Prime copie gratuite: come il GDPR ha rivoluzionato l’accesso alle cartelle cliniche in Italia

Quando Marco, un paziente qualunque di Torino, ha chiesto la sua cartella clinica, si aspettava una semplice consegna. Invece si è trovato davanti a un conto e a un labirinto burocratico. Ma una decisione del 2023 della Corte di giustizia dell’Unione europea (CGUE) ha ribaltato questa prassi, stabilendo che, in base al GDPR, ogni cittadino italiano ha diritto a una prima copia gratuita dei propri dati medici personali. Il risultato? Un’impennata di richieste, confusione negli ospedali e un riflettore sulla lenta transizione italiana verso la sanità digitale.

Il terremoto legale: Europa contro la burocrazia nazionale

Fino a poco tempo fa, molti ospedali italiani facevano pagare ai pazienti fino a 30 € per una copia della cartella clinica, richiamandosi a norme nazionali. Ma il verdetto della CGUE dell’ottobre 2023 nella causa C-307/22 - innescato dal reclamo di un paziente tedesco - ha chiarito la questione: il diritto di accesso ai dati personali previsto dal GDPR prevale sulle regole locali in materia di tariffe. Non solo la prima copia deve essere gratuita, ma i pazienti non devono nemmeno giustificare perché vogliono i dati - anche se fosse per fare causa al medico. I tentativi di aggirare la regola etichettando le richieste come “accesso agli atti amministrativi” (che in Italia resta a pagamento) sono stati bocciati sia dal Garante per la protezione dei dati personali sia dai tribunali.

Ospedali sotto pressione: archivi cartacei e ritardi digitali

L’impatto è stato immediato. I pazienti, incoraggiati dalla copertura mediatica e dai gruppi di tutela, stanno inondando gli ospedali di richieste. Per i servizi sanitari pubblici a corto di risorse, è un grattacapo logistico e finanziario: il personale deve cercare, copiare e spedire talvolta centinaia di pagine - spesso recuperandole da archivi cartacei. Sebbene la legge distingua tra “dati personali” (gratuiti) e “documenti amministrativi” (a pagamento), nella pratica separarli è quasi impossibile, soprattutto nei fascicoli cartacei.

Conformità a macchia di leopardo e spinta verso la sanità digitale

Le indagini rivelano prassi incoerenti: in Piemonte, entro la metà del 2025, solo un’azienda sanitaria locale risultava pienamente conforme al nuovo regime. Le altre stanno ancora “valutando” modifiche, spesso in attesa dell’implementazione delle cartelle cliniche elettroniche. Il Garante italiano ha pubblicato nuove FAQ e ha chiesto con urgenza formazione del personale, automazione dei processi e digitalizzazione. Eppure, la maggior parte degli ospedali non dispone delle risorse o della tecnologia per un accesso elettronico senza attriti, il che significa che l’onere amministrativo - e il costo - resta elevato.

Cosa succede ora: opportunità o caos amministrativo?

Se da un lato la sentenza sul GDPR è una vittoria per i diritti dei pazienti, dall’altro mette a nudo profonde crepe nell’infrastruttura italiana dei dati sanitari. Gli esperti avvertono che, a meno che gli ospedali non ricevano finanziamenti e linee guida nazionali chiare, la nuova regola della “copia gratuita” potrebbe portare a ritardi, errori e costi maggiori - salvo che non acceleri riforme digitali attese da tempo. Per come sta la norma, gli ospedali devono adeguarsi, ma la vera prova sarà capire se l’Italia saprà trasformare questo obbligo legale in un’opportunità per una sanità più intelligente e accessibile.

Conclusione

La decisione storica della CGUE ha imposto una resa dei conti alla sanità italiana: i dati del paziente appartengono al paziente, non all’istituzione. Ma mentre le richieste aumentano e i sistemi analogici scricchiolano, l’Italia si trova davanti a una scelta - correzioni a macchia di leopardo o un salto deciso verso la sanità digitale. L’esito plasmerà non solo i carichi di lavoro amministrativi, ma la fiducia stessa tra i cittadini e il loro sistema sanitario.

WIKICROOK

• GDPR: Il GDPR è una rigorosa legge dell’UE e del Regno Unito che protegge i dati personali, imponendo alle aziende di gestire le informazioni in modo responsabile o di affrontare pesanti sanzioni.
• CGUE (Corte di giustizia dell’Unione europea): La CGUE è la massima corte dell’UE per l’interpretazione del diritto europeo, incluse decisioni chiave su cybersicurezza, privacy dei dati e conformità al GDPR.
• Titolare del trattamento: Il titolare del trattamento è la persona o l’organizzazione che decide come e perché i dati personali vengono trattati, assumendosi la principale responsabilità legale per il loro utilizzo.
• Interessato: L’interessato è un individuo i cui dati personali vengono raccolti, archiviati o trattati da organizzazioni, ed è protetto da leggi sulla privacy come il GDPR.
• Cartella clinica elettronica (EHR): Una cartella clinica elettronica (EHR) è una versione digitale sicura della cartella medica di un paziente, che archivia anamnesi, trattamenti e risultati degli esami.