Privacy: duro ritorno alla realtà dopo una sentenza della Cassazione

Introduzione

Chi tra noi, oggi come oggi, non ha paura di violare il sacrosanto diritto alla Privacy del paziente. Il personale sanitario che acquisisce notizie a causa ed in conseguenza della sua opera è vincolato al più stretto riserbo di tutti i fatti di cui viene a conoscenza, questo sia per obbligo deontologico sia di ordine giuridico relativamente alle conseguenze nel caso di violazione del segreto professionale (art. 622 CP). E tali segreti, salvo alcuni specifici casi, non possono essere svelati neppure dopo la morte del paziente.

Su queste fondamenta, che fanno parte integrante del rapporto paziente operatore sanitario, si è inserita ulteriormente la normativa sulla Privacy, che per molti di noi, già ligi e devoti al codice deontologico, è un ulteriore appesantimento nelle erogazioni della prestazione sanitaria. Ciò non in virtù del fatto che il medico non debba essere rispettoso delle leggi ma in quanto una violazione del famigerato GDPR 2016/679 costa sanzioni pecuniarie non indifferenti.

L’intervento della Cassazione: 28471/2023 dell’11.10.2023 Sezione I Civile

Un caso, per chi scrive, assai emblematico è stato recentemente oggetto di valutazione da parte della Prima Sezione Civile della Corte di Cassazione (n. 28471/2023 dell’11.10.2023), che ha accolto il ricorso del Garante avverso una sentenza di primo grado che annullava la sanzione di 50.000 euro comminata nei confronti di una Azienda Sanitaria per aver una sua infermiera, in un caso di interruzione volontaria di gravidanza, notiziato il marito della signora che richiese le cure del caso, così avendo trattato in modo illecito i dati personali.

Il fatto storico

Una paziente fu ricoverata in un reparto di ginecologia per un intervento di interruzione volontaria di gravidanza. La paziente fornì il numero di telefono a cui essere chiamata, per i successivi contatti. Mentre erano in corso le procedure di dimissioni, l’infermiera fu distolta dalla paziente dovendo prestare la propria opera in un caso di urgenza. Pertanto, l’infermiera chiese alla paziente di attendere, siccome doveva essere ancora specificata la modalità di assunzione dei farmaci. Tuttavia, la paziente contrariamente a quanto richiesto, si allontanò. L’infermiera, quindi, tentò di contattare immediatamente la paziente al numero telefonico che la stessa aveva fornito e che era indicato sul frontespizio della cartella clinica. Non notò, però. che all’interno della cartella clinica era contenuto un ulteriore numero telefonico. Al primo numero rispose il marito, al quale l’infermiera disse di essere l’operatrice sanitaria dell’ospedale e che doveva parlare con la moglie per una terapia.

La vicenda giudiziaria

Stante il fatto, il Tribunale di primo grado riteneva che non fosse stata integrata la fattispecie dell’addebito individuata dal Garante e quindi annullava la sanzione. Il tribunale giungeva a tale conclusione in quanto la telefonata non configurava una comunicazione contenente dati concernenti la salute giuridicamente rilevanti ai fini sanzionatori. Inoltre, nessun dato sanitario fu comunicato, secondo il tribunale, posto che le uniche informazioni fornite al terzo facevano riferimento ad una generica terapia e che il reparto di ginecologia, in senso lato, non indicava una specifica patologia o ricovero o terapie da cui potesse individuarsi la tipologia di malattia di cui era affetta la paziente.

Il Garante propose ricorso per cassazione in quanto l’azienda sanitaria aveva rilevato uno stato di salute, ossia dati personali relativi alla salute, a terzi senza una idonea base giuridica, per nulla rilevando l’assenza di specifiche inerenti la tipologia di cure e/o la diagnosti specifica.

Le decisioni della Cassazione

La Suprema Corte di Cassazione ha rilevato che comunque la mera correlazione tra la paziente e il reparto di degenza abbia costituito illecito trattamento dei dati sulla salute della stessa. Infatti, specifica la Corte: “il fatto stesso di comunicare l’esigenza di un trattamento sanitario e, quindi, l’esistenza di una “malattia” in senso lato – intesa dunque come situazione che renda necessario un trattamento sanitario – attiene a dato sulla salute: non occorre cioè, a tal fine, che sia specificato di quale trattamento o di quale malattia si tratti.”.

Quindi, la mera comunicazione ad un terzo che il nostro paziente è affetto da una “malattia” rappresenta di fatto una violazione del diritto alla Privacy.

Tuttavia, gli Ermellini in questo caso, per quanto la norma sia da applicare secondo il brocardo dura lex sed lex, hanno accolto sì il ricorso del Garante rinviando il caso nuovamente al tribunale del merito. Hanno, però, specificato i criteri che il giudice deve applicare, con pienezza di poteri, in merito alla sanzione comminata dal Garante. 

Questi criteri riportano tutti con i piedi per terra ed evitano quei pericolosissimi automatismi che, di fatto, sono più propri di un mero sistema burocratico che di giustizia sostanziale:

Cassazione: ecco i criteri per pronunciarsi sulla violazione o meno della privacy

• a) la natura, la gravità e la durata della violazione tenendo in considerazione la natura, l’oggetto o a finalità del trattamento in questione nonché il numero di interessati lesi dal danno e il livello del danno da essi subito;
• b) il carattere doloso o colposo della violazione;
• c) le misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno subito dagli interessati;
• d) il grado di responsabilità del titolare del trattamento o del responsabile del trattamento tenendo conto delle misure tecniche e organizzative da essi messe in atto ai sensi degli articoli 25 e 32;
• e) eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento o dal responsabile del trattamento;
• f) il grado di cooperazione con l’autorità di controllo al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi;
• g) le categorie di dati personali interessate dalla violazione;
• h) la maniera in cui l’autorità di controllo ha preso conoscenza della violazione, in particolare se e in che misura il titolare del trattamento o il responsabile del trattamento ha notificato la violazione;
• i) qualora siano stati precedentemente disposti provvedimenti di cui all’articolo 58, paragrafo 2, nei confronti del titolare del trattamento o del responsabile del trattamento in questione relativamente allo stesso oggetto, il rispetto di tali provvedimenti;
• j) l’adesione ai codici di condotta approvati ai sensi dell’articolo 40 o ai meccanismi di certificazione approvati ai sensi dell’articolo 42;
• k) eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso. Ad esempio i benefici finanziari conseguiti o le perdite evitate, direttamente o indirettamente, quale conseguenza della violazione.

Qui potete leggere e scaricare la sentenza in forma completa

Qual’è la morale della favola

Gli Ermellini calano nel caso specifico le loro indicazioni, fornendo così al giudice del merito gli elementi da prendere in considerazione:

1. la condotta della paziente stessa, che non soltanto fornì entrambi i numeri di telefono per il contatto, ivi compreso quello utilizzato, ma, soprattutto, non attese, come le era stato chiesto ed indicato, il ritorno dell’infermiera per ottenere la corretta terapia;
2. la condotta di estrema diligenza dell’infermiera nel preoccuparsi di reperire la paziente: come si è visto questa si allontanò volontariamente prima del permesso di congedo medico dalla struttura;
3. l’essere la notizia comunicata, pur attinente genericamente la salute, rimasta del tutto indeterminata, potendo ben riguardare una mera visita ordinaria di controllo, sia pure in quel reparto, senza nessuna lesione della “dignità” dell’interessata, che avrebbe potuto essere in gioco solo ove fosse stata comunicata l’effettiva ragione dell’intervento terapeutico richiesto. Infatti, di “dignità” della donna e della persona indicata come padre del concepito, parla invero proprio l’art. 5 della I. 194 del 1978, secondo cui la struttura sanitaria deve, specialmente quando la richiesta di interruzione della gravidanza sia motivata dall’incidenza delle condizioni economiche, o sociali, o familiari sulla salute della gestante, esaminare con la donna e con il padre, ove la donna lo consenta, nel rispetto della dignità e della riservatezza della donna e della persona indicata come padre del concepito, le possibili soluzioni dei problemi proposti, di aiutarla a rimuovere le cause che la porterebbero alla interruzione della gravidanza, di metterla in grado di far valere i suoi diritti di lavoratrice e di madr e di promuovere ogni opportuno intervento atto a sostenere la donna, offrendole tutti gli aiuti necessari sia durante la gravidanza sia dopo il parto);
4. il conseguente impatto limitato della notizia di una visita in un reparto sulla sfera giuridica dell’interessata;
5. pure rileva la condotta della Asl, che immediatamente ritenne di notificare al Garante ed attuare altresì ulteriori misure interne;
6. infine, potrà il giudice del merito considerare l’emergenza indotta da epidemia Covid in corso, che richiedeva uno sforzo straordinario del sistema sanitario per far fronte a ben altre criticità e pericoli per la vita dei pazienti

Saggezza popolare

Di particolare interesse sono soprattutto i primi due punti che possono essere riassunti richiamando alla mente due noti proverbi:

Chi è causa del suo mal pianga sè stesso;

Chi ben comincia è a metà dell’opera;

Forse, anche in questo specifico settore, che attiene comunque all’area della responsabilità medica, si vuol dare equilibrio ad una bilancia “sbilanciata”, sebbene come ben insegna questo caso: la prudenza non è mai troppa.