Chiarimenti del Garante sull’accesso alle cartelle cliniche

Il Garante per la protezione dei dati personali ha pubblicato in data 24 dicembre 2024 una serie di Faq (risposte a domande frequenti) in materia di accesso alle cartelle cliniche ai sensi del Gdpr (General data protection regulation). 

Come già avvenuto in passato, anche queste indicazioni forniscono chiarimenti essenziali per la corretta gestione delle richieste di accesso ai dati personali nelle cartelle cliniche, promuovendo una maggiore consapevolezza sia tra gli interessati che tra i titolari del trattamento riguardo ai diritti e agli obblighi derivanti dal Gdpr.

La disciplina del trattamento delle cartelle cliniche si rinviene nell’art. 92 del d.lgs. 196/2003 (c.d. Codice Privacy), il quale stabilisce che, nei casi in cui le strutture, pubbliche e private, che erogano prestazioni sanitarie e socio-sanitarie, redigano e conservino una cartella clinica in conformità alla disciplina applicabile, devono essere adottati opportuni accorgimenti per assicurare la comprensibilità dei dati e per distinguere i dati relativi al paziente da quelli eventualmente riguardanti altri interessati, ivi comprese informazioni relative a nascituri.

La disposizione precisa che eventuali richieste di presa visione o di rilascio di copia della cartella e dell’acclusa scheda di dimissione ospedaliera da parte di soggetti diversi dall’interessato possono essere accolte, in tutto o in parte, solo se la richiesta è giustificata dalla documentata necessità: 

a) di esercitare o difendere un diritto in sede giudiziaria, ai sensi dell’art. 9, par. 2, lett. F Gdpr, di rango pari a quello dell’interessato, ovvero consistente in un diritto della personalità o in un altro diritto o libertà fondamentale; 

b di tutelare, in conformità alla disciplina sull’accesso ai documenti amministrativi, una situazione giuridicamente rilevante di rango pari a quella dell’interessato, ovvero consistente in un diritto della personalità o in un altro diritto o libertà fondamentale.

Gli articoli 15 Gdpr e 2-terdecies d.lgs. 196/2003 (quest’ultimo per quanto riguarda le persone decedute) prevedono, invece, la possibilità per l’interessato di accedere alla propria cartella clinica ottenendo una copia dei dati personali oggetto di trattamento. 

Nei casi in cui sia necessario garantire l’esattezza, la completezza e l’intelligibilità delle informazioni richieste, il titolare fornisce all’interessato copia integrale dei documenti contenenti tali dati, così come indicato anche dalla sentenza Cgue 307-22 del 26 ottobre 2023 e come specificato dal Garante.

Già la sentenza richiamata aveva ricordato che il diritto di ottenere una copia dei dati personali oggetto di trattamento implica “che sia consegnata all’interessato una riproduzione fedele e intelligibile dell’insieme di tali dati” e che “l’obbligo di fornire all’interessato, a titolo gratuito, una prima copia dei suoi dati personali oggetto di trattamento grava sul titolare del trattamento”.

Tale previsione non implica, tuttavia, il diritto automatico a ricevere gratuitamente l’intera documentazione clinica. L’art. 15 garantisce infatti il diritto a ottenere a titolo gratuito copia dei dati personali, ma non necessariamente di tutti i documenti contenuti in tale cartella. Inoltre, la prima copia di tali dati viene fornita gratuitamente, mentre eventuali copie successive possono comportare costi ragionevoli.

Prima di fornire la copia dei dati personali in risposta a una domanda di accesso ex art. 15 Gdpr, spetterà al titolare del trattamento determinare se, al fine di garantire l’esattezza, la completezza nonché l’intelligibilità dei dati, sia necessario fornire copia integrale dei documenti contenenti tali informazioni e ciò in conformità alle Linee guida 1/2022 sui diritti degli interessati e sul diritto di accesso del 28 marzo 2023 rilasciate dal Comitato europeo per la protezione.

Tale valutazione dovrà essere effettuata caso per caso e terrà in considerazione le specifiche circostanze della richiesta. 

Per quanto attiene alle modalità delle richieste di accesso ai dati personali, non sono previsti requisiti formali. Anche una richiesta generica di accesso alla cartella clinica verrà presa in considerazione dal titolare del trattamento. In caso di ambiguità, il punto n. 50 delle Linee guida 1/2022 del Comitato europeo per la protezione dei dati personali raccomanda al titolare di richiedere all’interessato di specificare l’oggetto della propria richiesta, al fine di fornire una risposta adeguata.

Le precisazioni del Garante sottolineano, come sempre, l’importanza di trovare un bilanciamento tra il diritto dell’interessato all’accesso ai propri dati personali e la necessità di proteggere la riservatezza e l’integrità delle informazioni sanitarie. A riguardo, le strutture sanitarie sono tenute ad adottare misure adeguate che garantiscano che l’accesso ai dati sia conforme alla normativa vigente, evitando al contempo abusi o divulgazioni non autorizzate che portino a violazioni.