Chi paga per la violazione dei dati del fascicolo sanitario?

Data breach: la responsabilità delle Regioni nei data breach del fascicolo sanitario e chi risponde legalmente se le cartelle cliniche sono violate.

La digitalizzazione della sanità ha portato grandi vantaggi ma anche nuove ombre sul fronte della sicurezza informatica. Quando parliamo di informazioni sensibilissime, come quelle contenute nei referti o nelle cartelle cliniche digitali, la protezione deve essere massima. Eppure, gli incidenti accadono e lasciano i cittadini scoperti. In questo scenario, sorge spontanea una domanda che tocca da vicino i diritti di milioni di assistiti: chi paga per la violazione dei dati del fascicolo sanitario? La risposta non è scontata, specialmente quando si deve distinguere tra chi gestisce tecnicamente i server e chi ha il potere decisionale sull’intera architettura del sistema. La Corte di Cassazione ha recentemente messo un punto fermo, stabilendo che la responsabilità non può essere rimpallata tra enti diversi basandosi su semplici accordi interni, ma deve seguire criteri legali certi e sempre validi. Il cittadino deve sapere con certezza chi sia il garante ultimo dei suoi dati più intimi, evitando che un errore software si trasformi in un labirinto burocratico dove nessuno sembra essere il vero responsabile.

Chi decide come vengono trattati i nostri dati sanitari?

Il sistema del Fascicolo Sanitario Elettronico (FSE) non è un semplice archivio digitale ma un’infrastruttura complessa che coinvolge diversi attori pubblici. Per capire chi comanda, bisogna guardare alle definizioni fornite dal regolamento europeo sulla protezione dei dati (Reg. UE 2016/679), noto come GDPR. Questa norma distingue due figure principali: il titolare del trattamento e il responsabile del trattamento. Il titolare è il soggetto che determina le finalità e i mezzi del trattamento, ovvero colui che ha il potere decisionale ultimo su “perché” e “come” i dati vengono usati.

In Italia, la legge stabilisce che le Regioni e le Province autonome sono gli enti che istituiscono il sistema del FSE (D.L. 179/2012). Poiché sono questi enti a definire la struttura, gli obiettivi e i mezzi tecnici del fascicolo, essi assumono automaticamente la qualifica di titolare. Le Aziende Sanitarie Locali (ASL), pur lavorando quotidianamente con questi dati per curare i pazienti, agiscono spesso come responsabili. Esse eseguono istruzioni operative, alimentano il fascicolo e regolano gli accessi, ma lo fanno seguendo le direttive impartite dalla Regione o dalla Provincia. Il titolare rimane l’unico centro di imputazione giuridica per le scelte strategiche sulla sicurezza, conservando il dovere di vigilare sull’operato di chiunque gestisca materialmente le informazioni.

Cosa succede se un estraneo entra nel fascicolo sanitario?

Quando avviene un accesso non autorizzato a documenti sanitari, ci troviamo di fronte a un data breach. Un caso reale ha riguardato una falla informatica in un portale istituzionale (“MYCIVIS”) che ha permesso ad alcuni utenti di consultare i fascicoli di altri cittadini semplicemente inserendo il loro codice fiscale, nonostante l’uso delle credenziali SPID. Questo tipo di incidente mette a nudo la fragilità dei sistemi di autenticazione e solleva immediatamente il problema della responsabilità.

In una situazione simile, il Garante per la protezione dei dati personali interviene per sanzionare l’ente che non ha garantito misure di sicurezza adeguate (art. 58 reg. UE 2016/679). Non si tratta di una questione di cattiva gestione della cura medica, ma di un errore nella progettazione della piattaforma informatica. Se il software permette a un estraneo di sbirciare i dati sanitari altrui, la violazione riguarda:

• le procedure di identificazione digitale dell’utente;

• i sistemi di autenticazione informatica;

• l’autorizzazione all’accesso alle risorse del database;

• la protezione contro l’accesso abusivo a dati sensibili.

In questi casi, l’ente che ha istituito la piattaforma è il primo a dover rispondere, poiché è sua la responsabilità di fornire strumenti tecnologici sicuri che impediscano fughe di notizie o violazioni della privacy.

Perché la Provincia risponde anche se il software è di altri?

Un errore comune è pensare che, se il software è stato acquistato da una società esterna o se la gestione tecnica è affidata a un’azienda informatica “in house”, la responsabilità del data breach scivoli via dall’ente pubblico. La Corte di Cassazione (ordinanza 27558/2025) ha chiarito che non è così. Anche se l’esecuzione materiale dei compiti è delegata a terzi, la qualifica di titolare del trattamento non si perde né si attenua.

Il titolare risponde direttamente delle scelte tecniche e organizzative. Se la Provincia autonoma o la Regione decidono di utilizzare un determinato software, esse rimangono responsabili della sua conformità alle norme (art. 32 reg. UE 2016/679). Il fatto di aver affidato a una società informatica lo sviluppo del portale non solleva l’ente pubblico dall’obbligo di vigilanza. Il potere decisionale sulle modalità di accesso e sulla sicurezza delle credenziali appartiene alla Provincia, la quale ha il dovere di impartire istruzioni vincolanti ai fornitori. Se il fornitore sbaglia e crea una vulnerabilità, il titolare risponde verso il Garante e verso i cittadini, potendo poi, in un secondo momento, rivalersi sulla società informatica per il danno subito.

Si può trasferire la responsabilità con un contratto privato?

Spesso gli enti pubblici cercano di definire chi sia il titolare del trattamento attraverso documenti interni, piani di progetto o convenzioni tra enti. Ad esempio, una Provincia potrebbe tentare di scrivere in un contratto che l’Azienda Sanitaria è l’unica titolare dei dati. Tuttavia, la Suprema Corte ha stabilito che queste “etichette organizzative” non hanno valore legale se contrastano con la realtà delle funzioni svolte.

La titolarità del trattamento deriva direttamente dalla legge e non può essere modellata in base alle convenzioni interne degli enti. Ciò che conta è chi ha la disponibilità effettiva del potere decisionale. Se la norma nazionale attribuisce alle Regioni la gestione delle piattaforme informatiche per il FSE (D.P.C.M. 178/2015), un atto amministrativo locale non può cambiare questa realtà. La distinzione è netta:

• le Aziende Sanitarie sono titolari solo per le finalità di cura specifiche;

• le Regioni e Province sono titolari per l’architettura del sistema FSE;

• le società informatiche esterne sono meri responsabili esecutivi;

• gli atti interni non possono derogare alle norme di legge e regolamentari.

Ogni tentativo di frazionare la titolarità in base alle mansioni operative è destinato a fallire davanti ai giudici. La responsabilità resta ancorata a chi determina i mezzi del trattamento, garantendo così un quadro certo per il cittadino che deve sapere contro chi agire in caso di violazione.

Cosa prevede il nuovo Spazio europeo dei dati sanitari?

Il quadro normativo è in continua trasformazione e l’Europa sta spingendo verso una maggiore integrazione. Il nuovo regolamento sullo European Health Data Space (EHDS), identificato come Regolamento (UE) 2025/237, entrerà pienamente in vigore nel 2027. Questo testo conferma le definizioni già presenti nel GDPR e rafforza l’idea che il dato sanitario debba essere protetto ma anche reso disponibile per finalità di ricerca e innovazione.

L’obiettivo dello Spazio europeo è duplice:

• garantire ai cittadini un accesso sicuro e strutturato ai propri dati elettronici in tutta l’Unione;

• favorire l’uso secondario dei dati per scopi di prevenzione e risposta alle minacce sanitarie;

• migliorare il mercato delle cartelle cliniche elettroniche con standard di sicurezza elevati;

• bilanciare il diritto alla riservatezza con la necessità di una disponibilità tempestiva delle informazioni.

L’esperienza della pandemia ha reso evidente che i dati devono poter circolare velocemente tra i medici, ma questa circolazione richiede un’architettura di sicurezza impeccabile. Il nuovo regolamento EHDS pone ancora più enfasi sulla chiara ripartizione delle responsabilità. Anche in futuro, chi deterrà il controllo della piattaforma sarà chiamato a rispondere di ogni vulnerabilità, assicurando che la trasformazione digitale della sanità non avvenga a discapito della protezione della vita privata degli europei.

Qual è il limite tra gestione tecnica e responsabilità legale?

La sentenza della Cassazione offre una lezione fondamentale sulla natura della responsabilità nell’era dei grandi database pubblici. Non bisogna confondere l’azione materiale con la responsabilità giuridica. Chi gestisce i server o scrive il codice del software è un braccio operativo, ma la “mente” del sistema resta l’ente pubblico che lo ha voluto e finanziato. Questo principio di responsabilità sostanziale impedisce che i cittadini si trovino davanti a un muro di gomma quando i loro referti finiscono nelle mani sbagliate.

Il titolare è tale perché decide, non perché esegue. Questa distinzione protegge l’interessato da ogni opacità nelle zone d’ombra della pubblica amministrazione. Quando un ente pubblico esternalizza un servizio tecnico, non esternalizza la sua responsabilità. Al contrario, aumenta il suo dovere di controllo e monitoraggio. Solo mantenendo ferma la linea di comando tra chi esercita il potere e chi cura l’esecuzione materiale è possibile garantire un modello di governance dei dati che rispetti la dignità umana e la sicurezza nazionale in ambito sanitario.