Prescrizioni del Garante n. 179 del 13/04/2023

Istituto Dermatologico San Gallicano IRCCS – IFO: ritardo nel riscontro a un’istanza di accesso ex art. 15 GDPR

Il provvedimento riguarda il ritardo del titolare del trattamento nel riscontrare un’istanza di accesso ai dati personali presentata da un paziente dell’Istituto Dermatologico San Gallicano IRCCS – IFO, con riferimento a prestazioni sanitarie ambulatoriali e relativa documentazione medica. Il procedimento origina da reclamo dell’interessato e dall’istruttoria svolta dal Garante, che ha poi invitato l’Istituto ad aderire alla richiesta di accesso.

Fatto e svolgimento del procedimento

L’interessato aveva chiesto conferma dell’esistenza di un trattamento di dati personali che lo riguardavano, nonché accesso ai dati e alle informazioni di cui all’art. 15 GDPR, con particolare riferimento a visite dermatologiche e alla documentazione sanitaria prodotta in occasione di tali prestazioni. Il reclamante lamentava di non aver ricevuto un riscontro idoneo nei termini previsti dall’art. 12 GDPR, nonostante solleciti successivi.

L’Istituto ha sostenuto di aver già risposto a ripetute istanze del medesimo interessato e di aver ritenuto la richiesta ex art. 15 GDPR una mera reiterazione di precedenti domande di accesso documentale. Ha quindi invocato l’art. 12, par. 5, GDPR, sostenendo che la richiesta fosse ripetitiva ed eccessiva. Successivamente, a seguito dell’invito ad aderire dell’Autorità, ha fornito un riscontro più articolato, indicando finalità del trattamento, categorie di dati, destinatari delle comunicazioni e tempi di conservazione della documentazione sanitaria, specificando che le prestazioni effettuate erano conservate in una cartella ambulatoriale con termine quinquennale.

Questioni giuridiche esaminate

Il Garante ha richiamato il contenuto del diritto di accesso di cui all’art. 15 GDPR e la disciplina dell’art. 12, parr. 3 e 4, GDPR, che impone al titolare di rispondere senza ingiustificato ritardo e comunque entro un mese, con possibilità di proroga di due mesi solo nei casi previsti e con obbligo di informare l’interessato sui motivi del ritardo. In caso di mancato accoglimento, il titolare deve inoltre indicare i rimedi esperibili.

L’Autorità ha ribadito la distinzione tra il diritto di accesso ai dati personali e il diverso accesso documentale previsto da normative di settore, chiarendo che l’art. 15 GDPR consente di ottenere copia dei dati personali oggetto di trattamento, non necessariamente copia integrale dei documenti in cui tali dati sono contenuti. È stato anche richiamato il orientamento del Comitato europeo per la protezione dei dati, secondo cui il GDPR impone la consegna di una copia dei dati personali, ma non sempre del documento integrale.

Valutazione dell’Autorità sulla violazione

Il Garante ha ritenuto che l’Istituto non avesse fornito un riscontro idoneo nei termini di cui all’art. 12, par. 3, GDPR e che non avesse informato l’interessato, entro il termine previsto, dei motivi dell’inottemperanza e della possibilità di proporre reclamo o ricorso, in violazione dell’art. 12, par. 4, GDPR in relazione all’art. 15 GDPR. Il successivo riscontro fornito dopo l’invito ad aderire non ha sanato la precedente omissione.

L’Autorità ha escluso che potesse applicarsi l’art. 12, par. 5, GDPR. Le richieste seriali e ripetitive richiamate dal titolare, infatti, riguardavano l’accesso documentale ex l. 241/1990, mentre l’istanza rilevante ai fini del GDPR era quella presentata per la prima volta ai sensi dell’art. 15 GDPR, unitamente ai solleciti. Di conseguenza, la tesi difensiva del titolare non è stata ritenuta idonea a giustificare il ritardo o il mancato riscontro.

Esito del provvedimento

Il Garante ha dichiarato l’illiceità del trattamento ai sensi dell’art. 57, par. 1, lett. f), GDPR e ha ammonito l’Istituto, quale titolare del trattamento, ai sensi dell’art. 58, par. 2, lett. b), GDPR, per la violazione dell’art. 12 GDPR in relazione all’art. 15 GDPR. Non sono state adottate ulteriori misure correttive, poiché la condotta aveva già esaurito i suoi effetti.

Criteri di valutazione e qualificazione della violazione

Nel valutare la misura da adottare, il Garante ha considerato che:

• si trattava di un caso isolato;
• l’interessato non aveva lamentato conseguenze di danno derivanti dal ritardo;
• non risultavano precedenti violazioni pertinenti da parte del titolare;
• il titolare aveva cooperato con l’Autorità;
• le circostanze concrete inducevano a qualificare la violazione come "minore" ai sensi del considerando 148 GDPR e delle linee guida WP 253 sulle sanzioni amministrative pecuniarie.

In ragione di tali elementi, il Garante ha ritenuto sufficiente l’ammonimento, senza applicare sanzioni pecuniarie nel provvedimento in esame.

Indicazioni operative

Il provvedimento conferma che, in presenza di una richiesta ex art. 15 GDPR, il titolare deve gestire tempestivamente l’istanza come diritto di accesso ai dati personali, distinguendola dall’accesso documentale previsto dalla legge n. 241/1990 o da altre discipline speciali. La ripetitività di richieste formulate in altri contesti non consente, di per sé, di omettere o ritardare il riscontro a un’istanza GDPR, salvo che ricorrano i presupposti effettivi di cui all’art. 12, par. 5, GDPR.