Smarrire un campione di tessuto umano è violazione della privacy e obbliga a risarcire
Può costare decine di migliaia di euro la dispersione di tessuti umani o campioni biologici raccolti dal corpo di un paziente in quanto non è solo la segretezza del dato a essere rilevante ma anche la sua conservazione a fini di cura
La perdita o distruzione non autorizzata di un campione biologico asportato da un paziente costituisce violazione della normativa sulla privacy. Secondo il Garante per la protezione dei dati personali (provvedimento n. 587/2025) è sufficiente che il materiale biologico — collegato all’identità di una persona — venga smarrito o distrutto, impedendo l’esame previsto, perché si configuri un trattamento illecito: i dati sulla salute non sono solo un codice da custodire, ma rappresentano l’informazione essenziale per la tutela della dignità, della integrità e della certezza del percorso terapeutico.
Il Garante qualifica la distruzione del campione come violazione del principio di disponibilità/integrità dei dati e, assieme alla mancata notificazione della violazione, ne impone sanzione — nella vicenda decisa per 70.000 euro — come segno della gravità attribuita a questo tipo di condotte.
Il caso oggetto del provvedimento riguarda la perdita di un campione istologico prelevato durante un intervento chirurgico: il paziente chiedeva l’analisi per escludere una natura maligna della massa asportata. Quel campione, tuttavia, non giungeva mai al laboratorio perché risultava smaltito.
Per la struttura sanitaria, si trattava di un errore comunicativo tra operatori in sala, non di un difetto delle misure di tutela.
Ma il Garante ha ritenuto che l’evento configura una perdita irreversibile, grave, di dati sulla salute, e che le contromisure, pur utili, non hanno eliminato il carattere permanente della violazione.
Lesione della privacy
La scelta del Garante segna una svolta di metodo: la distruzione — anche accidentale o colposa — di materiale biologico connesso a una prestazione sanitaria non può essere considerata una mera inefficienza gestionale, bensì una lesione del diritto fondamentale alla protezione dei dati personali. L’effetto non è solo formale: la perdita del campione rende impossibile l’accertamento istologico, compromettendo la certezza diagnostica, il diritto all’informazione e, in prospettiva, la tutela della salute. Il valore della privacy non si esaurisce nella riservatezza, ma si estende alla garanzia che ogni dato relativo alla salute resti disponibile, integro, suscettibile di analisi, secondo la volontà e gli interessi del paziente.
Questo principio rafforza la responsabilità del titolare del trattamento — la struttura sanitaria — che non può reputarsi esonerata dal dovere di custodire con cura ogni dato, anche materiale, inerente al paziente. Le misure tecniche e organizzative devono essere tali da impedire non solo accessi impropri, ma anche distruzione o smarrimento. La perdita irreversibile di materiale sanitario assume dimensione di illecito, non di semplice incidente. E l’eventuale notifica della violazione all’autorità competente non può essere un atto discrezionale da valutare solo dopo la perdita: la comunicazione alla persona interessata e al Garante è parte integrante del corretto esercizio dell’accountability.
Oltre la segretezza dei dati sanitari
In prospettiva, il provvedimento codifica un principio di salvaguardia proattiva: la protezione dei dati sanitari non si limita al segreto, ma abbraccia la conservazione e la fruibilità. Questo orientamento dovrebbe stimolare il cambiamento delle pratiche ospedaliere, imponendo un’attenzione radicale alla catena di custodia dei campioni biologici. Ogni smaltimento, smarrimento o distruzione, anche involontaria, va segnalata, motivata e, se del caso, sanzionata. In definitiva, la decisione del Garante eleva il dovere di cura e protezione dei dati sanitari al rango di pilastro del diritto alla salute stesso: perdere un campione biologico non è un incidente tecnico, ma una lesione dei diritti della persona.
A ciò si aggiunge un ulteriore profilo di rilievo: la perdita del campione biologico non incide solo sul presente, ma proietta i suoi effetti sul futuro clinico della persona. Il provvedimento mette in evidenza come l’impossibilità di riesaminare quel materiale, anche a distanza di anni, possa compromettere decisioni terapeutiche successive, riducendo la capacità del paziente di partecipare consapevolmente al proprio percorso di cura. La tutela dei dati, in questa prospettiva, coincide con la tutela dell’autodeterminazione sanitaria: il campione non è un mero reperto, ma una risorsa informativa che accompagna il paziente lungo l’intera traiettoria assistenziale.
Il Garante richiama le strutture sanitarie a una visione più completa delle proprie responsabilità. Proteggere un dato significa anche garantirne la permanenza, la tracciabilità, la possibilità di essere utilizzato quando necessario. La catena di custodia del materiale biologico diventa parte essenziale della qualità del servizio sanitario, un elemento che incide sulla fiducia e sulla percezione della sicurezza delle cure. In questo senso, la decisione rappresenta un monito e, allo stesso tempo, una guida: invita a superare prassi frammentarie, a stabilire standard più rigorosi e a riconoscere che la protezione dei dati non è un obbligo burocratico, ma una componente irrinunciabile della tutela della persona.
