Introduzione

La tutela penale dei dati sanitari rappresenta oggi uno degli ambiti più delicati del diritto penale contemporaneo. Con la piena applicazione del Regolamento UE 2016/679 (GDPR) e il rafforzamento del quadro sanzionatorio nazionale, operatori sanitari, strutture ospedaliere e datori di lavoro si confrontano con un sistema di protezione a doppio binario: da un lato, le sanzioni amministrative irrogate dal Garante (fino a 20 milioni di euro o 4% del fatturato); dall'altro, le sanzioni penali previste dal D.lgs. 196/2003 (Codice della Privacy), come modificato dal D.lgs. 101/2018.

Il trattamento illecito di dati sanitari: art. 167 D.lgs. 196/2003

Il fulcro della tutela penale è rappresentato dall'art. 167 del D.lgs. 196/2003, che punisce il trattamento illecito di dati personali con la reclusione da sei mesi a un anno e sei mesi. La norma richiede:

  • un comportamento attivo, quale raccolta, comunicazione o diffusione;
  • la violazione delle disposizioni del Codice privacy;
  • il dolo specifico, ossia la finalità di trarre profitto o di arrecare danno;
  • un nocumento effettivo alla sfera giuridica dell'interessato.

La giurisprudenza ha chiarito che il nocumento può essere anche di natura non patrimoniale, comprendendo la sofferenza derivante dalla violazione della riservatezza sanitaria (Cass. 5525/2012). La Corte di Cassazione (sent. 13102/2023) ha inoltre confermato che il reato di trattamento illecito è un reato comune, perseguibile d'ufficio e attribuibile a chiunque partecipi al trattamento in violazione delle norme, non solo al titolare o al responsabile.

Comunicazione illecita su larga scala: art. 167-bis

Particolarmente grave è la fattispecie di cui all'art. 167-bis, introdotta dal D.lgs. 101/2018, che punisce con reclusione da uno a sei anni la comunicazione o diffusione illecita di dati personali oggetto di trattamento su larga scala. Si pensi a un database ospedaliero contenente migliaia di cartelle cliniche sottratto e diffuso online: in tali ipotesi, il requisito della larga scala aggrava sensibilmente la cornice edittale.

Acquisto fraudolento e falsità al Garante

L'art. 167-ter sanziona con la reclusione fino a due anni l'acquisizione fraudolenta di dati personali mediante false dichiarazioni o artifici. L'art. 168 punisce invece le falsità commesse nelle comunicazioni al Garante per la protezione dei dati personali.

Il rapporto con altri reati: la clausola di sussidiarietà

I reati in materia di privacy si inseriscono in un contesto più ampio di tutela, con la clausola "salvo che il fatto costituisca più grave reato" che impone di verificare il possibile concorso con:

  • Art. 622 c.p. (violazione del segreto professionale — reclusione fino a 1 anno): applicabile al medico che riveli informazioni riservate apprese in occasione della professione, senza giusta causa;
  • Art. 326 c.p. (violazione del segreto d'ufficio — reclusione da 6 mesi a 3 anni): rilevante per i pubblici dipendenti che accedano illegittimamente a banche dati sanitarie;
  • Art. 615-ter c.p. (accesso abusivo a sistema informatico — reclusione fino a 3 anni): punisce l'intrusione non autorizzata in sistemi contenenti dati sanitari, come il Fascicolo Sanitario Elettronico;
  • Falsità in cartella clinica (artt. 476-480 c.p. — reclusione da 1 a 6 anni): alterazione o annotazione "ora per allora" della documentazione sanitaria.

Responsabilità penale per data breach massivi

In caso di data breach su larga scala che coinvolga dati sanitari, la responsabilità penale può configurarsi a carico:

  • delle persone fisiche (medici, infermieri, dirigenti) che abbiano concorso nella violazione, a vario titolo;
  • della struttura sanitaria, ai sensi del D.lgs. 231/2001, per i reati informatici commessi nell'interesse o a vantaggio dell'ente (art. 24-bis, che include l'accesso abusivo, il danneggiamento informatico e il trattamento illecito di dati).

Il sistema italiano a "doppio binario" (sanzione amministrativa del Garante + processo penale) può portare a due procedimenti distinti per la stessa condotta, con possibili questioni di ne bis in idem.

Conclusione pratica

Per gli operatori sanitari e i datori di lavoro, la protezione dei dati sanitari richiede:

  • formazione continua del personale sulle procedure GDPR;
  • implementazione di misure tecniche adeguate (crittografia, accessi logici, server UE);
  • protocolli interni per la gestione tempestiva dei data breach;
  • verifica periodica della conformità del modello organizzativo ex D.lgs. 231/2001.

La negligenza nella tutela dei dati sanitari espone non solo a pesanti sanzioni amministrative, ma anche a rilevanti conseguenze penali, con possibili riflessi sulla responsabilità dell'ente.