Source: https://garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1342148
Timestamp: 2020-08-09 09:29:25+00:00
Document Index: 35029693

Matched Legal Cases: ['art. 2', 'art. 10', 'art. 22', 'art. 2', 'art. 23', 'art. 31', 'art. 17', 'art. 14', 'art. 28', 'art. 4', 'art. 5', 'art. 31', 'art. 2', 'art. 29', 'art. 13', 'art. 13', 'art. 17', 'art. 16', 'art. 17', 'art. 37', 'art. 32', 'art. 5', 'art. 5', 'art. 59', 'art. 31', 'art. 6', 'art. 43']

I - Stato di attuazione della legge n. 675/1996 - Sanità - Relazione 2000... - Garante Privacy
I - Stato di attuazione della legge n. 675/1996 - Sanità - Relazione 2000 - 17 luglio 2001
I - Stato di attuazione della legge n.675/1996
21. PROFILI GENERALI
Il nuovo assetto normativo delineato dal legislatore delegato nel 1999 per la disciplina del trattamento dei dati idonei a rivelare lo stato di salute da parte degli organismi sanitari pubblici, nonché degli organismi sanitari e degli esercenti le professioni sanitarie operanti in regime di convenzione o di accreditamento con il Servizio sanitario nazionale, ha incontrato non poche difficoltà applicative.
Invero, l´efficacia delle disposizioni degli artt. 22 e 23 della legge n. 675, così come riformulate a seguito delle integrazioni e modificazioni introdotte dai dd.lg. 11 maggio 1999, n. 135, in materia di "trattamento dei dati sensibili da parte dei soggetti pubblici" e 30 luglio 1999, n. 282 recante "disposizioni per garantire la riservatezza dei dati personali in ambito sanitario", è rimessa all´adozione di un regolamento del Ministro della sanità con il quale dovranno essere definite le semplificazioni introdotte dall´art. 2, comma 1, del citato d.lg. n. 282.
Alla stesura di tale regolamento, che sarà emanato previo parere della Conferenza Stato-Regioni e del Garante, lavora un´apposita commissione istituita presso il Ministero della sanità. Quest´ultima, nonostante l´impegno, non è ancora addivenuta ad un testo definitivo che, nell´individuare modalità semplificate per il trattamento dei dati sulla salute e, in particolare, per le informative di cui all´art. 10 della legge n. 675 e per la raccolta del consenso, tenga conto delle diverse esigenze di tutti i titolari coinvolti nella "catena sanitaria" – anche in relazione alle diverse finalità – nonché della necessaria previsione di un periodo non breve per la messa a regime del sistema.
Il lavoro è reso peraltro più complesso dal fatto che al medesimo regolamento del Ministero della sanità, anziché alle singole aziende ed organismi sanitari ed ospedalieri, spetta il compito di provvedere alla ricognizione di tutti i trattamenti dei dati sulla salute effettuati nell´ambito del Servizio sanitario nazionale e, quindi, alla specificazione "dei tipi di dati e di operazioni strettamente pertinenti e necessari in relazione alle finalità perseguite nei singoli casi", ai sensi dell´art. 22, comma 3-bis, della legge n. 675/1996.
È evidente che, allo stato, la mancata emanazione del suddetto regolamento – che pure sembra poter giungere a rapida definizione – rende priva di concreta efficacia la volontà del legislatore delegato di prevedere, per il trattamento dei dati sulla salute, una disciplina uniforme per i soggetti pubblici e per quelli privati convenzionati o accreditati con il Servizio sanitario nazionale. A tale riguardo deve aggiungersi che la proroga al 31 dicembre 2001 – disposta con legge 24 marzo 2001, n. 127 – per l´esercizio della delega prevista dalla legge n. 676/1999, potrebbe costituire una preziosa occasione per apportare eventuali altri interventi di carattere integrativo e correttivo (art. 2 l. n. 676/1996) alla vigente disciplina sul trattamento dei dati personali in ambito sanitario.
L´assimilazione sopra detta tra soggetti pubblici e privati operanti nell´ambito del Servizio sanitario nazionale non ha invece interessato i professionisti sanitari operanti in regime di libera professione e tutti gli altri soggetti privati per i quali resta valida la regola generale della doppia condizione del consenso scritto e dell´autorizzazione del Garante o, se del caso, la disciplina speciale prevista dall´art. 23, comma 1, della legge n. 675/1996.
Va rammentato tuttavia che la normativa delegata ha preso comunque in considerazione gli organismi sanitari privati e gli esercenti le professioni sanitarie estranei al S.S.N., laddove ha previsto l´emanazione di appositi codici di deontologia e buona condotta da adottarsi ai sensi dell´art. 31, comma 1, lett. h), della legge n. 675/1996. Questi dovranno, da un lato, prevedere una disciplina integrativa dell´emanando regolamento del Ministro della sanità e, dall´altro, in coordinamento con quest´ultimo, introdurre alcune semplificazioni per il trattamento dei dati sulla salute anche da parte degli organismi sanitari ed esercenti le professioni sanitarie non facenti parte del Servizio sanitario nazionale (art. 17, comma 3, d.lg. n. 135/1999, come modificato dal d.lg. n. 282/1999).
In questo intricato quadro normativo il Garante ha proseguito la sua attività autorizzatoria rinnovando anzitutto, con provvedimento del 20 settembre 2000, l´autorizzazione generale per il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale (autorizzazione n. 2/2000, pubblicata sulla Gazzetta Ufficiale n. 229 del 30 settembre 2000). La nuova formulazione dell´autorizzazione n. 2/2000 non si discosta sostanzialmente dalla precedente. Il termine di efficacia è stato fissato al 31 dicembre 2001.
Sempre nell´ambito dell´attività autorizzatoria il Garante, con provvedimento del 5 dicembre 2000 (pubblicato nel Bollettino, nn. 14/15, p. 10), pronunciandosi in ordine ad una specifica richiesta di autorizzazione, ha accolto soltanto parzialmente la richiesta stessa. In particolare, mentre da un lato ha chiarito che il trattamento dei dati idonei a rivelare lo stato di salute per finalità di gestione degli ordini dei clienti è già autorizzato dal provvedimento n. 2/2000 (punto 1.2 lett. e)) alle condizioni ivi indicate, ha d´altra parte opposto un diniego al trattamento dei dati sulla salute finalizzato ad analisi di marketing e di statistica, alla creazione dei profili dei clienti, nonché a proposte commerciali ed offerte di vendita in base alle tipologie di acquisto effettuate da ciascun cliente.
Relativamente a questi ultimi trattamenti, infatti, il Garante ha ritenuto che non sussistessero circostanze particolari o situazioni eccezionali tali da giustificare il rilascio di un´autorizzazione specifica in deroga a quella generale e che la richiesta di autorizzazione non era stata predisposta secondo il modello approvato dall´Autorità ai sensi dell´art. 14 del d.P.R. n. 501/1998.
Un´altra istanza di autorizzazione ha fornito al Garante l´occasione per precisare alcuni aspetti relativi al corretto utilizzo dei dati sulla salute da parte di una società che intendeva fornire ai propri clienti un servizio di messa in rete dei profili sanitari dei clienti stessi in un´area ad accesso riservato di un sito Internet, alla quale poter accedere (in caso di necessità anche dall´estero) tramite un codice identificativo personale.
Al riguardo, con nota del 7 febbraio 2001, il Garante ha chiarito che l´accesso al profilo sanitario dell´interessato via Internet dall´estero configura un´ipotesi di trasferimento transfrontaliero dei dati per il quale è di regola necessario il consenso scritto dell´interessato (art. 28, comma 4, lett. e)), eventualmente cumulato con quello più generale previsto nell´ambito del rapporto contrattuale.
Inoltre, con riferimento ai profili della sicurezza e alle misure minime previste dal d.P.R. n. 318/1999, l´Autorità ha precisato che l´assegnazione del codice identificativo e la sua gestione, anche rispetto all´obbligo di disattivazione in caso di "mancato utilizzo per un periodo superiore a sei mesi" (art. 4, comma 1, lett. b), d.P.R. n. 318/1999), riguardano ciascun utente a prescindere dalla circostanza che l´utente medesimo o una persona delegata acceda solo ai dati che lo riguardano. Ne deriva che il rapporto contrattuale dovrà prevedere che all´assegnazione del codice identificativo segua anche l´autorizzazione all´accesso prevista dall´art. 5 del d.P.R. sopra citato ("accesso ai dati particolari").
Il richiamo all´adozione delle misure minime di sicurezza, nonché al rispetto dei principi generali fissati dal d.lg. n. 135/1999, è contenuto anche in un parere reso dal Garante al Ministero della sanità nell´esercizio della sua funzione consultiva (art. 31, comma 2, l. n. 675/1996). Si tratta, in particolare, del parere sullo schema di decreto ministeriale recante modiche al certificato di assistenza al parto (in Bollettino, n. 11-12, p. 34), nel quale l´Autorità ha sottolineato la necessità che nei nuovi certificati siano adottate misure idonee a garantire la massima riservatezza delle informazioni per le quali già esiste una disciplina speciale (l. n. 194/1978 sull´interruzione di gravidanza e art. 2, comma 1, l. n. 127/1997 sul diritto della madre all´anonimato).
Va fatta menzione, inoltre, di alcune precisazioni fornite dal Garante nell´ambito dell´esame di alcuni ricorsi presentati ai sensi dell´art. 29 della legge n. 675.
In particolare l´Autorità, nel decidere in merito ad una richiesta di accesso con la quale l´interessato intendeva acquisire copia di un´indagine ecografica effettuata presso un presidio ospedaliero realizzata su un supporto che per la tecnologia usata non permetteva l´estrazione di copia ha precisato che l´art. 13 della legge n. 675 non prevede – in linea di principio – la necessaria consegna della documentazione o dei supporti sui quali i dati sono conservati. Tuttavia, il titolare e il responsabile del trattamento sono tenuti ad estrapolare dai propri archivi e documenti tutte le informazioni su supporto cartaceo o informatico che riguardano il richiedente e a riferirle a quest´ultimo con modalità idonee a rendere i dati facilmente comprensibili, specie quando le informazioni, se non messe a disposizione nella loro interezza a mezzo dell´esibizione o consegna di copia di documenti, non siano agevolmente ricostruibili o siano snaturate del loro contenuto (Provv. dell´11 aprile 2000, in Bollettino 11-12, p. 58). Nel caso di specie, la soluzione è stata quindi individuata nella visione diretta delle immagini riprodotte sull´unico supporto, da parte del medico designato.
Inoltre, esaminando il ricorso con il quale un ricorrente chiedeva la cancellazione dei dati contenuti nella relazione medica stilata da un centro di igiene mentale, perché trattati senza il suo consenso, il Garante ha chiarito che, in base alla disciplina vigente all´epoca in cui si erano svolti i fatti (artt. 22, comma 3, e 41, comma 5, della l. n. 675/1996), la struttura sanitaria pubblica aveva potuto legittimamente svolgere un´attività di trattamento rientrante tra i propri compiti istituzionali senza il consenso del soggetto interessato (decisione del 29 settembre 2000).
In altra occasione l´Autorità ha invece dichiarato la fondatezza del ricorso presentato da due coniugi nei confronti di un´azienda sanitaria e della relativa società assicurativa, che non avevano fornito riscontro alla richiesta di accesso formulata dai ricorrenti ai sensi dell´art. 13 della legge n. 675/1996. In particolare, il Garante ha riconosciuto il diritto dei ricorrenti di accedere alle informazioni personali contenute in alcune relazioni cliniche, purché e nella misura in cui esse siano direttamente o indirettamente riferibili agli interessati. D´altra parte, invece, il diritto di accesso non riguarda altre parti delle relazioni cliniche che siano riferibili soltanto a rapporti interni all´azienda sanitaria o a circostanze attinenti unicamente al personale medico o paramedico coinvolto nella vicenda (decisione del 12 dicembre 2000).
22. DATI GENETICI
Come è noto, anche con riferimento ai dati genetici è intervenuto il legislatore delegato introducendo il principio secondo cui il trattamento dei dati genetici, da chiunque effettuato, dovrà essere oggetto di una nuova ed apposita autorizzazione del Garante (art. 17, comma 5, d.lg. 11 maggio 1999, n. 135, come integrato e modificato dall´art. 16 del d.lg. 30 luglio 1999, n. 281).
Tale autorizzazione, che avrà carattere generale e dunque troverà applicazione senza la necessità di una apposita richiesta, sarà rilasciata dal Garante a seguito di un complesso procedimento nel quale deve essere "sentito il Ministro della sanità che acquisisce, a tal fine, il parere del Consiglio superiore di sanità".
Con deliberazione del 2 maggio 2000 (in Bollettino n. 13, p. 19) l´Autorità ha avviato tale procedura stabilendo, peraltro, che l´autorizzazione al trattamento dei dati genetici dovrà: a) disciplinare le finalità e le modalità di raccolta, di utilizzazione e di eventuale comunicazione di questi dati; b) prevedere misure che consentano all´interessato di esprimere in modo consapevole il consenso all´uso dei dati e che possano prevenire discriminazioni nei suoi confronti o di terzi; c) garantire il rispetto della volontà dell´interessato di non essere informato sull´esito degli accertamenti e, infine, d) disciplinare le cautele da adottare sul piano della sicurezza nel trattamento dei dati e per assicurare il rispetto del segreto professionale.
Fino all´adozione di una regolamentazione più compiuta, il trattamento dei dati genetici resta tuttavia disciplinato dall´autorizzazione n. 2/2000. Il legislatore delegato ha infatti previsto (art. 17, comma 5, sopracitato) che, nelle more dell´autorizzazione specifica, i trattamenti dei dati genetici possono essere proseguiti sulla base dell´attuale autorizzazione generale del Garante (punto 2, lett. b), dell´autorizzazione n. 2/2000).
Al momento, sulla base dell´autorizzazione n. 2/2000 (che prevede il consenso scritto ai sensi degli artt. 22 e 23 della legge n. 675, nonché alcune esclusioni soggettive e limitazioni nelle finalità perseguibili), il trattamento dei dati genetici resta temporaneamente consentito sino al 31 dicembre 2001 "limitatamente alle informazioni e alle operazioni indispensabili per tutelare l´incolumità fisica e la salute dell´interessato, di un terzo o della collettività". La medesima autorizzazione n. 2/2000 non opera, invece (e il titolare del trattamento deve quindi richiedere previamente al Garante un´apposita autorizzazione), se manca il consenso dell´interessato e il trattamento dei dati genetici è finalizzato alla tutela della salute di un terzo o della collettività. L´inosservanza delle prescrizioni impartite dal Garante attraverso lo strumento autorizzatorio resta punita con la sanzione penale (art. 37 legge n. 675/1996).
L´intervento del Garante in materia di dati genetici si è poi avuto in relazione a talune notizie, apparse sulla stampa nazionale ed internazionale, secondo cui alcune popolazioni sarde sarebbero oggetto di indagini genetiche destinate ad essere proiettate sul mercato anche internazionale.
Avvalendosi dei poteri conferitigli dal legislatore (art. 32, comma 1, legge n. 675/1996), l´Autorità è quindi intervenuta chiedendo ai soggetti coinvolti informazioni e precisazioni circa le finalità e le modalità del complesso trattamento di dati genetici denunciato dalla stampa.
Sebbene gli accertamenti e gli approfondimenti siano ancora in corso l´Autorità, che ha proceduto anche ad un sopralluogo, ha potuto registrare la disponibilità dei ricercatori a collaborare e a fornire ogni utile elemento di valutazione.
Occorre infine ricordare che nel giugno 2000 il Garante, in collaborazione con il Comitato nazionale per la bioetica e Legambiente, ha promosso un convegno sul tema "I nostri dati genetici: opportunità, rischi e diritti".
In tale occasione, sulla base di uno studio presentato da Legambiente dal quale è emerso che oltre 50 siti Internet, quasi tutti statunitensi, vendono on-line kit "fai da te" per test genetici, tutti i relatori hanno espresso forte preoccupazione per il diffondersi del fenomeno anche nel nostro Paese, dove peraltro negli ultimi anni i test genetici sono aumentati del 99,7%.
In relazione a ciò sono stati sottolineati i rischi connessi all´effettuazione di analisi genetiche indipendentemente dall´intermediazione di medici e specialisti e, quindi, l´importanza della consulenza genetica; la necessità di avviare controlli di qualità sui laboratori di analisi, di stabilire regole per la ricerca e, infine, di scongiurare il pericolo di una commercializzazione anche internazionale di informazioni genetiche. A tale proposito il Presidente di questa Autorità ha rammentato che la normativa in materia di protezione dei dati personali prevede che le informazioni possano essere trasferite solo in Paesi che assicurino un adeguato livello di protezione e che comunque i dati genetici non fanno parte dell´accordo "Safe Harbor".
23. RICERCA MEDICA
I riferimenti normativi per il trattamento dei dati sulla salute finalizzati a scopi di ricerca medica ed epidemiologica sono rimasti sostanzialmente immutati: da un lato, la semplificazione introdotta dall´art. 5 del d.lg. n. 282/1999 secondo cui il trattamento può essere effettuato senza il consenso dell´interessato qualora "la ricerca sia prevista da un´espressa previsione di legge o rientri nel programma di ricerca biomedica o sanitaria di cui all´articolo 12-bis del d.lg. 30 dicembre 1992, n. 502"; dall´altro, nelle more di eventuali modificazioni conseguenti all´adozione del regolamento del Ministro della sanità di cui si è fatto cenno al paragrafo 17, le prescrizioni contenute e richiamate nel capo 1.2 dell´autorizzazione n. 2/2000 al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale.
A queste disposizioni il Garante ha fatto pertanto riferimento nel provvedimento del 18 maggio 2000 (in Bollettino n. 13, p. 32), in risposta ad una azienda ospedaliera che chiedeva di verificare la possibilità, per alcune aziende farmaceutiche che sponsorizzano la sperimentazione di farmaci, di accedere alle cartelle cliniche dei pazienti. In particolare l´Autorità ha ricordato che il consenso dei pazienti interessati è sempre necessario, salvo che la ricerca sia svolta al fine di tutelare l´incolumità fisica degli stessi ovvero ricorrano le condizioni previste dall´art. 5 del d.lg. n. 282 sopra richiamato.
Deve rammentarsi inoltre che, per la ricerca medica ed epidemiologica, il quadro normativo dovrà essere integrato dalle disposizioni dei codici di deontologia e buona condotta, il cui rispetto "è condizione essenziale per la liceità del trattamento dei dati".
Sarà infine opportuno un coordinamento con le norme riguardanti la ricerca medica ed epidemiologica contenute nei codici dei deontologia per le attività statistiche e di ricerca scientifica.
24. TESSERA SANITARIA
Anche in quest´ambito è intervenuto il legislatore delegato, colmando la lacuna esistente nelle disposizioni che disciplinavano l´introduzione della carta sanitaria elettronica (art. 59, comma 50, lett. i) l. n. 449/1997 e d.l. n. 450/1998 convertito, con modificazioni, dalla l. n. 39/1999).
Tali disposizioni infatti, come più volte sottolineato da questa Autorità in diversi pareri espressi nell´esercizio della funzione consultiva (art. 31, comma 2, l. n. 675), non prevedevano alcun quadro di garanzie a tutela della riservatezza dei cittadini interessati.
L´art. 6 del d.lg. n. 282/1999 ha quindi fissato alcuni principi fondamentali in materia di protezione dei dati sanitari, stabilendo alcune limitazioni all´inserimento dei dati nella carta sanitaria elettronica e prevedendo garanzie per la sua corretta utilizzazione.
Successivamente questa Autorità, nel parere reso al Ministero dell´Interno il 12 luglio 2000 sullo schema di decreto ministeriale concernente le regole tecniche e di sicurezza relative alla carta d´identità e al documento d´identità elettronici, ha rappresentato il rischio di una proliferazione di più documenti elettronici contenenti dati sanitari e di una possibile sovrapposizione con la disciplina delle carte sanitarie elettroniche.
È quindi intervenuta la legge finanziaria 2001 (l. 23 dicembre 2000, n. 388) che ha previsto l´abrogazione delle disposizioni sopracitate delle leggi n. 449/1997 e n. 39/1999 e l´inserimento dei dati sanitari nel "documento d´identità elettronico" (Provv. del 7 settembre 2000).
È noto che l´entrata in vigore della normativa in materia di protezione dei dati personali non ha abrogato le previgenti disposizioni di legge che tutelavano in modo specifico e più rigoroso la riservatezza e la dignità delle persone. Tra queste, in particolare, il legislatore ha espressamente fatto salve, in quanto compatibili, quelle contenute nella legge 5 giugno 1990, n. 135, in materia di Aids (art. 43, comma 2, l. n. 675).
In più occasioni tuttavia, come già evidenziato nelle precedenti relazioni annuali, l´Autorità è stata chiamata ad esprimersi su questioni relative al rapporto tra le disposizioni della legge n. 675 e quelle della normativa in materia di prevenzione e lotta contro l´Aids.
Ancora recentemente, con nota dell´8 febbraio 2001 (in Bollettino n. 17, p. 5), l´Autorità ha chiarito che le garanzie di riservatezza previste dalla legge sull´Aids si applicano anche in caso di richiesta di accesso da parte di consiglieri comunali agli atti e ai documenti in possesso di enti locali. Nel provvedimento il Garante ha aggiunto che le medesime garanzie devono essere rispettate quando il trattamento riguardi altre informazioni (tossicodipendenza o malattie mentali) per le quali l´ordinamento prevede un particolare regime di tutela.
Esprimendo preoccupazione per l´inadeguata sensibilità prestata nei confronti della riservatezza e della dignità delle persone offese, l´Autorità si è poi rivolta, come già accennato in un precedente paragrafo, al Ministro della giustizia in occasione della pubblicazione sul sito Internet del Tribunale di Trento di un avviso relativo all´udienza preliminare di un complesso procedimento penale per somministrazione di emoderivati infetti.
In tale nota il Garante ha rammentato la necessità di integrare con urgenza le norme processuali attualmente vigenti; ciò al fine di consentire che persone danneggiate a seguito di emotrasfusioni possano esercitare con piena tranquillità il diritto di difesa e non siano piuttosto indotte a rinunciarvi per evitare ulteriori danni legati ad un´ampia conoscenza della propria condizione di salute.
L´intervento dell´Autorità si è reso infine necessario quando sulla stampa sono state riportate notizie relative alla messa in atto, da parte di alcune strutture sanitarie, di sistemi di sorveglianza delle infezioni Hiv che comportavano l´archiviazione dei dati personali dei soggetti sieropositivi o affetti da Aids.
Il Garante, che ha inviato immediatamente richieste di informazioni alle strutture interessate, sta tuttora svolgendo una serie di approfondimenti sulla conformità dei suddetti sistemi alla specifica disciplina in materia di Aids e di sorveglianza epidemiologica, sulle precise finalità perseguite, sulle modalità di trattamento utilizzate per i flussi di dati e per la conservazione dei dati stessi (anche per ciò che riguarda la sicurezza), sui diritti delle persone interessate e sulle modalità di informazione delle stesse.