Civile

Con il presente contributo si intende illustrare il delicato (e, a tratti, controverso) rapporto, l’interdisciplinarietà e l’interconnessione tra il diritto di accesso (nelle sue differenti articolazioni) e la tutela della privacy.

1. Accesso civico documentale, accesso civico semplice, accesso civico generalizzato, ed accesso ai dati personali.

1.1. L’art. 22 comma 1) lettera a) della Legge n. 241/1990 (disposizione normativa da leggersi, assieme, al DPR n. 184/2006), così come modificata dalla Legge n. 15/2005, definisce l’accesso civico documentale[1] come il “diritto degli interessati di prendere visione e di estrarre copia di documenti amministrativi”, specificando che per “interessati” debbano intendersi “tutti i soggetti privati, compresi quelli portatori di interessi pubblici o diffusi, che abbiano un interesse diretto, concreto e attuale, corrispondente ad una situazione giuridicamente tutelata e collegata al documento al quale è chiesto l’accesso” (cfr. art. 22 comma 1) lettera b) della Legge n. 241/1990).

Una volta ricevuta l’istanza (che deve essere motivata), l’organizzazione/ente, in qualità di soggetto che ha formato il documento ovvero che lo detiene stabilmente, è tenuta a rispondere entro il termine di 30 giorni, decorso il quale la richiesta si intende tuttavia automaticamente respinta (con conseguente facoltà, in capo al soggetto richiedente, di presentare un ricorso giurisdizionale o amministrativo avverso l’organizzazione/ente medesimo), previa analisi circa la sussistenza di “controinteressati”[2], da intendersi “tutti i soggetti, individuati o facilmente individuabili in base alla natura del documento richiesto, che dall’esercizio dell’accesso vedrebbero compromesso il loro diritto alla riservatezza” (cfr. art. 22 comma 1) lettera c) della Legge n. 241/1990), e fatte salve le eventuali esclusioni/limitazioni previste dall’art. 24[3] della Legge n. 241/1990[4].

1.2. Con l’emanazione del D.Lgs. n. 33 del 14.3.2013, così come modificato dal D.Lgs. n. 97 del 25.5.2016, è stata introdotta una definizione di principio generale di trasparenza[5] che va oltre quella contenuta nelle previgenti disposizioni normative, e sono state, altresì, previste ulteriori forme di accesso: l’accesso civico semplice e l’accesso civico generalizzato.

L’accesso civico semplice è disciplinato dall’art. 5 comma 1) del D.Lgs. n. 33/2013: “L’obbligo previsto dalla normativa vigente in capo alle pubbliche amministrazioni di pubblicare documenti, informazioni o dati comporta il diritto di chiunque di richiedere i medesimi, nei casi in cui sia stata omessa la loro pubblicazione”.

In buona sostanza, tale tipologia di accesso civico rimane circoscritto ai soli atti, documenti ed informazioni oggetto di pubblicazione, e costituisce un rimedio alla mancata osservanza degli obblighi di pubblicazione imposti dalla legge, sovrapponendo al dovere di pubblicazione il diritto del privato di accedere ai documenti, dati ed informazioni oggetto della relativa omissione/inadempienza: è un diritto a titolarità diffusa, attivabile da “chiunque”, non essendo sottoposto ad alcuna limitazione quanto alla legittimazione soggettiva e, infine, non richiedendo alcuna motivazione a supporto.

L’accesso civico generalizzato è, invece, disciplinato dall’art. 5 comma 2) del D.Lgs. n. 33/2013 (“Allo scopo di favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull’utilizzo delle risorse pubbliche e di promuovere la partecipazione al dibattito pubblico, chiunque ha diritto di accedere ai dati e ai documenti detenuti dalle pubbliche amministrazioni, ulteriori rispetto a quelli oggetto di pubblicazione ai sensi del presente decreto, nel rispetto dei limiti relativi alla tutela di interessi giuridicamente rilevanti secondo quanto previsto dall’articolo 5bis”), da leggersi inevitabilmente, in combinato (ed espresso) disposto, con i limiti prescritti dal successivo art. 5bis[6].

Al pari dell’accesso civico semplice, anche l’accesso civico generalizzato è un diritto a titolarità diffusa, attivabile da “chiunque”, non essendo sottoposto ad alcuna limitazione quanto alla legittimazione soggettiva e, infine, non richiedendo alcuna motivazione a supporto. Infine, il procedimento di ambedue le sopra descritte tipologie di accesso[7] deve “concludersi con provvedimento espresso e motivato nel termine di trenta giorni dalla presentazione dell’istanza con la comunicazione al richiedente e agli eventuali controinteressati” (cfr. art. 5 comma 6) del D.Lgs. n. 33/2013).

1.3. Sebbene sia diverso dal diritto di accesso documentale, dal diritto di accesso civico semplice e dal diritto di accesso civico generale, il diritto di accesso ai dati personali, disciplinato dall’art. 15[8] del GDPR (da leggersi, assieme, all’art. 12 paragrafo 3)[9] del GDPR), è strettamente collegato, al pari degli altri diritti sopra descritti, al principio di trasparenza, da intendersi, nel caso di specie, quale onere di fornire le comunicazioni, rivolte all’interessato cui si riferiscono i dati personali e il relativo loro trattamento, in modo conciso, trasparente, intellegibile, facilmente accessibile, analitico, granulare e, infine, utilizzando un linguaggio semplice e chiaro (art. 5 paragrafo 1) lettera a)[10], e Considerando n. 58[11] del GDPR).

2. L’accesso ai documenti sanitari.

2.1. Delineata la disciplina relativa all’accesso ai documenti amministrativi e ai dati personali, occorre ora occuparsi del diritto di accesso ai documenti sanitari previsto dall’art. 4 comma 2) della Legge Gelli-Bianco, il quale prevede che le prestazioni sanitarie, erogate dalle strutture pubbliche e/o private, siano soggette al rispetto dell’obbligo di trasparenza, al punto che “La direzione sanitaria della struttura pubblica o privata, entro sette giorni dalla presentazione della richiesta da parte degli interessati aventi diritto, in conformità alla disciplina sull’accesso ai documenti amministrativi, e a quanto previsto dal codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196, [n.d.r.: da intendersi comprensivo anche del GDPR], fornisce la documentazione sanitaria disponibile relativa al paziente, preferibilmente in formato elettronico; le eventuali integrazioni sono fornite, in ogni caso, entro il termine massimo di trenta giorni dalla presentazione della suddetta richiesta…”.

In proposito, si rileva che esso non è riconducibile né all’acceso ai documenti amministrativi né all’accesso civico, né, tantomeno, all’accesso ai dati personali ai sensi del GDPR: per quanto riguarda i primi due, risulta differente il campo di applicazione soggettivo della legge in commento, applicabile, come già anticipato, soltanto nei confronti delle strutture sanitarie pubbliche e/o private; per quanto riguarda invece la disciplina privacy, si precisa che, sebbene la documentazione sanitaria cui si chiede l’accesso contenga, al suo interno, dati personali e dati personali cd. particolari, l’art. 15 del GDPR e l’art. 4 comma 2) della Legge Gelli-Bianco hanno, invero, ratio differenti.

Infatti, mentre il primo permette l’accesso ai dati personali all’interessato in virtù del (già citato) principio di trasparenza del trattamento effettuato dal titolare ed al fine di consentire un controllo dell’interessato sui dati che lo riguardano, diversamente, la norma sull’obbligo di trasparenza delle prestazioni sanitarie fornisce agli aventi diritto un accesso alla documentazione sanitaria per consentire la valutazione delle prestazioni sanitarie, anche in un ottica risarcitoria: in tal senso, la disciplina privacy si pone, dunque, come limite all’esercizio del diritto di accesso alla documentazione sanitaria.

3. Normativa privacy quale baluardo al diritto di accesso alla documentazione sanitaria.

3.1. Alla luce di una interpretazione logico-sistematica del complesso di norme qui prese in esame, non vi è dubbio alcuno che, come anticipato, la protezione dei dati personali si connota come il limite con cui devono essere bilanciati i diritti di informazione sulla documentazione sanitaria (o comunque contenente, al suo interno, dati relativi alla salute ex art. 4 n. 15)[12] del GDPR).

Tali limitazioni non riguardano, ovviamente, il caso in cui a richiedere l’accesso alla documentazione sanitaria sia il soggetto cui si riferiscono i dati personali ivi contenuti[13] (o altro soggetto da quest’ultimo delegato per iscritto), quanto, piuttosto, il caso in cui l’accesso sia richiesto da soggetti terzi: la ratio di tali limiti è, infatti, da ricercare nel fatto che i dati personali relativi allo stato di salute dell’interessato sono oggetto di una speciale protezione nell’ordinamento nazionale ed europeo, così come emerge chiaramente dall’art. 9 paragrafo 1)[14] del GDPR.

Queste limitazioni si rinvengono, da un lato, nel novellato art. 60[15] del Codice Privacy (“Quando il trattamento concerne dati genetici, relativi alla salute, alla vita sessuale o all’orientamento sessuale della persona, il trattamento è consentito se la situazione giuridicamente rilevante che si intende tutelare con la richiesta di accesso ai documenti amministrativi, è di rango almeno pari ai diritti dell’interessato, ovvero consiste in un diritto della personalità o in un altro diritto o libertà fondamentale”) e, dall’altro lato, nell’art. 92 comma 2) del Codice Privacy (“Eventuali richieste di presa visione o di rilascio di copia della cartella e dell’acclusa scheda di dimissione ospedaliera da parte di soggetti diversi dall’interessato possono essere accolte, in tutto o in parte, solo se la richiesta è giustificata dalla documentata necessità: a) di esercitare o difendere un diritto in sede giudiziaria ai sensi dell’articolo 9, paragrafo 2, lettera f), del Regolamento, di rango pari a quello dell’interessato, ovvero consistente in un diritto della personalità o in un altro diritto o libertà fondamentale; b) di tutelare, in conformità alla disciplina sull’accesso ai documenti amministrativi, una situazione giuridicamente rilevante di rango pari a quella dell’interessato, ovvero consistente in un diritto della personalità o in un altro diritto o libertà fondamentale”).

3.2. Interpretando l’art. 4 della Legge n. 24/2017 (ovvero qualsivoglia disposizione normativa, sopra illustrata, che disciplina il diritto di accesso, nelle sue varie forme) alla luce dell’art. 9 del GDPR, e degli artt. 2 septies[16], 60 e 92 del Codice Privacy, è possibile circoscrivere la duplice limitazione che la disciplina privacy impone al diritto di accesso di soggetti terzi alla documentazione sanitaria.

In primo luogo, l’organizzazione/ente dovrà effettuare una concreta valutazione del “rango” del diritto del terzo richiedente l’accesso alla documentazione sanitaria, utilizzando come parametro di raffronto non il diritto di azione e difesa, che pure è costituzionalmente garantito, quanto il diritto sottostante che il terzo intende far valere sulla base della documentazione sanitaria che chiede di conoscere: tale sottostante diritto può essere ritenuto di pari rango rispetto al diritto alla privacy dell’interessato solo se fa parte della categoria dei diritti della personalità o è, almeno, annoverabile tra i diritti e le libertà fondamentali (ora, non più anche inviolabili) di cui gode il terzo[17].

In secondo luogo, in virtù del principio di minimizzazione dei dati ex art. 5 paragrafo 1) lettera c)[18] del GDPR, l’organizzazione/ente dovrà verificare, anche ai fini dell’accoglimento solo parziale dell’istanza, se taluni o tutti i dati personali relativi alla salute oggetto di richiesta siano effettivamente necessari allo scopo perseguito dal terzo istante.

4. I soggetti aventi diritto.

4.1. Al fine di identificare i soggetti legittimati all’esercizio del diritto di accesso ex Legge n. 24/2017 alla documentazione sanitaria detenuta dall’organizzazione/ente nell’esercizio di un’attività sanitaria/socio-sanitaria ovvero al fine di identificare i soggetti legittimati all’esercizio del diritto di accesso ai sensi della Legge n. 241/1990 e/o ai sensi del Decreto Trasparenza detenuta dall’organizzazione/ente nell’esercizio di un’attività di pubblico interesse ovvero al fine di identificare i soggetti legittimati all’esercizio del diritto di accesso ex art. 15 del GDPR della documentazione detenuta da un’organizzazione/ente, occorre effettuare una interpretazione logico-sistematica del complesso delle disposizioni normative applicabili, a vario titolo, alla fattispecie in esame, anche alla luce delle norme del Codice Civile: a tal fine, si possono dividere gli aventi diritto in tre differenti gruppi: i soggetti interessati; i soggetti che agiscono per conto o con delega di questi ultimi; i terzi.

Per quanto riguarda i primi, non vi è dubbio che l’accesso possa essere esercitato dal soggetto cui la documentazione si riferisce, ovverosia dall’interessato, così come definito all’art. 4 n. 1)[19] del GDPR.

Per quanto concerne, invece, i soggetti che possono esercitare il diritto di accesso per conto o con delega dell’interessato, si ritiene che essi possano essere agevolmente identificati alla luce della disciplina privacy e del Codice Civile, Libro I).

Infine, per quanto riguarda il terzo avente diritto ad accedere alle documentazione detenuta, a vario titolo, dall’organizzazione/ente, esso deve essere identificato alla luce della normativa (di settore) applicabile in ogni singolo e specifico caso (ossia: Legge n. 241/1990; Decreto Trasparenza; Legge n. 24/2017), nel rispetto delle limitazioni (sopra) prescritte dalla disciplina privacy.