Dati sanitari violati: cosa fare e quando spetta il risarcimento

Quando i dati sanitari vengono diffusi, persi o consultati da chi non ne ha titolo, la struttura sanitaria deve notificare la violazione al Garante entro 72 ore e, se il rischio per il paziente è elevato, avvisarlo senza ritardo. Il paziente può chiedere il risarcimento del danno, anche non patrimoniale, se dimostra di averlo subito (art. 82 del regolamento europeo 2016/679, GDPR).

I dati sulla salute sono tra le informazioni più delicate che esistano: una diagnosi resa nota senza consenso può incidere sul lavoro, sulle relazioni e sulla serenità della persona. Vediamo cosa si intende per violazione, cosa deve fare la struttura, cosa può fare il paziente e quando spetta il risarcimento.

In breve

• I dati relativi alla salute sono «categorie particolari» di dati (art. 9 GDPR) e non possono mai essere diffusi (art. 2-septies, comma 8, D.Lgs. 196/2003).
• In caso di violazione la struttura deve notificarla al Garante entro 72 ore (art. 33 GDPR) e comunicarla ai pazienti quando il rischio è elevato (art. 34 GDPR).
• Per il risarcimento la sola violazione non basta, ma non serve che il danno superi una soglia minima di gravità (Corte di giustizia UE, causa C-300/21, 4 maggio 2023).
• Reclamo al Garante e causa civile sono strade diverse e si possono valutare insieme.

Cosa si intende per violazione dei dati sanitari?

Una violazione dei dati personali, detta anche data breach, è un incidente di sicurezza che comporta la distruzione, la perdita, la modifica, la divulgazione o l’accesso non autorizzato ai dati. In sanità i casi più frequenti sono:

• referti consegnati alla persona sbagliata, anche via email o tramite portali online;
• accessi indebiti al dossier sanitario o al Fascicolo sanitario elettronico da parte di personale non coinvolto nella cura;
• attacchi informatici ai sistemi di un’azienda sanitaria, con blocco dei servizi o sottrazione di dati;
• diffusione di elenchi di pazienti, fotografie o informazioni cliniche, per esempio sui social;
• comunicazione della diagnosi a familiari o terzi senza che il paziente lo abbia voluto.

Su quest’ultimo punto la regola è chiara: è il paziente a decidere se e quali familiari o persone di fiducia possono ricevere le informazioni sulla sua salute, e la scelta va registrata in cartella (art. 1, comma 3, legge 219/2017).

Cosa deve fare la struttura sanitaria?

L’ospedale, l’ASP o la clinica sono titolari del trattamento e devono proteggere i dati con misure adeguate. Quando si verifica una violazione, il titolare deve notificarla al Garante entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile un rischio per i diritti delle persone, e deve documentarla in ogni caso (art. 33 GDPR).

Se la violazione presenta un rischio elevato, il titolare deve anche comunicarla ai pazienti senza ingiustificato ritardo, con un linguaggio semplice, indicando cosa è successo, le conseguenze probabili e le misure adottate (art. 34 GDPR). Ogni ente pubblico ha un responsabile della protezione dei dati (RPD), a cui il paziente può rivolgersi.

Per il Fascicolo sanitario elettronico (art. 12 D.L. 179/2012) e per il dossier sanitario delle strutture, le linee guida del Garante prevedono che il paziente possa sapere chi ha consultato i suoi dati e chiedere di oscurare determinate informazioni. Gli stessi principi valgono per la telemedicina e per gli strumenti di intelligenza artificiale usati nelle cure, trattati nell’articolo su telemedicina e responsabilità.

Cosa può fare il paziente dopo una violazione?

Chi riceve la comunicazione di una violazione, o la scopre da solo, può muoversi così:

1. Conserva le prove: comunicazione ricevuta, email, screenshot, nomi e date.
2. Esercita il diritto di accesso (art. 15 GDPR): chiedi al responsabile della protezione dei dati quali informazioni sono state coinvolte e, per i sistemi che lo consentono, chi le ha consultate.
3. Proteggi i tuoi account: cambia le credenziali dei portali sanitari e diffida di messaggi che chiedono dati o pagamenti, perché i dati sottratti vengono spesso usati per truffe online e phishing.
4. Valuta il reclamo al Garante e l’azione civile per il risarcimento.

Come si presenta il reclamo e come si sceglie tra Garante e giudice è spiegato nell’articolo sulla violazione della privacy e il reclamo al Garante. Per ottenere copia della propria documentazione clinica valgono le regole sulla cartella clinica.

Quando spetta il risarcimento e come si prova il danno?

Chi subisce un danno materiale o immateriale per una violazione del GDPR ha diritto al risarcimento dal titolare del trattamento, che si libera solo se dimostra che il fatto non gli è in alcun modo imputabile (art. 82 GDPR). La Corte di giustizia ha chiarito che la semplice violazione non basta: il danno va provato, ma non deve superare una soglia minima di gravità (sentenza del 4 maggio 2023, causa C-300/21).

Con la sentenza del 14 dicembre 2023 (causa C-340/21) la stessa Corte ha riconosciuto che anche il timore fondato di un uso illecito dei propri dati, dopo un attacco informatico, può costituire un danno immateriale, se l’interessato lo dimostra. In concreto contano la natura dei dati (una diagnosi psichiatrica o un’infezione hanno un peso diverso da una prenotazione), il numero di persone che li hanno visti e le conseguenze sulla vita della persona.

Il danno non patrimoniale viene liquidato in via equitativa dal giudice. La causa si propone davanti al tribunale ordinario; i criteri generali sulle voci di danno risarcibili in ambito sanitario sono nell’articolo su quali danni si possono chiedere.

Domande frequenti

Il medico può comunicare la mia diagnosi ai familiari?

Solo se tu lo vuoi: puoi indicare i familiari o una persona di fiducia autorizzati a ricevere le informazioni, e la scelta va annotata in cartella. Fuori dai casi di emergenza, comunicare la diagnosi a chi non hai indicato è una violazione.

Dopo un attacco informatico all’ASP ho diritto a un risarcimento automatico?

No. Bisogna dimostrare quali dati sono stati coinvolti e quale danno concreto è derivato, anche solo morale. Il reclamo al Garante, invece, non richiede la prova di un danno.

Posso sapere chi ha consultato il mio fascicolo sanitario?

Sì: per il Fascicolo sanitario elettronico e per i dossier sanitari delle strutture è previsto il diritto di conoscere gli accessi. Puoi chiederlo alla struttura o alla Regione, tramite il responsabile della protezione dei dati.

Se i tuoi dati sanitari sono stati diffusi o consultati senza titolo, lo studio può esaminare quanto accaduto e valutare le iniziative possibili. Riceve a Palermo e a Mussomeli: i recapiti sono nella pagina sedi e contatti.