Lo stabilisce la sentenza emessa dalla Corte di Giustizia dell’Unione Europea lo scorso 26 ottobre, nella causa C-307/22. In linea con quanto statuito dal Regolamento (UE) 2016/679 in tema di protezione dei dati personali (“GDPR” o “Regolamento”), il paziente ha diritto di ottenere una prima copia gratuita della propria cartella medica senza dover motivare le ragioni a fondamento dell’istanza. Il rimborso dei costi sostenuti può essere riscosso dal titolare del trattamento per le copie successive alla prima, soltanto se l’interessato ha già ottenuto gratuitamente una prima copia dei suoi dati e ne faccia nuovamente richiesta.
Il caso
La decisione della Corte di Giustizia è stata emessa in seguito ad una vicenda che ha avuto origine in Germania. Un paziente aveva chiesto al proprio medico dentista copia della cartella clinica, al fine di far valere la responsabilità di quest’ultimo per errori commessi nel prestargli le cure dovute; il medico, tuttavia, ai fini del rilascio della documentazione, chiedeva il rimborso delle spese sostenute, così come previsto dal diritto tedesco, e, in particolare, dall’art. 630g, paragrafo 2 seconda frase del “Bürgerliches Gesetzbuch”, codice civile tedesco (“BGB”), in forza del quale “il paziente deve rimborsare al professionista sanitario i costi sostenuti”, quando intenda fare accesso alle informazioni contenute nella propria cartella medica.
L’interessato, ritenendo di avere diritto ad ottenere una copia gratuita, in considerazione di quanto statuito dal GDPR, si è rivolto ai giudici tedeschi che tanto in primo quanto in secondo grado hanno accolto la domanda. Il dentista, nondimeno, ricorreva alla Corte federale di giustizia tedesca che - intervenuta nel merito - riteneva che la soluzione della controversia dipendesse innanzitutto dalla corretta interpretazione delle disposizioni del GDPR. Di qui, la sospensione del processo e il rinvio alla Corte di Giustizia dell’Unione Europea per l’esame delle seguenti questioni pregiudiziali:
- se l’obbligo scaturente dagli art. 12, par. 5, e 15, par. 1 e 3, del GDPR in capo al titolare del trattamento di fornire all’interessato, a titolo gratuito, una prima copia dei suoi dati personali gravi anche nel caso in cui tale richiesta sia motivata da uno scopo diverso da quelli di cui al considerando 63 del GDPR (essere consapevole del trattamento dei dati e verificarne la liceità); nel caso di specie, le ragioni a fondamento della richiesta erano di natura difensiva; il paziente, infatti, intendeva far valere la responsabilità medica del dentista;
- se l’art. 23, paragrafo 1, lettera i), del GDPR possa essere interpretato nella misura in cui sia consentita l’applicabilità della normativa nazionale adottata prima dell’entrata in vigore del Regolamento; nel caso in esame, infatti, le norme del BGB erano efficaci già precedentemente all’applicazione effettiva del Regolamento nell’Unione Europea;
- se l’obbligo di cui all’articolo 15, paragrafo 3, presuppone che sia consegnata all’interessato una copia integrale dei documenti contenuti nella sua cartella medica o soltanto una sintesi degli stessi, lasciando al medico che tratta i dati la decisione circa le modalità di compilazione di dati e informazioni utili per l’interessato.
I principi di diritto enunciati dalla Corte di Giustizia dell’Unione Europea
A fronte delle argomentazioni enunciate dalle parti coinvolte, i giudici di Lussemburgo hanno colto l’occasione per interpretare i dettami del GDPR in materia di diritto di accesso e riscontro alle istanze degli interessati. Più precisamente, la Corte ha evidenziato che, rispetto alla prima questione, il combinato disposto degli art. 12, par. 5, e 15, par. 1 e 3, deve essere interpretato nel senso che “l’obbligo di fornire all’interessato, a titolo gratuito, una prima copia dei suoi dati personali oggetto di trattamento grava sul titolare del trattamento, anche qualora tale richiesta sia motivata da uno scopo estraneo a quelli indicati al considerando 63 del GDPR”, come nel caso di specie, essendo la finalità perseguita dall’interessato (far valere la responsabilità medica) non espressamente rientrante nella lettera del considerando summenzionato. Secondo i principi generali ricavabili dal GDPR sul punto, l’esercizio del diritto di accesso ai dati e alle informazioni non solo non va motivato ma deve anche essere ritenuto gratuito, potendo comportare delle spese, soltanto quando il titolare del trattamento, tenendo conto dei costi amministrativi, scelga di addebitare un costo ragionevole o di rifiutare di soddisfare una richiesta, quando appaia «manifestamente infondata» o «eccessiva», a causa del carattere ripetitivo; elementi che la Corte ha riconosciuto non ricorrenti nel caso di specie.
Con riferimento alla seconda questione, i giudici hanno ritenuto che l’articolo 23, paragrafo 1, lettera i), del GDPR deve essere interpretato nel senso che una normativa nazionale adottata prima dell’entrata in vigore del Regolamento può rientrare nell’ambito di applicazione di detta disposizione, purché la detta normativa nazionale soddisfi i requisiti prescritti dall’art. 23. Questo significa che il perseguimento dell’obiettivo connesso alla tutela degli interessi economici dei professionisti sanitari non può giustificare una misura che porti a rimettere in discussione il diritto di ottenere, a titolo gratuito, una prima copia e, in tal modo, l’effetto utile del diritto di accesso dell’interessato ai suoi dati personali oggetto di trattamento. In buona sostanza, la facoltà concessa dal diritto nazionale ai professionisti non consente di porre a carico dell’interessato le spese di una prima copia dei suoi dati personali oggetto di trattamento.
Per quel che concerne poi la terza ed ultima questione pregiudiziale, secondo quanto asserito dalla CGUE, l’articolo 15, paragrafo 3, prima frase, del GDPR deve essere interpretato nel senso che, nell’ambito di un rapporto medico/paziente, il diritto di ottenere una copia dei dati personali oggetto di trattamento implica che sia consegnata all’interessato una riproduzione fedele e intelligibile dell’insieme di tali dati che consenta all’interessato di verificarne l’esattezza e la completezza. Per quanto riguarda i dati relativi alla salute dell’interessato, tale diritto include in ogni caso quello di ottenere una copia dei dati della sua cartella medica contenente informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati al medesimo.
Conclusioni
L’interpretazione fornita dai giudici di Lussemburgo rappresenta un punto di riflessione per il contemperamento tra le norme di diritto nazionale e quelle indicate dal GDPR, dal momento che le istanze degli interessati, pur non rappresentando manifestazioni di diritto assoluto, abbisognano di essere concretamente valutate nelle loro peculiarità, con il fine di garantire il controllo sui propri dati e l’esercizio agevole dei propri diritti
Avv. Rossella Bucca e Dott.ssa Rossella Taddei
