Negli ultimi giorni di dicembre il Garante per la protezione dei dati personali ha pubblicato sul suo sito il booklet contenente le “FAQ in materia di accesso alle cartelle cliniche ai sensi del RGDP”.

I chiarimenti dell’Autorità giungono a seguito di alcuni reclami di utenti che lamentavano il mancato rilascio gratuito da parte di strutture sanitarie della prima copia cartacea della propria cartella clinica (diniego segnalato dopo la sentenza della Corte di Giustizia dell’Unione Europea C-307/22 del 26 ottobre 2023, da me commentata qui).

Vediamo insieme i chiarimenti dati dal Garante, utili sia ai pazienti sia alle strutture sanitarie.

FAQ 1) Cosa si ottiene presentando istanza di accesso alla propria cartella clinica (con ciò intendendosi il documento che contiene l’insieme di informazioni sanitarie e anagrafiche sul singolo ricovero) ai sensi dell’art. 15 del Regolamento generale sulla protezione dei dati personali 2016-679/RGPD): copia dei dati personali o copia della documentazione?

L’interessato (cioè il paziente, o l’erede del paziente defunto) può accedere, ai sensi dell’art. 15 del RGPD, alla propria cartella clinica (o alla cartella clinica del defunto), ai sensi dell’art. 2-terdecies del d.lgs. 196/2003 (“Codice in materia di protezione dei dati personali”) ottenendo copia dei dati personali oggetto di trattamento (art. 15, par. 3 del RGPD).
Nei casi in cui sia necessario garantire l’esattezza, la completezza e l’intelligibilità delle informazioni richieste, il titolare (cioè la struttura sanitaria, o il medico) fornisce all’interessato copia integrale dei documenti contenenti tali dati (vedi anche la sentenza della Corte di Giustizia UE 307-22 del 26 ottobre 2023).

Attenzione: ricordiamo che l’art. 4 della legge Gelli-Bianco dispone che la struttura sanitaria è tenuta a consegnare all’avente diritto la copia della documentazione sanitaria disponibile, preferibilmente in formato elettronico, entro 7 giorni dalla relativa richiesta (massimo 30 giorni per le eventuali integrazioni).

FAQ 2) Con la richiesta di accesso alla cartella clinica, presentata ai sensi dell’art. 15 del RGPD, l’interessato può pretendere di ottenere a titolo gratuito copia di tutta la documentazione contenuta in tale cartella?

No: come evidenziato nella FAQ precedente, con la richiesta di accesso alla cartella clinica ai sensi del sopra citato art. 15, viene fornita a titolo gratuito (solo) copia dei dati personali, e non necessariamente dei documenti contenuti in tale cartella.

La prima copia dei dati personali (non necessariamente dei documenti che li contengono) viene fornita gratuitamente (art. 12, par. 5 e art. 15, par. 3, del RGPD).

FAQ 3) Chi valuta la necessità di fornire copia integrale dei documenti contenuti nella cartella clinica a fronte di una richiesta di accesso ai dati di cui all’art. 15 del RGPD?

E’ il titolare del trattamento (cioè, di nuovo, la struttura sanitaria o il medico) ad effettuare questa valutazione.
Nel fornire copia dei dati personali in risposta a una domanda di accesso presentata ai sensi dell’art. 15 del RGPD, il titolare valuta se occorre fornire copia integrale o meno di tutta o parte della  documentazione contenuta nella cartella clinica per garantire all’interessato di verificare l’esattezza, la completezza, nonché l’intelligibilità dei dati richiesti (cfr. in tal senso il documento del Comitato europeo per la protezione (EDPB) “Linee guida 1/2022 sui diritti degli interessati – Diritto di accesso” – versione 2.1 del 28 marzo 2023 – punto n. 152.

Ai sensi delle suddette Linee Guida, “Rientra fra le responsabilità del titolare del trattamento decidere in merito alla forma appropriata in cui fornire i dati personali. Il titolare del trattamento, pur senza esservi obbligato, può fornire in forma originale i documenti che contengono i dati personali riguardanti l’interessato che presenta la richiesta. Ad esempio il titolare del trattamento potrebbe fornire (giudicando caso per caso) l’accesso a una copia del supporto, data la necessità di trasparenza (ad esempio per verificare l’accuratezza dei dati detenuti dal titolare del trattamento nel caso di una richiesta di accesso a un fascicolo sanitario o a una registrazione audio la cui trascrizione sia contestata).

La Corte di Giustizia EU tuttavia interpretando il diritto di accesso ai sensi della direttiva 95/46/CE ha affermato: “perché [il diritto di accesso] sia soddisfatto, è sufficiente che al richiedente sia consegnata un’esposizione completa di tali dati in forma intelligibile, ossia in una forma che gli permetta di prendere conoscenza dei dati medesimi e di verificare che siano esatti e trattati in modo conforme alla suddetta direttiva, così da consentirgli di esercitare, se del caso, i diritti conferitigli”.
A differenza della direttiva, il GDPR contiene espressamente l’obbligo di fornire all’interessato una copia dei dati personali oggetto di trattamento. Ciò non significa però che l’interessato abbia sempre il diritto di ottenere copia dei documenti contenenti i dati personali, bensì una copia non modificata dei dati personali oggetto di trattamento in tali documenti.  Questa copia dei dati personali potrebbe essere fornita tramite una compilazione contenente tutti i dati personali che rientrano nell’alveo del diritto di accesso purché tale compilazione consenta all’interessato di essere consapevole del trattamento e verificarne la liceità…

 Occorre sottolineare che la compilazione non può essere redatta in modo da alterare o modificare il contenuto delle informazioni, dal momento che deve contenere una copia dei dati personali.”

Nell’accompagnatoria alle FAQ, il Garante precisa che la struttura è tenuta a fornire al richiedente, gratuitamente, copia integrale della propria documentazione sanitaria quando ciò sia necessario per consentirgli di verificare l’esattezza, la completezza e l’intelligibilità delle informazioni richieste, come stabilito dalla sentenza CGUE 307/22.

FAQ 4) A fronte di una generica istanza di accesso alla cartella clinica, non presentata formalmente ai sensi dell’art. 15 del RGPD, come deve comportarsi il titolare del trattamento?

Le Linee guida EDPB fanno presente che il Regolamento non prevede requisiti formali per la presentazione di richieste di accesso ai dati personali ai sensi dell’art. 15 del RGPD e consigliano ai titolari una certa indulgenza nei confronti dei richiedenti, spesso non a conoscenza delle complesse disposizioni del RGPD.
In caso di dubbi, si raccomanda al titolare del trattamento di chiedere all’interessato che presenta la richiesta di accesso di specificare l’oggetto della richiesta stessa (cfr. le Linee Guida sopracitate, punto n. 50: “Si noti che il GDPR non prevede requisiti formali per le persone che chiedono l’accesso ai dati. Per presentare la richiesta di accesso è sufficiente che i richiedenti specifichino che desiderano sapere quali dati personali che li riguardano siano trattati dal titolare del trattamento. Il titolare del trattamento non può quindi rifiutarsi di fornire i dati richiamandosi all’omessa indicazione della base giuridica della richiesta, in particolare alla mancanza di un riferimento specifico al diritto di accesso o al GDPR.
Per presentare una richiesta sarebbe ad esempio sufficiente che il richiedente affermi:
 che desidera ottenere l’accesso ai dati personali che lo riguardano;
 che sta esercitando il diritto di accesso; oppure
 che desidera conoscere le informazioni che lo riguardano, trattate dal titolare del trattamento.
Si ricordi che i richiedenti potrebbero avere scarsa familiarità con le complesse disposizioni del GDPR; è pertanto consigliabile una certa indulgenza nei confronti delle persone che esercitano il diritto di accesso, soprattutto quando si tratta di minori. Come si è già detto, in caso di dubbi si raccomanda al titolare del trattamento di chiedere all’interessato che presenta la richiesta di specificare l’oggetto della richiesta.
Gli interessati desiderano accedere a tutte le informazioni trattate che li riguardano o solo
a parti di esse?“].

Ci aggiorniamo presto con un nuovo, interessante argomento!

Nel frattempo, resta collegato ed iscriviti alla newsletter per non perdere i prossimi aggiornamenti.

A presto!

LEGGI IL DOCUMENTO

FAQ in materia di accesso alle cartelle cliniche ai sensi del RGDP”