Cartella clinica, chi può averla, in quanto tempo e a quale prezzo.

Il punto dopo le FAQ aggiornate del Garante

 

Nei giorni scorsi il Garante per la protezione dei dati personali ha aggiornato le FAQ dedicate all’accesso ai dati della cartella clinica ai sensi dell’articolo 15 del GDPR. A prima vista sembra un intervento di manutenzione, ma il confronto con la versione precedente, che risaliva a dicembre 2024, racconta un’altra storia. Le risposte sono passate da quattro a otto, e dove prima si precisava che la gratuità riguardava i dati e non necessariamente i documenti, oggi la risposta è un sì netto, vale a dire che la prima copia della cartella clinica recante i dati personali dell’interessato è gratuita. È stata inoltre indicata espressamente la consultazione del DPO nella valutazione sulla copia integrale, la gestione delle richieste generiche ora distingue in modo esplicito il binario del GDPR da quello dell’accesso amministrativo e sono state aggiunte le risposte su valutazioni cliniche, obblighi di esattezza, reclami e limiti di competenza dell’Autorità. È l’occasione giusta per fare il punto su uno dei documenti più delicati che una struttura sanitaria produce e che un cittadino possa richiedere.

 

Un documento senza scadenza, con responsabilità precise

La cartella clinica è il racconto ufficiale del ricovero. Raccoglie anamnesi, diario clinico, terapie somministrate, referti, verbali operatori e lettera di dimissione, e la giurisprudenza la riconduce tradizionalmente, quando è redatta in una struttura pubblica, alla categoria dell’atto pubblico, con le conseguenze che ne derivano in caso di falsità o alterazioni. Non ha una data di scadenza, perché secondo le indicazioni ministeriali risalenti alla circolare del Ministero della Sanità del 19 dicembre 1986, n. 61, le cartelle e i relativi referti vanno conservati senza limiti di tempo, mentre per la documentazione diagnostica e iconografica i termini sono stati rivisti da fonti ministeriali successive, a partire dal decreto del Ministero della Sanità 14 febbraio 1997 sulla documentazione radiologica, e meritano una verifica dedicata caso per caso. La qualità del contenuto, del resto, non è soltanto buona pratica clinica. L’articolo 92 del Codice privacy impone alle strutture, pubbliche e private, accorgimenti che assicurino la comprensibilità e l’esattezza dei dati, con la possibilità di opportune rettifiche anche delle annotazioni. Le FAQ ricordano però un confine importante, perché il Garante non può sindacare la correttezza tecnico-scientifica delle valutazioni espresse dai sanitari, che restano contestabili nelle sedi proprie.

 

I diversi regimi di accesso alla cartella, da non confondere

Chi chiede copia di una cartella clinica imbocca, spesso senza saperlo, uno tra più regimi possibili, e la struttura ha il dovere di capire quale. Il primo è il diritto di accesso dell’articolo 15 del GDPR, che spetta all’interessato per i propri dati, impone un riscontro entro un mese ai sensi dell’articolo 12, paragrafo 3, e garantisce la gratuità della prima copia in forza dell’articolo 12, paragrafo 5. Il secondo è la disciplina settoriale dell’articolo 4, comma 2, della legge 24/2017, la cosiddetta Gelli-Bianco, espressamente coordinata con l’accesso documentale e con la protezione dei dati, in base alla quale la direzione sanitaria fornisce agli interessati aventi diritto la documentazione sanitaria disponibile entro sette giorni dalla richiesta, preferibilmente in formato elettronico, con le eventuali integrazioni entro trenta giorni. Il terzo è l’accesso ai documenti amministrativi della legge 241/1990, riservato a chi vanta un interesse diretto, concreto e attuale, con i costi di riproduzione e le tutele proprie di quel regime, rispetto al quale il Garante non è competente. Su questo fronte serve però molta cautela, perché quando i documenti contengono dati sulla salute non esiste alcun automatismo a favore del terzo. L’articolo 60 del Codice privacy ammette infatti l’accesso solo se la situazione giuridica che si intende tutelare è di rango almeno pari ai diritti dell’interessato e l’articolo 24, comma 7, della legge 241/1990 lo limita comunque a quanto strettamente indispensabile. A questi tre regimi si aggiunge infine una regola di legittimazione, quella dell’articolo 2-terdecies del Codice, che non è un canale autonomo ma stabilisce chi può esercitare i diritti previsti dal GDPR sui dati di una persona defunta, ovvero chi agisce per un interesse proprio, a tutela dell’interessato o per ragioni familiari meritevoli di protezione.

Le FAQ aggiornate aiutano a governare l’incrocio tra questi binari. Il GDPR non prevede requisiti di forma per l’istanza di accesso e il Garante raccomanda alle strutture una certa indulgenza verso le richieste generiche, che non vanno respinte per difetto di formule, ma chiarite chiedendo all’interessato quale regime intende attivare. La tabella che segue mette in fila i tre regimi e la legittimazione relativa ai dati del defunto.

 

I regimi di accesso alla cartella clinica

Canale	Chi può usarlo	Tempi	Costi	Tutele
Art. 15 GDPR	L’interessato, per i propri dati	Un mese, prorogabile nei casi complessi (art. 12, par. 3)	Prima copia gratuita (art. 12, par. 5)	Reclamo al Garante in caso di violazione del diritto, dopo l’esercizio dei diritti e decorso il termine previsto
Art. 4, c. 2, legge 24/2017	Gli interessati aventi diritto, tramite la direzione sanitaria	Sette giorni; integrazioni entro trenta	Non disciplinati dalla norma	Tutele ordinarie; rilievi anche sul piano della responsabilità sanitaria
Legge 241/1990	Terzi con interesse diretto, concreto e attuale; per i dati sulla salute solo alle condizioni rafforzate degli artt. 60 Codice e 24, c. 7, l. 241/1990	Trenta giorni	Costi di riproduzione (art. 25)	Ricorsi amministrativi; il Garante non è competente
Dati del defunto – art. 2-terdecies Codice (regola di legittimazione ai diritti GDPR)	Chi agisce per interesse proprio, a tutela dell’interessato o per ragioni familiari meritevoli	Come l’accesso GDPR	Come l’accesso GDPR	Reclamo al Garante

Fonte: GDPR, d.lgs. 196/2003, legge 24/2017, legge 241/1990, FAQ Garante.

 

La svolta sulla gratuità arriva da Lussemburgo

Il sì netto delle nuove FAQ non nasce dal nulla. Con la sentenza del 26 ottobre 2023 nella causa C-307/22 la Corte di giustizia dell’Unione europea ha esaminato il caso di un paziente che sospettava errori nelle cure ricevute dal proprio dentista e che si era visto chiedere il rimborso delle spese per la copia della cartella, come consentiva il diritto tedesco. La Corte ha stabilito che la prima copia dei dati è gratuita, che l’interessato non è tenuto a motivare la richiesta e che non rileva lo scopo per cui la copia viene chiesta, fosse anche quello di preparare una causa risarcitoria contro lo stesso professionista. Ha aggiunto che, quando è necessario per comprendere i dati, l’interessato ha diritto alla riproduzione integrale dei documenti che li contengono. Le Linee guida 1/2022 del Comitato europeo per la protezione dei dati, nella versione 2.1 del 28 marzo 2023, completano il quadro e sono espressamente richiamate dalle FAQ, che affidano al titolare la valutazione sulla copia integrale con un passaggio significativo, perché la decisione va assunta consultando il proprio Responsabile della protezione dei dati. Per i DPO della sanità è un riconoscimento di ruolo, ma anche una responsabilità che va documentata.

 

Cosa devono fare le strutture, a partire dai tariffari

Per direzioni sanitarie e amministrative il punto più delicato è economico e organizzativo insieme. Molte strutture applicano da sempre tariffari per il rilascio delle copie, e quei tariffari vanno ora coordinati con la gratuità della prima copia richiesta ai sensi dell’articolo 15, riservando gli eventuali costi alle copie successive o alle istanze che seguono davvero il canale amministrativo. Serve poi una modulistica a doppio binario che aiuti a qualificare la richiesta senza irrigidire l’accesso, una procedura che porti il DPO dentro la decisione sulla copia integrale, un presidio dei termini, tenendo presente che quando ricorrono i presupposti dell’articolo 4, comma 2, della legge 24/2017 la documentazione disponibile va fornita entro sette giorni, mentre per l’accesso ex articolo 15 resta fermo e distinto il termine di un mese dell’articolo 12, paragrafo 3, del GDPR, e infine una formazione mirata del personale di front office, che è quasi sempre il primo a ricevere richieste formulate in modo generico. Sul piano della sicurezza restano attuali le regole di sempre, dall’accesso selettivo del personale ai sistemi di tracciamento, perché gli accessi indebiti ai documenti sanitari da parte di personale non autorizzato sono oggetto ricorrente di provvedimenti del Garante.

 

Le verifiche da avviare subito nelle strutture sanitarie

Azione	Perché conta
Rivedere il tariffario delle copie alla luce della gratuità della prima copia ex art. 15 GDPR	Chiedere costi per la prima copia a fronte di un’istanza GDPR contrasta con l’art. 12, par. 5, e con la sentenza CGUE C-307/22
Aggiornare la modulistica distinguendo i canali di accesso, senza respingere le richieste generiche	Le FAQ raccomandano indulgenza; in caso di dubbio va chiesto all’interessato quale regime intende attivare
Formalizzare il coinvolgimento del DPO nella valutazione sulla copia integrale dei documenti	Le FAQ indicano la consultazione del DPO come passaggio della decisione del titolare
Presidiare entrambi i termini, applicando i sette giorni dell’art. 4, c. 2, legge 24/2017 quando ne ricorrono i presupposti	Il termine della Gelli-Bianco convive con quello, distinto, del mese previsto dall’art. 12, par. 3, GDPR; vanno tracciati separatamente
Formare front office e uffici cartelle cliniche	La qualificazione corretta della richiesta al primo contatto evita errori di regime e reclami
Verificare accessi selettivi e tracciature sui sistemi che ospitano le cartelle	Gli accessi indebiti del personale sono oggetto ricorrente di provvedimenti del Garante in sanità
Presidiare comprensibilità ed esattezza dei dati in cartella	L’art. 92 del Codice impone accorgimenti specifici, con rettifiche anche delle annotazioni quando necessario

Fonte: elaborazione iSimply su FAQ Garante, GDPR, legge 24/2017 e d.lgs. 196/2003.

 

La cartella cambia pelle, dal faldone allo Spazio europeo dei dati sanitari

Mentre le regole sull’accesso si assestano, il supporto si trasforma. La cartella clinica elettronica è ormai realtà in molte aziende sanitarie e il Fascicolo sanitario elettronico, nella versione potenziata del progetto FSE 2.0, sta diventando il punto di raccolta dei documenti sanitari dei cittadini, dai referti alle lettere di dimissione. Sullo sfondo c’è il passaggio più ambizioso, perché il Regolamento (UE) 2025/327 sullo Spazio europeo dei dati sanitari, in vigore dal 26 marzo 2025, disegna un percorso a tappe. Entro marzo 2027 la Commissione dovrà adottare gli atti di esecuzione che rendono operative le regole, entro marzo 2029 partirà lo scambio del primo gruppo di categorie prioritarie di dati, ovvero profili sanitari sintetici e prescrizioni e dispensazioni elettroniche, insieme alle prime regole sull’uso secondario, ed entro marzo 2031 toccherà a immagini diagnostiche, risultati di esami e lettere di dimissione ospedaliera. È dentro questo percorso, e non già dal 2027, che diventerà progressivamente operativo, per le categorie di dati interessate, il diritto delle persone all’accesso telematico immediato e gratuito ai propri dati sanitari elettronici in un formato europeo comune, anche da un altro Paese dell’Unione. Per le strutture significa che la qualità della cartella di oggi è la condizione del dato interoperabile di domani, mentre l’uso secondario dei dati per ricerca e programmazione, che lo stesso regolamento disciplina, renderà ancora più importante distinguere ciò che è accessibile, a chi e con quali garanzie.

 

Le tappe recenti in sintesi

Data	Tappa
28 marzo 2023	EDPB, Linee guida 1/2022 sul diritto di accesso, versione 2.1
26 ottobre 2023	CGUE, causa C-307/22, prima copia gratuita della cartella medica, senza obbligo di motivazione
25 marzo 2025	Entrata in vigore del Regolamento (UE) 2025/327 sullo Spazio europeo dei dati sanitari
3 agosto 2026	Il Garante aggiorna le FAQ sull’accesso ai dati della cartella clinica ex art. 15 GDPR
Entro marzo 2027	Adozione degli atti di esecuzione della Commissione per l’operatività del Regolamento EHDS
Entro marzo 2029	EHDS, prima fase dell’uso primario (profili sanitari sintetici, prescrizioni e dispensazioni elettroniche) e avvio delle regole sull’uso secondario
Entro marzo 2031	EHDS, seconda fase dell’uso primario (immagini diagnostiche, risultati di esami, lettere di dimissione)

Fonte: EUR-Lex, Commissione europea (DG SANTE), curia.europa.eu, edpb.europa.eu, garanteprivacy.it.

 

E il cittadino, in pratica, cosa deve fare

Chi ha bisogno della propria cartella clinica può scrivere alla direzione sanitaria o all’ufficio cartelle cliniche della struttura, anche con una semplice email, senza formule particolari, indicando se possibile il periodo del ricovero. Se la richiesta riguarda i propri dati ai sensi del GDPR, la prima copia è gratuita e la risposta deve arrivare entro un mese, mentre, quando ricorrono i presupposti dell’articolo 4, comma 2, della legge Gelli-Bianco, la documentazione sanitaria disponibile deve essere fornita dalla direzione sanitaria entro sette giorni. Se la struttura non risponde o risponde in modo insoddisfacente, dopo la scadenza dei termini è possibile presentare reclamo al Garante, anche con il modello disponibile sul sito dell’Autorità. Per la cartella di un familiare defunto occorre invece indicare la ragione che legittima la richiesta, come la tutela di un interesse proprio o ragioni familiari meritevoli di protezione. Un’ultima avvertenza riguarda le aspettative, perché il Garante può intervenire sul rispetto dei diritti, ma non può riscrivere le valutazioni cliniche dei medici, che si contestano in altre sedi.

La cartella clinica sta insomma attraversando la stessa trasformazione della sanità che la produce, e la direzione è chiara. La trasparenza verso la persona assistita non è una concessione da sportello, è parte della qualità della cura, e le organizzazioni che la governano per prime, con procedure ordinate e dati ben tenuti, arriveranno pronte anche all’appuntamento europeo.

 

Enrico Capirone – Presidente iSimply srl, DPO

Fonte ufficiale: Garante privacy, FAQ Cartelle cliniche  |  CGUE, sentenza C-307/22  |  Regolamento (UE) 2025/327 (EUR-Lex)

 

Nota di trasparenza sull’uso dell’intelligenza artificiale (art. 50 del Regolamento (UE) 2024/1689). Questo contenuto è redatto con il supporto di strumenti di IA generativa (attualmente ChatGPT, NotebookLM, Claude). Ogni contenuto è sottoposto a revisione umana sostanziale, con notizie selezionate dalla redazione di iSimply, che verifica riferimenti, provvedimenti, importi, date e link sulle fonti ufficiali prima della pubblicazione. La responsabilità editoriale è di iSimply srl, nella persona del presidente Enrico Capirone. Ricorrendo revisione umana e responsabilità editoriale, il testo rientra nell’eccezione prevista dall’art. 50, par. 4, del Regolamento; rendiamo comunque nota questa informazione come scelta volontaria di trasparenza. La stessa chiarezza che dal 2 agosto 2026 l’art. 50 richiede in specifici casi di impiego dell’intelligenza artificiale è quella che vogliamo offrire per primi ai nostri lettori.