Nel mio lavoro di DPO c’è una cosa che ripeto spesso, il Garante non arriva quasi mai di sorpresa. Pubblica i suoi piani, dice in anticipo dove andrà a guardare e poi c’è chi si fa trovare impreparato lo stesso. Il settore sanitario, ancora una volta, è in prima fila.
Vi racconto cosa controllano davvero gli ispettori quando entrano in una struttura, e come arrivare a quel momento con le carte in regola.
Piano ispettivo Garante Privacy 2026: le priorità per la sanità
Con il provvedimento di fine dicembre 2025, il Garante ha fissato le priorità per il periodo gennaio-luglio 2026: almeno 40 accertamenti mirati, condotti anche con il Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza. Ed è un punto di partenza, non un tetto: a questi si aggiungono le ispezioni d’ufficio che scattano dopo reclami, segnalazioni o urgenze.
Per le strutture sanitarie i temi sotto la lente sono tre: la cartella clinica elettronica, con l’ennesima conferma delle verifiche su accessi e profilazione degli operatori; i data breach già notificati, dove l’Autorità vuole vedere misure correttive reali e documentate, non solo la comunicazione di rito; il whistleblowing, per chi è tenuto a gestirlo, dove conta la protezione tecnica dell’identità di chi segnala.
C’è un filo che lega tutto il piano, e su questo voglio essere chiara: l’approccio è sostanziale, non formale. Non basta avere il faldone in ordine. Gli ispettori entrano nel merito di come funzionano i sistemi e di cosa succede davvero quando un operatore apre una scheda. È una differenza che cambia tutto.
Accesso ai dati clinici: il controllo più critico nelle ispezioni GDPR sanitarie
Se c’è un punto su cui si concentra il maggior numero di sanzioni nel comparto, è la gestione dei profili di accesso ai dati clinici.
Il principio è semplice, e il Garante lo ripete dalle Linee guida del 2015, sì, quelle di dieci anni fa, ancora pienamente valide, ai dati clinici può accedere solo il personale sanitario che ha davvero in cura quel paziente, e per il tempo del percorso di cura. Non “tutto il personale autorizzato“. Solo chi è coinvolto, in quel momento.
I provvedimenti recenti lo confermano: negli ultimi anni il Garante ha sanzionato aziende ospedaliere, ASL e case di cura private, con importi che, in casi analoghi, sono arrivati a diverse decine di migliaia di euro, perché gli applicativi clinici lasciavano consultare la storia dei pazienti anche a chi non li aveva in cura, in un caso persino lo stato di salute dei colleghi.
Il problema, in fondo, è sempre lo stesso, e si riassume in pochi punti che, da DPO, so essere quelli che fanno la differenza tra un’ispezione tranquilla e una dolorosa.
I profili di accesso devono essere differenziati e tracciati. Chi vede cosa, con quali autorizzazioni. Il “tutti vedono tutto” è la configurazione che il Garante punisce con più regolarità. The.0 lavora con un controllo accessi basato sui ruoli, ogni operatore vede solo ciò che gli compete e ogni profilo è definito a monte.
I log devono esserci, e devono essere completi. È un punto su cui il Garante non transige: ogni accesso e ogni operazione, compresa la semplice consultazione, va registrato. In The.0 questo è garantito da un audit trail completo e i dati sono immodificabili, Chi ha fatto cosa e quando, resta scritto e non più alterabile.
Informativa privacy fornita agli interessati ai sensi degli artt. 13 e 14 GDPR e aggiornata ogni volta che i trattamenti cambiano.
Per chi opera nelle residenze sanitarie, ho raccolto un quadro più operativo di questi obblighi in un articolo dedicato: il GDPR nelle residenze sanitarie.
Il GDPR non dev’essere solo un adempimento.
Il documento non vi mette al riparo. Il sistema sì.
Troppo a lungo il GDPR è stato vissuto come adempimento di carta. La Corte dei conti di Bolzano, nel 2026, lo ha ricordato con nettezza in una pronuncia su accessi abusivi ai dati clinici, l’accountability non è produrre atti su atti, ma essere concretamente capaci di impedire i trattamenti illeciti.
È il punto per me decisivo: una regola sugli accessi che vive solo in un PDF non ha mai fermato un accesso abusivo, e l’ispezione “sostanziale” del 2026 va a cercare esattamente quello scarto. Diverse misure che il Garante pretende possono essere garantite a monte, dal sistema, anziché affidate alla buona volontà di chi lo usa. Per questo, in Netpolaris, The.0 integra controllo accessi per ruolo, tracciabilità completa e immodificabilità del dato come elementi nativi dell’architettura, con le certificazioni ISO/IEC 27001, 27017, 27018 e ISO 9001 a garanzia. Il software non risolve tutto da solo: abbassa il rischio di errore umano e regge alla verifica tecnica, ma titolarità e organizzazione restano in capo alla struttura.
Consigli su come proteggere i dati: vademecum con le 10 regole d’oro.
Checklist GDPR sanitaria: cosa verificare prima di un’ispezione del Garante
Le verifiche da fare prima che qualcuno bussi alla porta, in ordine di priorità, sono queste e le ho raccolte anche in una checklist che potete scaricare e usare come base per il vostro controllo interno.
Sul fronte delle sanzioni e di come prevenirle in modo strutturato, soprattutto nelle RSA, ho approfondito qui: sanzioni GDPR nelle RSA: come evitarle.
Conclusione: dal documento al controllo reale dei dati
Il piano 2026 non inventa obblighi nuovi: ribadisce, con più decisione, regole che esistono da anni.
Per chi gestisce dati sanitari, a ben vedere, è una buona notizia travestita da minaccia. Premia chi ha lavorato sul serio e mette in difficoltà chi si è limitato a riempire faldoni e dà un vantaggio concreto a chi si è dotato di strumenti pensati per reggere proprio questo tipo di verifica.
