Commento a CGUE, Prima Sezione, 26 ottobre 2023, C-307/22, FT
a cura di Alessio Barpi[1]
Abstract – Italiano
Con la sentenza 26 ottobre 2023, causa C-307/22, la Corte di Giustizia dell’Unione Europea ha affrontato tre questioni centrali in tema di diritto di accesso ai dati personali contenuti nella cartella medica. In primo luogo, ha statuito che il diritto del paziente a ottenere una prima copia gratuita dei propri dati sussiste indipendentemente dallo scopo perseguito, anche quando la richiesta è finalizzata a far valere la responsabilità del medico e non a verificare la liceità del trattamento. In secondo luogo, ha dichiarato che l’art. 23, par. 1, lett. i), GDPR non consente a una normativa nazionale di addossare all’interessato i costi della prima copia al fine di tutelare gli interessi economici del titolare del trattamento. In terzo luogo, ha chiarito che il diritto di copia implica la consegna di una riproduzione fedele e intelligibile dell’insieme dei dati, che nel caso dei dati sanitari include in ogni caso la copia integrale della cartella medica contenente diagnosi, risultati di esami, pareri dei medici curanti, terapie e interventi praticati. La pronuncia, originata da un rinvio pregiudiziale del Bundesgerichtshof, produce ricadute immediate sull’ordinamento italiano, imponendo un ripensamento delle prassi che subordinano il rilascio gratuito della cartella clinica a condizioni non previste dal regolamento.
Abstract – English
In its judgment of 26 October 2023, Case C-307/22, the Court of Justice of the European Union addressed three key issues concerning the right of access to personal data contained in medical records. First, it held that the patient’s right to obtain a first copy free of charge exists regardless of the purpose pursued, even when the request is aimed at establishing the physician’s liability rather than verifying the lawfulness of the processing. Second, it declared that Article 23(1)(i) GDPR does not allow national legislation to impose the costs of the first copy on the data subject in order to protect the economic interests of the controller. Third, it clarified that the right to obtain a copy entails the delivery of a faithful and intelligible reproduction of all such data, which in the case of health data includes in any event the right to obtain a full copy of the medical records containing diagnoses, test results, opinions of treating physicians, and any therapies or interventions performed. The ruling, which originated from a preliminary reference by the Bundesgerichtshof, has immediate implications for the Italian legal system, requiring a reassessment of practices that make the free release of medical records subject to conditions not provided for by the Regulation.
Sommario: §1.) Il caso concreto: la richiesta del paziente e il rifiuto del medico; §2.) La prima questione: l’irrilevanza dello scopo della richiesta di accesso; §3.) La seconda questione: i limiti alla deroga nazionale ex art. 23 GDPR e la tutela degli interessi economici del titolare; §4.) La terza questione: la nozione di «copia» e il contenuto del diritto di accesso alla cartella medica; §5.) L’impatto sull’ordinamento italiano: tra GDPR, Codice della privacy e Legge Gelli-Bianco; §6.) Considerazioni conclusive.
§1.) Il caso concreto: la richiesta del paziente e il rifiuto del medico
La vicenda trae origine da una controversia tra un paziente (DW) e il suo medico dentista (FT) in Germania. DW, sospettando errori nel trattamento odontoiatrico ricevuto, chiedeva la consegna gratuita di una prima copia della propria cartella medica. Il medico subordinava l’adempimento al pagamento delle spese, come previsto dall’art. 630g, par. 2, seconda frase, del Bürgerliches Gesetzbuch (BGB), che pone a carico del paziente i costi sostenuti dal professionista per la riproduzione della documentazione.
Sia in primo grado che in appello, i giudici tedeschi accoglievano la domanda del paziente, interpretando la normativa nazionale alla luce degli artt. 12, par. 5, e 15, parr. 1 e 3, GDPR. Il Bundesgerichtshof, investito del ricorso per cassazione, sollevava rinvio pregiudiziale alla Corte di Giustizia, articolando tre questioni interpretative di notevole rilievo sistematico.
§2.) La prima questione: l’irrilevanza dello scopo della richiesta di accesso
Il giudice del rinvio chiedeva se l’obbligo di fornire gratuitamente la prima copia operasse anche quando la richiesta è motivata da uno scopo — quale l’accertamento della responsabilità medica — diverso da quello enunciato dal considerando 63 GDPR, ossia «essere consapevole del trattamento e verificarne la liceità».
La Corte risponde in termini netti. L’analisi testuale degli artt. 12, par. 5, e 15, parr. 1 e 3, GDPR non subordina in alcun modo la gratuità della prima copia ai motivi addotti dall’interessato. Il titolare del trattamento non ha nemmeno il potere di chiedere le ragioni della richiesta (punto 38). Quanto al considerando 63, la Corte richiama la propria giurisprudenza costante: il preambolo di un atto dell’Unione non ha valore giuridico vincolante e non può essere invocato per derogare alle disposizioni dell’atto né per interpretarle in senso manifestamente contrastante con la loro formulazione (punto 44).
La ratio decidendi è rafforzata dal richiamo agli obiettivi del regolamento: il principio di gratuità della prima copia e l’assenza di obblighi motivazionali «contribuiscono necessariamente ad agevolare l’esercizio, da parte dell’interessato, dei diritti conferitigli dal RGPD» (punto 50). Subordinare l’accesso gratuito a un filtro teleologico vanificherebbe l’effetto utile del diritto, scoraggiando richieste legittime.
Il principio affermato è di portata generale, ma non equivale a una vera e propria actio popularis. La legittimazione a richiedere l’accesso resta infatti riservata all’interessato: solo chi è titolare dei dati può agire, non chiunque lo desideri. Quello che la Corte esclude non è la legittimazione, ma l’onere di motivarla: il titolare del trattamento non può chiedere le ragioni della richiesta, né sindacarne lo scopo. Il diritto di accesso ex art. 15 GDPR è dunque un diritto acausale — libero da qualsiasi filtro motivazionale — ma non un diritto aperto a chiunque.
§3.) La seconda questione: i limiti alla deroga nazionale ex art. 23 GDPR e la tutela degli interessi economici del titolare
La seconda questione — articolata in tre sotto-quesiti — investe il rapporto tra la disciplina uniforme del GDPR e le normative nazionali che pretendano di limitare il diritto di accesso gratuito.
Sull’applicabilità dell’art. 23 GDPR a normative anteriori. La Corte esclude che l’art. 23, par. 1, GDPR contenga una riserva temporale: la formulazione non distingue tra misure legislative anteriori o successive all’entrata in vigore del regolamento. Una normativa nazionale previgente può dunque rientrare nell’ambito applicativo della disposizione, purché soddisfi tutte le condizioni da essa prescritte (punto 56).
Sulla nozione di «diritti e libertà altrui» ex art. 23, par. 1, lett. i). Qui la risposta è negativa e recisa. Il regime tariffario tedesco persegue una finalità di tutela degli interessi economici dei professionisti sanitari, dissuadendo i pazienti da richieste di copia «inutili». Ma — osserva la Corte — considerazioni di ordine puramente economico non integrano i «diritti e libertà altrui» idonei a giustificare una compressione del diritto di accesso. Il legislatore europeo ha già bilanciato gli interessi economici dei titolari del trattamento, prevedendo all’art. 12, par. 5, e all’art. 15, par. 3, seconda frase, GDPR le uniche ipotesi in cui è ammesso il pagamento: richieste manifestamente infondate o eccessive e copie ulteriori rispetto alla prima (punti 64-67).
Sulla proporzionalità della normativa tedesca. L’addebito sistematico dei costi al paziente, «indipendentemente dalle circostanze concrete del caso di specie» e senza tener conto dell’importo effettivo dei costi, è giudicato sproporzionato. Una simile misura «porta a scoraggiare non soltanto le richieste inutili, ma anche le richieste dirette ad ottenere per un motivo legittimo una prima copia» (punto 65), violando il nucleo essenziale del diritto.
§4.) La terza questione: la nozione di «copia» e il contenuto del diritto di accesso alla cartella medica
La terza questione tocca il profilo più delicato e operativo: cosa deve essere materialmente consegnato al paziente? Una sintesi dei dati? Una copia dei soli dati personali in quanto tali? O l’intera cartella clinica?
La Corte riprende e sviluppa il proprio precedente Österreichische Datenschutzbehörde e CRIF (C-487/21), secondo cui il termine «copia» non designa un documento in quanto tale, ma i dati personali che esso contiene, i quali devono essere completi. La copia deve presentare tutte le caratteristiche che consentano all’interessato di esercitare effettivamente i propri diritti: deve quindi riprodurre integralmente e fedelmente i dati.
Il principio è poi calibrato sul dato sanitario. La sensibilità dei dati relativi alla salute impone che l’accesso avvenga «nel modo più completo e preciso possibile, ma anche intelligibile» (punto 77). Per risultati di esami, pareri di medici curanti, terapie e interventi — che comprendono «numerosi dati tecnici, o addirittura immagini» — una mera sintesi o compilazione da parte del medico «potrebbe creare il rischio che taluni dati pertinenti siano omessi o riprodotti in modo inesatto» (punto 78).
La massima di diritto che ne deriva è la seguente: il diritto di cui all’art. 15, par. 3, GDPR implica la consegna di una riproduzione fedele e intelligibile dell’insieme dei dati; nel rapporto medico-paziente, ciò include in ogni caso il diritto di ottenere copia integrale dei documenti contenuti nella cartella medica (diagnosi, risultati di esami, pareri dei medici curanti, terapie e interventi praticati), senza che il sanitario possa sostituirli con una propria rielaborazione sintetica.
§5.) L’impatto sull’ordinamento italiano: tra GDPR, Codice della privacy e Legge Gelli-Bianco
La sentenza C-307/22 produce effetti diretti nell’ordinamento italiano, che conosce un articolato quadro normativo sul diritto di accesso alla documentazione sanitaria.
L’art. 92 del d.lgs. 196/2003 (Codice della privacy), come modificato dal d.lgs. 101/2018, disciplina la cartella clinica prevedendo — al comma 2 — che le richieste di accesso di soggetti diversi dall’interessato siano ammesse solo per far valere un diritto in sede giudiziaria o per tutelare una situazione giuridicamente rilevante. La disposizione, tuttavia, nulla dice sui costi, poiché la materia è interamente governata dal principio di gratuità sancito dall’art. 12, par. 5, GDPR.
Quanto alla Legge 8 marzo 2017, n. 24 (c.d. Gelli-Bianco), l’art. 4 impone alle strutture sanitarie pubbliche e private di fornire la documentazione sanitaria entro sette giorni dalla richiesta, «nel rispetto del codice in materia di protezione dei dati personali». Il rinvio è ora da intendersi al GDPR. La gratuità della prima copia discende direttamente dall’art. 12, par. 5, GDPR, senza che la normativa nazionale possa opporvi deroghe fondate su ragioni di sostenibilità economica della struttura.
L’art. 2-undecies del Codice della privacy — introdotto dal d.lgs. 101/2018 — prevede limitazioni ai diritti dell’interessato per finalità specifiche (riciclaggio, investigazioni difensive, stabilità finanziaria), ma nessuna di esse contempla la tutela degli interessi economici del titolare del trattamento.
In sintesi, dopo la sentenza C-307/22, il quadro italiano può così ricostruirsi:
- la prima copia della cartella clinica (e, più in generale, dei dati personali trattati) deve essere fornita gratuitamente;
- la richiesta non deve essere motivata e il titolare non può sindacare lo scopo;
- l’oggetto della consegna è la copia integrale dei documenti, non una sintesi o una compilazione;
- eventuali costi possono essere addebitati solo per copie ulteriori alla prima o in caso di richieste manifestamente infondate o eccessive, con onere probatorio a carico del titolare.
§6.) Considerazioni conclusive
La sentenza C-307/22 si segnala per la chiarezza con cui la Corte di Giustizia ha tracciato i confini del diritto di accesso ai dati personali in ambito sanitario, chiudendo ogni spazio a tre tentazioni ricorrenti nella prassi: interrogare il paziente sulle ragioni della richiesta, addebitargli i costi della prima copia, e consegnargli una sintesi in luogo del documento integrale.
Sul piano pratico, le ricadute per i professionisti e le strutture sanitarie italiane sono immediate: la gratuità della prima copia è regola inderogabile, il diniego o il differimento fondato su motivi economici espone a procedimenti dinanzi al Garante privacy e al risarcimento del danno ex art. 82 GDPR, e la consegna di estratti parziali o rielaborati non soddisfa l’obbligo di legge, potendo essere contestata come inadempimento.
Per l’avvocato che assiste il paziente, la sentenza offre un argomento formidabile: il diritto alla copia integrale e gratuita della cartella clinica è presidiato direttamente dal regolamento europeo, con effetto diretto verticale e — secondo la giurisprudenza della stessa CGUE — anche orizzontale, non essendo subordinato a condizioni nazionali più restrittive. Per l’avvocato che assiste la struttura sanitaria o il professionista, la pronuncia impone una revisione delle prassi organizzative e dei regolamenti interni, che non possono più prevedere tariffe fisse o forfettarie per il rilascio della prima copia, ma solo il recupero di costi amministrativi per copie eccedenti la prima o per richieste abusive, caso per caso e con onere motivazionale rafforzato.
[1] Contributo realizzato da Alessio Barpi, Dottore in Giurisprudenza (LMG/01) e in Servizi Legali all’Impresa e alla Pubblica Amministrazione – S.L.I.P.A. (L-14)
