Source: https://www.laleggepertutti.it/10045_privacy-per-gli-utenti-di-siti-medici
Timestamp: 2018-08-22 05:35:48+00:00
Document Index: 181052341

Matched Legal Cases: ['art. 4', 'art. 15', 'art. 143', 'art. 11', 'art. 13', 'art. 13', 'art. 7', 'art. 7', 'art. 7', 'art. 31', 'art. 13']

Privacy per gli utenti di siti medici: scuse non richieste, accuse manifeste
14 marzo 2012 | Autore: Angelo Greco
> Diritto e Fisco Pubblicato il 14 marzo 2012
Linee guida sul trattamento dei dati personali per siti e blog dedicati alla salute: tutela della privacy nella potenziale diffusione on line di dati sensibili degli utenti.
Il Garante della privacy sa bene, ogni volta, come allarmarci: l’ultima raccomandazione è in tema di siti e network dedicati alla salute che forniscono consulenza sulle più disparate patologie. Lì, nei relativi forum di discussione e negli spazi blog, si raccolgono i dati sensibili sulla salute degli internauti. Così allarmata, l’Authority ha emanato le linee guida “in materia di trattamento di dati personali per finalità di pubblicazione e diffusione nei siti dedicati alla salute”.
In base al nuovo provvedimento, i gestori di siti, blog, forum, social network dedicati a tematiche sulla salute, che prevedano o meno la registrazione degli utenti, dovranno inserire nella loro home page una specifica “avvertenza di rischio”: l’avviso servirà a sottolineare il rischio di poter rendersi identificabili, sul web, in relazione alla propria patologia.
L’utente, in questo modo, dovrebbe – almeno secondo il Garante – prestare più attenzione e decidere, in modo consapevole, se inserire o meno i propri dati personali (es. nome, cognome e-mail ecc.): dati che potrebbero rendere riconducibile la patologia alla sua persona, con conseguente (e irrimediabile) lesione della privacy.
Il pericolo è tanto più grave quanto più si pensi alla possibilità che tali informazioni vengano raccolte dai motori di ricerca e quindi conosciute non solo dagli iscritti al sito, ma da tutto il web.
Precauzioni non richieste, accuse manifeste. In presenza di un allarme, ci sarà già da qualche parte una vittima. E questo secondo l’antica logica italiana per cui la cura si adotta solo a malattia inoltrata. In pochi, peraltro, avevano pensato a questa ulteriore violazione di privacy. Vuoi perché chi si iscrive a un forum medico è già stretto dalla apprensione per la propria salute per preoccuparsi anche del trattamento dei suoi dati. Vuoi perché si ritiene, erroneamente, che la propria malattia non interessi a nessuno. E invece non è così. Le industrie farmaceutiche spendono ogni anno milioni di euro in pubblicità.
Dubbi sull’efficacia delle nuove “linee guida”.
Non sarà certo un minuscolo disclaimer sulla homepage a far prendere coscienza al netizen-malato all’atto della registrazione al sito. Già in altre circostanze, peraltro, ho avuto modo di stigmatizzare l’efficacia persuasiva dei disclaimer e di tutti gli esoneri di responsabilità pubblicati dai gestori dei siti e camuffati sotto le vesti di condizioni di iscrizione ai portali.
Ma l’aspetto più preoccupante del modus operandi del Garante è quello di agire sempre sotto la logica dell’avviso agli utenti, che dovrebbe “formalmente” esonerare da ogni responsabilità il gestore dei dati, garantendogli sogni tranquilli. Come a dire: “Siete stati avvisati…”.
Ci sono invece tanti aspetti e precauzioni tecnologiche che possono essere usate e imposte a monte, già ai gestori di siti che trattano dati sensibilissimi, senza bisogno di doversi rivolgere all’utente. Strumenti che, quanto meno, potrebbero servire per “schermare” i dati rispetto al resto del web o agli altri utenti “non registrati”.
L’unica precauzione che si legge nelle linee guida è contenuta all’art. 4.1.4, dove si legge:
“I dati raccolti dal gestore del sito su sua richiesta devono essere protetti con idonee e preventive misure di sicurezza, riducendo al minimo i rischi di (…) accesso non autorizzato”. Una disposizione troppo generica e vuota, che nulla dice sugli specifici strumenti da adottare. Strumenti che, invece, esistono e vengono spesso usati in altri contesti per altre finalità altrettanto riservate (si pensi, ad esempio, ai siti che gestiscono i portafogli bancari).
E così, non resta che spostare l’attenzione sull’ingenuo internauta, ripetendo lo storico gesto di Pilato, ponte di passaggio dalla politica romana a quella “italiana”.
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI, DELIBERAZIONE 25 gennaio 2012, n. 31
Linee guida in materia di trattamento di dati personali per finalita’ di pubblicazione e diffusione nei siti web esclusivamente dedicati alla salute. (12A01852)
(GU n. 42 del 20-2-2012)
Visto il codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196,di seguito il «Codice»);
Considerato che il ricorso alle potenzialita’ del web, con riferimento a tematiche che riguardano la salute rappresenta una realta’ in costante evoluzione che coinvolge un sempre maggior numero di utenti anche medici che, tramite Internet, si scambiano informazioni e pareri e condividono esperienze scientifiche e umane;
Considerato che tale scambio di informazioni ed esperienze riveste una particolare utilita’ e rilevanza per la condivisione, non solo di conoscenze scientifiche, ma anche di contatti umani e per la creazione di reti di solidarieta’ e di sostegno tra gli utenti;
Considerato, tuttavia, che il trattamento nella rete di dati sensibili e, in particolare, dei dati che riguardano la salute degli utenti presenta profili di rischio per i diritti e le liberta’ fondamentali, nonche’ per la dignita’ dei soggetti interessati, in relazione alla particolare delicatezza dei dati trattati e delle caratteristiche di Internet;
Visto che, in tale contesto, emerge la necessita’ di una maggiore sensibilizzazione e attenzione agli aspetti che riguardano il corretto trattamento dei dati personali e sensibili;
Viste le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento n. 1/2000; Relatore il prof. Francesco Pizzetti;
1. Di adottare l’unito documento, recante le «Linee guida in materia di trattamento di dati personali per finalita’ di pubblicazione e diffusione nei siti web esclusivamente dedicati alla salute», che forma parte integrante della presente deliberazione (allegato 1).
2. Che copia del presente provvedimento sia trasmessa al Ministero della giustizia – Ufficio leggi e decreti, per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana ai sensi dell’art. 143, comma 2, del Codice. Roma, 25 gennaio 2012 Il Presidente e relatore: Pizzetti Il segretario generale: De Paoli
Allegato 1 LINEE GUIDA IN MATERIA DI TRATTAMENTO DI DATI PERSONALI PER FINALITA’ DI PUBBLICAZIONE E DIFFUSIONE NEI SITI WEB ESCLUSIVAMENTE DEDICATI ALLA SALUTE.
Il ricorso alle potenzialita’ del web con riferimento alle tematiche relative alla salute rappresenta una realta’ in costante evoluzione. Lo scambio quotidiano tra utenti di informazioni, consigli, commenti e testimonianze, nei siti che si occupano di tali tematiche, testimonia l’utilita’ e il valore di queste esperienze sia con riguardo alla condivisione di conoscenze scientifiche sia con riguardo alla creazione di uno spazio di solidarieta’ e di reciproco sostegno umano. Anche per questo e’ opportuno che il trattamento dei dati personali identificativi e sensibili degli utenti nell’ambito di siti web dedicati esclusivamente alla salute, all’interno dei quali si richiedono consigli, si scambiano informazioni e si inviano commenti, avvenga oltre che nel rispetto della disciplina sulla protezione dei dati personali e, in particolare, dei principi di pertinenza e non eccedenza, di correttezza e buona fede (art. 11 del Codice), anche delle specifiche indicazioni contenute nelle presenti linee-guida. Con il presente provvedimento il Garante ritiene utile fornire indicazioni e raccomandazioni, allo scopo di prevenire i rischi connessi alla pubblicazione e diffusione dei dati relativi alla salute in Internet e, in particolare, di evitare un’impropria esposizione delle persone e dei loro dati piu’ intimi nella rete. Cio’ anche al fine di consentire agli utenti di partecipare, con maggior consapevolezza, a questi spazi di scambio di informazioni e di reciproca manifestazione di solidarieta’.
2. Ambito considerato.
Le presenti linee-guida riguardano i gestori dei siti web dedicati esclusivamente alla salute (specifici forum e blog, specifiche sezioni di portali che contengono informazioni sanitarie, nonche’ social network che si occupano di tematiche sulla salute attraverso specifici profili, aperti da soggetti privati con finalita’ di sensibilizzazione e confronto in tale ambito) in cui si svolge un’attivita’ di carattere meramente divulgativo e conoscitivo, non solo con riferimento alle informazioni e ai commenti che si scambiano gli utenti, ma anche con riferimento ai consigli o alle «consulenze» mediche che vengono dagli stessi richieste. Pertanto, non rientrano nell’ambito considerato dalle linee-guida i servizi di assistenza sanitaria on line e la telemedicina che, con riguardo alla cura della salute, si inquadrano invece nella prestazione medica in senso stretto.
3. Trattamento dei dati personali nei siti web esclusivamente dedicati alla salute.
Nell’ambito dei diversi siti web dedicati esclusivamente alla salute, allo stato attuale e’ possibile individuare siti che prevedono la registrazione dell’utente per partecipare alle relative attivita’ e siti che non prevedono tale registrazione: a) nei siti che prevedono la registrazione dell’utente, tramite la raccolta dei dati di iscrizione (quali, ad esempio, il nome e l’indirizzo di posta elettronica dell’utente, la data di nascita, la residenza, il domicilio o altri dati utili all’identificazione dello stesso) al gestore del sito che, in qualita’ di titolare del trattamento e’ tenuto a porre in essere gli adempimenti previsti dalla normativa in materia di protezione dei dati personali, si raccomanda anche di adottare le ulteriori misure, indicate di seguito al punto 4.1.; b) nei siti che non prevedono la registrazione dell’utente, al gestore del sito si raccomanda comunque di conformare il proprio comportamento a profili di sicurezza idonei ad evitare i rischi connessi alla pubblicazione e diffusione nel web di dati relativi alla salute degli utenti, in particolare attraverso l’adozione della specifica avvertenza di rischio di seguito indicata al punto 4.2.1.
4. Adempimenti dei gestori dei siti.
4.1. Siti web esclusivamente dedicati alla salute che prevedono la registrazione dell’utente.
4.1.1. Informativa (art. 13 del Codice).
Con riguardo ai siti che prevedono la registrazione degli utenti, il gestore, in quanto titolare del trattamento, e’ tenuto, ai sensi dell’art. 13 del Codice, a: fornire l’informativa agli interessati prima della compilazione del modulo (form) di raccolta dei dati di registrazione. Tale informativa deve essere consultabile in qualsiasi momento in un’apposita pagina del sito ad essa dedicata; indicare le finalita’ per le quali i dati sono raccolti e le modalita’ del relativo trattamento; specificare quali dati di registrazione sono ritenuti necessari per partecipare alle attivita’ del sito e quali dati sono invece ritenuti facoltativi; indicare i tempi di conservazione dei dati personali raccolti; indicare i diritti di cui all’art. 7 del Codice e rendere sempre visibili e facilmente reperibili i propri estremi identificativi in qualita’ di titolare del trattamento, ovvero quelli di altro soggetto designato responsabile, cui sia possibile chiedere riscontro in relazione ai diritti di cui al menzionato art. 7 del Codice; invitare l’utente a confermare, apponendo un segno di spunta in un’apposita casella, l’avvenuta presa visione dell’informativa al fine di registrarsi al sito.
4.1.2. Specifica «avvertenza di rischio».
In considerazione della particolare delicatezza dei dati personali che vengono trattati nei siti web esclusivamente dedicati alla salute, al gestore e’ richiesto di rendere anche una specifica «avvertenza di rischio». Tale avvertenza e’ tesa a richiamare l’attenzione dell’utente sul rischio che, immettendo dati sensibili collegati a dati identificativi nel sito web, si puo’ essere individuati con la propria specifica patologia. L’avvertenza e’ volta inoltre ad indicare all’utente le misure necessarie a tutelarne la riservatezza, sia nella fase della registrazione sia nella fase dell’inserimento dei contenuti nello spazio web ad essi dedicato: a) rispetto ai dati di registrazione al gestore si raccomanda di: specificare che, qualora l’utente desideri mantenere l’anonimato, e’ possibile non inserire il proprio nome e cognome tra i dati di registrazione, utilizzando, invece un nickname che non consenta di risalire alla relativa identita’; specificare che i dati di contatto (quali ad esempio l’indirizzo di posta elettronica) da fornire eventualmente all’atto della registrazione al sito non vengono automaticamente pubblicati sul sito stesso unitamente ai commenti dell’utente; b) rispetto ai contenuti immessi dall’utente al gestore si raccomanda di: avvertire l’utente di valutare con la necessaria attenzione l’opportunita’, nei propri interventi, di inserire, o meno, dati personali, compreso l’indirizzo e-mail, che possano rivelarne, anche indirettamente, l’identita’ (si pensi, ad esempio, al caso in cui in cui l’utente, nel testimoniare la propria esperienza o descrivere il proprio stato di salute, inserisca riferimenti a luoghi, persone, circostanze e contesti che consentano anche indirettamente di risalire alla sua identita’); avvertire l’utente di valutare l’opportunita’ di pubblicare, o meno, foto o video che consentano di identificare o rendere identificabili persone e luoghi; avvertire l’utente di prestare particolare attenzione alla possibilita’ di inserire, nei propri interventi (postati nei diversi spazi dedicati alla salute), dati che possano rivelare, anche indirettamente, l’identita’ di terzi, quali, ad esempio, altre persone accomunate all’autore del post dalla medesima patologia, esperienza umana o percorso medico; specificare l’ambito di conoscibilita’ dei dati propri o altrui, immessi dall’utente, in particolare precisando se tali dati siano consultabili soltanto dagli iscritti al sito, ovvero da qualsiasi utente che acceda al sito stesso (reperibilita’ dei dati mediante funzionalita’ di ricerca interne al sito); precisare se i dati sono indicizzabili e reperibili o meno anche dai motori di ricerca generalisti (Google, Yahoo, ecc.); invitare l’utente a confermare, apponendo un segno di spunta in un’apposita casella, l’avvenuta presa visione dell’avvertenza di rischio. L’avvertenza di rischio puo’ essere richiamata dal gestore anche eventualmente attraverso l’inserimento, nella home page del sito, di un’immagine che rimandi l’utente al testo dell’avvertenza stessa.
4.1.3. Esercizio dei diritti.
L’interessato puo’ esercitare nei confronti del gestore del sito i diritti previsti dall’art. 7 del Codice con riferimento ai dati richiesti dal gestore stesso e forniti dall’utente. In particolare l’interessato ha sempre il diritto, qualora non intenda piu’ partecipare alle attivita’ del sito (forum, blog, ecc.), di ottenere la cancellazione dei propri dati personali rilasciati su richiesta del gestore; analogamente, puo’ richiedere l’aggiornamento, la rettificazione ovvero l’integrazione dei dati stessi. A tal fine l’interessato puo’ rivolgere un’apposita richiesta al gestore del sito, in quanto titolare del trattamento, secondo le modalita’ previste dal Codice (articoli 8 e 9).
4.1.4. Misure di sicurezza.
I dati raccolti dal gestore del sito su sua richiesta devono essere protetti con idonee e preventive misure di sicurezza, riducendo al minimo i rischi di distruzione, di perdita, anche accidentale, di accesso non autorizzato, di trattamento non consentito o non conforme alle finalita’ della raccolta (art. 31 e seguenti del Codice). I dati raccolti dal gestore devono restare riservati (ivi compreso l’indirizzo e-mail) e non possono essere comunicati o diffusi a terzi. Nel caso il servizio sia realizzato per il tramite di un sito web con un’organizzazione (ad esempio editoriale) che prevede diverse figure professionali che acquisiscono dati personali raccolti su richiesta del gestore del sito, quest’ultimo deve garantire che i dati dell’utente non siano utilizzati da personale non autorizzato e per finalita’ che non sono conformi alla volonta’ espressa o implicita dell’utente stesso.
Restano ferme le misure gia’ previste dall’allegato B al Codice (Disciplinare tecnico in materia di misure minime di sicurezza), nonche’ quelle impartite con il provvedimento dell’Autorita’ relativo agli amministratori di sistema (Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema – 27 novembre 2008, doc. web n. 1577499).
4.2. Siti web esclusivamente dedicati alla salute che non prevedono la registrazione dell’utente.
4.2.1. Specifica «avvertenza di rischio».
Nei siti dedicati alla salute che non prevedono la registrazione dell’utente, ai gestori non e’ richiesto di rilasciare l’informativa di cui all’art. 13 del Codice, in quanto non vi e’ trattamento di dati personali di registrazione. Negli spazi previsti in tali siti vengono pero’ inseriti dati di particolare delicatezza, quali i dati relativi alla salute dell’utente. Pertanto, al gestore e’ richiesto di fornire, per le ragioni precedentemente esposte, la specifica avvertenza di rischio prevista al punto 4.1.3. Al gestore si raccomanda quindi di: avvertire l’utente che eventuali dati di contatto (quali ad esempio l’indirizzo di posta elettronica) inseriti dallo stesso possono essere pubblicati unitamente ai relativi commenti; avvertire l’utente di valutare con la necessaria attenzione l’opportunita’, nei propri interventi, di inserire, o meno, dati personali, compreso l’indirizzo e-mail, che possano rivelarne, anche indirettamente, l’identita’; avvertire l’utente di valutare l’opportunita’ di pubblicare, o meno, foto o video che consentano di identificare o rendere identificabili persone e luoghi; avvertire l’utente di prestare particolare attenzione alla possibilita’ di inserire, nei propri interventi (postati nei diversi spazi dedicati alla salute), dati che possano rivelare, anche indirettamente, l’identita’ di terzi, quali, ad esempio, altre persone accomunate all’autore del post dalla medesima patologia, esperienza umana o percorso medico; specificare l’ambito di conoscibilita’ dei dati propri o altrui, immessi dall’utente, in particolare precisando se tali dati siano consultabili soltanto dagli iscritti al sito, ovvero da qualsiasi utente che acceda al sito stesso (reperibilita’ dei dati mediante funzionalita’ di ricerca interne al sito); precisare se i dati sono indicizzabili e reperibili o meno anche dai motori di ricerca generalisti (Google, Yahoo, ecc.); invitare l’utente a confermare, apponendo un segno di spunta in un’apposita casella, l’avvenuta presa visione dell’avvertenza di rischio. L’avvertenza di rischio puo’ essere richiamata dal gestore anche eventualmente attraverso l’inserimento, nella home page del sito, di un’immagine che rimandi l’utente al testo dell’avvertenza stessa.