Nell’autunno 2023 la signora Francesca R. (nome di fantasia) viene ricoverata per problemi ortopedici presso una struttura sanitaria fiorentina. In occasione dell’anamnesi che, come da prassi, accompagna il ricovero, la signora Francesca fornisce al medico e all’infermiera di turno tutti i dati richiesti in merito alle proprie generali condizioni di salute segnalando, tra queste, a propria tutela, anche il proprio stato di persona con HIV e HCV.
Il giorno successivo, Francesca sarà protagonista, suo malgrado, di un episodio scioccante: sul vassoio del pranzo e poi, di nuovo, su quello della cena, accanto al suo nome e cognome, compare, in bella vista, un cartello che segnala la sua condizione di paziente con HIV e HCV. Francesca, dopo aver protestato e chiesto spiegazioni, si è rivolta alla LILA per segnalare l’accaduto e per valutare il da farsi. La LILA si è subito attivata. La Presidente nazionale Giusi Giupponi e la responsabile nazionale dei servizi legali LILA, avvocata Roberta di Maggio,hanno deciso di scrivere subito al Primario del reparto e alla Direzione Sanitaria segnalando la grave violazione subita dalla signora e chiedendo chiarimenti in merito al trattamento dei dati personali. Durante il ricovero, violazioni così gravi non si sono più ripetute ma né alla paziente né alla LILA è mai giunta risposta alcuna. Di qui, la decisione della nostra associazione di sottoporre l’accaduto all’ufficio del Garante per la Protezione dei Dati Personali mediante lo strumento del reclamo.
Ravvisando il reclamo ammissibile, l’Authority ha avviato la sua istruttoria e nell'agosto agosto 2024, ha chiesto formalmente alla struttura sanitaria di fornire tutti gli elementi informativi utili alla valutazione del caso. Pur senza ricevere riscontri, l’Authority, ha comunque avviato un procedimento volto ad accertare le eventuali violazioni, ai sensi di diverse fonti di legge, principalmente della legge 135 del 1990 sull’HIV/AIDS, degli articoli 157 e 166 del Codice della Privacy (D.Lgs. 196/2003) e di varie disposizioni del GDPR. Ricordiamo che, per Codice della Privacy, si intende la normativa italiana che disciplina la protezione dei dati personali e ne sanziona il trattamento illecito. La legge è stata aggiornata e armonizzata con il Regolamento Europeo GDPR, (General Data Protection Regulation), ossia il Regolamento Generale sulla Protezione dei Dati (Regolamento UE 2016/679), la legge cardine dell'Unione Europea sulla privacy che ha ridefinito il modo in cui le aziende e gli enti pubblici raccolgono, gestiscono e proteggono i dati personali dei cittadini europei. La legge 135/90 è invece la legge sull’HIV e AIDS che prevede tutele rafforzate per la privacy delle persone con HIV sanzionando i comportamenti stigmatizzanti e discriminatori.
La struttura sanitaria ha fornito una prima risposta solo a gennaio 2025, formulando giustificazioni e spiegazioni che, sia pur credibili, confermavano la non consapevolezza di quanto accaduto e una scarsa conoscenza delle procedure da adottare per la prevenzione delle infezioni, in particolare dell’HIV. Si tratta di una criticità tanto grave quanto diffusa nelle strutture sanitarie che non si occupano in modo specifico di infettivologia. “Parliamo, purtroppo, di un fenomeno ricorrente negli ambienti sanitari –conferma la Presidente della LILA, Giusi Giupponi- lo riteniamo particolarmente grave perché rivelatore di visioni stigmatizzanti delle infezioni trasmissibili, in particolare dell’HIV. E’ davvero preoccupante che questo accada, tanto spesso, proprio in contesti che dovrebbero orientare i propri comportamenti alla scienza e alla non- discriminazione. Il punto centrale –prosegue- è che per garantire la sicurezza di pazienti e lavoratori le misure di prevenzione dovrebbero essere generali e non ad personam. Questo per tutelare le persone ma anche per assicurare efficacia alle stesse misure di prevenzione”
Ma torniamo alla risposta della struttura. Pur ammettendo l’errore, il titolare del trattamento ha tentato di attenuare l’illecito spiegando come il perimetro dell’eventuale violazione della riservatezza fosse stato limitato dal fatto che il personale che prepara i pasti, pur facendo capo ad una ditta esterna, opera nella cucina interna dell’ospedale e, dunque, in un ambito circoscritto; la paziente che condivideva la stanza con la signora Francesca non avrebbe avuto modo di leggere il cartello e, inoltre, spiegava ancora il Responsabile: “L’informazione sulle condizioni della paziente era stata riportata sul modulo del reclamo destinato esclusivamente alla cucina per pre-allertare il personale addetto allo sporzionamento (che viene in contatto con i pazienti), ad usare le misure protettive/preventive del caso (es. utilizzo stoviglie monouso)”. Seguivano, finalmente, per la prima volta, le scuse e la promessa di adottare i provvedimenti necessari ad evitare il ripetersi di tali situazioni.
Le giustificazioni addotte dalla struttura non potevano che rafforzare il quadro delle violazioni commesse nell’ambito del trattamento dei dati relativi alla salute e all’infezione da HIV. Esclusa l’archiviazione, il Garante ha così notificato l’avvio del procedimento. Tale procedura si è conclusa proprio in questi giorni con l’emissione di un provvedimento sanzionatorio, a nostro avviso, di grande rilievo generale, perché in grado di orientare compiutamente le pratiche volte a tutelare la riservatezza e la salute di operatori e pazienti nei contesti sanitari. Nel dispositivo si richiamano altri interventi del Garante sul tema specifico e sono riconosciute e sanzionate diverse condotte illecite.
In particolare, scrive il Garante: “L’indicazione, nell’ambito del servizio di vitto, della condizione di HIV e HCV della paziente, unitamente al nome e cognome della stessa, non risulta giustificata dalla necessità di attivare specifiche misure di protezione per il personale. Come sopra evidenziato, infatti, la normativa di settore prevede che, stante l’impossibilità di conoscere con certezza lo stato di sieropositività dei pazienti, le misure di protezione debbano essere adottate in via generale nei confronti di ogni soggetto sottoposto a cure”.
Come ricordava Giupponi, dunque, per essere efficaci le misure di prevenzione non possono essere adottate solo verso le persone il cui stato infettivo sia accertato ma dovrebbero valere sempre e comunque, tanto più perché HIV, epatiti virali e altre IST, in Italia come nel resto del mondo, restano infezioni con alti livelli di sommerso e di mancate diagnosi.
“Vorrei anche far notare che le persone con HIV o con epatiti che dichiarano il loro stato e che, dunque, ne sono consapevoli, seguono, generalmente, delle terapie –spiega ancora Giupponi- che possono ridurre notevolmente i rischi di trasmissione, posto che l’HIV è comunque un’infezione che non si trasmette facilmente, tantomento per contatto o per via aerea. L’attenzione andrebbe dunque riservata più alla popolazione generale che non alle persone che sanno di avere delle infezioni e che, di conseguenza, sono in cura ”.
Nel riconoscere l’illecito, il Garante ha sanzionando due condotte specifiche: il mancato rispetto dei principi di minimizzazione, integrità e riservatezza dei dati personali e il mancato obbligo di fornire informazioni al Garante. “Il livello di gravità della violazione, […] deve ritenersi alto –si legge nel dispositivo dell’Autorità- tenuto conto della categoria dei dati oggetto della violazione, ossia informazioni sulla salute e, in particolare, dati sottoposti a maggiore tutela”.
I due illeciti, configurati da diverse fonte legislative, sono stati sanzionati con pene pecuniarie molto lievi tenuto conto del comportamento collaborativo della struttura: assenza di dolo, assenza di precedenti accertati, immediata interruzione dei comportamenti illeciti, riorganizzazione delle procedure interne di raccolta dei dati sensibili, attivazione di corsi di formazione per il personale.
“Il nostro scopo era proprio questo –dichiara l’avvocata Roberta Di Maggio- Quello che ci interessava non era punire la struttura ma sensibilizzarla, far sì che venissero riorganizzate le procedure interne e formato il personale in modo da evitare altri futuri episodi di discriminazione, più o meno volontari”.
Di particolare interesse è il richiamo, nel testo, ad alcuni dei principi cui ci si deve attenere nel trattamento dei dati. Tra questi: il già citato, principio di “minimizzazione”, secondo il quale i dati raccolti devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”, e quello di integrità e riservatezza ,volto a garantire la sicurezza dei dati di cui si è in possesso, “compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti”. Il Garante ricorda, inoltre, che, in ambito sanitario, le informazioni sullo stato di salute possono essere comunicate all’interessato e, a terzi, solo sulla base di un idoneo presupposto giuridico (art. 9 del Regolamento GDPR).
“Sembra che gli anni ’80 e ’90, quelli della caccia alle streghe, dello stigma, della cattiva informazione, non passino mai –conclude Giupponi- Per questo, nonostante i nostri quarant’anni di battaglie, non possiamo ancora permetterci di abbassare la guardia sul fronte dei diritti delle persone con HIV. Questo provvedimento ci aiuterà a sostenere le nostre azioni di advocacy contro ogni discriminazione”.
Foto di Towfiqu barbhuiya su Unsplash
