Федеральный верховный суд Италии: отказ в платном предоставлении медицинской карты пациента

Provvedimento del 14 luglio 2026 [10292068]

g-docweb-display Portlet

Home Provvedimenti Ammonimento Provvedimento del 14 luglio 2026 [10292068]

Provvedimento del 14 luglio 2026 [10292068]

Ascolta

Menù azioni

Stampa Stampa e-mail facebook linkedin twitter

Ascolta

Stampa Stampa

Condividi e-mail facebook linkedin twitter

[doc. web n. 10292068]

Provvedimento del 14 luglio 2026

Registro dei provvedimenti

n. 526 del 14 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componenti e il dott. Luigi Montuori, Segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196) (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale reggente ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE la prof.ssa Ginevra Cerrina Feroni;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1 Origine dell’istruttoria preliminare

Con reclamo del XX, regolarizzato in data XX, a seguito di richiesta dell’Ufficio, il sig. XX ha rappresentato a questa Autorità di aver esercitato, nei confronti della Casa di Cura Sileno e Anna Rizzola S.p.A. (di seguito Casa di cura), i diritti di cui agli artt. da 15 a 22 del Regolamento e di non avere ricevuto un idoneo riscontro.

In particolare, il reclamante ha rappresentato che a fronte di una richiesta per ottenere la prima copia dei dati della propria cartella clinica, da rilasciarsi gratuitamente “(…) ai sensi del dispositivo GDPR ed della sentenza CGE-EU 2023:811, C 307/22 del 26/10/23”, la Casa di cura ha comunicato che non avrebbe fornito riscontro se non dietro pagamento.

1.2 L’attività svolta

In risconto all’invito ad aderire alle richieste del reclamante formulato dall’Ufficio, la Casa di cura, con nota del XX, ha rappresentato quanto segue: “(…) la documentazione (…) le verrà spedita all’indirizzo da Lei indicato nel relativo modulo. In ottemperanza all’invito del Garante del XX, non le verrà addebitato l’importo di €.30,00 originariamente richiesto a titolo di rimborso spese. Teniamo a precisare in proposito che la decisione di richiedere un corrispettivo per il rilascio della copia della cartella clinica, deriva dalla necessità di coprire le spese amministrative sostenute dal Titolare in termini di risorse lavorative dedicate, costi della riproduzione ecc. anche in ragione dell'esponenziale aumento delle richieste. Tale prassi, avallata anche dalla giurisprudenza amministrativa in materia di accesso agli atti, non intende ostacolare in alcun modo il legittimo diritto dell’interessato di accedere ai propri dati personali, né dà luogo ad alcun lucro o speculazione per il Titolare sul quale, allo stato, gravano i costi di una attività che, se gratuita per l’interessato, dovrebbe essere gratuita anche per il Titolare”.

Con nota del XX (prot. n. XX), l’Ufficio, per definire l’istruttoria ha chiesto al reclamante eventuali osservazioni in merito al citato riscontro fornito dalla struttura sanitaria. Con nota del XX, il reclamante ha osservato che, nonostante l’invio di un sollecito in data XX, il titolare non aveva ancora fornito riscontro.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE

2.1 Avvio del procedimento (art. 166, comma 5, del Codice)

In base all’esame degli elementi acquisiti nel corso delle attività sopra descritte e all’accertamento delle presunte violazioni, l’Ufficio con nota del XX (prot. n. XX), notificata ai sensi dell’art. 166, comma 5, del Codice, ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del titolare del trattamento invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con il predetto atto l’Ufficio ha notificato al titolare del trattamento la violazione dell’art. 12, parr. 3 e 5, in relazione all’art. 15 del Regolamento, per non aver fornito riscontro, nei termini previsti dalla normativa, alla richiesta di accesso ai dati personali contenuti nella propria cartella clinica e dunque al rilascio gratuito della prima copia dei dati personali contenuti nella cartella clinica, (cfr. Sentenza della Corte di Giustizia del 26 ottobre 2023, C-307/22).

2.2 Difese della parte (art. 166, comma 6, del Codice)

In data XX, la Casa di cura ha inviato una memoria difensiva, rappresentando, fra altro, che:

- “non ha mai opposto un diniego definitivo alla consegna della documentazione: ha, al contrario, avviato l’iter per l'evasione della richiesta sin dal XX e ha formalmente confermato la propria disponibilità a fornire gratuitamente la copia della cartella clinica con la nota del XX, inoltrata sia all'interessato sia all’ Autorità”;

- “esclude qualsiasi inadempienza dolosa. L’errata prassi di richiedere un corrispettivo per la prima copia della cartella clinica traeva origine da una consolidata consuetudine posta in essere da quasi tutte le strutture sanitarie, sia pubbliche che private, senza avvedersi della specifica e più favorevole disciplina introdotta dall’art. 15, par. 3, GDPR come interpretato dalla Corte di Giustizia dell’Unione europea con la sentenza del 26 ottobre 2023, C-307/22”;

- “Dopo l’invito ad aderire alla richiesta di accesso del XX (Prot. n.XX), infatti, ricevuto il parere favorevole da parte del Responsabile Protezione Dati, il Titolare ha subito avviato l’iter per la consegna della documentazione richiesta senza addebito del corrispettivo originariamente richiesto (30 €) motivata da spese amministrative sostenute e ad esse rapportata e comunque di entità tale non costituire un elemento disincentivante dell’esercizio del diritto di accesso”;

- “Non appena presa piena consapevolezza della situazione, la Casa di Cura ha (…) contattato (…) il sig. XX per garantirgli l’accesso immediato alla documentazione richiesta” inoltre ha provveduto alla “spedizione della copia integrale della cartella clinica all’indirizzo indicato dall’interessato, senza alcun addebito di costi” comunicando “(…) all’interessato e al Garante con nota del XX, (…) l’adempimento e rinunciato a qualsiasi richiesta di rimborso spese”:

- “La Casa di Cura allega ai presenti scritti difensivi copia della lettera di accompagnamento e della ricevuta di spedizione della documentazione consegnata all’interessato, a dimostrazione dell’avvenuta esecuzione dell'obbligo” avvenuta in data XX.

- “Già dal XX, la Casa di Cura aveva dedicato un’unità di personale specificamente all’estrazione e al rilascio delle copie delle cartelle cliniche, come risulta da apposita comunicazione della Direzione Sanitaria al medico competente”.

La Casa di cura ha inoltre descritto le misure organizzative implementate al fine di evitare il ripetersi di quanto accaduto. In particolare, è stato emesso un ordine di servizio che incarica espressamente il personale dedicato al riscontro delle richieste di accesso alla cartella clinica; è stata rivista la procedura aziendale sull’art. 15 del Regolamento e disposto un piano di formazione del personale rivolto a tutti i soggetti coinvolti nel processo, con specifico focus sui diritti degli interessati ex art. 15 GDPR e sulle nuove procedure.

La Casa di Cura ha inoltre evidenziato alcuni fattori al fine di ottenere una riduzione della sanzione. In particolare: l’“Assenza di dolo: la condotta è stata determinata da un errore interpretativo in buona fede, derivante dall’applicazione di prassi consolidate in ambito sanitario, non da una deliberata volontà di violare il RGPD; Soggetto non profit/ struttura sanitaria accreditata: la Casa di Cura opera nel settore sanitario con finalità di pubblico interesse e non persegue finalità lucrative con la gestione delle richieste di accesso; Violazione circoscritta a un unico interessato: la vicenda non ha avuto carattere seriale né ha coinvolto una pluralità di interessati; Piena collaborazione e assenza di pregiudizio concreto: la documentazione è stata infine consegnata al sig. XX, senza alcun costo; non risultano danni concreti subiti dall’interessato; Misure correttive immediate e strutturate: il Titolare ha reagito prontamente alla contestazione adottando un piano organico di misure preventive e correttive, con scadenze definite e supervisione del RPD; Attivazione preventiva del RPD: la Casa di Cura si era già dotata di un RPD e aveva già dedicato risorse specifiche alla gestione delle cartelle cliniche sin dal XX, a dimostrazione di un approccio non meramente formale alla compliance privacy”.

3. Valutazione dell’Autorità

Preso atto di quanto rappresentato nella documentazione in atti e nella memoria difensiva, si evidenzia che il trattamento dei dati personali deve avvenire nel rispetto della normativa applicabile in materia di protezione dei dati personali e, in particolare, delle disposizioni del Regolamento e del Codice e si osserva quanto segue.

L’interessato, ai sensi dell’art. 15, par. 3, in combinato disposto con l’art. 12, par. 5, del Regolamento ha diritto di ricevere gratuitamente la prima copia dei dati personali richiesti. Ciò entro il termine previsto dall’art. 12, par. 3 del Regolamento.

Con riferimento a tali disposizioni, la Corte di Giustizia UE nella sentenza 307/22 del 26 ottobre 2023, ha stabilito, fra altro, che “L’articolo 15, paragrafo 3, prima frase, del regolamento 2016/679 deve essere interpretato nel senso che: nell’ambito di un rapporto medico/paziente, il diritto di ottenere una copia dei dati personali oggetto di trattamento implica che sia consegnata all’interessato una riproduzione fedele e intelligibile dell’insieme di tali dati. Tale diritto presuppone quello di ottenere la copia integrale dei documenti contenuti nella sua cartella medica che contengano, tra l’altro, detti dati, qualora la fornitura di una siffatta copia sia necessaria per consentire all’interessato di verificarne l’esattezza e la completezza nonché per garantirne l’intelligibilità. Per quanto riguarda i dati relativi alla salute dell’interessato, tale diritto include in ogni caso quello di ottenere una copia dei dati della sua cartella medica contenente informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati al medesimo”.

A fronte dell’istanza dell’interessato, il quale ha richiesto la prima copia dei propri dati personali, contenuti nella cartella clinica richiamando espressamente non solo le disposizioni del Regolamento ma anche la sentenza della CGUE sopra citata, la Casa di cura, quale titolare del trattamento dei dati oggetto di reclamo, avrebbe dovuto fornire riscontro nei termini di cui all’art. 12, par. 3 del Regolamento, rilasciando allo stesso, gratuitamente, la prima copia integrale dei documenti contenuti nella sua cartella medica recanti i dati personali dell’interessato ai sensi degli artt. 12, par. 5 e 15, par. 3, del Regolamento e di quanto stabilito dalla citata Sentenza della Corte di giustizia. Ciò è avvenuto in data XX, non solo tardivamente, ma addirittura dopo la notifica della violazione da parte dell’Autorità, ai sensi dell’art. 166, comma 5 del Codice, con nota del XX (prot. n. XX).

Si rileva, dunque, che la Casa di Cura ha effettuato un trattamento di dati personali in violazione degli artt. 12, par. 3 e 5 e 15 del Regolamento avendo fornito riscontro alla richiesta di accesso ai dati del reclamante solo a seguito dell’avvio del presente procedimento sanzionatorio.

4. Conclusioni.

Alla luce di tali considerazioni, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dalla Casa di Cura per non aver fornito riscontro all’istanza di accesso ai dati personali del reclamante nei termini di cui all’art. 12, par. 3 in violazione dell’art. 12, parr. 3 e 5, in relazione all’art. 15 del Regolamento

Non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento, in quanto la condotta ha esaurito i suoi effetti per aver il titolare fornito riscontro all’interessato e rilasciato gratuitamente la prima copia integrale della cartella clinica.

Ciò premesso, tenuto conto che:

- dalle risultanze degli atti, il reclamo risulta essere l’unico pervenuto e la condotta della titolare del trattamento è priva di dolo;

- la responsabilità è riconducibile a un grado di colpa da valutarsi come lieve alla luce degli elementi che connotano la vicenda;

- il titolare del trattamento ha fornito riscontro, seppure tardivamente, al reclamante;

- non risultano precedenti violazioni pertinenti commesse dalla titolare del trattamento;

- il titolare ha adottato misure organizzative, volte ad evitare il ripetersi di quanto occorso.

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal “Gruppo di Lavoro Art. 29” il 3 ottobre 2017, WP 253 e fatte proprie dal Comitato europeo per la protezione dei dati con l’”Endorsement 1/2018” del 25 maggio 2018.

Si ritiene, pertanto, relativamente al caso in esame, che sia sufficiente ammonire la titolare del trattamento ai sensi degli artt. 58, par. 2, lett. b) e 83, par. 2, del Regolamento- Ricorrono, altresì, i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

Infine, copia del presente provvedimento è pubblicata sul sito web della scrivente Autorità, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019 .

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. a), del Regolamento, l’illiceità del trattamento effettuato dalla Casa di Cura Sileno e Anna Rizzola S.P.A., con sede legale in Venezia in via Gorizia 1, C.F.: 00188280275, per la violazione dell’art. 12, parr. 3 e 5, in relazione all’art. 15 del Regolamento nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, ammonisce il predetto titolare del trattamento per la violazione di cui sopra;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019;

d) ai sensi dell’art. 154-bis, comma 3, del Codice dispone la pubblicazione del provvedimento sul sito del Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’Autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 14 luglio 2026

IL PRESIDENTE

Stanzione

IL RELATORE

Cerrina Feroni

IL SEGRETARIO GENERALE

Montuori

Scheda

Doc-Web

10292068

Data

14/07/26

Argomenti

Sanità e ricerca scientifica

Stato di salute

Pazienti

Venezia

Tipologie

Ammonimento