«È stato un onore»: il saluto ai pazienti diventato una sanzione GDPR

Chi cambia lavoro, prima di andarsene, di solito vuole salutare. Nel caso di un medico di famiglia l’impulso è ancora più comprensibile: dopo anni di ambulatorio i pazienti non sono una lista, sono persone che chiami per nome e di cui conosci la storia clinica e spesso anche quella familiare.

Il messaggio che una dottoressa lituana ha inviato ai suoi assistiti nell’autunno del 2024 suona infatti così: «La informo che dall’8 novembre non lavorerò più presso il poliambulatorio di Šakiai. Grazie per avermi dato la possibilità di essere il Suo medico di famiglia, è stato un onore. La invito a proseguire l’amicizia presso l’ambulatorio Zaleckienė dal 18». Letto da solo, sembra semplicemente una persona educata.

L’Autorità lituana per la protezione dei dati ci ha visto qualcos’altro. Per scrivere quel messaggio la dottoressa si era collegata al gestionale sanitario del poliambulatorio mentre era in malattia, quasi sempre di sera, nell’arco di cinque giorni, e aveva aperto le schede cliniche di 1.231 pazienti. Il 5 giugno 2026 le ha notificato una sanzione di 1.153 euro, a titolo personale.

È il dettaglio che rende il caso istruttivo, perché la distanza fra le due letture è tutta lì. Dal punto di vista di chi scrive il messaggio, si tratta di avvisare i propri pazienti. Dal punto di vista dell’Autorità, si tratta di un professionista che entra in un archivio sanitario di cui non ha più bisogno per curare, e ne estrae i contatti per portarsi dietro la clientela. La stessa azione, due descrizioni entrambe vere, una sola rilevante per il GDPR.

La difesa ha provato tre strade e nessuna ha retto. La prima: mi sono collegata una volta sola, per vedere quanti pazienti mi fossero assegnati, senza aprire le singole schede. Il registro degli accessi del gestionale diceva altro, e cioè collegamenti ripetuti, in orari diversi, su schede diverse. La seconda: c’è una norma che dà al paziente il diritto di sapere chi lo cura. Vero, ha risposto l’Autorità, ma quella norma riguarda il professionista che eroga la prestazione, non il fatto che andrà a lavorare da un’altra parte. La terza: gli SMS non li ho mandati io. Stesso testo dell’e-mail, stesso stile, stesso modo di scrivere le date.

C’è poi il punto che vale la pena sottolineare a chiunque lavori con dati altrui, e non riguarda solo la sanità: guardare è trattare. L’art. 4 del Regolamento mette la semplice consultazione fra le operazioni di trattamento, alla pari con la raccolta e la conservazione. Non serve copiare un file, esportare un elenco, salvare qualcosa sul telefono. Aprire una scheda che non ti serve è già abbastanza.

Il capitolo più interessante, però, riguarda il datore di lavoro, perché il poliambulatorio da questa vicenda è uscito senza una sanzione. Aveva notificato la violazione di propria iniziativa, aveva un regolamento interno che riservava l’accesso ai dati a chi ne avesse bisogno per le proprie mansioni, poteva dimostrare che la dottoressa quel regolamento lo conosceva, e teneva log abbastanza dettagliati da ricostruire ogni singolo collegamento. Con questi elementi l’Autorità ha ritenuto rispettato l’art. 32 e ha spostato la responsabilità su chi aveva deciso di usare quei dati: in quel momento, dice la decisione richiamando le linee guida europee, la dipendente non stava più agendo per conto della struttura ma per una finalità sua, e di quella finalità era titolare lei.

Vale la pena fermarsi un secondo su questo, perché è la parte che si può portare in azienda. Gli stessi log che hanno protetto il poliambulatorio sono quelli che hanno smontato la versione della dottoressa. Non sono un adempimento burocratico da spuntare in un audit: sono l’unica cosa che, il giorno in cui qualcosa va storto, racconta com’è andata davvero. E la regola sugli accessi, quella che sembra sempre eccessiva quando la si scrive, è ciò che ha permesso di distinguere fra un’organizzazione che aveva fatto la sua parte e una persona che ha ecceduto.

Resta una domanda a cui pochi pensano prima: le credenziali di chi è in malattia, o di chi ha dato le dimissioni e sta lavorando il preavviso, restano attive come sempre? Nella maggior parte delle organizzazioni la risposta è sì, e non per scelta: perché nessuno ci ha mai messo mano.

Sull’importo si può sorridere. Millecentocinquantatré euro sono una mensilità di salario minimo lituano, il parametro che l’Autorità usa quando a essere sanzionata è una persona fisica invece di un’impresa, e restano lo 0,006% del massimo previsto. Ma la multa è la parte meno pesante di questa storia. Quello che rimane è un accertamento pubblico di trattamento illecito di dati sanitari a carico di un medico, con quello che comporta sul piano professionale, e milleduecento pazienti che oggi avrebbero, se volessero, una base per chiedere un risarcimento.

Per un messaggio di saluto.

Fonti: VDAI, decisione 5 giugno 2026 n. 3R-1040 - testo integrale · comunicato dell’11 giugno 2026 · violati gli artt. 5, par. 1, lett. a), 6, par. 1 e 9, par. 2 GDPR · Enforcement Tracker ETid-3199