Ordinanza ingiunzione o revoca n. 309 del 29/04/2026

Tirrenia Hospital S.r.l.: violazione dell’obbligo di garantire la comprensibilità della cartella clinica e sanzione pecuniaria

Il Garante per la protezione dei dati personali ha esaminato il reclamo presentato dal figlio di una paziente deceduta nei confronti di Tirrenia Hospital S.r.l., in relazione alla richiesta di trascrizione dattiloscritta della cartella clinica della madre. Il procedimento trae origine dalla lamentata mancata risposta alla richiesta di accesso e, soprattutto, dalla circostanza che la documentazione sanitaria risultava in parte illeggibile e non consentiva di identificare chiaramente gli autori delle annotazioni manoscritte.

Fatti e attività istruttoria

Il reclamante aveva chiesto alla struttura sanitaria la trascrizione comprensibile di tutto il contenuto della cartella clinica, ivi inclusa l’indicazione del nominativo del sanitario riferibile a ciascuna sottoscrizione o sigla. A seguito del reclamo, l’Ufficio del Garante ha chiesto informazioni al titolare del trattamento ai sensi dell’art. 157 del Codice privacy.

Nel corso dell’istruttoria, la struttura ha sostenuto che:

• l’attenzione era stata concentrata sulla correttezza dei contenuti clinici e terapeutici;
• i documenti originali, già in possesso del reclamante, riportavano firme, sigle o timbri idonei a garantire la rintracciabilità del personale;
• era stata impartita una disposizione interna urgente affinché, per il futuro, nelle trascrizioni fossero sempre riportati per esteso nome e cognome del personale sanitario quando firme o sigle risultassero ambigue;
• era stata predisposta un’integrazione della trascrizione con le generalità complete dei professionisti sanitari.

Il reclamante ha però ribadito che le trascrizioni ricevute non riportavano l’identificazione del personale medico autore delle annotazioni.

Quadro normativo richiamato

L’Autorità ha richiamato le definizioni di dato personale e di dato relativo alla salute contenute nell’art. 4, par. 1, nn. 1 e 15, del GDPR, e soprattutto l’art. 92, comma 1, del Codice privacy, che impone alle strutture sanitarie e socio-sanitarie, pubbliche e private, di adottare opportuni accorgimenti per assicurare la comprensibilità dei dati contenuti nella cartella clinica e per distinguere i dati del paziente da quelli di altri interessati.

Valutazioni del Garante

Sulla base della documentazione in atti, il Garante ha ritenuto accertato che la cartella clinica era stata redatta con grafia indecifrabile e con parti manoscritte incomprensibili, tanto che il reclamante aveva dovuto chiedere una trascrizione dattiloscritta. In tale contesto, l’Autorità ha concluso che la struttura sanitaria, quale titolare del trattamento, aveva violato l’art. 92, comma 1, del Codice privacy.

Il Garante ha tuttavia dato atto che la struttura aveva successivamente dattiloscritto la documentazione sanitaria e dichiarato di aver adottato accorgimenti migliorativi, inclusa l’indicazione per esteso dei nominativi del personale sanitario nelle future trascrizioni quando necessario.

Sanzione amministrativa e criteri di quantificazione

L’Autorità ha ritenuto che la violazione dell’art. 92, comma 1, del Codice fosse sanzionabile ai sensi dell’art. 83, par. 4, GDPR. Nel quantificare la sanzione, ha considerato i criteri di cui all’art. 83, par. 2, valorizzando in particolare:

• la gravità complessivamente lieve del caso;
• la natura isolata dell’episodio;
• l’assenza di dolo;
• l’avvenuta trascrizione della documentazione e l’adozione di misure preventive;
• la collaborazione del titolare con l’Autorità;
• la conoscenza della violazione avvenuta a seguito di reclamo.

Alla luce di tali elementi, la sanzione è stata determinata in euro 1.000,00.

Esito finale e disposizioni accessorie

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato da Tirrenia Hospital S.r.l. per la violazione dell’art. 92, comma 1, del Codice;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 1.000,00;
• ingiunto il pagamento entro 30 giorni dalla notificazione, con possibilità di definizione agevolata mediante pagamento della metà dell’importo entro il medesimo termine, ai sensi dell’art. 166, comma 8, del Codice;
• disposto la pubblicazione dell’ordinanza-ingiunzione sul sito internet del Garante e la pubblicazione del provvedimento sul sito dell’Autorità;
• disposto l’annotazione della violazione e delle misure adottate nel registro interno.

È inoltre indicata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dagli artt. 152 del Codice e 10 del d.lgs. n. 150/2011.