3.500 euro per un errore informatico: il caso Grande Puffo

L’Ausl di Modena dovrà versare 3.500 euro dopo che una registrazione sanitaria creata per le verifiche interne è stata collegata all’identità di una dipendente. Il Garante della privacy ha contestato all’azienda sia l’inesattezza dei dati, sia i tempi con cui sono state gestite le richieste di chiarimento della lavoratrice.

La sanzione nasce da due violazioni

La quota principale, pari a 3.000 euro, riguarda le risposte arrivate oltre i termini alle istanze di accesso presentate dalla dipendente. L’Ausl ha attribuito i ritardi alla complessità degli accertamenti e, in una circostanza, anche alle difficoltà provocate da un attacco informatico che aveva interrotto alcune attività.

Altri 500 euro sono stati applicati per la violazione del principio di esattezza previsto dal Gdpr. L’Autorità ha ritenuto infatti che l’azienda non avrebbe dovuto permettere la sovrapposizione tra una posizione anagrafica fittizia e quella di una persona realmente impiegata nella struttura. Nel calcolo finale sono state comunque riconosciute alcune attenuanti: l’episodio è rimasto isolato, non è emersa intenzionalità, l’azienda ha collaborato e la posizione è stata poi ripristinata.

Quando la prova tecnica è diventata reale

La scheda indicata con il nome di Grande Puffo era stata predisposta dal settore informatico per controllare il corretto funzionamento dei sistemi di prenotazione. Al suo interno erano state simulate attività in diversi ambiti, dalla cardiologia alla radiologia, passando per ginecologia, salute mentale e tamponi Covid.

L’anomalia si è verificata quando un’infermiera ha provato a fissare un tampone molecolare per una collega. Di fronte al malfunzionamento del percorso abituale, ha riutilizzato l’utenza di prova e ne ha cambiato nome, cognome e data di nascita. Il profilo destinato ai test è così diventato riconducibile alla dipendente.

Il doppio profilo e i rischi per i

La lavoratrice ha poi scoperto l’esistenza della seconda posizione e ha chiesto spiegazioni e cancellazione. Secondo quanto riferito nel reclamo, l’Ausl aveva inizialmente segnalato che la rimozione era problematica perché nella scheda comparivano numerose registrazioni, comprese prenotazioni, ricoveri e accessi al Centro di salute mentale.

L’azienda sanitaria ha precisato che quelle attività erano soltanto simulazioni e che i due profili non erano stati accorpati. Ha inoltre escluso che alla dipendente fossero stati associati referti clinici. La persona che aveva modificato la scheda è stata sottoposta a un procedimento disciplinare: un’identificazione errata avrebbe potuto generare errori nella gestione dei pazienti e incidere sulla sicurezza delle cure.

Il provvedimento del Garante

La vicenda è stata esaminata dal Garante della privacy dopo l’esposto della dipendente, che non lamentava soltanto l’associazione dei propri dati alla scheda fittizia, ma anche la lentezza nelle risposte ricevute. L’Autorità ha formalizzato le contestazioni in un provvedimento datato 17 aprile 2026.

Il caso riguarda dunque un profilo nato per simulare prestazioni sanitarie e trasformato, per un intervento improprio, in una seconda identità digitale. La somma complessiva richiesta all’Ausl di Modena è stata fissata in 3.500 euro: 500 per l’inesattezza dei dati e 3.000 per la gestione tardiva delle domande di accesso.