Abstract
La progressiva digitalizzazione del sistema sanitario rappresenta una delle trasformazioni più profonde del diritto sanitario contemporaneo e determina un radicale mutamento del rapporto tra individuo, tecnologia e potere pubblico. La cartella clinica digitale e il fascicolo sanitario elettronico costituiscono oggi il nucleo centrale dell’ecosistema informativo sanitario europeo, incidendo non soltanto sull’organizzazione delle strutture ospedaliere, ma anche sulla configurazione dei diritti fondamentali della persona. Il presente contributo affronta, con approccio sistematico e interdisciplinare, la disciplina giuridica della cartella clinica digitale alla luce del Regolamento (UE) 2016/679 (GDPR), del Codice Privacy italiano, della normativa nazionale sul Fascicolo Sanitario Elettronico e della più recente giurisprudenza italiana ed europea. L’analisi si concentra sui profili di tutela costituzionale della riservatezza sanitaria, sulle problematiche di cybersecurity ospedaliera, sulle responsabilità civili e penali derivanti dalla gestione dei dati sanitari e sulle nuove criticità introdotte dall’intelligenza artificiale in ambito medico. L’indagine evidenzia come il dato sanitario costituisca oggi una delle forme più sensibili di manifestazione dell’identità personale e come la protezione delle informazioni cliniche rappresenti una componente essenziale della dignità umana nello Stato costituzionale digitale.
Indice: 1. Introduzione; 2. La natura giuridica della cartella clinica digitale; 3. Il dato sanitario come proiezione dell’identità personale; 4. Il GDPR e i principi della protezione dei dati sanitari; 5. Cybersecurity ospedaliera e minaccia cibernetica; 6. Responsabilità civile, penale e amministrativa; 7. Intelligenza artificiale e trasformazione della medicina contemporanea; 8. Conclusioni
- Introduzione
La trasformazione digitale della sanità costituisce una delle principali sfide giuridiche del XXI secolo. L’introduzione della cartella clinica elettronica, del fascicolo sanitario elettronico e dei sistemi di interoperabilità sanitaria ha modificato radicalmente il paradigma tradizionale della documentazione medica, sostituendo progressivamente il supporto cartaceo con infrastrutture informatiche integrate, sistemi algoritmici avanzati e reti di condivisione dei dati su scala nazionale ed europea. Il fenomeno della sanità digitale non può essere interpretato esclusivamente come un processo di innovazione tecnologica, poiché esso coinvolge direttamente il nucleo essenziale dei diritti fondamentali della persona, incidendo sulla dignità umana, sull’autodeterminazione informativa e sul diritto alla salute.
La crescente centralità del dato sanitario nella società contemporanea deriva dal fatto che le informazioni cliniche rappresentano una delle forme più profonde e pervasive di conoscenza della persona. Attraverso il dato medico è infatti possibile ricostruire non soltanto la condizione fisica di un individuo, ma anche aspetti relativi alla sua sfera psicologica, genetica, familiare e sociale. Il dato sanitario diventa dunque una vera e propria estensione digitale della personalità umana. Stefano Rodotà aveva efficacemente anticipato tale evoluzione affermando che il corpo elettronico della persona sarebbe divenuto uno degli elementi centrali della società dell’informazione¹.
In questo scenario il diritto è chiamato ad affrontare questioni estremamente complesse. La digitalizzazione sanitaria comporta infatti un delicato bilanciamento tra esigenze di efficienza amministrativa, continuità terapeutica, ricerca scientifica, protezione dei dati personali e sicurezza nazionale cibernetica. L’interconnessione delle banche dati sanitarie produce indubbi vantaggi in termini di rapidità delle cure e coordinamento medico, ma espone al contempo i cittadini a nuovi rischi legati alla sorveglianza digitale, agli attacchi informatici e all’utilizzo improprio delle informazioni cliniche.
Il processo di digitalizzazione sanitaria si colloca inoltre all’interno di una più ampia evoluzione del costituzionalismo contemporaneo, caratterizzato dall’emersione di nuovi diritti digitali e dalla progressiva affermazione del diritto fondamentale alla protezione dei dati personali. La Carta dei diritti fondamentali dell’Unione europea, all’art. 8, riconosce espressamente il diritto alla protezione dei dati personali come diritto autonomo e distinto rispetto al diritto alla vita privata. Tale riconoscimento assume particolare rilevanza nel settore sanitario, dove la protezione delle informazioni cliniche diventa strumento indispensabile per garantire libertà personale, uguaglianza sostanziale e dignità umana.
- La natura giuridica della cartella clinica digitale
La cartella clinica rappresenta il documento fondamentale dell’attività sanitaria e costituisce il principale strumento di documentazione del percorso diagnostico e terapeutico del paziente. La sua funzione non è esclusivamente amministrativa o organizzativa, ma investe direttamente il rapporto fiduciario tra medico e paziente, la continuità delle cure e la tutela giurisdizionale dei diritti dell’assistito.
La giurisprudenza italiana ha più volte chiarito la natura pubblicistica della cartella clinica. La Corte di Cassazione ha affermato che essa costituisce atto pubblico redatto da pubblico ufficiale nell’esercizio delle sue funzioni². Ne deriva che la cartella clinica possiede efficacia probatoria privilegiata e assume rilevanza fondamentale nei giudizi di responsabilità sanitaria. La sua incompletezza o alterazione può incidere profondamente sull’accertamento giudiziale dei fatti clinici.
La digitalizzazione della cartella clinica non modifica la natura giuridica del documento sanitario, ma introduce ulteriori problematiche legate all’integrità informatica, alla sicurezza dei sistemi digitali, alla conservazione elettronica e alla tracciabilità degli accessi. La cartella clinica elettronica presenta infatti caratteristiche radicalmente differenti rispetto alla documentazione cartacea tradizionale. Essa è potenzialmente accessibile da più soggetti contemporaneamente, può essere trasferita istantaneamente tra strutture sanitarie diverse e risulta integrata con sistemi automatizzati di elaborazione dei dati.
La disciplina italiana distingue la cartella clinica elettronica dal Fascicolo Sanitario Elettronico. Quest’ultimo rappresenta l’insieme dei dati e documenti digitali di tipo sanitario e sociosanitario generati da eventi clinici presenti e trascorsi riguardanti l’assistito. Il Fascicolo Sanitario Elettronico è stato introdotto dal decreto-legge n. 179 del 2012 e successivamente disciplinato dal DPCM n. 178 del 2015. Il legislatore ha perseguito l’obiettivo di creare un sistema sanitario digitale interoperabile, capace di garantire maggiore efficienza e continuità assistenziale.
Tuttavia, la concentrazione massiva di dati sanitari all’interno di piattaforme digitali centralizzate determina inevitabilmente un incremento del rischio giuridico. Più aumenta la quantità di informazioni disponibili, maggiore diventa il rischio di utilizzi impropri, accessi abusivi, violazioni informatiche e trattamenti discriminatori.
- Il dato sanitario come proiezione dell’identità personale
Il Regolamento generale sulla protezione dei dati personali qualifica i dati relativi alla salute come categorie particolari di dati personali ai sensi dell’art. 9 GDPR. La particolare intensità della tutela deriva dalla capacità del dato sanitario di rappresentare la dimensione più intima e vulnerabile della persona umana.
La dottrina contemporanea ha osservato come il dato sanitario non possa essere considerato una semplice informazione amministrativa, ma debba essere interpretato quale elemento costitutivo dell’identità personale. Attraverso le informazioni cliniche è infatti possibile ricostruire aspetti estremamente delicati della vita dell’individuo, incluse predisposizioni genetiche, disturbi psichiatrici, dipendenze, condizioni sessuali e vulnerabilità sociali.
La Corte europea dei diritti dell’uomo ha sottolineato in più occasioni la centralità della protezione dei dati medici nel sistema dei diritti fondamentali. Nella celebre sentenza Z c. Finlandia, la Corte ha affermato che la protezione delle informazioni sanitarie rappresenta una condizione essenziale per l’effettivo esercizio del diritto al rispetto della vita privata garantito dall’art. 8 CEDU³. Analoga impostazione emerge nella sentenza I. c. Finlandia, nella quale la Corte EDU ha riconosciuto la responsabilità dello Stato per l’insufficiente protezione dei dati sanitari di una paziente sieropositiva⁴.
Anche la Corte di giustizia dell’Unione europea ha progressivamente rafforzato la tutela dei dati sanitari. Nella causa C-184/20 la Corte ha evidenziato che i dati relativi alla salute meritano un livello di protezione particolarmente elevato in quanto strettamente collegati alla dignità umana e al principio di non discriminazione⁵.
La rilevanza costituzionale della protezione dei dati sanitari emerge con particolare evidenza nell’ordinamento italiano. La Corte costituzionale ha affermato che il diritto alla riservatezza delle informazioni sanitarie costituisce diretta espressione degli artt. 2 e 32 Cost.⁶. Il diritto alla salute non riguarda infatti soltanto l’accesso alle cure, ma comprende anche la tutela della dignità e della sfera privata del paziente.
- Il GDPR e i principi della protezione dei dati sanitari
L’applicazione del GDPR al settore sanitario rappresenta uno degli aspetti più complessi del diritto europeo contemporaneo. La disciplina europea impone alle strutture sanitarie obblighi particolarmente rigorosi, fondati sui principi di accountability, privacy by design e privacy by default.
Il principio di liceità del trattamento richiede che i dati sanitari siano trattati esclusivamente in presenza di una specifica base giuridica. L’art. 9 GDPR vieta in linea generale il trattamento delle categorie particolari di dati, salvo specifiche eccezioni relative alla medicina preventiva, alla diagnosi medica, all’assistenza sanitaria o a motivi di interesse pubblico rilevante.
Il principio di minimizzazione assume particolare importanza nel settore sanitario digitale. Le strutture sanitarie devono limitare il trattamento ai soli dati strettamente necessari rispetto alle finalità perseguite. Tale principio entra spesso in tensione con la tendenza contemporanea alla raccolta massiva di dati sanitari per finalità statistiche, algoritmiche o di ricerca.
Di straordinaria rilevanza è inoltre il principio di integrità e riservatezza previsto dall’art. 5 GDPR. Le strutture sanitarie sono tenute ad adottare misure tecniche e organizzative adeguate per garantire sicurezza, resilienza e continuità dei sistemi informatici. Ciò include cifratura dei dati, sistemi di autenticazione avanzata, segmentazione delle reti, procedure di backup e meccanismi di tracciamento degli accessi.
Il Garante per la protezione dei dati personali ha più volte sanzionato strutture sanitarie per accessi abusivi alle cartelle cliniche da parte del personale sanitario. In diversi provvedimenti l’Autorità ha sottolineato come la mera possibilità tecnica di accesso ai dati non legittimi automaticamente il trattamento delle informazioni cliniche⁷.
- Cybersecurity ospedaliera e minaccia cibernetica
La crescente digitalizzazione del sistema sanitario ha trasformato ospedali, ASL e infrastrutture sanitarie in obiettivi strategici del cybercrime internazionale. I dati sanitari possiedono infatti un elevatissimo valore economico nel mercato illecito delle informazioni digitali, risultando spesso più remunerativi dei dati finanziari tradizionali.
Gli attacchi ransomware contro ospedali e infrastrutture sanitarie hanno assunto negli ultimi anni dimensioni sistemiche. L’Agenzia europea per la cybersecurity (ENISA) ha evidenziato come il settore sanitario rappresenti uno dei principali bersagli degli attacchi informatici nell’Unione europea⁸. Tali attacchi non producono esclusivamente danni patrimoniali, ma possono compromettere direttamente il diritto alla salute dei cittadini.
La paralisi dei sistemi informatici ospedalieri può infatti impedire l’accesso alle cure, ritardare interventi chirurgici, compromettere diagnosi urgenti o alterare terapie salvavita. Il rischio cyber assume pertanto una dimensione costituzionale, poiché la sicurezza informatica diventa presupposto indispensabile per l’effettività del diritto alla salute.
Particolarmente significativo è stato l’attacco ransomware subito dalla Regione Lazio nel 2021, che determinò la paralisi di numerosi servizi sanitari regionali e del sistema vaccinale anti-Covid. Tale episodio ha evidenziato la fragilità infrastrutturale del sistema sanitario digitale italiano e la necessità di sviluppare modelli avanzati di cyber resilience.
La sicurezza sanitaria digitale non può più essere considerata esclusivamente una questione tecnica. Essa coinvolge direttamente la sicurezza nazionale, la continuità democratica e la tutela dei diritti fondamentali.
- Responsabilità civile, penale e amministrativa
La gestione digitale della documentazione sanitaria introduce nuove forme di responsabilità civile, penale e amministrativa. La perdita, alterazione o diffusione illecita di dati sanitari può determinare conseguenze estremamente gravi sia per il paziente sia per le strutture sanitarie coinvolte.
Sul piano civile, la giurisprudenza della Corte di Cassazione ha più volte affermato che l’incompletezza della cartella clinica non può tradursi in un pregiudizio probatorio per il paziente⁹. In presenza di documentazione sanitaria lacunosa, il giudice può ricorrere a presunzioni semplici e ritenere non assolto l’onere probatorio gravante sulla struttura sanitaria.
In ambito penale assumono rilievo numerose fattispecie criminose, tra cui l’accesso abusivo a sistema informatico ex art. 615-ter c.p., il falso informatico, il trattamento illecito di dati personali e la frode informatica. La Corte di Cassazione penale ha chiarito che anche il personale sanitario può rispondere del reato di accesso abusivo quando consulta cartelle cliniche senza finalità terapeutiche legittime¹⁰.
Particolare rilievo assume inoltre la responsabilità amministrativa degli enti ai sensi del d.lgs. n. 231/2001. Gli ospedali e le aziende sanitarie possono essere chiamati a rispondere per reati informatici e violazioni della normativa privacy qualora non abbiano adottato modelli organizzativi adeguati.
- Intelligenza artificiale e trasformazione della medicina contemporanea
L’intelligenza artificiale rappresenta oggi una delle principali frontiere della medicina digitale. I sistemi algoritmici sono in grado di elaborare enormi quantità di dati clinici, individuare correlazioni statistiche invisibili all’occhio umano e supportare il medico nelle attività diagnostiche e terapeutiche.
Tuttavia, l’utilizzo dell’intelligenza artificiale in ambito sanitario pone questioni estremamente delicate sotto il profilo giuridico ed etico. Uno dei principali problemi riguarda l’opacità algoritmica. Molti sistemi di machine learning operano attraverso meccanismi decisionali difficilmente comprensibili persino per i loro sviluppatori. Ciò rischia di compromettere il principio di trasparenza e il diritto del paziente ad una decisione terapeutica comprensibile.
Ulteriore criticità riguarda i bias discriminatori. Gli algoritmi sanitari vengono addestrati su grandi quantità di dati storici che possono contenere discriminazioni pregresse relative a genere, etnia o condizioni economiche. Il rischio è quello di produrre una medicina algoritmica discriminatoria, capace di amplificare le disuguaglianze sociali esistenti.
Il Regolamento europeo AI Act considera molti sistemi sanitari quali sistemi di intelligenza artificiale ad alto rischio. Ne deriva l’obbligo di supervisione umana, valutazione del rischio, trasparenza e controllo continuo.
La progressiva automatizzazione della medicina impone dunque una riflessione profonda sul futuro della relazione terapeutica. La tecnologia non può sostituire integralmente la dimensione umana della cura. Il rapporto medico-paziente rimane infatti fondato su fiducia, empatia e responsabilità personale.
- Conclusioni
La cartella clinica digitale rappresenta uno dei principali snodi del diritto sanitario contemporaneo e costituisce una delle manifestazioni più evidenti della trasformazione digitale dello Stato costituzionale. La progressiva informatizzazione della medicina ha modificato radicalmente il rapporto tra individuo, tecnologia e potere pubblico, trasformando il dato sanitario in una delle principali forme di ricchezza informativa della società contemporanea.
La protezione delle informazioni cliniche non può più essere interpretata come una semplice questione amministrativa o burocratica. Essa costituisce oggi una componente essenziale della dignità umana, della libertà personale e del diritto fondamentale alla salute. Il dato sanitario rappresenta infatti la dimensione più vulnerabile dell’identità individuale, poiché consente di accedere agli aspetti più intimi della persona.
La digitalizzazione sanitaria produce indubbi vantaggi in termini di efficienza, interoperabilità, rapidità diagnostica e continuità terapeutica. Tuttavia, tali benefici si accompagnano a rischi sistemici legati alla sorveglianza digitale, agli attacchi informatici, alla profilazione algoritmica e alla concentrazione massiva di informazioni sensibili. La cybersecurity sanitaria assume pertanto una rilevanza costituzionale, diventando condizione indispensabile per l’effettività del diritto alla salute.
L’emersione dell’intelligenza artificiale in ambito medico impone inoltre una profonda revisione delle categorie giuridiche tradizionali. Il diritto è chiamato a disciplinare fenomeni tecnologici caratterizzati da opacità decisionale, automazione e capacità predittive senza precedenti. In tale contesto appare fondamentale preservare la centralità della persona umana e impedire che il paziente venga ridotto a mero oggetto di elaborazione algoritmica.
Occorre dunque sviluppare un modello di sanità digitale costituzionalmente orientato, fondato su sicurezza informatica, trasparenza algoritmica, accountability pubblica e tutela effettiva dei diritti fondamentali. La sfida del futuro sarà quella di coniugare innovazione tecnologica e umanizzazione delle cure, evitando che la trasformazione digitale della medicina produca nuove forme di vulnerabilità sociale e di controllo tecnologico della persona.
Il diritto sanitario del futuro dovrà necessariamente confrontarsi con questioni sempre più complesse, legate alla medicina predittiva, alla genomica, ai big data sanitari e all’intelligenza artificiale generativa. In questo scenario il principio personalista sancito dalla Costituzione italiana dovrà continuare a rappresentare il fondamento imprescindibile dell’intero sistema di tutela della salute.
Note
- S. Rodotà, Tecnologie e diritti, Bologna, Il Mulino, 1995, p. 112.
- Cass. civ., sez. III, 26 giugno 2004, n. 12273.
- Corte EDU, Z c. Finlandia, 25 febbraio 1997.
- Corte EDU, I. c. Finlandia, 17 luglio 2008.
- CGUE, causa C-184/20, 1 agosto 2022.
- Corte cost., sent. n. 372/2006.
- Garante per la protezione dei dati personali, provv. 7 marzo 2019.
- ENISA, Threat Landscape for Health Sector, 2023.
- Cass. civ., sez. III, 30 marzo 2016, n. 6209.
- Cass. pen., sez. V, 8 novembre 2018, n. 50497.
- F. Pizzetti, Privacy e il diritto europeo alla protezione dei dati personali, Torino, Giappichelli, 2016.
- G. Finocchiaro, Il trattamento dei dati personali, Bologna, Il Mulino, 2021.
- Corte cost., sent. n. 85/2013.
- Cass. civ., sez. III, n. 7250/2018.
- Cass. pen., sez. V, n. 1727/2020.
- Corte EDU, L.H. c. Lettonia, 29 aprile 2014.
- Regolamento (UE) 2016/679, artt. 5, 9 e 32.
- D.lgs. 196/2003, come modificato dal d.lgs. 101/2018.
- Decreto-legge n. 179/2012 sul Fascicolo Sanitario Elettronico.
- DPCM n. 178/2015 sul Fascicolo Sanitario Elettronico.
Bibliografia
- Alpa G., La privacy. Il diritto all’identità e alla riservatezza, Bologna, Il Mulino, 2020.
- Finocchiaro G., Il trattamento dei dati personali, Bologna, Il Mulino, 2021.
- Floridi L., The Ethics of Information, Oxford University Press, 2013.
- Mantelero A., Intelligenza artificiale e protezione dei dati, Torino, Giappichelli, 2022.
- Pizzetti F., Privacy e il diritto europeo alla protezione dei dati personali, Torino, Giappichelli, 2016.
- Pollicino O., Internet e libertà costituzionali, Torino, Giappichelli, 2021.
- Rodotà S., Tecnologie e diritti, Bologna, Il Mulino, 1995.
- Rodotà S., Il diritto di avere diritti, Bari, Laterza, 2012.
- Sica S., D’Antonio V., La nuova disciplina europea della privacy, Cedam, 2018.
- Ziccardi G., Cybersecurity e diritto, Milano, Giuffrè, 2019.
- European Union Agency for Cybersecurity (ENISA), Threat Landscape for Health Sector, 2023.
- Garante per la protezione dei dati personali, Linee guida sul Fascicolo Sanitario Elettronico, 2023.
- Regolamento (UE) 2016/679 (GDPR).
- D.lgs. 196/2003, come modificato dal D.lgs. 101/2018.
- Decreto-legge n. 179/2012 sul Fascicolo Sanitario Elettronico.
