La sentenza n. 7/2026 della Corte dei conti di Bolzano afferma un principio importante: le violazioni della privacy nelle pubbliche amministrazioni possono generare responsabilità amministrativo-contabile per i dirigenti e i funzionari che, pur avendone il potere e il dovere, non hanno adottato le misure necessarie per prevenirle.
Il caso riguarda l’Azienda Sanitaria dell’Alto Adige, sanzionata dal Garante Privacy per irregolarità nel Dossier Sanitario Elettronico. Il sistema consentiva l’accesso ai dati sanitari anche a operatori autorizzati ma non coinvolti nella cura del paziente, in violazione dei principi del GDPR relativi a minimizzazione dei dati, limitazione degli accessi e protezione dei dati fin dalla progettazione.
La Corte dei conti ha esaminato non la legittimità della sanzione, ma la possibilità di attribuire il costo sostenuto dall’ente a specifici soggetti responsabili. Ha stabilito che la responsabilità non deriva dal semplice ruolo formale ricoperto, ma dall’effettiva disponibilità di poteri organizzativi, decisionali e tecnici per prevenire la violazione.
In particolare, è stato ritenuto responsabile il direttore della struttura informatica, poiché aveva il compito di implementare le misure tecniche necessarie per garantire la conformità del sistema. La Corte ha considerato grave la sua inerzia, soprattutto alla luce di precedenti segnalazioni, richiami del Garante e solleciti del DPO.
La decisione evidenzia che:
· la privacy non è una materia limitata all’ufficio privacy o al DPO;
· la conformità richiede il coinvolgimento di organizzazione, informatica, sicurezza, formazione e dirigenza;
· il DPO ha funzioni di consulenza e controllo, ma non sostituisce chi deve attuare concretamente le misure tecniche;
· una sanzione pagata dall’ente può trasformarsi in danno erariale e comportare azioni di rivalsa nei confronti dei responsabili.
La Corte ha, inoltre, applicato il nuovo quadro normativo sulla colpa grave, precisando che non ogni errore genera responsabilità, ma che l’omissione di interventi necessari, a fronte di obblighi chiari e ripetuti avvertimenti, può costituire illecito contabile.
Le cinque lezioni operative per le pubbliche amministrazioni
1. Progettare i sistemi secondo il principio del “necessario accesso” ai dati.
2. Profilare, tracciare e controllare gli accessi in modo efficace.
3. Gestire formalmente le segnalazioni del DPO e delle strutture privacy.
4. Attribuire alla dirigenza informatica un ruolo attivo nell’attuazione degli obblighi normativi.5. Considerare che il pagamento di una sanzione non chiude la vicenda, ma può aprire un procedimento per responsabilità erariale interna.
5. Considerare che il pagamento di una sanzione non chiude la vicenda, ma non può aprire un procedimento per responsabilità erariale interna.
Vuoi leggere le notizie di questa settimana in PDF? Clicca qui
