La trasparenza amministrativa come accessibilità dei dati e documenti detenuti dalla Pubblica Amministrazione: il caso della cartella clinica

La normativa sugli obblighi di trasparenza di cui al d.lgs. n. 33/2013, è applicabile anche alle strutture sanitarie sulla base di quanto disposto dall' art. 2 bis n.3, secondo periodo, anche accreditate. Queste, come gli altri enti della P.A., hanno l'obbligo di pubblicazione di alcuni dati e documenti sul sito aziendale, sezione amministrazione trasparente, e devono consentire l'accesso al cittadino per garantire il principio già citato del giusto procedimento.

Il diritto di accesso non deve confliggere col diritto alla riservatezza, essendoci di mezzo dati sanitari. Come in precedenza accennato, sono dati personali le informazioni che identificano o rendono identificabile, direttamente o indirettamente, una persona fisica e che possono fornire informazioni sulle sue caratteristiche, le sue abitudini, il suo stile di vita, le sue relazioni personali, il suo stato di salute, la sua situazione economica, ecc...

Uno dei presupposti affinché il trattamento dei dati personali sia lecito è la prestazione del consenso dell'interessato, a seguito dell'informazione da parte del titolare del trattamento (nel nostro caso l'azienda sanitaria) che è in corso una lavorazione dei dati personali nonché la durata e le finalità. Affinché il consenso possa ritenersi pienamente valido è necessario che l'interessato abbia ricevuto tutte le informazioni tali da consentirgli di decidere con consapevolezza.

Anche in questo caso è compito del titolare del trattamento di garantire all'interessato una corretta informazione, che si ritiene effettuata qualora siano fornite le informazioni minime indispensabili come l'identità del titolare del trattamento, quali tipi di dati saranno raccolti ed utilizzati, la finalità di tutti i trattamenti per i quali viene richiesto il consenso, il diritto alla revoca del consenso, i possibili rischi collegati al trasferimento dei dati e l'utilizzo dei dati per un processo decisionale automatizzato. Il consenso dell'interessato (nel nostro caso il paziente-utente) è qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell'interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento.

La prestazione del consenso al trattamento dei dati personali è perciò una garanzia per l'interessato, che deve essere informato, con un linguaggio semplice e chiaro, ed in forma comprensibile, del trattamento dei suoi dati personali. Non è possibile introdurre il consenso al trattamento dei dati personali in una dichiarazione scritta contenente anche altre questioni, questo perché non è valido un permesso generale a tutti i punti del contratto, ma ne è necessario uno specifico, separato, e liberamente espresso. La libertà nell'esprimere il consenso deve essere assoluta, pertanto non si ritiene valido il consenso prestato qualora vi sia l'impossibilità di rifiutare o di revocarlo senza subirne un pregiudizio.

Il consenso al trattamento dei dati personali è valido quando sono stati rispettati tutti i presupposti previsti dal Regolamento europep n. 2016/679, cioè la libera manifestazione della propria volontà, la previa informazione dell'interessato, il consenso specifico al trattamento dei dati e una dichiarazione o azione positiva inequivocabile. Tutti i dati hanno una scadenza nel senso che essi debbono essere trattati per lo stretto necessario in termini di finalità e tempi.

Al riguardo, si richiama il provvedimento del Garante italiano che, in materia, ha stabilito i tempi di conservazione in 24 mesi dalla registrazione per finalità di marketing e 12 mesi dalla registrazione per i trattamenti per finalità di profilazione. La conservazione delle cartelle cliniche è illimitata e con essa i dati all'interno. [...]