Ammonimento n. 526 del 14/07/2026

Ammonimento a una casa di cura per accesso tardivo alla cartella clinica

Il provvedimento riguarda la Casa di Cura Sileno e Anna Rizzola S.p.A. e trae origine dal reclamo di un interessato relativo all’esercizio del diritto di accesso ai dati personali contenuti nella propria cartella clinica. L’interessato aveva chiesto la prima copia della documentazione senza corrispettivo, richiamando il GDPR e la sentenza della Corte di giustizia dell’Unione europea del 26 ottobre 2023, causa C-307/22.

Fatto e svolgimento dell’istruttoria

La casa di cura aveva comunicato inizialmente che il rilascio della documentazione sarebbe avvenuto solo previo pagamento di 30 euro, motivato dalle spese amministrative e di riproduzione. A seguito dell’invito del Garante ad aderire alla richiesta, la struttura ha dichiarato la propria disponibilità a trasmettere la cartella clinica senza addebito, sostenendo che la richiesta di pagamento derivava da una prassi consolidata nel settore sanitario e non aveva lo scopo di ostacolare l’esercizio del diritto di accesso.

L’interessato ha tuttavia segnalato di non avere ancora ricevuto la documentazione neppure dopo un sollecito. Il Garante ha quindi avviato il procedimento previsto dall’art. 166, comma 5, del Codice, invitando il titolare a presentare memorie e documenti o a chiedere di essere sentito.

Trattamenti e diritti esaminati

Il trattamento esaminato consisteva nella gestione della richiesta di accesso ai dati sanitari contenuti nella cartella clinica dell’interessato. La questione riguardava sia il rispetto del termine per il riscontro sia la gratuità della prima copia.

L’art. 12, paragrafo 3, GDPR impone al titolare di fornire informazioni sull’azione intrapresa a seguito della richiesta dell’interessato senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento della richiesta, salvo le ipotesi previste dalla norma. L’art. 12, paragrafo 5, stabilisce inoltre che l’esercizio dei diritti è gratuito, con possibilità di addebitare un contributo ragionevole o rifiutare la richiesta solo in caso di richieste manifestamente infondate o eccessive.

L’art. 15, paragrafo 3, riconosce all’interessato il diritto di ottenere una copia dei dati personali oggetto di trattamento. La prima copia deve essere rilasciata gratuitamente.

Sentenza della Corte di giustizia C-307/22

Il Garante ha richiamato la sentenza della Corte di giustizia del 26 ottobre 2023, causa C-307/22, secondo cui, nell’ambito del rapporto medico-paziente, il diritto di ottenere una copia dei dati personali comporta la consegna di una riproduzione fedele e intelligibile dell’insieme dei dati trattati.

Quando necessario per consentire all’interessato di verificarne l’esattezza e la completezza e per garantirne l’intelligibilità, il diritto comprende la copia integrale dei documenti contenuti nella cartella medica che riportano tali dati. Per i dati relativi alla salute, il diritto include in ogni caso la copia dei dati della cartella contenenti, tra l’altro, diagnosi, risultati degli esami, pareri dei medici curanti, terapie e interventi praticati.

Violazioni contestate e valutazione del Garante

La casa di cura avrebbe dovuto riscontrare la richiesta entro il termine dell’art. 12, paragrafo 3, GDPR e rilasciare gratuitamente la prima copia integrale dei documenti contenenti i dati personali dell’interessato, ai sensi degli artt. 12, paragrafo 5, e 15, paragrafo 3, GDPR.

Il riscontro è invece intervenuto soltanto dopo la notifica della violazione e l’avvio del procedimento sanzionatorio. L’Autorità ha pertanto ritenuto accertata la violazione degli artt. 12, paragrafi 3 e 5, in relazione all’art. 15 GDPR.

Le difese della struttura non hanno superato i rilievi, sebbene siano state considerate nella valutazione della gravità. In particolare, il fatto che non vi fosse un diniego definitivo, che la documentazione sia stata poi trasmessa gratuitamente e che la condotta derivasse da un errore interpretativo non elimina la violazione già consumata, consistente nel mancato riscontro tempestivo e nel ritardo nel rilascio della prima copia gratuita.

Difese e misure organizzative adottate

La casa di cura ha dichiarato di avere:

• avviato l’iter per la consegna della cartella clinica dopo l’intervento del Garante;
• trasmesso all’interessato la copia integrale della documentazione senza addebito;
• rinunciato al rimborso delle spese inizialmente richiesto;
• dedicato un’unità di personale all’estrazione e al rilascio delle copie delle cartelle cliniche;
• emanato un ordine di servizio per individuare il personale incaricato della gestione delle richieste di accesso;
• rivisto la procedura aziendale relativa all’art. 15 GDPR;
• predisposto un piano di formazione per il personale coinvolto, con particolare attenzione ai diritti degli interessati e alle nuove procedure;
• coinvolto il responsabile della protezione dei dati nella revisione della prassi.

Qualificazione come violazione minore

Il Garante ha ritenuto che ricorressero gli elementi per qualificare il caso come “violazione minore”, ai sensi del considerando 148 GDPR e delle “Linee guida riguardanti l’applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Articolo 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’Endorsement 1/2018 del 25 maggio 2018.

Sono stati considerati, in particolare:

• l’assenza di dolo;
• il grado di colpa lieve;
• il carattere isolato della violazione, risultando un solo reclamo;
• l’assenza di precedenti violazioni pertinenti;
• il successivo riscontro, seppure tardivo;
• la consegna gratuita della documentazione;
• l’adozione di misure organizzative finalizzate a prevenire il ripetersi dell’illecito.

Esito del procedimento

Il Garante ha dichiarato, ai sensi dell’art. 57, paragrafo 1, lettera a), GDPR, l’illiceità del trattamento effettuato dalla casa di cura per la violazione degli artt. 12, paragrafi 3 e 5, in relazione all’art. 15 GDPR.

Ai sensi dell’art. 58, paragrafo 2, lettera b), GDPR, ha ammonito il titolare del trattamento. Non è stata applicata una sanzione amministrativa pecuniaria. L’Autorità ha inoltre ritenuto non necessarie ulteriori misure correttive ai sensi dell’art. 58, paragrafo 2, GDPR, poiché la condotta aveva esaurito i propri effetti con il successivo riscontro e con il rilascio gratuito della prima copia integrale della cartella clinica.

Il provvedimento è stato pubblicato sul sito del Garante ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019.

Indicazioni operative

Il provvedimento conferma che le strutture sanitarie devono trattare le richieste di accesso alla documentazione clinica come esercizio del diritto di accesso previsto dal GDPR, distinguendolo dalle diverse discipline sull’accesso amministrativo o sul rilascio di documentazione sanitaria a fini amministrativi.

La prima copia dei dati personali deve essere fornita gratuitamente e il riscontro deve essere tempestivo. In ambito sanitario, la richiesta può comportare il rilascio della copia integrale della cartella clinica quando ciò sia necessario per rendere i dati fedeli, completi e intelligibili, e comunque per le informazioni sanitarie indicate dalla sentenza CGUE C-307/22.