Accesso cartelle cliniche: AEPD sfida il Supremo sulla privacy
- L'AEPD stabilisce che i pazienti hanno il diritto di conoscere l'identità dei professionisti che hanno consultato la loro storia clinica.
- Il Tribunale Supremo aveva precedentemente negato tale diritto, definendo i medici come personale autorizzato e non come destinatari dei dati.
- La tracciabilità dei log di accesso passa da buona pratica a requisito obbligatorio per i responsabili del trattamento.
- Qualsiasi limitazione all'identificazione del personale deve essere ora giustificata e documentata per iscritto dal centro sanitario.
Un paziente richiede di sapere esattamente chi ha aperto il suo fascicolo sanitario. Per anni, la risposta delle cliniche è stata una formula standard: i dati sono stati consultati dal personale medico e dal servizio di ammissione. Nessun nome, nessun cognome, solo categorie professionali. Questa cortina di anonimato amministrativo, che proteggeva il clinico nell'esercizio delle sue funzioni, è improvvisamente entrata in crisi.
Perché l'AEPD sfida il Tribunale Supremo?
Il conflitto nasce da due interpretazioni divergenti del Regolamento Generale sulla Protezione dei Dati (RGPD). Il 24 giugno 2026, il Tribunale Supremo spagnolo, con la sentenza 789/2026, ha stabilito che i pazienti non possiedono, come regola generale, il diritto di identificare i professionisti che hanno consultato legittimamente il loro storico clinico. La logica del Supremo è lineare: chi accede ai dati sotto l'autorità del responsabile del trattamento e seguendo le sue istruzioni non è un destinatario dei dati, ma un operatore interno.
Tuttavia, il 7 luglio 2026, l'Agencia Española de Protección de Datos (AEPD) ha diffuso un criterio opposto. Secondo l'Autorità, l'identificazione dei professionisti deve essere facilitata, a meno che non esistano ragioni giustificate per restringerla. Non si tratta di una nuova legge, ma di un'interpretazione amministrativa che sposta il baricentro della trasparenza. L'AEPD sostiene che l'interpretazione più conforme al diritto dell'Unione richieda che il diritto di accesso previsto dall'art. 15 del RGPD includa l'identificazione delle persone fisiche che hanno avuto accesso ai dati di salute.
Questa divergenza crea un vuoto di certezza giuridica. Mentre il Supremo si allinea alla dottrina del Tribunale di Giustizia dell'Unione Europea (TJUE) — in particolare alla sentenza C-579/21 del 22 giugno 2023 — l'AEPD anticipa uno standard di trasparenza più aggressivo. Il dibattito giuridico si concentra ora sulla compatibilità di queste due visioni, che potrebbero finire nuovamente davanti a un giudice.
La trappola del destinatario dei dati
Il punto nodale della disputa è la definizione tecnica di destinatario. L'articolo 15.1.c) del RGPD garantisce il diritto di conoscere i destinatari delle informazioni personali. Il Tribunale Supremo ha interpretato questo termine in modo restrittivo: il personale autorizzato che consulta i dati all'interno di un'organizzazione non diventa un destinatario per il solo fatto di aver effettuato l'accesso.
Analisi strategica: Per un imprenditore in ambito sanitario, questa distinzione è fondamentale. Se il medico non è un destinatario, il log di accesso è un dato interno di gestione. Se invece, come suggerisce l'AEPD, l'accesso implica una forma di ricezione del dato che deve essere trasparente al paziente, il log diventa un documento a disposizione dell'interessato. La trappola risiede nel fatto che molte organizzazioni hanno configurato i propri sistemi di gestione dati basandosi sulla prima interpretazione, considerandoli strumenti di controllo interno e non di trasparenza esterna.
Il rischio business è duplice: da un lato, l'esposizione dei dipendenti a richieste di spiegazioni dirette da parte dei pazienti; dall'altro, la sanzionabilità amministrativa per mancata trasparenza se l'AEPD dovesse prevalere definitivamente.
Chi ha guardato cosa?
Per rispondere a una richiesta di accesso secondo i nuovi criteri AEPD, il responsabile del trattamento non può più limitarsi a indicare le categorie di personale. La risposta deve essere granulare.
- Identità certa: Nome e cognome del professionista che ha effettuato l'accesso.
- Tempistica: Data e ora esatta della consultazione.
- Oggetto: Quali parti della storia clinica sono state visualizzate.
- Giustificazione: Documentazione scritta per ogni eventuale eccezione o limitazione all'identificazione.
La fine dell'anonimato amministrativo per i clinici
Per decenni, il medico ha operato in una sorta di zona grigia: l'accesso ai dati era tracciato per scopi di sicurezza, ma l'identità del medico restava schermata dietro l'istituzione ospedaliera. Questa lettura critica suggerisce che stiamo assistendo alla fine dell'anonimato amministrativo. La tracciabilità non è più solo un presidio di sicurezza informatica, ma un obbligo di trasparenza verso l'utente.
L'implicazione è che ogni click su una cartella clinica diventa un atto potenzialmente pubblico. Se un medico accede a un fascicolo senza una necessità clinica immediata o documentata, l'identificazione automatica fornita dal log lo espone direttamente a contestazioni legali da parte del paziente. La responsabilità si sposta dal piano organizzativo (la clinica che permette l'accesso) a quello individuale (il medico che effettua l'accesso).
Come aggiornare i log di accesso in clinica
Il passaggio da buona pratica a requisito obbligatorio impone un aggiornamento tecnico dei sistemi di gestione dei dati sanitari. Non basta più che il sistema registri che un accesso è avvenuto; deve farlo in modo che l'estrazione dei dati sia rapida e accurata per rispondere a una richiesta di accesso ex art. 15 RGPD.
Il dietro-le-quinte tecnico richiede che i responsabili sanitari implementino sistemi di logging che non siano semplici file di testo, ma database interrogabili che associno l'ID utente all'identità reale in modo univoco e non alterabile. Le linee guida operative suggeriscono che ogni limitazione all'identità debba essere fondata e documentata per iscritto dal responsabile. Questo significa che la clinica deve creare un protocollo di gestione delle eccezioni: se per motivi di sicurezza o privacy del lavoratore l'identità non può essere rivelata, tale decisione deve essere motivata in un documento ufficiale prima che la richiesta del paziente venga respinta.
Scenario futuro: l'integrazione di sistemi di auditing automatico che segnalino accessi anomali prima che il paziente ne faccia richiesta. Indicatore verificabile: l'adozione di software di Data Loss Prevention (DLP) specifici per il settore sanitario entro il 2027.
Tracciabilità sanitaria tra GDPR e responsabilità dei medici in Italia
Il caso spagnolo è un segnale d'allarme per il mercato europeo e, nello specifico, per le imprese sanitarie italiane. In Italia, la gestione dei dati sanitari è già soggetta a rigidi controlli, ma la tendenza verso una trasparenza totale sull'identità di chi accede ai dati è un trend in crescita.
L'allineamento tra l'interpretazione dell'AEPD e le possibili evoluzioni del Garante Privacy italiano potrebbe portare a una ridefinizione della responsabilità professionale. Se l'accesso ai dati diventa tracciabile e conoscibile dal paziente, il rischio di contenziosi per violazione della privacy aumenta esponenzialmente.
In un contesto di implementazione di AI Act e NIS2, la sicurezza dei dati sanitari non riguarda più solo la protezione contro gli attacchi esterni (cybersecurity), ma anche la governance interna degli accessi. Le imprese italiane devono considerare che la tracciabilità granulare sarà probabilmente l'unico modo per difendere l'organizzazione in caso di dispute: dimostrare che l'accesso è avvenuto per finalità di cura, in un orario coerente e da un terminale autorizzato, diventa l'unica difesa legale efficace.
'la trazabilidad pasa a ser la regla, no la excepción'
Per le aziende che forniscono software gestionali a cliniche e ospedali in UE, questo significa che la funzione di registro accessi non può più essere un modulo opzionale o semplificato, ma deve diventare il cuore della compliance GDPR per il settore health.
Domande frequenti
Il paziente ha sempre diritto a sapere quale medico ha visto i suoi dati?
Secondo l'AEPD sì, come regola generale. Tuttavia, il Tribunale Supremo spagnolo ha sostenuto che tale diritto non esiste automaticamente, a meno che non sia indispensabile per l'esercizio dei diritti RGPD.
Cosa deve fare una clinica per essere in regola con il criterio AEPD?
Deve implementare un registro di accessi dettagliato (chi, quando, cosa) e documentare per iscritto ogni singola eccezione che impedisca l'identificazione del personale.
Qual è la differenza tra destinatario e personale autorizzato secondo il Tribunale Supremo?
Il personale autorizzato che consulta i dati seguendo le istruzioni del responsabile non è considerato un destinatario dei dati ai sensi dell'art. 15.1.c) del RGPD.
Fonti: Confilegal, Elpais, Eleva ·
glacom · Refactoring glacom: il tuo programma di sempre, ricostruito con l'IA senza perdere niente →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
