Consultare una banca dati senza averne titolo: quando è reato

Con un provvedimento del 22 febbraio 2024 il Garante per la protezione dei dati personali ha sanzionato un’azienda sanitaria pubblica per complessivi 75.000 euro, definiti in tre procedimenti distinti nati da reclami e da notifiche di violazione. I fatti accertati riguardano consultazioni del dossier sanitario di pazienti che il personale non aveva in carico: in un caso cinque accessi non giustificati da ragioni cliniche; in un altro, una professionista sanitaria che consultava ripetutamente il dossier del coniuge, leggendone gli esami a sua insaputa.

Il punto che rende questa vicenda utile anche a chi non lavora in sanità è uno solo: avere le credenziali non significa avere il titolo per guardare. La password dice che il sistema ti riconosce, non che quella consultazione ti spetta.

Il titolo non è la password

Ogni accesso a una banca dati è un trattamento di dati personali, e come ogni trattamento ha bisogno di una ragione che lo giustifichi. Nel caso deciso dal Garante quella ragione è la presa in carico del paziente: chi lo cura accede, chi non lo cura no.

Il dettaglio tecnico che ha pesato è istruttivo. Prima dell’intervento dell’Autorità il sistema consentiva l’accesso anche sulla base di un’autodichiarazione del professionista, senza alcun controllo sull’effettiva presa in carico. In altre parole: il titolo se lo attribuiva chi accedeva. È esattamente il tipo di configurazione che trasforma una regola in un invito.

Il Garante ha dichiarato illecito il trattamento richiamando, fra l’altro, i principi di liceità e di integrità e riservatezza, la disciplina delle categorie particolari di dati, la protezione fin dalla progettazione e la sicurezza del trattamento. Ha ritenuto non necessarie misure correttive ulteriori solo perché l’ente, nel frattempo, si era adeguato.

Due responsabilità distinte, che corrono insieme

Davanti a un accesso non dovuto ci sono sempre due piani, e confonderli è il primo errore.

C’è la responsabilità di chi ha guardato. Sul piano del rapporto di lavoro la consultazione estranea alle proprie funzioni è una violazione dei doveri d’ufficio, con tutto ciò che ne consegue. Sul piano penale la condotta può integrare il reato di accesso abusivo a un sistema informatico: nel caso deciso dal Garante l’ente ha presentato denuncia proprio per l’articolo 615-ter del codice penale, oltre ad avviare i procedimenti disciplinari.

E c’è la responsabilità dell’organizzazione. Che non risponde di aver guardato, ma di non aver impedito e, soprattutto, di non essersi accorta. È la stessa logica che si ritrova quando un ente usa una tecnologia senza chiedersi su quale base giuridica lo fa: la sanzione non colpisce il singolo gesto, colpisce l’assetto che lo ha reso possibile.

Che cosa è stato chiesto all’ente, in concreto

Le misure che l’azienda ha adottato dopo l’istruttoria descrivono bene lo standard atteso, e valgono come modello per qualunque amministrazione:

• Accesso per ruolo, non per dichiarazione. L’autodichiarazione è stata eliminata e sostituita da una presa in carico documentata.
• Alert automatici sugli accessi anomali. Nel caso: segnalazione quando si superano dieci accessi giornalieri sullo stesso paziente, e quando l’accesso non è collegato ad alcun evento clinico attivo.
• Divieto di accedere al proprio dossier per il personale dipendente, con esclusione dal sistema di alcune figure professionali che non ne avevano bisogno.
• Formazione e circolari al personale, oltre a un gruppo di lavoro dedicato e alla sostituzione del software.

Vale la pena notare che nessuna di queste misure è esotica: sono tutte cose che si potevano fare prima, e che diventano urgenti solo quando arriva un reclamo.

Non è un problema della sanità

Il dossier sanitario è il caso più delicato, perché riguarda dati sulla salute. Ma lo schema è identico ovunque esista una banca dati consultabile da molte persone per ragioni d’ufficio.

L’anagrafe di un Comune, gli archivi tributari, le banche dati in uso alla polizia locale, i fascicoli edilizi, il gestionale del personale, le pratiche di un ente previdenziale: in tutti questi sistemi la curiosità è il movente più comune, e la frase che la accompagna è sempre la stessa — «ho solo dato un’occhiata». Spesso l’oggetto non è nemmeno uno sconosciuto: è un vicino, un ex coniuge, un collega, una persona di cui si è letto sul giornale locale.

Quella consultazione, per l’ordinamento, non è una curiosità: è un trattamento senza titolo. E il fatto che i dati non vengano comunicati a nessuno non la rende lecita, perché la lesione sta già nell’averli guardati.

«Me lo ha chiesto un collega»

C’è una variante che merita attenzione, perché è quella in cui si cade con maggiore innocenza: l’accesso non nasce dalla curiosità di chi lo compie, ma da una richiesta altrui. Un collega di un altro ufficio che chiede un’informazione «al volo», un superiore che domanda una verifica senza passare per i canali ordinari, un conoscente che ha bisogno di sapere.

Dal punto di vista di chi digita le credenziali cambia poco: l’accesso resta privo di titolo, perché il titolo non si trasferisce per cortesia. E la posizione di chi ha chiesto non è migliore: ha determinato un trattamento che non poteva avvenire.

La difficoltà, in queste situazioni, è sociale prima che giuridica. Dire di no a un superiore è scomodo, e proprio per questo l’organizzazione non può lasciare la decisione sulle spalle del singolo. Una procedura chiara — le richieste passano per un canale tracciato, non per il telefono — protegge l’ente, ma soprattutto protegge l’operatore, che ha qualcosa di scritto da opporre.

Quando invece il canale non esiste, succede quello che si legge nei provvedimenti: la responsabilità si ferma su chi ha materialmente guardato, ed è raramente la persona che ha deciso.

Il punto cieco: chi controlla i log

Quasi tutti i sistemi registrano gli accessi. Il problema, nella pratica, è un altro: quei registri li guarda qualcuno?

Un’organizzazione che conserva i log ma non li esamina mai si trova nella peggiore delle posizioni: ha la prova di quanto è accaduto, ma non ha nulla da mostrare sul proprio sistema di controllo. Ed è la stessa ragione per cui gli alert automatici pesano più di qualunque dichiarazione d’intenti: dimostrano che l’ente si è messo in condizione di accorgersene da solo, senza aspettare il reclamo dell’interessato.

Che cosa verificare

Se amministri un ente:

• I profili di accesso corrispondono ai ruoli effettivi, o sono cresciuti per stratificazione, lasciando a molti più di quanto serva?
• Esiste un criterio oggettivo che collega l’accesso alla pratica — la presa in carico, l’assegnazione del fascicolo — o basta dichiarare di averne bisogno?
• Qualcuno guarda i log, con quale periodicità, e che cosa succede quando emerge un’anomalia?
• Ci sono alert automatici almeno sulle anomalie più evidenti: accessi ripetuti sullo stesso soggetto, accessi fuori orario, accessi senza pratica collegata?
• Il personale è stato informato per iscritto che gli accessi sono tracciati e che la consultazione non dovuta ha conseguenze?

Se lavori con quelle credenziali: la regola pratica è una sola, e conviene tenerla a mente anche quando la tentazione sembra innocua. Se non sapresti indicare, in una frase, la pratica o il paziente che giustifica quella consultazione, quella consultazione non si fa.

Una considerazione finale

Nelle vicende di questo tipo la parte sanzionata non è quasi mai la più colpevole: l’ente paga perché aveva costruito un sistema che permetteva di guardare, non perché abbia voluto l’accesso. È una responsabilità organizzativa, e si previene con decisioni tecniche e non con le raccomandazioni.

La domanda da farsi, in qualunque amministrazione, è semplice: se domani un cittadino chiedesse chi ha consultato i suoi dati e perché, saremmo in grado di rispondere? Se la risposta è incerta, il problema esiste già oggi, anche se nessuno ha ancora reclamato.

Il presente contributo ha finalità esclusivamente informativa, dà conto del quadro alla data di pubblicazione e non costituisce parere legale sul caso concreto. L’ente destinatario del provvedimento richiamato non viene nominato per scelta redazionale.

Fonti: Garante per la protezione dei dati personali, provvedimento 22 febbraio 2024, n. 97 (doc. web n. 10001279); regolamento (UE) 2016/679; d.lgs. 30 giugno 2003, n. 196; codice penale, art. 615-ter, richiamato nel provvedimento.