Cartella clinica e GDPR: la prima copia è gratis anche in Italia

La Sentenza della Corte di Giustizia dell’Unione Europea nella causa C-307/22 del 26 ottobre 2023 rappresenta un punto di svolta fondamentale nella gestione delle richieste di accesso alle cartelle cliniche da parte degli interessati.

Il pronunciamento ha chiarito in modo definitivo che il diritto di ottenere gratuitamente una prima copia dei propri dati personali ai sensi dell’articolo 15 del GDPR Regolamento UE 2016/679 (di seguito Regolamento) prevale sulle normative nazionali che prevedono oneri economici a carico del richiedente.

Come evidenziato dall’Autorità Garante Privacy nella newsletter del 23 dicembre 2024, numerosi reclami sono stati presentati da interessati che lamentavano il mancato rilascio gratuito della prima copia cartacea della propria cartella clinica da parte delle strutture sanitarie, diniego segnalato anche dopo la pubblicazione della Sentenza CGUE.

Questo dimostra l’esistenza di un fenomeno in crescita che richiede un’analisi approfondita.

La Sentenza CGUE C-307/22: principi fondamentali

La controversia ha avuto origine in Germania, dove un paziente aveva richiesto alla propria dentista una copia della cartella medica al fine di valutare eventuali errori commessi durante il trattamento.

La professionista sanitaria, conformemente alla normativa tedesca (§ 630g del BGB), aveva condizionato il rilascio al rimborso delle spese sostenute.

Il paziente, ritenendo di avere diritto a una copia gratuita ai sensi del Regolamento, si è rivolto ai giudici tedeschi, portando la questione fino al Bundesgerichtshof che ha sottoposto questioni pregiudiziali alla CGUE.

I principi stabiliti dalla Corte

La Corte ha stabilito i seguenti principi fondamentali:

1. Gratuità indipendente dalla finalità: L’obbligo di fornire all’interessato, a titolo gratuito, una prima copia dei suoi dati personali oggetto di trattamento grava sul titolare del trattamento anche qualora tale richiesta sia motivata da uno scopo estraneo a quelli di cui al Considerando 63 del Regolamento (verifica della liceità del trattamento). Pertanto, anche richieste finalizzate ad azioni legali contro il professionista sanitario beneficiano della gratuità.
2. Divieto di normative nazionali onerose: Una normativa nazionale, anche se adottata prima dell’entrata in vigore del Regolamento, non può porre a carico dell’interessato le spese di una prima copia dei suoi dati personali al fine di tutelare gli interessi economici del titolare del trattamento, posto che tale previsione violerebbe l’effetto utile del diritto di accesso di cui all’articolo 15.
3. Nozione estensiva di ‘copia’: Nell’ambito del rapporto medico/paziente, il diritto di ottenere una copia dei dati personali implica che sia consegnata all’interessato una riproduzione fedele e intelligibile dell’insieme di tali dati. Questo include il diritto di ottenere la copia integrale dei documenti contenuti nella cartella medica qualora ciò sia necessario per consentire all’interessato di verificarne l’esattezza e la completezza nonché per garantirne l’intelligibilità.
4. Contenuto minimo garantito: Il diritto include in ogni caso quello di ottenere una copia dei dati della cartella medica contenente informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati.

Il conflitto tra accesso del Regolamento e accesso documentale ex Legge 241/1990

Il sistema normativo italiano contempla due tipologie di accesso alla documentazione sanitaria che, sebbene possano sovrapporsi nell’oggetto, presentano presupposti, finalità e conseguenze differenti:

• Accesso ai dati personali ex art. 15 Regolamento: Diritto dell’interessato ad ottenere dal titolare conferma del trattamento in corso e copia dei propri dati personali. La prima copia è gratuita. Non richiede motivazione e si applica a qualsiasi titolare del trattamento, pubblico o privato.
• Accesso documentale ex Legge 241/1990: Diritto di prendere visione e di estrarre copia di documenti amministrativi. Richiede un interesse diretto, concreto e attuale. Il rilascio è subordinato al pagamento del costo di riproduzione. Si applica alle pubbliche amministrazioni.

La posizione dell’Autorità Garante Privacy

Il Garante Privacy ha costantemente ribadito l’autonomia dei due suindicati regimi di accesso.

I diritti tutelati dalla normativa in materia di protezione dei dati personali, esercitabili soltanto dall’interessato, non devono essere confusi con il diverso diritto di accesso ai documenti amministrativi, esercitabile nei confronti delle sole amministrazioni pubbliche dietro istanza motivata da chiunque possa dimostrare di averne diritto e finalizzata ad accedere a documenti amministrativi, che potrebbero anche non riportare al loro interno dati personali o di salute.

Pertanto, considerata l’autonomia delle due discipline, è irrilevante che i documenti nei quali sono contenuti i dati siano sottratti al distinto diritto di accesso documentale.

Il Garante ha inoltre censurato le strutture sanitarie che, a fronte di richieste di accesso ai dati personali contenuti nella cartella sanitaria presentata ai sensi dell’articolo 15 del Regolamento, hanno interpretato tali istanze come richieste di accesso ai “documenti amministrativi”, interpretazione che ha di fatto condizionato il rilascio della documentazione richiesta al pagamento di un contributo spese.

Le FAQ del Garante (dicembre 2024)

Nel dicembre del 2024, il Garante Privacy, facendo seguito anche a una serie di quesiti posti da taluni Responsabili della Protezione dei Dati (DPO), come i sottoscritti, ha pubblicato specifiche FAQ per chiarire la questione, i cui punti chiave sono:

• L’interessato che presenta istanza di accesso alla cartella clinica ai sensi dell’articolo 15 del Regolamento ottiene copia dei dati personali oggetto di trattamento, non necessariamente l’intera documentazione contenuta nella cartella.
• La prima copia dei dati personali deve essere rilasciata gratuitamente.
• Il titolare del trattamento è tenuto a valutare se, per garantire l’esattezza, completezza e intelligibilità dei dati dei quali l’interessato chieda copia, sia necessario fornire o meno la copia integrale della documentazione sanitaria.
• In caso di istanze generiche, il titolare può chiedere all’interessato di specificare l’oggetto della richiesta (dati personali o documentazione).

L’impatto sulle aziende sanitarie italiane

È ragionevole presumere che la Sentenza CGUE abbia determinato un incremento delle richieste di accesso ai dati delle cartelle cliniche ai sensi dell’articolo 15 del Regolamento.

L’aumento delle richieste

I fattori che alimentano questo fenomeno sono molteplici:

• Maggiore consapevolezza dei diritti: La diffusione mediatica della Sentenza ha informato i cittadini della possibilità di ottenere gratuitamente la prima copia della cartella clinica.
• Convenienza economica: Le tariffe applicate dalle strutture sanitarie per il rilascio di copia della cartella clinica variano notevolmente (da 8 a oltre 30 euro), costituendo un incentivo al ricorso all’accesso assicurato dal Regolamento.
• Finalità di precontenzioso: Studi legali e associazioni di tutela dei pazienti hanno diffuso la notizia, incrementando le richieste funzionali alla analisi del contenuto delle cartelle cliniche al fine di un possibile avvio di azioni di responsabilità medica.

L’onere amministrativo e i costi

L’aumento delle richieste di copia della cartella clinica comporta un significativo onere per le strutture sanitarie relativo a:

• Costi di riproduzione: Materiale cartaceo, toner, supporti digitali, manutenzione apparecchiature.
• Costi del personale: Tempo impiegato per ricercare, duplicare, verificare e consegnare la documentazione.
• Costi di spedizione: Qualora l’interessato richieda l’invio postale.
• Costi organizzativi: Formazione del personale, adeguamento delle procedure, gestione dei reclami.

Tali costi, precedentemente recuperati attraverso i diritti di copia previsti dalla Legge 241/1990, gravano ora interamente sui bilanci delle aziende sanitarie per quanto riguarda la prima copia richiesta ai sensi del Regolamento.

Lo stato dell’arte della produzione, conservazione e duplicazione delle cartelle cliniche

Le cartelle cliniche, sono, come a tutti noto, un documento che in ambito nazionale è conservato a cura delle aziende sanitarie di produzione, titolari del relativo trattamento di dati personali, senza limiti di tempo.

Il servizio di conservazione delle cartelle cliniche è spesso, vista la necessità di spazi ed organizzazione dedicata, affidato dalle aziende a fornitori degli specifici servizi dalle aziende sanitarie, deputati anche alla riproduzione delle relative copie.

Le cartelle cliniche, pur se spesso prodotte dai professionisti sanitari avvalendosi di appositi software, continuano ad oggi ad essere conservate per la maggior parte dei casi ancora in formato analogico, caratteristica che ne rende onerosa la riproduzione, a differenza di quanto consentirebbe la conservazione delle cartelle in formato elettronico.

Infatti, nonostante quanto indicato già nel 2007 dal WP131, di cartella clinica in formato elettronico si parla nel nostro paese soltanto nella legge 4 aprile 2012, n. 35 «Conversione in legge, con modificazioni, del decreto-legge 9 febbraio 2012, n. 5, recante disposizioni urgenti in materia di semplificazione e di sviluppo».

All’articolo 47-bis della stessa «Semplificazione in materia di sanità digitale», al primo paragrafo, si rappresenta infatti che «Nei limiti delle risorse umane, strumenta-li e finanziarie disponibili a legislazione vigente, nei piani di sanità nazionali e regionali si privilegia la gestione elettronica delle pratiche cliniche, attraverso l’utilizzo della cartella clinica elettronica, così come i sistemi di prenotazione elettronica per l’accesso alle strutture da parte dei cittadini con la finalità di ottenere vantaggi in termini di accessibilità e contenimento dei costi, senza nuovi o maggiori oneri per la finanza pubblica».

Lo stesso articolo al paragrafo 1-bis stabiliva inoltre che «A decorrere dal 1° gennaio 2013, la conservazione delle cartelle cliniche può essere effettuata, senza nuovi o maggiori oneri a carico della finanza pubblica, anche solo in forma digitale, nel rispetto di quanto previsto dal decreto legislativo 7 marzo 2005, n. 82, il “Codice dell’amministrazione digitale”19, e dal decreto legislativo 30 giugno 2003, n. 196, il “Codice Privacy”».

Lo stato dell’arte dell’accesso alle cartelle cliniche, l’analisi della Corte dei conti nella Regione Piemonte

Come noto la Corte dei conti svolge il controllo successivo sulla gestione del bilancio e del patrimonio delle amministrazioni pubbliche, verificando la legittimità e la regolarità delle gestioni, nonché il funzionamento dei controlli interni a ciascuna amministrazione, accertando la rispondenza dei risultati dell’attività amministrativa agli obiettivi stabiliti dalla legge, analizzando comparativamente costi, modi e tempi dello svolgimento dell’azione amministrativa, svolgendo in particolare valutazioni di economicità, efficienza ed efficacia circa l’acquisizione e l’impiego delle risorse finanziarie.

Con la Deliberazione n. 37/SSRRCO/INPR/2023 21 dicembre 2023 le Sezioni Riunite della Corte dei Conti hanno fornito alle Sezioni Regionali indicazioni operative perché queste effettuino verifiche presso le aziende sanitarie allo scopo di misurare il grado di attuazione degli indirizzi nazionali e regionali

Fra le verifiche a tal proposito effettuate dalla Sezione Regionale di Controllo per il Piemonte Gestione i cui esiti sono riportati nella Relazione approvata con la Delibera n.84 del 30 maggio 2025 relativamente all’esercizio 2022 degli Enti appartenenti al Servizio Sanitario Regionale troviamo proprio quella della “Prassi relativa al rilascio di copia delle cartelle cliniche”

Il capitolo di riferimento della relazione evidenzia a tal proposito che:

“Avere accesso alla propria cartella clinica completa ed esatta è un diritto di ogni cittadino e la struttura sanitaria è tenuta ad applicare la disciplina sull’accesso ai documenti amministrativi (L. n. 241/1990), dando seguito a tale richiesta ed al rilascio delle copie.

Anche il Garante per la protezione dei dati personali è intervenuto stabilendo il diritto dell’interessato ad ottenere l’accesso ai dati contenuti nella cartella, in forma intellegibile, ponendo a carico dell’ente detentore l’onere della trascrizione dei dati…

– tutti i dati e le informazioni contenuti nella cartella clinica sono dati personali, accessibili, solo previo consenso scritto del paziente…

La richiesta di copia della cartella clinica avviene, da parte dell’interessato, tramite compilazione di apposito modulo rilasciato dalla struttura sanitaria…

Quanto ai costi di rilascio della prima copia della cartella clinica è di recente intervenuta la Corte di Giustizia dell’Unione Europea con la sentenza del 26 ottobre 2023 in causa C307/22.

Secondo la citata pronuncia, l’art. 12, paragrafo 5, e l’art. 15, paragrafi 1 e 3, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27  aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), devono essere interpretati nel senso che grava sul titolare del trattamento l’obbligo di fornire all’interessato, a titolo gratuito, una prima copia dei suoi dati personali oggetto di trattamento, anche qualora tale richiesta sia motivata da uno scopo estraneo a quelli di cui al considerando 63, prima frase, di detto regolamento.

L’art. 15, paragrafo 3, prima frase, del regolamento (UE) 2016/679 deve essere interpretato nel senso che nell’ambito di un rapporto medico/paziente, il diritto di ottenere una copia dei dati personali oggetto di trattamento implica che sia consegnata all’interessato una riproduzione fedele ed intelligibile dell’insieme di tali dati.

Tale diritto presuppone quello di ottenere la copia integrale dei documenti contenuti nella sua cartella medica che contengano, tra l’altro, detti dati, qualora la fornitura di una siffatta copia sia necessaria per consentire all’interessato di verificarne l’esattezza e la completezza nonché per garantirne l’intelligibilità. Per quanto riguarda i dati relativi alla salute dell’interessato, tale diritto include in ogni caso quello di ottenere una copia dei dati della sua cartella medica contenente informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati al medesimo. Tanto premesso, in sede istruttoria è stato chiesto alle Aziende di precisare l’importo da corrispondere in caso di richiesta di prima copia e di ulteriore copia della cartella clinica da parte dell’avente diritto”.

Ila Corte di Conti riporta in dettaglio e in apposita tabella nel capitolo summenzionato gli esiti to dell’istruttoria, dai quali emerge che ogni Azienda Sanitaria della Regione Piemonte ha adottato un proprio tariffario, mentre soltanto una azienda sanitaria (l’ASL Città di Torino) ha dichiarato di essersi uniformata alla sentenza della Corte di Giustizia, rilasciando gratuitamente la prima copia della cartella clinica, mentre un’altra Azienda ha “.. dichiarato la volontà di allinearsi alla citata sentenza, a seguito del completamento della procedura di sviluppo della cartella clinica digitale”.

Ed è proprio alla luce della evidente disomogeneità applicativa che la Sezione Regionale “auspica che tutte le Aziende si uniformino alla recente giurisprudenza eurounitaria in materia”.

Possibili soluzioni

La prima e più importante soluzione deriva dalla corretta interpretazione della normativa, come chiarito dal Garante nelle FAQ.

La distinzione tra dati personali e documentazione

Il diritto di accesso previsto dall’articolo 15 del Regolamento ha ad oggetto i dati personali, non necessariamente l’intera documentazione presente nella cartella clinica. Pertanto:

1. Il titolare deve fornire gratuitamente copia dei dati personali contenuti nella cartella clinica.
2. Solo se necessario per garantire esattezza, completezza e intelligibilità, deve fornire copia integrale dei documenti.
3. I documenti che non contengono dati personali possono essere esclusi dalla copia gratuita, anche se nella pratica risulta difficile e quasi teorico distinguere nella cartella clinica i dati personali da eventuali dati non personali.

Gestione differenziata delle istanze

Le strutture sanitarie dovrebbero, quindi, adottare procedure di triage delle richieste, andando a distinguere tra:

1. Richiesta esplicita di prima copia gratuita della cartella clinica presentata ai sensi dell’articolo 15 del Regolamento, che deve esitare con il rilascio della prima copia gratuita, come prescritto dalla normativa.
2. Richiesta generica di copia della cartella clinica, che obbliga il titolare a interpellare ilrichiedente per specificare se intende esercitare il diritto di accesso ai dati personali (gratuito) o l’accesso documentale, a titolo oneroso.
3. Richiesta esplicita di cartella clinica avanzata ai sensi della Legge 241/1990, nel cui caso alla riproduzione della cartella si applicano le tariffe stabilite dall’azienda.

Nella adozione delle suindicate procedure è però necessario evidenziare talune criticità che possono complicarne la gestione e che aggravano gli oneri del Responsabile della Protezione dei Dati o DPO dell’azienda sanitaria, rendendo a questo ancora più impegnativo l’esercizio dei compiti affidati dall’articolo 39 del Regolamento.

Infatti per quanto riguarda la richiesta di cui al punto A (e quella di cui al punto B se l’interpello chiarisce che l’istanza va considerata analoga a quella del punto A) deve essere presentata, così come previsto dal Regolamento, direttamente al Titolare o al DPO, che dovrà poi interessare gli uffici appositi per procurarsi copia della cartella clinica, al fine di soddisfare l’istanza entro i tempi rigorosi previsti dall’articolo 12 del Regolamento.

Gli uffici addetti alla riproduzione delle cartelle cliniche dovranno inoltre tracciare in apposito registro di avere rilasciato, al singolo interessato e per la singola cartella clinica la prima copia, tracciatura indispensabile per poi rilasciare a titolo oneroso le ulteriori copie delle cartelle.

Digitalizzazione e ottimizzazione dei processi interni per il rilascio in formato elettronico

La soluzione più efficace per contenere i costi del rilascio a titolo gratuito della prima copia della cartella clinica è l’accelerazione del processo di digitalizzazione ed il miglioramento dei processi interni all’azienda sanitaria.

Per quanto riguarda i processi interni l’ottimizzazione potrebbe essere facilitata innanzitutto:

-dall’automazione, quindi dall’uso di Software gestionali che automatizzano la ricerca, estrazione e generazione delle copie delle cartelle;

-dall’utilizzo consapevole della tecnologia da parte del cittadino, così come previsto dall’articolo 2 del Decreto Legislativo 82/05, il Codice dell’Amministrazione Digitale, che consentono a questo di richiedere la documentazione tramite SPID/CIE;

-dalla formazione del personale, con Training specifico sulla distinzione tra le diverse tipologie di accesso e sulla corretta gestione delle istanze, così che il personale degli uffici addetti al rilascio delle copie di cartelle cliniche possa operare sinergicamente con il DPO.

Per quanto riguarda invece l’accelerazione del processo di digitalizzazione l’implementazione di sistemi di CCE o cartella clinica elettronica nativa digitale consente di generare copie a costo marginale pressoché nullo e di rilasciarle in formato digitale, avvalendosi della trasmissione via PEC, email o download da portale, eliminando i costi di stampa e spedizione.

Altro punto essenziale del processo di digitalizzazione di estremo interesse per l’accessibilità all’interessato della cartella clinica è quello della prevista allegazione della stessa nel Fascicolo Sanitario Elettronico, meccanismo che, almeno relativamente alle cartelle cliniche in questo presenti, consente all’interessato di accedere direttamente ai propri dati sanitari, riducendo le richieste formali.

Ultimo punto rilevante del processo di gestione elettronica della cartella clinica è quello della digitalizzazione dell’archivio storico, che ne consente il pronto reperimento e messa a disposizione delle copie.

Misure per contenere le richieste eccessive

Il paragrafo 5 dell’articolo 12 del Regolamento prevede che, qualora le richieste siano manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare possa:

• Addebitare un contributo spese ragionevole.
• Rifiutare di soddisfare la richiesta.

Tuttavia, l’onere della prova del carattere manifestamente infondato o eccessivo incombe sul titolare, e tale clausola deve essere interpretata, nel caso di specie, restrittivamente, e solo previa tracciatura del precedente rilascio a carattere gratuito della prima copia di quella stessa cartella clinica.

Conclusioni

La Sentenza CGUE C-307/22 ha definitivamente chiarito che il diritto di accesso ai dati personali riconosciuto dall’articolo 15 del Regolamento prevale sulle normative nazionali che prevedono oneri economici per il rilascio della prima copia della cartella clinica.

Le strutture sanitarie italiane non possono quindi più “schermarsi” dietro l’applicazione della Legge 241/1990 per richiedere all’interessato il pagamento dei costi di riproduzione quando l’istanza è formulata ai sensi del Regolamento, consapevolezza che genera senza alcun dubbio l’aumento delle richieste di accesso gratuito e ulteriori oneri amministrativi, economici ed organizzativi.

A livello di sistema, sarebbe quindi opportuna una serie di interventi per:

1. Chiarire la disciplina: con una norma nazionale che recepisca espressamente i principi della Sentenza CGUE, armonizzando il quadro normativo nazionale.
2. Finanziare i costi, riconoscendo i maggiori oneri derivanti dalla gratuità della prima copia nei meccanismi di finanziamento del SSN.
3. Standardizzare le procedure con Linee guida regionali o nazionali per uniformare le modalità di gestione delle richieste.
4. Indicare alle aziende sanitarie la necessità di mettere a disposizione del DPO adeguate risorse commisurate al maggior impegno dovuto alla gestione delle istanze di accesso alle cartelle cliniche.

In definitiva, il rispetto del diritto fondamentale alla protezione dei dati personali richiede un adeguamento organizzativo e tecnologico che, se affrontato strategicamente, ed avvalendosi dei professionisti dedicati può tradursi in un’opportunità di modernizzazione del sistema sanitario nel suo complesso.