SOMMARIO
- I dati relativi alla salute appartengono alle categorie particolari di dati personali disciplinate dall’art. 9 del GDPR, il cui trattamento è vietato salvo che ricorra una delle tassative deroghe previste — tra cui, per il contesto sanitario, la finalità di cura svolta da un professionista soggetto al segreto professionale.
- Il principale terreno di contenzioso davanti al Garante per la protezione dei dati personali riguarda la corretta configurazione del dossier sanitario e del Fascicolo Sanitario Elettronico: le Linee guida del Garante del 2015, tuttora pienamente vigenti, impongono che ai dati clinici possa accedere solo il personale sanitario che ha effettivamente in cura quel paziente, e soltanto per la durata del percorso di cura.
- Con provvedimento n. 474 del 4 agosto 2025, il Garante ha sanzionato con 80.000 euro un’Azienda Ospedaliero-Universitaria per la non corretta configurazione del dossier sanitario; la sanzione è stata successivamente ridotta a 20.000 euro dal Tribunale di Firenze, sentenza n. 1947 del 9 aprile 2026, in sede di opposizione.
- È un errore diffuso ritenere che le sanzioni del Garante Privacy si impugnino davanti al TAR: l’art. 152 del Codice Privacy attribuisce la competenza in via esclusiva al Tribunale ordinario, con il rito sommario di cognizione previsto dall’art. 10 del D.Lgs. 150/2011.
- Il quadro sanzionatorio astratto previsto dall’art. 83 GDPR può raggiungere 20 milioni di euro o il 4% del fatturato mondiale annuo, ma per gli enti pubblici l’art. 166, comma 2, del Codice Privacy prevede un tetto ridotto, il che spiega perché le sanzioni finora irrogate alle strutture sanitarie pubbliche italiane si siano attestate nell’ordine delle decine di migliaia di euro, mentre gli operatori privati di maggiori dimensioni restano esposti a importi ben più significativi.
- Con il piano ispettivo del dicembre 2025, il Garante ha programmato almeno 40 accertamenti mirati nelle strutture sanitarie per il periodo gennaio-luglio 2026, in collaborazione con il Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza, concentrandosi su cartella clinica elettronica, data breach e whistleblowing.
- Il paziente vittima di un accesso abusivo o di una diffusione illecita dei propri dati sanitari dispone di un percorso di tutela su più livelli: verifica dei log di accesso, reclamo al Garante, e azione risarcitoria ai sensi dell’art. 82 GDPR, secondo i principi già approfonditi nell’articolo #17 di questa serie.
INQUADRAMENTO NORMATIVO
L’art. 9 GDPR: il divieto generale e le deroghe per il contesto sanitario
I dati relativi alla salute rientrano tra le categorie particolari di dati personali disciplinate dall’art. 9 del Regolamento UE 2016/679, che ne vieta, come regola generale, il trattamento, in ragione della loro particolare idoneità a esporre l’interessato, se divulgati, a discriminazioni o pregiudizi di eccezionale gravità. Il paragrafo 2 dello stesso articolo elenca le deroghe tassative a questo divieto generale: tra quelle di maggior rilievo per il contesto che qui interessa, la lett. h) consente il trattamento quando necessario per finalità di medicina preventiva o della medicina del lavoro, di diagnosi, assistenza o terapia sanitaria o sociale, sulla base del diritto degli Stati membri o di un contratto con un professionista della sanità, e sempre che il trattamento sia effettuato da o sotto la responsabilità di un professionista soggetto al segreto professionale.
È essenziale comprendere che questa deroga non legittima un accesso indiscriminato ai dati sanitari da parte di chiunque operi all’interno di una struttura sanitaria: la liceità del trattamento è circoscritta alla finalità di cura effettivamente ed attualmente perseguita nei confronti di quello specifico paziente, non estendendosi automaticamente a qualsiasi operatore che rivesta, in astratto, la qualifica di professionista sanitario.
L’art. 2-septies del Codice Privacy e le misure di garanzia
Il D.Lgs. 10 agosto 2018, n. 101, che ha adeguato l’ordinamento italiano al GDPR, ha introdotto nel Codice Privacy (D.Lgs. 196/2003) l’art. 2-septies, che attribuisce al Garante il compito di individuare periodicamente misure di garanzia specifiche per il trattamento dei dati genetici, biometrici e relativi alla salute, tenendo conto delle linee guida elaborate a livello europeo. Queste misure — che integrano e specificano gli obblighi generali di sicurezza previsti dall’art. 32 GDPR — costituiscono il parametro tecnico di riferimento sulla cui base il Garante valuta, nei propri accertamenti, l’adeguatezza delle misure adottate dalle strutture sanitarie.
Il dossier sanitario e il Fascicolo Sanitario Elettronico: le Linee guida del 2015
Il principale strumento attraverso cui si concentra oggi il contenzioso in materia di dati sanitari è il dossier sanitario — l’insieme dei dati clinici riferiti a un paziente generati da eventi clinici presso una stessa struttura — e il Fascicolo Sanitario Elettronico (FSE), istituito a livello nazionale con il D.L. 18 ottobre 2012, n. 179 (convertito con L. 17 dicembre 2012, n. 221) e successive modificazioni, che raccoglie la storia clinica di ciascun assistito su scala regionale e nazionale.
Il Garante ha dettato una disciplina specifica con le proprie Linee guida del 4 giugno 2015 [doc. web n. 3860059], che a distanza di oltre un decennio restano pienamente vigenti e costituiscono il riferimento costante di tutti i provvedimenti sanzionatori successivi. Il principio cardine, ribadito in ogni accertamento, è di formulazione apparentemente semplice ma di applicazione tecnicamente complessa: ai dati clinici può accedere solo il personale sanitario che ha effettivamente in cura quel determinato paziente, e unicamente per il tempo in cui il percorso di cura è in atto. Non è sufficiente, per legittimare l’accesso, che l’operatore rivesta genericamente la qualifica di “personale sanitario autorizzato” della struttura: occorre un collegamento concreto e attuale con il processo di cura di quello specifico paziente.
Questo principio si traduce, sul piano tecnico-organizzativo, nell’obbligo per le strutture sanitarie di predisporre profili di accesso differenziati e granulari, un sistema di tracciamento (logging) di ogni accesso effettuato, e meccanismi di alert per gli accessi anomali — che consentano, in sede di controllo, di ricostruire con precisione chi ha consultato quali dati, quando, e per quale finalità dichiarata.
Le sanzioni amministrative: l’art. 83 GDPR e il regime differenziato per le pubbliche amministrazioni
L’apparato sanzionatorio è disciplinato dall’art. 83 GDPR, che distingue due fasce di gravità: le violazioni meno gravi sono sanzionabili fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, mentre le violazioni più gravi — tra cui rientrano, tipicamente, quelle relative alle categorie particolari di dati ex art. 9 — sono sanzionabili fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore.
È tuttavia essenziale una precisazione di grande rilievo pratico, spesso trascurata: l’art. 83, paragrafo 7, GDPR consente agli Stati membri di stabilire se e in quale misura possano essere irrogate sanzioni amministrative pecuniarie ad autorità pubbliche e organismi pubblici stabiliti nel proprio territorio. L’Italia, con l’art. 166, comma 2, del Codice Privacy, ha esercitato questa facoltà prevedendo un tetto ridotto per le sanzioni applicabili alla pubblica amministrazione. È questa la ragione tecnica per cui le sanzioni finora irrogate alle ASL e alle aziende ospedaliero-universitarie pubbliche italiane per violazioni in materia di dossier sanitario si sono attestate, come si vedrà, nell’ordine delle decine di migliaia di euro, ben lontane dai massimali edittali: un dato che non deve trarre in inganno sulla gravità intrinseca delle violazioni accertate, ma che riflette semplicemente il regime sanzionatorio differenziato per il settore pubblico. Le strutture sanitarie private di maggiori dimensioni — cliniche, gruppi ospedalieri, assicurazioni sanitarie — restano invece pienamente esposte al regime sanzionatorio ordinario, con importi potenzialmente molto più significativi.
La via di impugnazione: Tribunale ordinario, non TAR
Un chiarimento tecnico-processuale di fondamentale importanza pratica riguarda l’autorità giudiziaria competente a conoscere delle opposizioni contro i provvedimenti sanzionatori del Garante. È diffusa, anche tra operatori non specializzati, l’errata convinzione che, trattandosi di un provvedimento di un’Autorità amministrativa indipendente, la relativa impugnazione debba essere proposta al giudice amministrativo (TAR). Non è così: l’art. 152 del Codice Privacy attribuisce in via esclusiva all’autorità giudiziaria ordinaria tutte le controversie relative all’applicazione delle disposizioni del Codice, comprese quelle inerenti ai provvedimenti sanzionatori del Garante.
Il procedimento di opposizione si svolge davanti al Tribunale ordinario del luogo ove ha sede il titolare del trattamento sanzionato, secondo il rito sommario di cognizione disciplinato dall’art. 10 del D.Lgs. 1° settembre 2011, n. 150. È esattamente questo il percorso seguito nel caso deciso dal Tribunale di Firenze con la sentenza n. 1947/2026, che ha ridotto l’importo della sanzione irrogata dal Garante. Il giudice amministrativo (TAR) conserva invece un ruolo residuale, tipicamente riferito a categorie di provvedimenti diversi dalle sanzioni pecuniarie — quali, ad esempio, alcuni dinieghi relativi a istanze di accesso agli atti del procedimento istruttorio, o specifiche controversie in cui vengano in rilievo profili di legittimità di atti amministrativi generali del Garante non riconducibili alla sanzione pecuniaria in senso proprio.
Il whistleblowing in ambito sanitario
Un ulteriore profilo di crescente attenzione, esplicitamente incluso tra le priorità del piano ispettivo del Garante per il 2026, riguarda l’applicazione della disciplina sul whistleblowing — introdotta dal D.Lgs. 10 marzo 2023, n. 24 in attuazione della Direttiva UE 2019/1937 — alle strutture sanitarie che, per dimensione, rientrano nel relativo ambito di applicazione. La disciplina impone canali di segnalazione riservati e la tutela della riservatezza dell’identità del segnalante, un profilo che nel contesto sanitario si intreccia inevitabilmente con la protezione di eventuali dati sanitari, propri o di terzi, menzionati nel contenuto della segnalazione.
LA PRASSI DEL GARANTE PRIVACY: I CASI PIU’ RILEVANTI
La configurazione del dossier sanitario: la linea sanzionatoria costante dal 2023 al 2026
Il filone sanzionatorio più corposo e costante riguarda, come anticipato, la non corretta configurazione del dossier sanitario, con particolare riguardo alla mancata implementazione di profili di accesso differenziati.
Con provvedimento del novembre 2023, il Garante ha sanzionato una ASL con 40.000 euro per non aver configurato il dossier sanitario aziendale in modo tale da impedire al personale genericamente autorizzato di visionare lo stato di salute dei propri colleghi per finalità estranee alla cura — una fattispecie che illustra con chiarezza il rischio, particolarmente insidioso nelle strutture sanitarie, della curiosità professionale verso i dati di conoscenti e colleghi di lavoro.
Con un successivo provvedimento, riconducibile al 2024, il Garante ha sanzionato un’altra ASL con 75.000 euro, a seguito di reclami che lamentavano ripetuti accessi al Fascicolo Sanitario Elettronico da parte di personale non coinvolto nel processo di cura dei pazienti interessati — confermando che l’accertamento ispettivo del Garante si attiva tipicamente a seguito di segnalazioni puntuali da parte degli stessi pazienti, resi edotti degli accessi anomali proprio attraverso la consultazione dei log del proprio fascicolo.
Il provvedimento di maggior rilievo nell’ultimo anno è il provvedimento n. 474 del 4 agosto 2025, con cui il Garante ha sanzionato con 80.000 euro un’Azienda Ospedaliero-Universitaria, all’esito di un accertamento ispettivo volto a verificare il rispetto della normativa privacy nei trattamenti effettuati mediante il dossier sanitario. Contestualmente, con il medesimo comunicato, è stata sanzionata anche una clinica privata. Il provvedimento riguardante l’Azienda Ospedaliero-Universitaria è stato impugnato davanti al Tribunale competente, e con la già citata sentenza n. 1947 del 9 aprile 2026, il Tribunale di Firenze ha ridotto la sanzione a 20.000 euro — un esito che offre un precedente di rilievo sul sindacato giudiziale circa la proporzionalità del quantum sanzionatorio, sebbene le informazioni pubblicamente disponibili non consentano di ricostruire con completezza le specifiche ragioni della rideterminazione operata dal giudice.
La diffusione accidentale: il caso del cartellone pubblicitario
Una fattispecie di natura diversa, ma egualmente istruttiva, è quella decisa dal Garante nell’agosto 2023, relativa a un’ASL che aveva utilizzato, in un cartellone pubblicitario raffigurante un operatore sanitario al lavoro presso il pronto soccorso, un’immagine in cui risultava identificabile il nome e cognome di un paziente, visibile sullo schermo del computer ritratto nella fotografia. Il paziente ne era venuto casualmente a conoscenza tramite una conversazione, e aveva presentato reclamo al Garante. Il caso dimostra come la tutela dei dati sanitari non riguardi soltanto gli accessi informatici abusivi, ma si estenda a qualsiasi forma di diffusione accidentale derivante da una gestione non sufficientemente attenta della comunicazione istituzionale e promozionale delle strutture sanitarie.
Il piano ispettivo 2026: le priorità del Garante
Con provvedimento di fine dicembre 2025, il Garante ha definito le proprie priorità ispettive per il periodo gennaio-luglio 2026, programmando almeno 40 accertamenti mirati nel settore sanitario, condotti anche in collaborazione con il Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza. Le tre aree di maggiore attenzione individuate sono: la cartella clinica elettronica, con verifica sistematica dei profili di accesso e delle eventuali profilazioni indebite degli operatori; i data breach già notificati, rispetto ai quali l’Autorità intende verificare l’effettiva adozione di misure correttive concrete e documentate, e non la mera comunicazione formale di rito; e il whistleblowing, per le strutture tenute all’adempimento ai sensi del D.Lgs. 24/2023.
Tabella sinottica dei provvedimenti citati
| Autorità/Organo | Data | Riferimento | Violazione accertata | Esito |
| Garante Privacy | novembre 2023 | provvedimento | ASL: dossier sanitario non configurato per impedire accesso di personale a dati di colleghi per finalità estranee alla cura | Sanzione di 40.000 euro |
| Garante Privacy | 2024 (provvedimento) | — | ASL: accessi ripetuti al FSE da parte di personale non coinvolto nel processo di cura | Sanzione di 75.000 euro |
| Garante Privacy | 4 agosto 2025 | provvedimento n. 474 | Azienda Ospedaliero-Universitaria: dossier sanitario non correttamente configurato (accertamento ispettivo) | Sanzione di 80.000 euro, poi ridotta in sede giudiziale |
| Garante Privacy | settembre 2025 | (medesimo comunicato) | Clinica privata: violazioni analoghe in materia di dossier sanitario | Sanzione irrogata |
| Tribunale di Firenze | 9 aprile 2026 | sentenza n. 1947/2026 | Opposizione al provvedimento n. 474/2025: rideterminazione del quantum sanzionatorio | Riduzione della sanzione a 20.000 euro |
| Garante Privacy | dicembre 2025 | provvedimento (piano ispettivo) | Programmazione di almeno 40 accertamenti mirati nel settore sanitario per il primo semestre 2026 | Avvio della campagna ispettiva, in corso alla data di elaborazione |
IL CASO CONCRETO: FATTISPECIE TIPICHE
L’operatore “curioso” e l’accesso senza finalità di cura
La fattispecie di gran lunga più frequente nella prassi degli accertamenti del Garante è quella dell’operatore sanitario — medico, infermiere, personale amministrativo con accesso ai sistemi clinici — che consulti la cartella clinica di un collega, di un familiare, di un conoscente o di un paziente noto al pubblico, senza avere alcun ruolo nel percorso di cura di quella persona. Come dimostra il provvedimento del novembre 2023, questa condotta — spesso motivata da mera curiosità personale, priva di qualsiasi intento doloso ulteriore — è di per sé sufficiente a integrare una violazione, e soprattutto rivela una carenza organizzativa strutturale del titolare del trattamento, che non ha predisposto profili di accesso sufficientemente granulari da impedire, in radice, questa possibilità.
Gli accessi ripetuti e sistematici scoperti dal paziente
Una seconda fattispecie, che nella prassi coincide spesso con l’innesco dell’accertamento del Garante, è quella del paziente che, consultando la cronologia degli accessi al proprio Fascicolo Sanitario Elettronico — funzionalità che le piattaforme regionali del FSE tipicamente mettono a disposizione dell’assistito — rilevi accessi ripetuti da parte di operatori il cui nominativo non è a lui familiare, o che non risultano in alcun modo coinvolti nel proprio percorso di cura. È esattamente questo il meccanismo di innesco descritto nel provvedimento sanzionatorio da 75.000 euro: il reclamo del paziente, fondato sulla propria autonoma verifica dei log di accesso, ha attivato l’istruttoria del Garante.
La comunicazione istituzionale disattenta
Una terza fattispecie, meno frequente ma di sicuro interesse didattico, riguarda la gestione della comunicazione istituzionale delle strutture sanitarie — materiale fotografico, video promozionali, campagne di comunicazione — che, per disattenzione nella fase di produzione o di revisione, finisca per rendere accidentalmente visibili dati sanitari di pazienti reali, come nel caso del cartellone pubblicitario dell’agosto 2023. La fattispecie ricorda come gli obblighi di protezione dei dati sanitari non si esauriscano nella sicurezza informatica dei sistemi clinici, ma investano l’intera organizzazione della struttura, incluse le attività apparentemente distanti dal trattamento sanitario in senso stretto.
IL PERCORSO MOTIVAZIONALE DEL GARANTE
Dal principio generale alla verifica tecnica concreta
Il ragionamento che sorregge costantemente i provvedimenti sanzionatori del Garante muove da un principio di correttezza sostanziale, non meramente formale: non è sufficiente che la struttura sanitaria disponga di una policy privacy formalmente conforme, se poi, nella realtà tecnica dei propri sistemi informativi, qualsiasi operatore genericamente autorizzato può in concreto accedere a qualsiasi cartella clinica, a prescindere da un legame effettivo con il percorso di cura di quel paziente. L’accertamento ispettivo si concentra quindi tipicamente sulla verifica tecnica concreta dei profili di accesso implementati, dei sistemi di tracciamento, e dell’esistenza di meccanismi di controllo che rilevino accessi anomali — non limitandosi alla verifica documentale delle policy adottate sulla carta.
La responsabilità organizzativa del titolare, oltre la condotta del singolo operatore
Un profilo di grande importanza pratica, che emerge con chiarezza dalla linea sanzionatoria descritta, è che la responsabilità per l’accesso abusivo ai dati sanitari non si esaurisce nella condotta del singolo operatore “indiscreto”, ma investe direttamente il titolare del trattamento — la struttura sanitaria nel suo complesso — per non aver predisposto le misure tecniche e organizzative idonee a prevenire strutturalmente simili accessi. Questo approccio riflette la logica di responsabilizzazione (accountability) che permea l’intero impianto del GDPR: il titolare non può limitarsi a sanzionare disciplinarmente il singolo dipendente che abbia abusato del proprio accesso, ma deve rispondere in prima persona di fronte al Garante per non aver reso strutturalmente impossibile, o quantomeno tracciabile e rilevabile, quel tipo di condotta.
CONSIGLI OPERATIVI
Il paziente che sospetti un trattamento illecito dei propri dati sanitari — un accesso non autorizzato, una diffusione accidentale, un utilizzo per finalità estranee alla propria cura — dispone di un percorso di verifica e di tutela strutturato.
Dati sanitari: le sanzioni del Garante Privacy più recenti
Studio Legale Baldari & Colella · aggiornato settembre 2026
| Ente sanzionato | Data | Violazione | Importo |
|---|---|---|---|
| ASLDossier sanitario | Novembre 2023 | Accesso di personale a dati sanitari di colleghi per finalità estranee alla cura | 40.000 € |
| ASLFascicolo Sanitario Elettronico | 2024 | Accessi ripetuti da personale non coinvolto nel processo di cura | 75.000 € |
| Azienda Ospedaliero-UniversitariaDossier sanitario, accertamento ispettivo | 4 agosto 2025 provv. n. 474/2025 |
Dossier sanitario non correttamente configurato | 80.000 €↓ ridotta a 20.000 € (Trib. Firenze, sent. n. 1947/2026) |
| Clinica privataDossier sanitario | Settembre 2025 | Violazioni analoghe in materia di configurazione degli accessi | Sanzione irrogata |
⚠ Il quadro sanzionatorio massimo: l’art. 83 GDPR consente sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale. Per gli enti pubblici, l’art. 166, comma 2, Codice Privacy prevede però un tetto ridotto — da qui gli importi più contenuti applicati alle strutture sanitarie pubbliche rispetto a quanto teoricamente previsto per gli operatori privati.
Primo passo — Verificare i log di accesso al proprio Fascicolo Sanitario Elettronico. La maggior parte delle piattaforme regionali del FSE consente al paziente di consultare la cronologia degli accessi effettuati al proprio fascicolo, con indicazione dell’operatore, della data e dell’ora. È il primo strumento di autotutela: verificare periodicamente questa cronologia consente di individuare tempestivamente accessi anomali o non riconducibili al proprio effettivo percorso di cura.
Secondo passo — Richiedere chiarimenti alla struttura sanitaria. In presenza di accessi sospetti, è opportuno rivolgere una richiesta formale di chiarimento alla struttura sanitaria, esercitando il diritto di accesso previsto dall’art. 15 GDPR, che comprende il diritto di conoscere i destinatari cui i propri dati sono stati comunicati e, ove disponibile, la logica sottesa a eventuali trattamenti automatizzati.
Terzo passo — Il reclamo al Garante Privacy. Se la risposta della struttura non è soddisfacente, o in assenza di risposta, il paziente può presentare reclamo al Garante per la protezione dei dati personali attraverso il portale istituzionale, allegando la documentazione relativa agli accessi anomali riscontrati. Come dimostra la prassi sopra descritta, è proprio dai reclami dei singoli pazienti che scaturiscono, nella maggioranza dei casi, gli accertamenti ispettivi più significativi.
Quarto passo — L’azione risarcitoria. Accertata la violazione — sia in via amministrativa dal Garante, sia autonomamente in sede giudiziale — il paziente può agire per il risarcimento del danno ai sensi dell’art. 82 GDPR, secondo i principi generali già illustrati nell’articolo #17 di questa serie: occorre allegare e provare le concrete conseguenze pregiudizievoli subite — timore per la divulgazione della propria condizione di salute, ansia, disagio relazionale o professionale — non essendo sufficiente invocare la mera violazione in sé.
Quinto passo — Per gli enti sanitari: la revisione dei profili di accesso. Le strutture sanitarie, alla luce del piano ispettivo 2026, dovrebbero procedere a una revisione sistematica dei propri profili di accesso ai sistemi clinici, verificando la loro effettiva granularità (accesso limitato al personale realmente coinvolto in ciascun percorso di cura), l’esistenza di sistemi di tracciamento completo, e la predisposizione di meccanismi di alert automatico per gli accessi anomali — elementi che, come dimostra la prassi sanzionatoria, costituiscono oggi il principale banco di prova degli accertamenti del Garante.
CONSIDERAZIONI FINALI
Il contenzioso in materia di dati sanitari presenta una caratteristica che lo distingue nettamente da altri ambiti della protezione dei dati personali: la violazione più frequente non deriva da un attacco informatico esterno sofisticato, ma da una carenza organizzativa interna — la mancata configurazione di profili di accesso adeguatamente differenziati — che consente a chi già opera legittimamente all’interno della struttura sanitaria di accedere a informazioni che non gli competono. È una circostanza che dovrebbe indurre le strutture sanitarie a investire con priorità proprio su questo fronte, spesso sottovalutato rispetto alla pur necessaria protezione perimetrale contro le minacce esterne.
Il precedente della sentenza del Tribunale di Firenze, che ha ridotto la sanzione irrogata dal Garante, apre inoltre una prospettiva di crescente interesse: il sindacato giudiziale sulla proporzionalità delle sanzioni in materia di dati sanitari, finora relativamente raro nella prassi italiana, potrebbe conoscere uno sviluppo più significativo nei prossimi anni, mano a mano che le strutture sanitarie sanzionate — pubbliche e private — sceglieranno con maggiore frequenza la via dell’opposizione, anziché accettare passivamente il quantum determinato dall’Autorità.
Per il paziente, infine, il messaggio pratico è che gli strumenti di autotutela esistono e sono concretamente accessibili: la consultazione periodica dei log di accesso al proprio Fascicolo Sanitario Elettronico — un gesto che richiede pochi minuti — resta lo strumento più efficace per intercettare tempestivamente un trattamento illecito dei propri dati più intimi, e per attivare, quando necessario, la macchina di tutela amministrativa e giudiziaria che l’ordinamento mette a disposizione.
