti; mancanza di nomina formale degli autorizzati al trattamento; assenza di istruzioni documentate al personale; misure di sicurezza fisica inadequate (cartelle cliniche in carrello non sempre chiuso, locale infermeria non chiuso a chiave); mancata comunicazione di una violazione dei dati (affiancamento di personale non autorizzato); nessuna partecipazione dei 44 dipendenti del reparto ai corsi di formazione sulla privacy. L'Azienda è condannata al pagamento di una sanzione amministrativa pecuniaria di € 4.500 e alla pubblicazione del provvedimento sul sito del Garante. AI
29/04/2026
Dott.ssa Immacolata Guzzo
La dott.ssa Guzzo ha violato i principi di liceità, correttezza e trasparenza, nonché il divieto di trattamento di dati sensibili, pubblicando su un sito congressuale un poster contente la fotografia di un minore defunto con informazioni relative alla sua salute, senza il consenso esplicito della madre per tale utilizzo. Sebbene i dati siano stati pseudonimizzati e la dottoressa abbia agito in buona fede, ritendo di aver anonimizzato adeguatamente i dati, la condotta ha costituito violazione degli artt. 5, par. 1, lett. a), b) e c) e 9 del GDPR nonché dell'art. 2-septies, comma 8, del Codice Privacy. La dottoressa ha prontamente richiesto la rimozione dei contenuti, fatto valutato favorevolmente nella quantificazione della sanzione. AI
29/04/2026
Azienda Sanitaria Locale di Matera
L'Azienda Sanitaria Locale di Matera è stata vittima di un attacco informatico ad opera del gruppo Rhysida, che ha comportato l'esfiltrazione di dati personali di 95.362 interessati. La violazione ha interessato dati anagrafici, di contatto, relativi a condanne penali e reati, documenti di identificazione, ubicazione, origine razziale o etnica e dati sulla salute. Il Garante accerta violazione degli articoli 5 par. 1 lett. f) (integrità e riservatezza) e 32 (sicurezza del trattamento) del Regolamento per l'inadeguatezza delle misure tecniche e organizzative nel rilevare tempestivamente le violazioni e garantire la sicurezza dei sistemi. Irrogata sanzione amministrativa pecuniaria di € 8.600,00 con pubblicazione sul sito web del Garante. AI
17/04/2026
Azienda USL Modena
L'Azienda USL Modena è stata sanzionata per violazione degli artt. 5, par. 1, lett. f) e 32 del Regolamento GDPR a seguito di attacco ransomware che ha comportato l'esfiltrazione di dati personali, inclusi dati sanitari. Le carenze riscontrate riguardano l'assenza di misure adeguate di rilevazione tempestiva dell'incidente, l'assenza di autenticazione a più fattori per l'accesso VPN e l'insufficienza del sistema SIEM. La sanzione è stata determinata a €10.000 considerando sia la gravità della violazione che i fattori attenuanti quali la tempestiva notifica e la collaborazione fornita. AI
17/04/2026
Azienda USL di Modena
Il Garante accerta violazioni dell'art. 5 par. 1 lett. d) GDPR per mancato rispetto del principio di esattezza dei dati (scheda anagrafica fittizia con dati corretti della ricorrente) e dell'art. 12 in relazione all'art. 15 GDPR per tardiva risposta alle istanze di accesso. Irrogata sanzione di 3.500 euro complessivi e disposta la pubblicazione del provvedimento sul sito. AI
12/02/2026
Aziende sanitarie; Ministero della salute; Regioni e Province autonome
Il Garante adotta linee guida che consentono alle aziende sanitarie di utilizzare i dati di contatto dei pazienti acquisiti per finalità di cura anche per l'invio di SMS di promozione all'adesione a programmi sanitari pubblici di prevenzione, a condizione che siano rispettate dieci specifiche misure di garanzia volte a proteggere i diritti degli interessati, in particolare escludendo dati sensibili e prevedendo il diritto di opposizione. AI
29/01/2026
dott. Paolo Montemurro
Il Garante accerta la violazione degli articoli 5 e 9 GDPR e dell'art. 2-septies del Codice Privacy per la diffusione non autorizzata di fotografie relative a un intervento chirurgico su Instagram. Sebbene le immagini fossero state rimosse tempestivamente e il professionista abbia agito con legittimo affidamento in un modello di consenso fornito da AICPE, il Garante riconosce un mancato accertamento effettivo dell'anonimizzazione. È comminata una sanzione di 5.000 euro con prescrizioni correttive entro 90 giorni. AI
16/01/2026
Azienda sanitaria provinciale di Vibo Valentia
Il Garante accerta la violazione dell'art. 157 del Codice Privacy da parte dell'Azienda sanitaria provinciale di Vibo Valentia per il mancato riscontro a richiesta di informazioni. Infligge sanzione amministrativa pecuniaria di euro 500,00, ritenuta effettiva, proporzionata e dissuasiva, e dispone la pubblicazione del provvedimento sul sito web dell'Autorità. AI
Ricevi ogni provvedimento via email
Un'email per ogni nuovo provvedimento pubblicato — niente di più, cancellazione in un click.