Source: https://www.agendadigitale.eu/sicurezza/privacy/il-gdpr-per-il-laboratorio-di-analisi-cliniche-guida-agli-adempimenti/
Timestamp: 2020-01-22 23:13:16+00:00
Document Index: 55982509

Matched Legal Cases: ['art. 26', 'art. 20', 'art. 9', 'art. 32', 'art. 32', 'art. 32', 'art. 2', 'arty 29', 'art. 35']

Il GDPR per il laboratorio di analisi cliniche: guida agli adempimenti | Agenda Digitale
Come gestire i trattamenti dei dati nel laboratorio di analisi cliniche, alla luce del GDPR: tutte le regole da tenere a mente per osservare quanto prevede la normativa. Le attività di laboratorio infatti hanno implicazioni privacy: fornisce ai propri utenti informazioni utili al fine di ridurre l’incertezza nelle decisioni che devono essere assunte per diagnosi, prognosi, e monitoraggio dello stato di malattia o di salute degli interessati. Solitamente queste informazioni derivano dall’attività analitica su campioni provenienti da liquidi biologici e tissutali di origine umana o da materiali connessi alla patologia umana, nonché dall’importante funzione di consulenza che il servizio deve garantire soprattutto nelle fasi pre e post analitica (appropriatezza delle richieste, profili diagnostici, interpretazione dei dati).
DPIA – La valutazione d’impatto
GDPR e Laboratorio di analisi cliniche, il ruolo del DPO
Il Laboratorio di analisi cliniche può operare tanto come Titolare del trattamento, ossia la persona (fisica o) giuridica che determina le finalità e le modalità del trattamento dei dati; tanto come Responsabile del trattamento, quando tratta i dati per conto di un Titolare (es. esami di laboratorio per conto di una struttura sanitaria). Operando come Titolare del Trattamento il Laboratorio di Analisi Cliniche soggiace in particolar modo al “principio di responsabilizzazione” (o di “Accountability”): il Laboratorio di Analisi Cliniche è pienamente responsabile delle scelte e delle azioni messe in campo (Artt. 5.2 e 24 del GDPR), e deve “darne conto” agli interessati. Operando come Responsabile del Trattamento, invece, il Laboratorio di Analisi Cliniche soggiacerà a tutti gli obblighi previsti dagli Artt. 28 e 29 del GDPR nel rapporto con il Titolare per conto del quale tratta i dati personali.
Il Laboratorio di Analisi Cliniche potrebbe anche agire come Contitolare del trattamento dei dati. Ai sensi dell’art. 26 del GDPR quando due o più Titolari determinano congiuntamente le finalità e le modalità del trattamento, essi sono Contitolari del trattamento. La Contitolarità viene sancita da un accordo interno che delinea le rispettive responsabilità in merito all’ottemperanza al GDPR.
Utilizzare un linguaggio semplice e chiaro con una forma intellegibile (facilmente comprensibile).
Utilizzare una forma concisa.
Utilizzare una forma trasparente (e veritiera).
L’identità e i dati di contatto (reali ed aggiornati) del Titolare del trattamento (es. ragione sociale e dati di contatto del Laboratorio di Analisi Cliniche).
I dati di contatto del DPO.
La base giuridica utilizzata per il trattamento dei dati (es. il consenso al trattamento dei dati).
I destinatari del trattamento, ossia quale persona fisica, giuridica, autorità pubblica o organismo riceve comunicazione dei dati personali. È necessario specificare almeno la categoria di riferimento dei destinatari.
Il trasferimento all’estero di dati verso paesi terzi o organizzazioni internazionali.
Il periodo di conservazione dei dati o i criteri utilizzati per determinarne il periodo. È fondamentale stimare diversi periodi di conservazione per le diverse tipologie di dati trattati (anagrafici, relativi alla salute, genetici ecc.).
I diritti dell’interessato sui suoi dati personali. Sono esercitati senza alcuna formalità e gratuitamente (salvo richieste reiterate, eccessive o infondate); il Laboratorio di Analisi Cliniche Titolare del trattamento deve ottemperare alle richieste senza ingiustificato ritardo, al massimo entro un mese dal ricevimento delle stesse (prorogato di due mesi in caso di richieste numerose o complesse). Infine si risponde, ove possibile, alle richieste nella stessa loro forma: a richieste cartacee si risponde in maniera cartacea, a richieste elettroniche si risponde in maniera elettronica.
In tutti questi casi il Laboratorio di Analisi Cliniche Titolare del trattamento dovrà procedere alla cancellazione di tali dati (a prescindere se su supporto elettronico o cartaceo) senza ingiustificato ritardo.Non si applica il diritto alla cancellazione quando:
Ai sensi dell’art. 20 del GDPR l’interessato ha il diritto alla portabilità dei suoi dati, ossia di ricevere dal Laboratorio di Analisi Cliniche Titolare del trattamento i dati personali che lo riguardano, e ha il diritto di chiedere al Laboratorio di Analisi Cliniche Titolare del trattamento di trasmetterli ad altro titolare del trattamento (es. una struttura sanitaria). Il Laboratorio di Analisi Cliniche Titolare del trattamento deve consegnare i dati – o trasmetterli – in un formato strutturato, di uso comune e leggibile da dispositivo automatico. L’interessato può esercitare il diritto alla portabilità dei suoi dati a due condizioni:
Infine, ai sensi dell’Art. 21 del GDPR l’interessato ha il diritto di opporsi in qualsiasi momento al trattamento avente come basi giuridiche l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ovvero il legittimo interesse del Titolare del trattamento.
Le informazioni sul trattamento dei dati devono contenere la possibilità che l’interessato revochi il suo consenso – se utilizzato come base giuridica – in qualunque momento (e senza motivazioni). In questo caso è lecito il trattamento effettuato prima della revoca del consenso.
Le informazioni sul trattamento dei dati devono contenere il diritto di proporre reclamo presso un’Autorità di Controllo (ad esempio, il Garante Privacy ).
Le informazioni sul trattamento dei dati devono specificare se la comunicazione di dati personali (ai destinatari) è un obbligo di legge o contrattuale, se l’interessato ha l’obbligo di fornire tali dati e le possibili conseguenze nel caso in cui lo stesso non volesse procedere con la comunicazione.
Novità del Regolamento Europeo 2016/679 è la base giuridica di cui all’Art. 9.2 lett. h) del GDPR: è lecito il trattamento dei dati particolari per finalità di medicina preventiva, medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale, ovvero gestione dei sistemi e servizi sanitari o sociali […] ovvero conformemente al contratto con un professionista della sanità […]. In questi casi non è necessario il consenso al trattamento dei dati personali, in quanto la liceità del trattamento è data da una delle “attività” tipizzate dall’Art. 9.2 lett. h) del GDPR. A garanzia di quanto affermato vi è l’art. 9.3 GDPR, il quale dispone che è possibile utilizzare la base giuridica di cui all’Art. 9.2 h) solo se tali dati sono trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale […] o da altra persona anch’essa soggetta all’obbligo di segretezza […].
“Sempreverde” è la base giuridica del consenso al trattamento dei dati, di cui agli Artt. 6.1 lett. a) e 9.1 lett. a) del GDPR). Nel Laboratorio di Analisi Cliniche è possibile utilizzare il consenso per diversi trattamenti e finalità, non rientranti nell’alveo dell’Art. 9.2 lett. h). Ad esempio, per comunicare con il paziente / cliente interessato tramite telefono, sms, messaggistica istantanea ovvero per mail è necessario un autonomo consenso. Per quanto attiene ai requisiti del consenso, ci si interfaccia con l’Art. 7 del GDPR. Tra le disposizioni:
L’art. 32 del GDPR dispone che per approntare delle adeguate misure di sicurezza il Titolare del trattamento deve tener conto dello stato dell’arte (avanzamento tecnologico), dei costi di attuazione (delle misure di sicurezza), della natura, dell’oggetto, del contesto e delle finalità del trattamento dei dati, nonché del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche (porre in essere, quindi, un’analisi del rischio sui dati personali trattati). Il tutto per garantire un livello di sicurezza adeguato al rischio. Tra le “soluzioni” che l’art. 32 del GDPR elenca – in maniera non esaustiva – vi sono:
Inoltre nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati. Inoltre, punto importante, il Laboratorio di analisi cliniche titolare del trattamento fa sì che chiunque agisca sotto la sua autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso.
In ogni caso, a prescindere dalla necessità di notifica o meno di un Data Breach, il Laboratorio di Analisi Cliniche deve documentare qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente al Garante Privacy di verificare il rispetto di quanto disposto dal GDPR.
Che si tratti del tecnico di laboratorio, di un collaboratore, ovvero del personale di segreteria, diverse figure professionali che compongono il Laboratorio di analisi cliniche trattano o possono trattare dati personali. L’art. 32.4 GDPR impone che chiunque agisca sotto l’autorità del Titolare del trattamento, e abbia accesso ai dati personali, non tratti i dati se non è istruito in tal senso dal Titolare del trattamento. L’art. 2-quaterdecies del Codice Privacy afferma che il Titolare del trattamento può prevedere, sotto la sua responsabilità e nell’ambito del suo assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la sua autorità. Inoltre, il Titolare sceglie le modalità più opportune per autorizzare al trattamento tali persone fisiche.
Da un lato il Laboratorio di analisi cliniche può autorizzare come meglio crede (responsabilizzazione) il proprio personale al trattamento dei dati, mediante l’attribuzione di specifici compiti e funzioni; dall’altro tale personale deve essere istruito, ossia deve comprendere la reale portata dell’autorizzazione. In altre parole, il personale autorizzato deve essere formato. La formazione del personale deve essere una priorità, in quanto avere degli operatori che comprendono l’importanza di trattare adeguatamente i dati personali espone a rischi privacy e di sicurezza nettamente minori, e questo è un indubbio vantaggio per qualunque Titolare del trattamento.
Quando il Laboratorio di analisi cliniche opera in qualità di Titolare del Trattamento si rapporta con diversi soggetti esterni che trattano dati personali per suo conto. Si prenda, ad esempio, il caso del commercialista che cura la gestione contabile ovvero la ditta che fornisce uno o più software dedicati. Un novero di diversi soggetti che possono, e in taluni casi devono, trattare dati personali. In questo caso si parla di rapporto tra il Laboratorio di analisi cliniche titolare del trattamento ed il terzo Responsabile del trattamento, il quale tratta i dati per conto del Titolare. Il loro rapporto è rigidamente disciplinato dagli artt. 28 e 29 GDPR.
Questo rapporto deve essere sancito da un contratto o da un altro atto giuridico che abbia la caratteristica di vincolare il Titolare del trattamento al Responsabile. Per l’Art. 28 del GDPR il Responsabile del trattamento deve fornire delle “garanzie sufficienti” di compliance al GDPR, tra le quali spiccano l’adozione di misure adeguate di sicurezza. Il Responsabile del trattamento non può ricorrere ad un “Subresponsabile” senza la previa autorizzazione scritta del Laboratorio di Analisi Cliniche Titolare del trattamento. Inoltre l’autorizzazione del Titolare può essere specifica o generale e, in quest’ultimo caso, il Responsabile del trattamento informa il Laboratorio di Analisi Cliniche Titolare di eventuali modifiche previste riguardanti l’aggiunta o la sostituzione di altri subresponsabili, dando così al Titolare l’opportunità di opporsi a tali modifiche.
Ma quali sono i contenuti previsti dall’Art. 28 del GDPR?
Il Responsabile tratta i dati personali soltanto su istruzione documentata del Laboratorio di Analisi Cliniche Titolare del trattamento, anche in caso di trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale.
Il Responsabile garantisce che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.
Il Responsabile deve adottare tutte le misure di sicurezza adeguate richieste ai sensi dell’articolo 32 GDPR.
Il Responsabile si impegna a rispettare quanto disposto per i Subresponsabili del trattamento.
Il Responsabile deve assistere il Laboratorio di Analisi Cliniche Titolare del trattamento con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dei pazienti / clienti interessati.
Il Responsabile assiste il Laboratorio di Analisi Cliniche Titolare del trattamento nel garantire il rispetto degli obblighi di cui agli Artt. da 32 a 36 del GDPR (Misure di Sicurezza, Data Breach e Valutazione di Impatto).
Il Responsabile – su scelta del Laboratorio di Analisi Cliniche Titolare – deve provvedere alla cancellazione o alla restituzione di tutti i dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento; il Responsabile deve, inoltre, cancellare le copie esistenti, salvo che la legge non preveda la conservazione dei dati.
Caposaldo del GDPR è ciò che riguarda i Registri delle Attività di Trattamento[6] di cui all’Art. 30 del GDPR.
Tutti i Laboratori di Analisi Cliniche sono obbligati alla tenuta di tali Registri. Il trattamento su base permanente di dati particolari, tra i quali spiccano i dati relativi alla salute, rende necessario quanto stabilito dall’Art. 30 del GDPR. I Registri sono tenuti in forma scritta, ed aggiornati, sotto la responsabilità del Titolare del trattamento. Se il Laboratorio di analisi cliniche agisce in qualità di Titolare del Trattamento, è tenuto a rispettare quanto contenuto nell’Art. 30.1 del GDPR.
Inserire il nome e i dati di contatto del Titolare del trattamento: ragione sociale del Laboratorio di Analisi Cliniche e dati di contatto (via, civico, CAP, città, provincia, contatto telefonico, mail ecc.). Nel caso il Laboratorio di Analisi Cliniche sia Contitolare del trattamento, inserirvi anche nome/i e dati di contatto del/i contitolare/i. Sarà necessario inserire anche i dati di contatto del DPO.
Delineare in maniera compiuta quali sono le finalità del trattamento dei dati poste in essere nel Laboratorio di Analisi Cliniche.
Descrivere le categorie di interessati e le categorie di dati personali. Nella prima si inseriscono le categorie di interessati; nella seconda si inseriscono le categorie di dati personali trattati, come i dati personali non particolari (es. anagrafici) e i dati particolari (es. dati relativi la salute).
Descrivere le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi (se del caso) i destinatari di paesi terzi od organizzazioni internazionali.
Ove applicabile, inserire i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’Art. 49 del GDPR, la documentazione delle garanzie adeguate.
Inserire (ove possibile) i termini ultimi previsti per la cancellazione delle diverse categorie di dati, che non devono discostarsi da quanto previsto nelle informazioni sul trattamento dei dati. Sarà necessario valutare caso per caso la conservazione dei documenti e dei dati ivi contenuti.
Nel caso in cui il Laboratorio di analisi cliniche agisca in qualità di Responsabile del Trattamento, sarà tenuto a rispettare quanto contenuto nell’Art. 30.2 del GDPR.
Il nome (ovvero ragione sociale) e i dati di contatto del Responsabile o dei Responsabili del trattamento, di ogni Titolare del trattamento per conto del quale agisce il Responsabile del trattamento, del Rappresentante del Titolare del trattamento o del Responsabile del trattamento e, ove applicabile, del Responsabile della protezione dei dati (DPO).
Descrivere le categorie dei trattamenti effettuati per conto di ogni Titolare del trattamento.
La Valutazione d’Impatto sulla Protezione dei Dati, di cui agli Artt. 35 e 36 del GDPR, si configura come un’autonoma valutazione che il Titolare del trattamento pone in essere per analizzare la necessità, la proporzionalità e i rischi di un determinato trattamento dati per i diritti e le libertà delle persone fisiche. È richiesta in particolar modo in tre casi:
la sorveglianza sistematica su larga scala di una zona accessibile al pubblico (es. Videosorveglianza su larga scala).
Secondo le Linee Guida WP248 del Working Party 29 per determinare se un trattamento è svolto su larga scala si deve far riferimento al numero degli interessati, al volume di dati e/o tipologie di dati, alla durata dell’attività di trattamento e all’ambito geografico dell’attività di trattamento. Allorquando un Laboratorio di Analisi Cliniche trattasse dati particolari su larga scala, sarà necessario procedere con una Valutazione d’Impatto. In base all’art. 35.7 del GDPR una Valutazione d’Impatto deve contenere:
Per la nomina di un DPO per il proprio Laboratorio di Analisi Cliniche, sarà fondamentale affidarsi ad un soggetto che abbia una conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’Art. 39 del GDPR (informare, fornire consulenza, sorvegliare l’osservanza del GDPR, sensibilizzare e formare il personale, fornire un parere sulla Valutazione d’Impatto, cooperare e fungere da punto di contatto con il Garante Privacy). Inoltre, il DPO può essere un dipendente del Laboratorio di Analisi Cliniche ovvero assolvere i suoi compiti in base a un contratto di servizi (ad esempio, con una società di consulenza che offre servizi DPO).
Infine, un’eventualità “non remota” per un Laboratorio di Analisi Cliniche è il trasferimento all’estero dei dati, ovvero verso paesi extra UE ed extra SEE. Nel caso un Laboratorio di analisi cliniche abbia necessità di trasferire dei dati personali fuori dall’Unione Europea o fuori dallo Spazio Economico Europeo è necessario porre luce su tre condizioni alternative.
Presenza di una “decisione di adeguatezza”. Se il paese verso cui il Laboratorio di Analisi Cliniche vuole trasferire i dati – allo stato attuale: Andorra, Argentina, Canada, Isole Faer Oer, Giappone, Guernsey, Israele, Isola di Man, Jersey, Nuova Zelanda, Svizzera, Uruguay e USA.
In assenza di una “decisione di adeguatezza”: il trasferimento dei dati personali deve essere effettuato sulla base di accordi contrattuali, stipulati tra il Titolare stabilito in Unione Europea e i soggetti destinatari dei dati stabiliti fuori dall’Unione Europea (quali ad esempio responsabili esterni o contitolari del trattamento), che forniscano garanzie adeguate agli utenti (esempio l’esercizio da parte di questi dei diritti a loro accordati dal GDPR).
In assenza delle precedenti condizioni, l’Art. 49 del GDPR, prevede alcune eccezioni – da utilizzare in limitate ipotesi e non per trattamenti continuativi – che giustificano comunque il trasferimento. Il trasferimento, può avvenire, alternativamente, soltanto se si verificano le seguenti condizioni:
l’utente (es. cliente) ha espresso esplicitamente il proprio consenso al trasferimento, una volta informato dal Titolare dell’assenza delle condizioni precedenti e degli eventuali rischi;
il trasferimento è necessario per l’esecuzione di un contratto concluso tra l’utente (es. cliente) e il Titolare stabilito in Unione Europea, ovvero nell’esecuzione di misure precontrattuali su istanza dell’utente.