Cartella sanitaria e di rischio: custodia, consegna e privacy

La cartella sanitaria e di rischio è il fascicolo che il medico competente apre per ogni lavoratore soggetto a sorveglianza: la istituisce, la aggiorna e la custodisce sotto la propria responsabilità, nel luogo concordato alla nomina (art. 25, comma 1, lett. c). Il datore di lavoro non ne conosce il contenuto: riceve solo il giudizio di idoneità.

Il ruolo del medico competente e le visite che alimentano la cartella sono descritti nella guida su sorveglianza sanitaria e medico competente. Questa scheda risponde a domande più operative: dove sta la cartella, chi può vederla, cosa succede quando un lavoratore se ne va o quando cambia il medico.

Cosa contiene e chi la gestisce

L'art. 41, comma 5, prevede che gli esiti delle visite siano allegati alla cartella, redatta secondo i requisiti minimi dell'Allegato 3A (nella versione definita dal DM 9 luglio 2012), su supporto cartaceo o informatico. In una cartella si trovano, tra l'altro, i dati del lavoratore e della mansione, i rischi a cui è esposto, l'anamnesi, gli esiti delle visite e degli esami e i giudizi espressi nel tempo.

La gestione è affidata per intero al medico competente. L'art. 25, comma 1, lett. c, dice che il medico «istituisce, aggiorna e custodisce, sotto la propria responsabilità» una cartella per ogni lavoratore sorvegliato. La cartella è conservata con salvaguardia del segreto professionale e, salvo il tempo strettamente necessario per le visite e la trascrizione dei risultati, presso il luogo di custodia concordato al momento della nomina.

Il luogo di custodia si decide nell'incarico

La legge non dice dove debba stare la cartella: dice che il luogo si concorda alla nomina. Le soluzioni più comuni sono due: lo studio del medico o della struttura per cui lavora, oppure un armadio chiuso nella sede aziendale, con chiavi o accesso riservati al medico. Con la cartella informatica il problema si sposta sulle credenziali di accesso al software, che devono essere solo del medico e dei suoi collaboratori sanitari.

Il punto va scritto nell'incarico, insieme al formato della cartella e alle modalità di consegna a fine rapporto. Un modello di clausola è nel fac-simile di incarico al medico competente.

Chi vede cosa: il confine della privacy

I dati della cartella sono dati relativi alla salute, una categoria particolare di dati personali protetta in modo rafforzato dal GDPR e dal Codice privacy (D.Lgs. 196/2003). Il D.Lgs. 81/08 costruisce un confine netto: il medico tratta i dati clinici, il datore di lavoro riceve solo ciò che gli serve per organizzare il lavoro.

La regola pratica è che nessun documento clinico deve passare dall'ufficio del personale. Se un lavoratore consegna in azienda un referto «per il medico», va chiuso in busta e girato al medico senza aprirlo né copiarlo.

Fine del rapporto di lavoro

Quando un lavoratore sorvegliato lascia l'azienda, scattano tre obblighi in sequenza:

1. il datore di lavoro comunica tempestivamente al medico la cessazione del rapporto (art. 18, comma 1, lett. g-bis);
2. il medico consegna al lavoratore copia della cartella e gli fornisce le informazioni necessarie per conservarla (art. 25, comma 1, lett. e);
3. l'originale della cartella va conservato dal datore di lavoro, nel rispetto del Codice privacy, per almeno dieci anni, salvo un diverso termine previsto da altre norme del decreto (sempre lett. e).

La conservazione da parte del datore di lavoro non significa accesso al contenuto. Una soluzione diffusa è conservare l'originale in busta chiusa e sigillata, con il nome del lavoratore e la data di cessazione, in un archivio chiuso. La copia in mano al lavoratore ha anche un'utilità concreta: alla visita preventiva presso il nuovo datore di lavoro il medico ne tiene conto per evitare esami inutili (art. 41, comma 2-bis).

Esposti ad agenti cancerogeni, mutageni e tossici per la riproduzione

Per questi lavoratori valgono regole speciali. L'art. 243 prevede che, alla cessazione del rapporto, il datore di lavoro invii all'INAIL, per il tramite del medico competente, la cartella sanitaria e di rischio insieme alle annotazioni individuali del registro di esposizione, consegnandone copia al lavoratore. In caso di cessazione dell'attività dell'azienda, registro e cartelle vanno inviati all'INAIL. Dal D.Lgs. 135/2024 queste regole riguardano anche gli agenti tossici per la riproduzione di categoria 1A e 1B.

Quando cambia il medico competente

Il cambio del medico è il momento in cui le cartelle si perdono più spesso. L'art. 25, comma 1, lett. d, prevede che il medico, alla cessazione dell'incarico, consegni al datore di lavoro la documentazione sanitaria in suo possesso, nel rispetto del Codice privacy e del segreto professionale. Il datore di lavoro la mette a disposizione del nuovo medico.

Checklist per il passaggio di consegne

• verbale di consegna con l'elenco dei lavoratori di cui si consegna la cartella;
• cartelle in plichi chiusi, o file esportati in un formato leggibile dal nuovo medico;
• conferma che non restano cartelle presso il vecchio medico, salvo quelle dei lavoratori già cessati se così concordato;
• consegna dei plichi al nuovo medico senza aprirli, con un secondo verbale;
• elenco delle scadenze delle visite consegnato insieme, per non perdere il calendario;
• aggiornamento dell'incarico del nuovo medico con il luogo di custodia.

Con la cartella informatica conviene prevedere già nell'incarico iniziale il formato di esportazione dei dati alla fine del rapporto, per non dipendere dal software del vecchio medico.

Errore tipico in ispezione

Esempio: in un'azienda di 15 dipendenti l'ispettore trova le cartelle sanitarie nell'armadio aperto dell'amministrazione, accanto alle buste paga, perché il medico precedente le aveva lasciate lì senza verbale. Il nuovo medico non le ha mai ricevute formalmente. Il problema è doppio: violazione della riservatezza dei dati sanitari e continuità della sorveglianza non garantita. La soluzione è un verbale di consegna, un armadio chiuso riservato al medico e un passaggio formale al nuovo incarico.

Domande frequenti

Il datore di lavoro può leggere la cartella sanitaria?

No. La cartella è custodita dal medico competente con salvaguardia del segreto professionale e contiene dati sanitari che l'azienda non deve conoscere. Il datore di lavoro riceve il giudizio di idoneità, con prescrizioni e limitazioni, e i risultati anonimi e collettivi della sorveglianza nella riunione periodica. Anche quando conserva l'originale dopo la cessazione del rapporto, non deve accedere al contenuto.

Per quanto tempo va conservata la cartella sanitaria?

Dopo la cessazione del rapporto, l'originale va conservato dal datore di lavoro per almeno dieci anni, nel rispetto del Codice privacy, salvo un diverso termine previsto da altre norme del D.Lgs. 81/08 (art. 25, comma 1, lett. e). Per gli esposti ad agenti cancerogeni, mutageni o tossici per la riproduzione la cartella va invece inviata all'INAIL alla fine del rapporto.

Il lavoratore può avere copia della sua cartella durante il rapporto?

Sì. L'art. 25, comma 1, lett. h, prevede che il medico informi ogni lavoratore dei risultati della sorveglianza e, su richiesta, gli rilasci copia della documentazione sanitaria. La richiesta va rivolta al medico competente, non all'azienda. Alla fine del rapporto il medico consegna comunque al lavoratore una copia della cartella, con le informazioni per conservarla.

Cosa succede alle cartelle se il medico competente se ne va?

Alla cessazione dell'incarico il medico consegna al datore di lavoro la documentazione sanitaria in suo possesso, nel rispetto del segreto professionale (art. 25, comma 1, lett. d). Il datore di lavoro la conserva senza aprirla e la mette a disposizione del nuovo medico. Conviene documentare entrambi i passaggi con un verbale che elenchi le cartelle consegnate.