Source: http://www.attidellaaccademialancisiana.it/235/19/articolo/Privacy-Il-Nuovo-Regolamento-Comunitario-e-i-dati-sanitari
Timestamp: 2020-07-10 00:33:21+00:00

Document:
Simposio: Ruolo e funzione dei Comitati Etici alla luce della nuova Normativa Europea
Privacy: Il Nuovo Regolamento Comunitario e i dati sanitari
P. Baglio
Il Regolamento UE 2016/679 del 27.4.2016, entrato in vigore nel nostro Paese lo scorso maggio 2018, costituisce un corpo normativo unico per tutti gli Stati membri dell’UE.
Detta natura regolamentare, a differenza delle direttive, fa sì che lo stesso sia immediatamente e direttamente applicabile e vincolante per ciascuno Stato membro, senza necessità di una legge di recepimento nazionale.
La disciplina contenuta nel Regolamento si applica anche a tutti i soggetti che, pur avendo la loro sede fuori dall’Europa, offrono servizi o prodotti a persone che si trovano all’interno del territorio dell’Unione. Conseguentemente tutte le Aziende/Enti/Imprese che operano in Europa dovranno rispettare il dettato del Regolamento.
L’obiettivo del Regolamento è quello di snellire la regolamentazione vigente in materia di dati personali, generalmente intesi; nonché quello di contribuire ad una tutela uniforme dei diritti in tale ambito all’interno di tutta l’UE.
Il principio basilare che permea tutta la disciplina è che ogni trattamento dei dati deve essere lecito, pertanto è dirimente il concetto di LICEITA’ del trattamento.
Considerato il tema dell’evento e la durata dell’intervento, si è scelto di soffermarci sulla disciplina concernente il trattamento dei dati sanitari e quindi di esaminare alcuni articoli del Regolamento che attengono a tale specifico tema; non senza trascurare – per completezza conoscitiva – la disamina dei principi generali applicabili al trattamento dei dati personali nonché la nozione di “liceità” secondo la visione del Legislatore comunitario.
La definizione di “dati personali relativi alla salute”.
L’articolato del Regolamento è preceduto da un lunga e variegata elencazione di punti in considerazione dei quali il Legislatore comunitario ha emanato il GDPR; tra questi punti rileva, nella specie, il n. 35 che indica quali dati personali dovrebbero rientrare nella nozione di “dati personali relativi alla salute”.
Dalla lettura di tale passaggio del testo regolamentare si ricava una ampia e completa connotazione di dato relativo alla salute che non si limita soltanto ai dati sullo stato di salute dell’individuo, ma comprende anche:
- le informazioni sulla persona fisica raccolte per erogare servizi di assistenza sanitaria e/o prestazioni assistenziali;
- un numero, simbolo o codice per identificare anonimamente ma in modo univoco la persona a fini sanitari;
- le informazioni riguardanti gli esiti dei controlli medici effettuati e delle prestazioni diagnostiche anche su sostanze organiche tra cui vengono ricompresi i dati genetici ed i campioni biologici;
- qualsiasi altra informazione su una malattia, o rischio di malattia, disabilità, anamnesi medica, stato fisiologico della persona interessata, indipendentemente dalla fonte (ovvero da quel medico, operatore, Ospedale o dispositivo medico) che ha o ha avuto contatto diretto con la persona.
La nozione appena enucleata – seppur più succintamente espressa - acquista effettivo contenuto normativo e cogente nel Regolamento in quanto trasposta nell’art. 4 recante le “definizioni”; in particolare al punto 15) della citata norma troviamo i “dati relativi alla salute” indicati come i dati personali attinenti alla salute fisica o mentale di una persona fisica, che rivelano informazioni relative al suo stato di salute.
Prima di analizzare nel dettaglio la disciplina del trattamento dei dati relativi alla salute, è necessario inquadrarla nel contesto più ampio dei principi che governano il trattamento di tutti i dati personali.
Ecco allora che il trattamento dovrà rispettare il dettato dell’art. 5 “Principi applicabili al trattamento di dati personali”.
Come già affermato nell’introduzione, tutta la materia del trattamento dei dati personali deve essere lecita, ovvero rispettosa delle norme e degli specifici principi che sostanziano la nozione stessa di liceità del trattamento.
I principi generali che presiedono la materia sono elencati e sinteticamente descritti proprio nel citato art. 5:
- liceità;
- raccolta per finalità determinate, esplicite e legittime;
- adeguatezza, pertinenza e limitatezza del dato raccolto rispetto al fine del trattamento;
- esattezza;
- conservazione adeguata rispetto al fine del trattamento;
- conservazione sicura.
In sintesi, dalla lettura dell’articolo citato si ricava che l’obiettivo del legislatore è quello di trattare i dati personali avendoli raccolti in maniera esatta, per fini legittimi e specifici e di conservarli in modo sicuro per il tempo necessario a raggiungere il fine posto. Il tutto, però, purché il trattamento sia comunque lecito.
Ecco perché a corollario e completamento di quanto sin qui enunciato, il legislatore ha introdotto l’art. 6 recante la nozione di “Liceità del trattamento”.
Quando il trattamento dei dati personali è lecito? Quando ricorre almeno una delle condizioni elencate dal citato art. 6.
Dalla lettura della norma si ricavano da subito due concetti fondamentali:
1) La liceità del trattamento sussiste quando l’interessato ha manifestato il consenso al trattamento dei propri dati personali per una o più specifiche finalità; quindi si sancisce il CONSENSO come fonte primaria e legittimante il trattamento dei dati.
2) La necessità di trattare i dati costituisce l’unica possibile deroga all’acquisizione del consenso al trattamento. La previsione dello stato di necessità quale strumento derogatorio di una disciplina diversamente vigente, rientra in un più generale principio che governa anche il diritto interno italiano che attribuisce allo stato di necessità la possibilità di derogare, o scriminare come si dice nel diritto penale, ad una diversa previsione di legge purché in ipotesi tassativamente individuate onde evitare che la deroga possa rendere inutile la previsione della disciplina ordinaria che nel caso di specie, si ripete, è quella del rilascio del consenso al trattamento dei dati da parte dell’interessato.
In nome della tassatività delle ipotesi derogatorie, il legislatore ha sviscerato nel dettaglio quali siano le possibili “necessità” in presenza delle quali il trattamento dei dati, ancorché non consentito dall’interessato, possa comunque ritenersi lecito. In particolare, ha qui rilievo la previsione di cui alla lett. d) del citato art. 6 ovvero quando “il trattamento è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica”.
Il legislatore europeo ha comunque espressamente stabilito che gli Stati membri possano anche introdurre disposizioni e requisiti più specifici per qualificare come lecito un trattamento dei dati. In generale vige il principio per il quale la norma comunitaria detta una disciplina di base, non derogabile in senso più favorevole (una sorta di standard minimo), che poi i singoli Stati membri possono eventualmente rendere più restrittiva o maggiormente punitiva.
Alla luce di quanto sin qui emerso dall’analisi del testo normativo si può concludere che il trattamento dei dati deve essere lecito; la liceità si sostanzia in primo luogo e soprattutto attraverso il rilascio del consenso al trattamento da parte dell’interessato. Tuttavia, in caso di necessità che rientri in una delle ipotesi tipizzate dalla norma o nelle ipotesi aggiuntive che eventualmente uno Stato membro abbia voluto introdurre, il trattamento è lecito ancorché non preceduto dal rilascio del consenso.
Dopo aver descritto i principi sottesi al trattamento di qualsiasi tipologia di dati, si giunge alla disamina dell’art. 9 recante “Trattamento di categorie particolari di dati personali”.
Il primo principio che il legislatore sancisce in questo ambito è quello del DIVIETO del trattamento di dati particolari come ad esempio quali che rivelino l’origine razziale, etnica, opinioni politiche, convinzioni religiose ecc. e divieto di trattare:
- dati genetici;
- dati biometrici, dati relativi alla salute o alla vita o all’orientamento sessuale.
Tuttavia, nel convincimento che tale divieto avrebbe necessariamente conflitto con la salvaguardia di altri valori del medesimo rango oggetto di tutele (come la salute individuale e pubblica), il Legislatore ha dovuto effettuare quello che si definisce “bilanciamento degli interessi” e quindi rilevare come la finalità della tutela della salute fosse prevalente rispetto alla inopportunità di trattare i dati alla stessa relativi; conseguentemente ha previsto deroghe e correttivi rispetto al divieto generalmente posto, purché in presenza ed in osservanza di tutta una serie di presupposti.
Il primo presupposto per consentire un lecito trattamento dei dati relativi alla salute è il consenso dell’interessato.
Pur essendo così dirimente, il legislatore poco ci dice riguardo al consenso, limitandosi a disciplinare che lo stesso debba essere esplicito e relativo ad una o più finalità specifiche (ci si richiama a quanto già analizzato all’art.6 lett. a) ed all’art. 5, lett. b). La norma altro non aggiunge su come debba essere questo consenso, lasciando in tal modo alla pratica applicazione o alla disciplina più restrittiva dei singoli stati membri la possibilità di dettare indicazioni più stringenti sul punto. Più precisamente si registra come la norma non richieda espressamente un consenso scritto, che dunque stando all’attuale disciplina non è necessario, ma di certo tale modalità risulta assicurare a chi raccoglie e tratta il dato maggiori garanzie (certezza della raccolta, effettivo ambito di manifestazione del consenso, indicazione delle finalità della raccolta, idoneità della forma scritta come prova del consenso stesso).
Seguendo lo stesso impianto normativo già analizzato con riguardo all’art. 6, il Legislatore va ad indicare tutte le ipotesi in cui si può derogare al generale divieto di trattare certi dati tra cui quelli relativi alla salute. In tal modo l’art. 9 assume la fisionomia di un lungo e dettagliato elenco in cui, ancora una volta, la necessità funge da deroga al regime generale e rende lecito il trattamento di questa tipologia di dati.
Per quanto qui di interesse rilevano le previsioni di cui alla lett. c) del paragrafo 2: “il trattamento è necessario per tutelare un interesse vitale dell’interessato o di un’altra persona fisica qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso”. È questa una ipotesi di non immediata comprensione; sembrerebbe riferirsi al caso in cui una persona si trovi in pericolo di vita ma le sue condizioni sono tali da non consentire la raccolta del consenso oppure sia una persona giuridicamente incapace di determinarsi rilasciando un valido consenso. Tuttavia le finalità di cura, diagnosi e assistenza sono ricomprese in un punto successivo della norma ed allora tale passaggio potrebbe riguardare ambiti di fondamentale valore personale ma non riconducibili alla salute; in tal senso soltanto la concreta applicazione e l’interpretazione sia di matrice comunitaria che del diritto interno potrà meglio chiarire a quali ambiti tali deroga potrà correttamente applicarsi.
Senz’altro di grande interesse è la previsione di cui alla lett. h) che regolamenta la necessità del trattamento dei dati sulla salute per finalità di medicina preventiva, diagnosi, assistenza o terapia sanitaria ovvero per la gestione dei sistemi o servizi sanitari sulla base del diritto dell’Unione o interno degli Stati membri o di un contratto stipulato con un professionista della sanità.
In questa parte della norma si ravvisa proprio l’essenza del trattamento dei dati sanitari in ragione delle finalità di cura, latamente intesa, degli individui.
In questo caso il legislatore ha ovviamente previsto che i dati si possano trattare, seppur con le tutele e le cautele del caso, onde garantire tutte le finalità che ruotano intorno al concetto di salute. Non sfuggirà infatti il richiamo, oltre alla diagnosi, cura ed assistenza, anche alla tenuta delle cartelle cliniche fino ad arrivare al rapporto contrattuale diretto col sanitario che si instaura in un contesto privatistico quale quello dell’erogazione assistenziale in ambito privato.
Si parlava di trattamento del dato sanitario ma con tutele e cautele; infatti al paragrafo 3 sempre dell’art. 9 il legislatore ha previsto che i dati sanitari siano trattati da (e sotto la responsabilità di) un professionista tenuto al segreto professionale (medico) o comunque da persona soggetta all’obbligo di segretezza. Inoltre, rispetto a quanto normato nel Regolamento in esame, il paragrafo 4 dell’art. 9 prevede anche che i singoli stati membri possano introdurre anche ulteriori limitazioni al trattamento dei dati genetici, biometrici o relativi alla salute.
Le tutele da ultimo indicate, lette in uno alla previsione di cui al punto 35 della premessa al Regolamento, ovvero la possibilità di identificare una persona fisica in modo univoco a fini sanitari mediante l’attribuzione di un numero o di un codice o di un simbolo (cd. anonimizzazione del dato sanitario), garantirà la massima riservatezza possibile su informazioni così personali e delicate.
A completamento di questo excursus sin qui tracciato circa il trattamento dei dati sanitari si vuole richiamare anche l’art. 89 del GDPR, recante “garanzie e deroghe relative al trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici”.
La ratio della norma in particolare, e del Regolamento in generale, è quella di garantire sempre e comunque i diritti e le libertà del soggetto interessato; tuttavia le finalità di archiviazione nel pubblico interesse, di ricerca scientifica e statistica sono ritenute dal legislatore, nel bilanciamento degli interessi, come preponderanti e quindi meritevoli di specifica e rafforzata tutela, al punto che - infatti – pur di perseguire tali finalità è prevista la deroga ad alcuni diritti normati nel corpus del Regolamento (diritto di accesso, di rettifica, di opposizione e di limitazione del trattamento).
Ciò, come detto, non senza trascurare comunque l’esigenza di mettere a punto delle garanzie, nell’interesse della persona, le quali pur assicurando le finalità descritte non compromettano diritti e libertà della persona. La norma definisce tali garanzia come “misure” tra cui indica espressamente la pseudoanonimizzazione o anche - preferibilmente - la definitiva impossibilità di identificare l’interessato, sempreché le finalità in questione possano essere raggiunte trattando i dati in tale modalità.
N. 35 GDPR 2016/679
Nei dati personali relativi alla salute dovrebbero rientrare tutti i dati riguardanti lo stato di salute dell'interessato che rivelino informazioni connesse allo stato di salute fisica o mentale passata, presente o futura dello stesso. Questi comprendono informazioni sulla persona fisica raccolte nel corso della sua registrazione al fine di ricevere servizi di assistenza sanitaria o della relativa prestazione di cui alla direttiva 2011/24/UE del Parlamento europeo e del Consiglio (9); un numero, un simbolo o un elemento specifico attribuito a una persona fisica per identificarla in modo univoco a fini sanitari; le informazioni risultanti da esami e controlli effettuati su una parte del corpo o una sostanza organica, compresi i dati genetici e i campioni biologici; e qualsiasi informazione riguardante, ad esempio, una malattia, una disabilità, il rischio di malattie, l'anamnesi medica, i trattamenti clinici o lo stato fisiologico o biomedico dell'interessato, indipendentemente dalla fonte, quale, ad esempio, un medico 0 altro operatore sanitario, un ospedale, un dispositivo medico o un test diagnostico in vitro.
Articolo 5: Principi applicabili al trattamento di dati personali
Articolo 6: Liceità del trattamento
a) dal diritto dell'Unione; o
e) dell'esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudoanonimizzazione.
Articolo 9: Trattamento di categorie particolari di dati personali
a) l'interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo nei casi in cui il diritto dell'Unione o degli Stati membri dispone che l'interessato non possa revocare il divieto di cui al paragrafo 1;
b) il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell'Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate peri diritti fondamentali e gli interessi dell'interessato;
f) il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogni qualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali;
Articolo 89 Garanzie e deroghe relative al trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o fini statistici
1. Il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici è soggetto a garanzie adeguate peri diritti e le libertà dell'interessato, in conformità del presente regolamento. Tali garanzie assicurano che siano state predisposte misure tecniche e organizzative, in particolare al fine di garantire il rispetto del principio della minimizzazione dei dati. Tali misure possono includere la pseudoanonimizzazione, purché le finalità in questione possano essere conseguite in tal modo. Qualora possano essere conseguite attraverso il trattamento ulteriore che non consenta o non consenta più di identificare l'interessato, tali finalità devono essere conseguite in tal modo.
4. Qualora il trattamento di cui ai paragrafi 2 e 3 funga allo stesso tempo a un altro scopo, le deroghe si applicano solo al trattamento per le finalità di cui ai medesimi paragrafi
Cfr. “Dati sanitari, come trattarli alla luce del GDPR”, di Michele Iaselli, Altalex, 13.4.2018; “Sanità e Privacy”, di Bruno Saetta, in Temi, 2.11.2018.

References: art. 5
 art. 6
 art. 6

Articolo 5

Articolo 6

Articolo 9

Articolo 89