Acquired Record: garanteprivacy.it

Hospital Careggi Sanctioned for Cross-Departmental Patient File Access and Flawed Digital Dossier Consent Architecture

garanteprivacy.itItalia2026public

#sanita-digitale#privacy#dossier-sanitario#garante-privacy#sicurezza-dati#ospedali

Verified Primary Investigative Source: garanteprivacy.it — Italia

Editorial Transparency & Fair Use Notice

Investigative dossier curated and structured by the Unclessify editorial team based on official disclosures, court filings and declassified records published by garanteprivacy.it. Historical context, analytical synthesis, and editorial commentary are provided by Unclessify under Public Interest, Freedom of the Press, and Fair Use principles.

Read Full Editorial Policy & Source Transparency →

Official Records & Declassified Dossier

Executive Summary and Public Interest

The digitization of regional hospital networks frequently collides with the fundamental legal safeguards governing sensitive medical data. An extensive inspection into the digital infrastructure of one of Italy’s largest clinical facilities has exposed critical structural vulnerabilities in patient consent collection and internal access authorization protocols.

The administrative determination confirms that medical personnel could systematically query cross-departmental patient histories spanning nearly three decades without compartmentalized authorizations or specific, granular consent. This systematic failure directly compromised data protection safeguards for thousands of individuals receiving inpatient and outpatient treatments.

Regulatory Trajectory and the Digital Health Dossier

The Italian legal framework governing digital health records underwent a profound transformation following the direct application of European data protection standards and the subsequent enactment of Legislative Decree no. 101/2018. Prior to this structural reform, healthcare facilities routinely operated under single-consent models for general treatment purposes pursuant to earlier formulations of Article 75 of the national Privacy Code.

National regulatory directives issued in 2015 firmly established that an internal health dossier (dossier sanitario aziendale) constitutes a distinct, cumulative data processing operation separate from the immediate medical care provided by an individual practitioner during a single clinical event. Consolidating past and present clinical events into a single queryable profile requires heightened safeguards and explicit, unbundled choices by the patient.

Despite these clear regulatory demarcations, healthcare infrastructure across public hospitals frequently lagged behind required legal adaptations. In March 2019, supervisory guidelines further clarified that centralized patient dossiers fall squarely under the explicit consent requirements of Article 9, Paragraph 2, Letter (a) of the General Data Protection Regulation, precluding reliance on generic treatment exemptions.

The regulatory trajectory demonstrates that treating medical data under an all-encompassing clinical umbrella creates severe legal friction. When historical records are merged into unified electronic databases without granular access perimeters, the statutory guarantees of purpose limitation and data minimization under European frameworks are fundamentally nullified.

Involved Entities and Institutional Actors

The primary entity subject to regulatory intervention is the Azienda Ospedaliero-Universitaria Careggi, a major public university hospital and tertiary referral center located in Florence, Tuscany. As the legal data controller, the enterprise is responsible for designing and maintaining technical access privileges, patient intake workflows, and electronic health record security.

Supervisory oversight and enforcement actions were executed by the Garante per la protezione dei dati personali, the national independent authority tasked with monitoring compliance, auditing electronic processing architectures, and issuing administrative penalties across public and private administrative bodies.

The calculation of financial liabilities and sanction parameters adhered to the coordinated methodology established by the European Data Protection Board. Specifically, the calculation of administrative fines strictly followed Guidelines 04/2022 adopted on May 23, 2023, ensuring standardized penalty assessments across the European Union.

Critical Analysis of the Evidentiary Record

Systemic Access Vulnerabilities and Historical File Queries

The factual findings documented during on-site inspections revealed an unrestricted data retrieval capability embedded directly within the hospital’s electronic health dossier. Any physician attending to an admitted patient or reviewing an active outpatient file within an authorized unit could execute broad queries across the patient’s entire historical record across other independent operational units.

This architectural vulnerability allowed practitioners to access discharge summaries, diagnostic reports, and physician consultation letters originating from completely unrelated clinical departments. Most critically, records available within these cross-unit searches included archival clinical documentation dating as far back as 1996, specifically identifying historical records from specialized units such as toxicology.

“The physician, regarding patients admitted or holding an outpatient file in an operational unit to which they were authorized, was able to execute a historical search returning the list of hospitalizations and medical letters—dating back to 1996 for the toxicology unit—generated across operational units other than those to which the physician was assigned.”

This technical configuration constituted an unambiguous breach of the core principles of lawful processing, purpose limitation, and data minimization codified under Article 5, Paragraph 1, Letters (a), (b), and (c) of Regulation (EU) 2016/679. Practitioners were systematically granted visibility over highly sensitive, non-relevant past treatments that bore no operational connection to current clinical evaluations.

Consent Architecture Deficiencies and Transition to OTP Protocols

Prior to the supervisory inspection, the hospital systematically secured only a single, undifferentiated consent form covering general medical care purposes. This monolithic intake failed to distinguish between direct point-of-care consultations and the secondary creation of an interconnected corporate digital health dossier.

Following regulatory intervention, the healthcare authority implemented urgent technical remediation to redesign its patient intake systems. The updated digital architecture introduced a segregated, three-tier consent mechanism verified through individual One-Time Password (OTP) codes transmitted directly to the data subject during registration.

Under the revised technical design, patients must independently authorize three distinct data processing layers: initial activation of the corporate health dossier, retroactive ingestion of historical clinical events, and the specific inclusion of categories subject to heightened legal protections (dati a maggior tutela). Each tier requires explicit validation via the timely transmission of a generated OTP code.

Statutory Violations and Sanction Determination

The regulatory authority determined that the historical system setup breached Articles 5(1)(a), 5(1)(f), 9, 25, and 32 of the GDPR, alongside Article 75 of the national Privacy Code and the 2015 Dossier Guidelines. The failure to integrate strict access barriers directly contravened the mandatory principle of data protection by design and by default.

Because the hospital promptly implemented the requisite structural remedies to bring the system into full technical conformity, the supervisory body concluded that ongoing injunctive correctives under Article 58, Paragraph 2 were unnecessary. However, the historic infractions mandated the issuance of an administrative monetary penalty pursuant to Article 83, Paragraphs 4 and 5 of the Regulation and Article 166, Paragraph 7 of the national Code.

Transparency and Legal Foundation

This dossier is compiled entirely from official regulatory enforcement proceedings issued by the national supervisory authority under Provision No. 10166336 dated August 4, 2025. The full administrative document forms part of the permanent public record maintained by the data protection authority and is accessible via its official legal repository.

Under Article 5 of Italian Law No. 633/1941, official texts of legislative, administrative, and judicial acts of the State and public administrations are not subject to copyright restrictions and reside permanently in the public domain. The operational, structural, and legal assessments contained herein serve the public interest in institutional oversight and algorithmic accountability.

What this piece rests on

Source act

garanteprivacy.it/home/docweb/-/docweb-display/docweb/101…

The text was checked against the facts listed below, extracted from the act above. It does not yet carry corroboration from independent sources.

The 20 facts verified in the text

Sul punto, è stato precisato che, fino alla data delle verifiche ispettive, a prescindere da specifici progetti, al paziente veniva richiesto un solo consenso al trattamento dei dati personali per fini di cura che corrisponde a quello che era previsto dagli artt. 75 e ss. del Codice prima della revisione operata dal d.lgs n. 101/2018 a seguito della piena applicazione del Regolamento.
Nel corso del predetto accertamento ispettivo l’Azienda ha dichiarato di voler avviare nell’immediato le azioni necessarie per conformare il dossier sanitario aziendale a quanto indicato nelle Linee guida del Garante del 2015 e ai principi e agli adempimenti previsti dal Regolamento.
Il sistema informatico alla presenza del paziente, per ogni consenso richiesto (n. 3 consensi per: attivazione dossier, acquisizione eventi pregressi, inserimento dati “maggior tutela”) genera un codice OTP che l’interessato deve prontamente comunicare per manifestare il proprio consenso.
In particolare, nella predetta nota l’Ufficio ha evidenziato che la configurazione del dossier sanitario effettuata dall’Azienda è stata posta in essere in violazione dei principi di base del trattamento di cui agli artt. 5, par. 1, lett. a) e f), 9, 25 e 32 del Regolamento e dell’art. 75 del Codice e delle citate Linee guida.
La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 4, lett. a) e par. 5, lett. a) del Regolamento.
I dati inoltre devono essere raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità e comunque, “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (principi della limitazione della finalità e di minimizzazione dei dati - art. 5, par. 1, lett. b) e c) del Regolamento).
Il Regolamento prevede poi che il titolare del trattamento metta in atto “misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio”, tenendo conto, tra l’altro, “della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche” (art. 32 del Regolamento).
Nelle richiamate linee guida del 2015, il Garante ha specificato che il dossier sanitario, costituendo l’insieme dei dati personali generati da eventi clinici presenti e trascorsi riguardanti l’interessato, costituisce un trattamento di dati personali specifico e ulteriore rispetto a quello effettuato dal professionista sanitario con le informazioni acquisite in occasione della cura del singolo evento clinico.
In seguito alla piena applicazione del Regolamento, con il provvedimento del 7 marzo 2019, il Garante ha individuato- a titolo esemplificativo- alcuni trattamenti in ambito sanitario che richiedono il consenso esplicito dell’interessato (art. 9, par. 2, lett. a) del Regolamento), tra i quali sono stati annoverati anche quelli effettuati attraverso il dossier sanitario (doc. web n. 9091942).
In quanto tale il trattamento dei dati personali effettuato mediante il dossier sanitario necessita di una specifica informativa che contenga tutti gli elementi previsti dall’art. 13 del Codice.
Ciò stante, si ritiene accertato che la configurazione del dossier sanitario sia stata effettuata dall’Azienda, come dimostrato dai fatti in esame, in violazione dei principi di base del trattamento di cui agli artt. 5, par. 1, lett. a) e 9 e 25 del Regolamento e dell’art. 75 del Codice e delle Linee guida sopra richiamate.
Il sistema informatico, per ogni consenso richiesto (n. 3 consensi per: i) attivazione Dossier, ii) acquisizione eventi pregressi, iii) inserimenti dati “maggior tutela”) genera un codice OTP che l’interessato deve prontamente comunicare per manifestare il proprio consenso.
Sulla base dell’art. 9, par. 2, lett. h) e par. 3 del Regolamento, sono consentiti infatti i trattamenti per “finalità di cura” effettuati da (o sotto la responsabilità di) un professionista sanitario soggetto al segreto professionale o da altra persona anch’essa soggetta all’obbligo di segretezza.
Con specifico riferimento ai profili di autorizzazione per l’accesso al dossier sanitario è emerso che essi non risultavano conformi a quanto indicato nelle Linee guida del Garante del 2015 e al principio di liceità del trattamento.
Infatti, il medico, con riferimento a pazienti ricoverati o che avevano una cartella ambulatoriale in una unità operativa a cui lo stesso è abilitato, poteva effettuare una ricerca sullo storico del paziente che gli restituiva l’elenco dei ricoveri e delle lettere al curante (a partire dal 1996 per l’unita di tossicologia) effettuati anche in unità operative diverse da quelle a cui lo stesso era abilitato.
In base al principio di “protezione dei dati fin dalla progettazione” (art. 25, par. 1, del Regolamento), il titolare infatti deve adottare misure tecniche e organizzative adeguate ad attuare in maniera efficace i principi di protezione dei dati (art. 5 del Regolamento) e integrare nel trattamento le necessarie garanzie per soddisfare i requisiti del Regolamento e tutelare i diritti e le libertà degli interessati.
In tale quadro, avendo l’Azienda posto in essere le misure correttive necessarie a conformare il trattamento dei dati personali tramite il dossier sanitario al quadro normativo vigente, sopra richiamato, la condotta contestata ha cessato di produrre i suoi effetti e pertanto non ricorrono i presupposti per l’adozione delle misure correttive di cui all’art. 58, par. 2, del Regolamento. 4.
Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).
La violazione degli artt. 5, par. 1, lett. a) e f), 9, 25 e 32 del Regolamento e dell’art. 75 del Codice e delle citate Linee guida, causata dalla condotta dell’Azienda Ospedaliero Universitaria Careggi è soggetta all’applicazione della sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 4 e 5, del Regolamento.
Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60).

Click to switch theme: