Il paziente che esercita il diritto di accesso ai propri dati sanitari ai sensi del GDPR ha diritto gratuitamente alla prima copia. Ma accesso ai dati personali e accesso alla documentazione sanitaria non sono sempre la stessa cosa. A chiarire i confini sono il Regolamento europeo, il Garante Privacy e la Corte di Giustizia dell’Unione europea.
Pagare per ottenere una copia della propria cartella clinica è ancora oggi una prassi prevista in numerose strutture sanitarie attraverso regolamenti aziendali, tariffari e costi di riproduzione.
Ma quando il paziente chiede di accedere ai propri dati sanitari esercitando il diritto previsto dall’articolo 15 del Regolamento UE 2016/679, il GDPR, il quadro cambia.
La prima copia dei dati personali deve essere fornita gratuitamente.
A stabilirlo è direttamente il diritto europeo, interpretato dalla Corte di Giustizia dell’Unione europea e successivamente richiamato anche dal Garante italiano per la protezione dei dati personali.
Questo significa che una struttura sanitaria non può applicare automaticamente una tariffa alla prima richiesta senza verificare quale diritto il paziente stia effettivamente esercitando.
Cosa prevede l’articolo 15 del GDPR
L’articolo 15 del GDPR riconosce all’interessato il diritto di sapere se siano trattati dati personali che lo riguardano e, in caso affermativo, di accedere a tali dati.
Il paragrafo 3 stabilisce che il titolare del trattamento deve fornire una copia dei dati personali oggetto del trattamento.
Soltanto per eventuali copie ulteriori può essere richiesto un contributo ragionevole basato sui costi amministrativi.
A ciò si aggiunge l’articolo 12, paragrafo 5, che pone come regola generale la gratuità delle informazioni e delle azioni adottate per consentire l’esercizio dei diritti dell’interessato.
Sono previste eccezioni soltanto nel caso di richieste manifestamente infondate o eccessive, in particolare quando siano ripetitive. In questi casi spetta però al titolare dimostrare il carattere manifestamente infondato o eccessivo della richiesta.
Applicato alla sanità, il principio è quindi chiaro:
il paziente ha diritto gratuitamente alla prima copia dei propri dati personali sanitari.
La sentenza europea del 2023
Un passaggio decisivo è rappresentato dalla sentenza della Corte di Giustizia dell’Unione europea del 26 ottobre 2023, causa C-307/22.
Il caso riguardava un paziente che aveva chiesto a un dentista copia della propria documentazione sanitaria anche per verificare l’eventuale esistenza di una responsabilità professionale.
Il professionista aveva richiesto il pagamento dei costi di riproduzione.
La Corte ha stabilito che il GDPR obbliga il titolare del trattamento a fornire gratuitamente la prima copia dei dati personali, indipendentemente dalla finalità per cui il paziente presenta la richiesta.
Il cittadino, quindi, non deve dimostrare di avere uno specifico interesse né deve spiegare il motivo per cui vuole accedere ai propri dati.
Può farlo, ad esempio, anche per valutare una possibile azione giudiziaria nei confronti del professionista o della struttura sanitaria.
La Corte ha inoltre chiarito che una normativa nazionale non può imporre al paziente il costo della prima copia dei dati esclusivamente per tutelare gli interessi economici del titolare del trattamento.
Dati sanitari e cartella clinica non sono sempre la stessa cosa
Qui nasce uno degli aspetti più delicati.
Il GDPR parla infatti di copia dei dati personali, non di un diritto automatico e indiscriminato a ricevere gratuitamente qualsiasi documento presente nella cartella clinica.
Ma questo non significa che la struttura possa limitarsi a fornire una semplice sintesi o un elenco decontestualizzato delle informazioni.
Secondo la Corte di Giustizia e il Garante Privacy, la copia deve consentire all’interessato di comprendere effettivamente i dati che lo riguardano e di verificarne esattezza e completezza.
Per questo motivo, quando è necessario per garantire esattezza, completezza e intelligibilità delle informazioni, il diritto di accesso può comprendere anche la copia integrale dei documenti nei quali quei dati sono contenuti.
In ambito sanitario il problema è particolarmente evidente.
Un dato clinico isolato può infatti perdere significato se separato dal documento nel quale è inserito.
Pensiamo, ad esempio, a:
diario medico;
documentazione infermieristica;
schede terapeutiche;
rilevazione dei parametri vitali;
referti;
verbali operatori;
scale di valutazione;
esami diagnostici;
lettera di dimissione;
documentazione relativa alla somministrazione dei farmaci.
In molti casi soltanto la lettura completa del documento permette al paziente di comprendere realmente il contenuto e il significato delle informazioni che lo riguardano.
Chi valuta se deve essere consegnata l’intera documentazione?
La valutazione compete al titolare del trattamento, cioè alla struttura o al soggetto che determina le finalità e le modalità del trattamento dei dati personali.
Il Garante chiarisce che il titolare, consultando il proprio Responsabile della protezione dei dati, il DPO, deve valutare se, per garantire esattezza, completezza e intelligibilità, sia necessario fornire l’intera documentazione oppure soltanto una parte di essa.
Per questo motivo sarebbe eccessivo sostenere che l’articolo 15 GDPR riconosca automaticamente, in qualsiasi circostanza, il diritto gratuito alla riproduzione di ogni singolo documento presente nel fascicolo sanitario.
Ma sarebbe altrettanto scorretto sostenere che la gratuità riguardi soltanto un elenco astratto di dati e mai i documenti che li contengono.
Quando il documento è necessario per comprendere correttamente i dati personali, la sua riproduzione può rientrare pienamente nel diritto di accesso.
E se il paziente scrive soltanto “voglio la mia cartella clinica”?
È uno dei problemi più frequenti nella pratica.
Un cittadino difficilmente formulerà la propria richiesta citando espressamente l’articolo 15 GDPR.
Molto più probabilmente scriverà semplicemente:
“Chiedo copia della mia cartella clinica”.
Il Garante ha chiarito che il GDPR non impone particolari formalità per esercitare il diritto di accesso ai dati personali.
Se quindi la richiesta è ambigua, la struttura dovrebbe verificare con l’interessato se intenda esercitare:
il diritto di accesso ai propri dati personali previsto dal GDPR
oppure
un diverso diritto di accesso alla documentazione sanitaria o amministrativa.
La distinzione è importante perché i due strumenti possono avere regole differenti anche sotto il profilo economico.
GDPR e accesso documentale: due diritti differenti
Il diritto di accesso previsto dall’articolo 15 GDPR non deve essere confuso con l’accesso documentale disciplinato dalla legge 241/1990.
Nel primo caso il diritto ha come oggetto principale i dati personali dell’interessato.
Nel secondo caso l’oggetto è invece il documento amministrativo.
Le conseguenze possono essere differenti.
Nel diritto di accesso ai dati personali previsto dal GDPR, la prima copia è gratuita.
Nell’accesso documentale, invece, l’esame dei documenti è gratuito, mentre il rilascio delle copie può essere subordinato al rimborso del costo di riproduzione, oltre agli eventuali diritti o oneri espressamente previsti dalla normativa applicabile.
Quindi non è corretto parlare genericamente di “tariffe” senza distinguere il fondamento giuridico della richiesta.
Un conto è un costo di riproduzione previsto nell’ambito dell’accesso documentale.
Un altro è applicare automaticamente una tariffa anche quando il cittadino sta esercitando il diritto alla prima copia dei propri dati personali ai sensi del GDPR.
La legge Gelli-Bianco e il termine di sette giorni
Sul diritto di ottenere la documentazione sanitaria interviene anche la legge 24 del 2017, la cosiddetta legge Gelli-Bianco.
L’articolo 4 stabilisce che la direzione sanitaria della struttura pubblica o privata deve fornire agli aventi diritto la documentazione sanitaria disponibile entro sette giorni dalla richiesta, preferibilmente in formato elettronico.
Le eventuali integrazioni devono essere fornite entro un termine massimo di trenta giorni.
Questa norma disciplina quindi la disponibilità della documentazione sanitaria e i relativi tempi.
La gratuità della prima copia dei dati personali trova invece il proprio fondamento nel GDPR.
Si tratta di discipline che possono intersecarsi, ma non devono essere sovrapposte automaticamente.
Attenzione: il GDPR prevede anche un proprio termine
Quando il cittadino esercita formalmente il diritto di accesso ai dati personali previsto dal GDPR, entra in gioco anche l’articolo 12, paragrafo 3.
Il titolare deve fornire un riscontro senza ingiustificato ritardo e comunque entro un mese dalla richiesta.
Il termine può essere prorogato di altri due mesi quando ciò sia necessario tenendo conto della complessità e del numero delle richieste.
In questo caso, però, il titolare deve informare l’interessato della proroga e dei relativi motivi entro il primo mese.
È quindi importante non confondere i due termini:
sette giorni per la documentazione sanitaria disponibile secondo la legge 24/2017;
un mese come termine generale entro il quale il titolare deve dare riscontro all’esercizio dei diritti previsto dal GDPR.
Le due disposizioni operano su piani differenti e vanno coordinate caso per caso.
Una struttura sanitaria può ancora chiedere soldi?
Sì, ma non in modo automatico.
Se il paziente esercita il diritto di accesso ai propri dati ai sensi dell’articolo 15 GDPR, la prima copia è gratuita.
Per eventuali copie ulteriori il titolare può chiedere un contributo ragionevole basato sui costi amministrativi.
Possono inoltre esistere costi di riproduzione quando la richiesta è trattata nell’ambito dell’accesso documentale.
Quello che invece appare incompatibile con il diritto europeo è un automatismo del tipo:
“La copia della cartella clinica costa sempre 20 o 30 euro, anche quando si tratta della prima richiesta di accesso ai propri dati personali.”
Un regolamento interno o un tariffario aziendale non può infatti derogare a un diritto direttamente riconosciuto dal Regolamento europeo.
Una questione che riguarda anche le aziende sanitarie
Il tema non riguarda soltanto i pazienti.
Coinvolge direttamente:
direzioni sanitarie;
uffici cartelle cliniche;
URP;
servizi privacy;
responsabili della protezione dei dati;
professionisti sanitari coinvolti nella gestione della documentazione.
Le strutture dovrebbero rendere chiaramente distinguibili almeno due percorsi:
l’accesso ai dati personali ai sensi del GDPR
e
l’accesso o il rilascio della documentazione sanitaria secondo le altre disposizioni applicabili.
Anche la modulistica dovrebbe permettere al cittadino di capire quale diritto sta esercitando e quali eventuali costi possano essere legittimamente richiesti.
Applicare indistintamente lo stesso tariffario a qualsiasi richiesta di documentazione rischia infatti di non tenere conto delle garanzie riconosciute dal GDPR.
Cartella clinica gratuita: cosa possiamo affermare con certezza
Dire semplicemente che “tutte le cartelle cliniche devono essere sempre consegnate gratuitamente” sarebbe giuridicamente impreciso.
Ma è altrettanto sbagliato sostenere che la struttura sanitaria possa sempre pretendere un pagamento per la prima copia.
La formulazione più corretta è questa:
il paziente che esercita il diritto di accesso previsto dall’articolo 15 GDPR ha diritto gratuitamente alla prima copia dei propri dati personali sanitari. Quando, per garantire esattezza, completezza e intelligibilità di tali dati, è necessario fornire i documenti che li contengono, il diritto può comprendere anche la copia integrale della documentazione sanitaria pertinente.
Questo è il principio che emerge dal Regolamento europeo, dalla sentenza C-307/22 della Corte di Giustizia dell’Unione europea e dalle indicazioni del Garante Privacy.
Per i cittadini significa conoscere meglio un diritto che può incidere concretamente sull’accesso alla propria storia sanitaria.
Per le aziende sanitarie significa invece verificare che modulistica, regolamenti e tariffari siano coerenti con una disciplina europea che distingue nettamente tra accesso ai dati personali e semplice rilascio documentale.