Source: https://dataprotection.org/web/guest/home/docweb/-/docweb-display/docweb/9124510
Timestamp: 2019-12-15 00:56:23+00:00
Document Index: 120939368

Matched Legal Cases: ['art. 21', 'art. 10', 'art. 21', 'art. 21', 'art. 83', 'art. 21', 'art. 21', 'art. 21', 'art. 88', 'art. 111', 'art. 60', 'art. 13', 'art. 134', 'art. 2', 'art. 9', 'art. 9', 'art. 9', 'art. 2', 'art. 82', 'art. 75', 'art. 52', 'art. 36', 'art. 26', 'art. 2', 'art. 82', 'art. 5', 'art. 2']

Provvedimento recante le prescrizioni relative al trattamento di... - Garante Privacy
9124510
[doc. web n. 9124510]
(Pubblicato sulla Gazzetta Ufficiale Serie Generale n. 176 del 29 luglio 2019)
n. 146 del 5 giugno 2019
CONSIDERATO che l’art. 21 del d.lgs. n. 101/2018, in attuazione delle disposizioni del Regolamento, ha demandato al Garante il compito di individuare, con proprio provvedimento di carattere generale, le prescrizioni contenute nelle autorizzazioni generali già adottate, relative alle situazioni di trattamento di cui agli artt. 6, par. 1, lett. c) ed e), 9, par. 2, lett. b) e 4, nonché al Capo IX, del Regolamento, che risultano compatibili con le disposizioni comunitarie e il decreto medesimo che ha novellato il Codice, provvedendo, altresì, al loro aggiornamento ove occorrente;
RILEVATO che l’autorizzazione generale al trattamento dei dati giudiziari da parte di privati, di enti pubblici economici e di soggetti pubblici n. 7/2016, alla luce della disciplina applicabile ai medesimi dati contenuta nel Regolamento e nel Codice (art. 10 Regolamento; 2-octies del Codice e art. 21 del d.lgs. n. 101/2018), ha cessato di produrre effetti giuridici alla data del 19 settembre u.s., ai sensi del comma 3 della citata disposizione;
CONSIDERATO che, in base all’art. 21, comma 5, del d.lgs. n. 101/2018, la violazione delle prescrizioni contenute nel presente provvedimento generale sono soggette alla sanzione amministrativa di cui all’art. 83, par. 5, del Regolamento;
VISTO il provvedimento generale del 13 dicembre 2018, n. 497 con il quale il Garante ha individuato le prescrizioni contenute nelle Autorizzazioni generali nn. 1/2016, 3/2016, 6/2016, 8/2016 e 9/2016 che risultano compatibili con il Regolamento e con il d.lgs. n. 101/2018 di adeguamento del Codice;
VISTO che con il medesimo provvedimento il Garante ha deliberato, come richiesto dall’art. 21, comma 1, d. lgs. 101/2018, di avviare una consultazione pubblica volta ad acquisire osservazioni e proposte riguardo alle predette prescrizioni che si è conclusa decorsi 60 giorni dalla data di pubblicazione del relativo avviso (G. U. n. 9 dell’11 gennaio 2019);
VISTE le osservazioni e le proposte pervenute al Garante inerenti ai risvolti applicativi del richiamato provvedimento prescrittivo da parte di soggetti interessati, associazioni di categoria e organizzazioni rappresentative dei settori di riferimento;
RITENUTO di apportare specifiche modifiche e integrazioni, alla luce dei contributi maggiormente significativi e pertinenti inviati dai partecipanti alla consultazione, anche al fine di rendere maggiormente chiare e precise le prescrizioni indicate nonché di armonizzarle nel contesto normativo vigente;
VISTI gli articoli 21, comma 5, del d.lgs. n. 101/2018 e 83, par. 5 del Regolamento;
ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101, adotta il presente provvedimento recante le prescrizioni relative alle situazioni di trattamento di cui agli artt. 6, par. 1, lett. c) ed e), 9, par. 2, lett. b) e 4, nonché al Capo IX del Regolamento riportate nell’allegato 1 facente parte integrante del provvedimento medesimo, e ne dispone la pubblicazione nella Gazzetta Ufficiale della Repubblica italiana ai sensi dell’art. 21, comma 2, del d.lgs. n. 101/2018.
I trattamenti dei dati personali nel contesto lavorativo, alla luce del quadro normativo delineato dal Regolamento (UE) 2016/679, sono considerati se effettuati da datori di lavoro sia pubblici che privati (cfr. art. 88 e 9, par. 2, lett. b), Regolamento UE 2016/679); ciò, diversamente dall’impianto del Codice anteriore alle modifiche del d.lgs. n. 101/2018.
Il presente provvedimento si applica nei confronti di tutti coloro che, a vario titolo (titolare/responsabile del trattamento), effettuano trattamenti per finalità d’instaurazione, gestione ed estinzione del rapporto di lavoro, in particolare:
a) agenzie per il lavoro e altri soggetti che, in conformità alla legge, svolgono, nell’interesse di terzi, attività di intermediazione, ricerca e selezione del personale o supporto alla ricollocazione professionale ivi compresi gli enti di formazione accreditati;
c) organismi paritetici o che gestiscono osservatori in materia di lavoro, previsti dalla normativa dell’Unione europea, dalle leggi, dai regolamenti o dai contratti collettivi anche aziendali;
e) soggetti che curano gli adempimenti in materia di lavoro, di previdenza ed assistenza sociale e fiscale nell’interesse di altri soggetti che sono parte di un rapporto di lavoro dipendente o autonomo, ai sensi della legge 11 gennaio 1979, n. 12, che disciplina la professione di consulente del lavoro;
a) candidati all’instaurazione dei rapporti di lavoro, anche in caso di curricula spontaneamente trasmessi dagli interessati ai fini dell’instaurazione di un rapporto di lavoro (art. 111-bis del Codice);
b) lavoratori subordinati, anche se parti di un contratto di apprendistato, di formazione, a termine, di lavoro intermittente, di lavoro occasionale ovvero praticanti per l’abilitazione professionale, ovvero prestatori di lavoro nell’ambito di un contratto di somministrazione di lavoro, o in rapporto di tirocinio, ovvero ad associati anche in compartecipazione;
d) soggetti che svolgono collaborazioni organizzate dal committente, o altri lavoratori autonomi in rapporto di collaborazione, anche sotto forma di prestazioni di lavoro accessorio, con i soggetti indicati nel precedente punto 1.1.;
e) persone fisiche che ricoprono cariche sociali o altri incarichi nelle persone giuridiche, negli enti, nelle associazioni e negli organismi indicati nel precedente punto 1.1.;
f) terzi danneggiati nell’esercizio dell’attività lavorativa o professionale;
g) terzi (familiari o conviventi dei soggetti di cui alla precedente lett. b) e d) per il rilascio di agevolazioni e permessi.
d) per far valere o difendere un diritto, anche da parte di un terzo, in sede giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di conciliazione, nei casi previsti dalle leggi, dalla normativa dell’Unione europea, dai regolamenti o dai contratti collettivi, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento; il trattamento di dati personali effettuato per finalità di tutela dei propri diritti in giudizio deve riferirsi a contenziosi in atto o a situazioni precontenziose; resta salvo quanto stabilito dall’art. 60 del Codice;
1.4 Prescrizioni specifiche relative alle diverse categorie di dati
Con riferimento alle modalità di trattamento, si rappresenta quanto segue:
c) i documenti che contengono categorie particolari di dati, ove debbano essere trasmessi ad altri uffici o funzioni della medesima struttura organizzativa in ragione delle rispettive competenze, devono contenere esclusivamente le informazioni necessarie allo svolgimento della funzione senza allegare, ove non strettamente indispensabile, documentazione integrale o riportare stralci all’interno del testo. A tal fine dovranno essere selezionate e impiegate modalità di trasmissione della documentazione che ne garantiscano la ricezione e il relativo trattamento da parte dei soli uffici o strutture organizzative competenti e del solo personale autorizzato;
d) quando per ragioni di organizzazione del lavoro, e nell’ambito della predisposizione di turni di servizio, si proceda a mettere a disposizione a soggetti diversi dall’interessato (ad esempio, altri colleghi) dati relativi a presenze ed assenze dal servizio, il datore di lavoro non deve esplicitare, nemmeno attraverso acronimi o sigle, le causali dell’assenza dalle quali sia possibile evincere la conoscibilità di particolari categorie di dati personali (es. permessi sindacali o dati sanitari).
a) alle associazioni anche non riconosciute, ai partiti e ai movimenti politici, alle associazioni e alle organizzazioni sindacali, ai patronati e alle associazioni di categoria, alle casse di previdenza, alle organizzazioni assistenziali o di volontariato e, più in generale, del terzo settore, nonché alle federazioni e confederazioni nelle quali tali soggetti sono riuniti in conformità, ove esistenti, allo statuto, all’atto costitutivo o ad un contratto collettivo;
d) ai beneficiari, agli assistiti e ai fruitori delle attività o dei servizi prestati dall’associazione o da enti e organizzazioni di tipo associativo, fondazioni, chiese e associazioni o comunità religiose, limitatamente ai soggetti individuabili in base allo statuto o all’atto costitutivo, ove esistenti, o comunque a coloro nell’interesse dei quali i soggetti menzionati al punto 2.1. possono operare in base ad una previsione normativa;
Il trattamento dei dati particolari può essere effettuato per il perseguimento di scopi determinati e legittimi individuati dalla legge, dall’atto costitutivo, dallo statuto o dal contratto collettivo, ove esistenti, e in particolare per il perseguimento di finalità culturali, religiose, politiche, sindacali, sportive o agonistiche di tipo non professionistico, di istruzione anche con riguardo alla libertà di scelta dell’insegnamento religioso, di formazione, di patrocinio, di tutela dell’ambiente e delle opere d’interesse artistico e storico, di salvaguardia dei diritti civili, di beneficenza, assistenza sociale o socio-sanitaria.
Qualora i soggetti indicati al punto 2.1 si avvalgano di persone giuridiche o di altri organismi con scopo di lucro o di liberi professionisti per perseguire le predette finalità, ovvero richiedano ad essi la fornitura di beni, prestazioni o servizi, gli stessi possono effettuare il trattamento dei dati in questione.
I soggetti di cui al predetto punto 2.1 possono comunicare alle persone giuridiche e agli organismi con scopo di lucro sopra indicati (qualora questi ultimi si configurino quali titolari di un autonomo trattamento) i soli dati particolari strettamente indispensabili per le attività di effettivo ausilio alle predette finalità, con particolare riferimento alle generalità degli interessati e a indirizzari, sulla base di un atto scritto che individui con precisione le informazioni comunicate, le modalità del successivo utilizzo e le particolari misure di sicurezza adottate. L’informativa da rendere agli interessati deve porre tale circostanza in particolare evidenza e deve recare la precisa menzione dei titolari del trattamento e delle finalità da essi perseguite. Le persone giuridiche e gli organismi con scopo di lucro possono trattare i dati così acquisiti solo per scopi di ausilio alle finalità predette, ovvero per scopi amministrativi e contabili.
I dati personali riferiti agli associati/aderenti possono essere comunicati agli altri associati/aderenti anche in assenza del consenso degli interessati, a condizione che la predetta comunicazione sia prevista - nell’ambito dell’autonomia privata rimessa a ciascun ente - dall’atto costitutivo o dallo statuto per il perseguimento di scopi determinati e legittimi e che le modalità di utilizzo dei dati siano rese note agli interessati in sede di rilascio dell’informativa ai sensi dell’art. 13 del Regolamento (UE) 2016/679.
In ogni caso, tenendo conto del rispetto dei principi di necessità, finalità e minimizzazione e dell’eventuale regolamentazione interna all’ente, laddove vengano in considerazione profili esclusivamente personali riferiti agli associati/aderenti, devono essere utilizzate forme di consultazione individualizzata con gli stessi, adottando ogni misura opportuna volta a prevenire un’indebita comunicazione di dati personali a soggetti diversi dal destinatario.
La comunicazione dei dati personali relativi agli associati/aderenti all’esterno dell’ente e la loro diffusione possono essere effettuate con il consenso degli interessati, previa informativa agli stessi in ordine alla tipologia di destinatari e alle finalità della trasmissione e purché i dati siano strettamente pertinenti alle finalità ed agli scopi perseguiti.
Le presenti prescrizioni sono dirette alle persone fisiche e giuridiche, agli istituti, agli enti, alle associazioni e agli organismi che esercitano un’attività di investigazione privata autorizzata con licenza prefettizia (art. 134 del regio decreto 18 giugno 1931, n. 773, e successive modificazioni e integrazioni).
Il trattamento delle categorie particolari di dati personali di cui all'articolo 9, paragrafo 1, del Regolamento (UE) 2016/679 può essere effettuato unicamente per l’espletamento dell’incarico ricevuto dai soggetti di cui al punto 3.1 e in particolare:
a) per permettere a chi conferisce uno specifico incarico, di fare accertare, esercitare o difendere un proprio diritto in sede giudiziaria che, quando concerne dati genetici, relativi alla salute, alla vita sessuale o all'orientamento sessuale della persona, deve essere di rango pari a quello del soggetto al quale si riferiscono i dati, ovvero consistere in un diritto della personalità o in un altro diritto o libertà fondamentale;
Deve essere fornita all’interessato l’informativa di cui agli articoli 13 e 14 del Regolamento (UE) 2016/679, salvo, nel caso in cui i dati personali non siano stati ottenuti presso l’interessato, che questa rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento.
La sola pendenza del procedimento al quale l’investigazione è collegata, ovvero il passaggio ad altre fasi di giudizio in attesa della formazione del giudicato, non costituiscono, di per sé stessi, una giustificazione valida per la conservazione dei dati da parte dell’investigatore privato.
I dati possono essere comunicati ad un altro investigatore privato solo se questi sia stato indicato nominativamente nell’atto del conferimento dell’incarico, oppure successivamente in calce a esso qualora tale possibilità sia stata prevista nell’atto di incarico, e la comunicazione sia necessaria per lo svolgimento dei compiti affidati.
I dati genetici, biometrici e relativi alla salute possono essere comunicati alle autorità competenti solo per finalità di prevenzione, accertamento o repressione dei reati, con l’osservanza delle norme che regolano la materia.
Fermo restando quanto previsto dall’art. 2-septies, comma 8, del Codice, i dati relativi alla vita sessuale o all’orientamento sessuale non possono essere diffusi.
Resta fermo, per quanto riguarda il trattamento dei dati genetici, quanto previsto dalle relative prescrizioni.
a) dati genetici, i dati personali relativi alle caratteristiche genetiche ereditarie o acquisite di una persona fisica che forniscono informazioni univoche sulla fisiologia o sulla salute di detta persona fisica, e che risultano in particolare dall’analisi di un campione biologico della persona fisica in questione;
c) test genetico, l’analisi a scopo clinico di uno specifico gene o del suo prodotto o funzione o di altre parti del Dna o di un cromosoma, volta a effettuare una diagnosi o a confermare un sospetto clinico in un individuo affetto (test diagnostico), oppure a individuare o escludere la presenza di una mutazione associata ad una malattia genetica che possa svilupparsi in un individuo non affetto (test presintomatico) o, ancora, a valutare la maggiore o minore suscettibilità di un individuo a sviluppare malattie multifattoriali (test predittivo o di suscettibilità);
d) test farmacogenetico, il test genetico finalizzato all’identificazione di specifiche variazioni nella sequenza del Dna in grado di predire la risposta “individuale” a farmaci in termini di efficacia e di rischio relativo di eventi avversi;
e) test farmacogenomico, il test genetico finalizzato allo studio globale delle variazioni del genoma o dei suoi prodotti correlate alla scoperta di nuovi farmaci e all’ulteriore caratterizzazione dei farmaci autorizzati al commercio;
g) screening genetico, il test genetico effettuato su popolazioni o su gruppi definiti, comprese le analisi familiari finalizzate a identificare - mediante “screening a cascata” - le persone potenzialmente a rischio di sviluppare la malattia genetica, al fine di delinearne le caratteristiche genetiche comuni o di identificare precocemente soggetti affetti o portatori di patologie genetiche o di altre caratteristiche ereditarie;
h) consulenza genetica, le attività di comunicazione volte ad aiutare l’individuo o la famiglia colpita da patologia genetica a comprendere le informazioni mediche che includono la diagnosi e il probabile decorso della malattia, le forme di assistenza disponibili, il contributo dell’ereditarietà al verificarsi della malattia, il rischio di ricorrenza esistente per sé e per altri familiari e l’opportunità di portarne a conoscenza questi ultimi, nonché tutte le opzioni esistenti nell’affrontare il rischio di malattia e l’impatto che tale rischio può avere su scelte procreative; nell’esecuzione di test genetici tale consulenza comprende inoltre informazioni sul significato, i limiti, l’attendibilità e la specificità del test nonché le implicazioni dei risultati; a tale processo partecipano, oltre al medico e/o al biologo specialisti in genetica medica, altre figure professionali competenti nella gestione delle problematiche psicologiche e sociali connesse alla genetica;
a) l’accesso ai locali deve avvenire secondo una documentata procedura prestabilita dal titolare del trattamento, che preveda l’identificazione delle persone, preventivamente autorizzate, che accedono a qualunque titolo dopo l’orario di chiusura. Tali controlli possono essere effettuati anche con strumenti elettronici. È ammesso l’utilizzo dei dati biometrici con riguardo alle richiamate procedure di accesso fisico, nel rispetto dei principi in materia di protezione dei dati personali e dei requisiti specifici del trattamento di cui all’art. 9 del Regolamento;
b) la conservazione, l’utilizzo e il trasporto dei campioni biologici sono posti in essere con modalità volte anche a garantirne la qualità, l’integrità, la disponibilità e la tracciabilità;
c) il trasferimento dei dati genetici, con sistemi di messaggistica elettronica ivi compresa la posta, è effettuato con le seguenti cautele: trasmissione dei dati in forma di allegato e non come testo compreso nel corpo del messaggio; cifratura dei dati avendo cura di rendere nota al destinatario la chiave crittografica tramite canali di comunicazione differenti da quelli utilizzati per la trasmissione dei dati; ricorso a canali di comunicazione protetti, tenendo conto dello stato dell’arte della tecnologia utilizzata; protezione dell’allegato con modalità idonee a impedire l’illecita o fortuita acquisizione dei dati trasmessi, come una password per l´apertura del file resa nota al destinatario tramite canali di comunicazione differenti da quelli utilizzati per la trasmissione dei dati. E’ ammesso il ricorso a canali di comunicazione di tipo “web application” che prevedano l’utilizzo di canali di trasmissione protetti, tenendo conto dello stato dell’arte della tecnologia, e garantiscano, previa verifica, l’identità digitale del server che eroga il servizio e della postazione client da cui si effettua l’accesso ai dati, ricorrendo a certificati digitali emessi in conformità alla legge da un’autorità di certificazione;
d) la consultazione dei dati genetici trattati con strumenti elettronici è consentita previa adozione di sistemi di autenticazione basati sull’uso combinato di informazioni note ai soggetti all’uopo designati e di dispositivi, anche biometrici, in loro possesso;
e) i dati genetici e i campioni biologici contenuti in elenchi, registri o banche di dati, sono trattati con tecniche di cifratura o di pseudonimizzazione o di altre soluzioni che, considerato il volume dei dati e dei campioni trattati, li rendano temporaneamente inintelligibili anche a chi è autorizzato ad accedervi e permettano di identificare gli interessati solo in caso di necessità, in modo da ridurre al minimo i rischi di conoscenza accidentale e di accesso abusivo o non autorizzato. Laddove gli elenchi, i registri o le banche di dati siano tenuti con strumenti elettronici e contengano anche dati riguardanti la genealogia o lo stato di salute degli interessati, le predette tecniche devono consentire, altresì, il trattamento disgiunto dei dati genetici e sanitari dagli altri dati personali che permettono di identificare direttamente le persone interessate.
b) la facoltà o meno, per l’interessato, di limitare l’ambito di comunicazione dei dati genetici e il trasferimento dei campioni biologici, nonché l’eventuale utilizzo di tali dati per ulteriori scopi.
In relazione ai trattamenti effettuati mediante test genetici per finalità di tutela della salute o di ricongiungimento familiare è fornita all’interessato una consulenza genetica prima e dopo lo svolgimento dell’analisi. Prima dell’introduzione di screening genetici finalizzati alla tutela della salute da parte di organismi sanitari sono adottate idonee misure per garantire un’attività di informazione al pubblico in merito alla disponibilità e alla volontarietà dei test effettuati, alle specifiche finalità e conseguenze, anche nell’ambito di pubblicazioni istituzionali e mediante reti di comunicazione elettronica.
Nei casi in cui il test sulla variabilità individuale è volto ad accertare la paternità o la maternità gli interessati sono, altresì, informati circa la normativa in materia di filiazione, ponendo in evidenza le eventuali conseguenze psicologiche e sociali dell’esame.
1. finalità di tutela della salute di un soggetto terzo secondo quanto previsto al successivo punto 4.7;
2. lo svolgimento di test genetici nell’ambito delle investigazioni difensive o per l’esercizio di un diritto in sede giudiziaria, salvo che un’espressa disposizione di legge, o un provvedimento dell’autorità giudiziaria in conformità alla legge, disponga altrimenti (cfr. infra punto 4.9);
3. i trattamenti effettuati mediante test genetici, compreso lo screening, a fini di ricerca o di ricongiungimento familiare. In questi casi, all’interessato è richiesto di dichiarare se vuole conoscere o meno i risultati dell’esame o della ricerca, comprese eventuali notizie inattese che lo riguardano, qualora queste ultime rappresentino per l’interessato un beneficio concreto e diretto in termini di terapia o di prevenzione o di consapevolezza delle scelte riproduttive (cfr. infra punto 4.10);
4. finalità di ricerca scientifica e statistica non previste dalla legge o da altro requisito specifico di cui all’art. 9 del Regolamento (cfr. infra punto 4.11).
In caso di revoca del consenso da parte dell’interessato, i trattamenti devono cessare e i dati devono essere cancellati o resi anonimi anche attraverso la distruzione del campione biologico prelevato.
Ferme restando le norme generali che disciplinano la comunicazione e la diffusione delle particolari categorie di dati, ivi compresi i dati genetici, tali operazioni di trattamento possono essere svolte nel rispetto delle seguenti prescrizioni (art. 9, Regolamento UE 2016/679 e art. 2-sexies del Codice).
Fatta eccezione per i dati personali forniti in precedenza dal medesimo interessato, i dati genetici devono essere resi noti all’interessato o ai soggetti di cui all’articolo 82, comma 2, lettera a), del Codice da parte di esercenti le professioni sanitarie ed organismi sanitari solo per il tramite di un medico designato dall’interessato o dal titolare.
Il titolare o il responsabile del trattamento possono autorizzare per iscritto gli esercenti le professioni sanitarie diversi dai medici, che nell’esercizio dei propri compiti intrattengono rapporti diretti con i pazienti e sono designati a trattare dati genetici o campioni biologici, a rendere noti i medesimi dati all’interessato o ai soggetti di cui all’art. 82, comma 2, lettera a) del Codice. Nelle istruzioni alle persone autorizzate al trattamento dei dati sono individuate appropriate modalità e cautele rapportate al contesto nel quale è effettuato il trattamento di dati.
In caso di ricerche condotte su gruppi di popolazione o popolazioni isolate, devono essere resi noti alle comunità interessate e alle autorità locali gli eventuali risultati della ricerca che rivestono un’importanza terapeutica o preventiva per la tutela della salute delle persone appartenenti a tali comunità.
Ferme restando le specifiche condizioni in ambito sanitario previste dall’art. 75 del Codice, il trattamento di dati genetici per finalità di tutela della salute di un soggetto terzo può essere effettuato se questi appartiene alla medesima linea genetica dell’interessato e con il consenso di quest’ultimo.
Nel caso in cui il consenso dell’interessato non sia prestato o non possa essere prestato per impossibilità fisica, per incapacità di agire o per incapacità d’intendere o di volere, nonché per effettiva irreperibilità, il trattamento può essere effettuato limitatamente ai dati genetici disponibili qualora sia indispensabile per consentire al terzo di compiere una scelta riproduttiva consapevole o sia giustificato dalla necessità, per il terzo, di interventi di natura preventiva o terapeutica. Nel caso in cui l’interessato sia deceduto, il trattamento può comprendere anche dati genetici estrapolati dall’analisi dei campioni biologici della persona deceduta, sempre che sia indispensabile per consentire al terzo di compiere una scelta riproduttiva consapevole o sia giustificato dalla necessità, per il terzo, di interventi di natura preventiva o terapeutica (cons. 27, Regolamento UE 2016/679).
Il trattamento di dati genetici finalizzato allo svolgimento di investigazioni difensive ai sensi della legge 7 dicembre 2000, n. 397 anche a mezzo di sostituti, di consulenti tecnici e investigatori privati autorizzati, o, comunque, a far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, deve essere effettuato con il consenso dell’interessato solo nel caso in cui presupponga lo svolgimento di test genetici.
Gli organismi internazionali ritenuti idonei dal Ministero degli affari esteri e della cooperazione internazionale e le rappresentanze diplomatiche o consolari ai fini del rilascio delle certificazioni (allo stato disciplinate dall´art. 52 d.lgs. 3 febbraio 2011, n. 71) possono trattare dati genetici per consentire il ricongiungimento familiare limitatamente ai casi in cui l’interessato non possa documentare in modo certo i suoi vincoli di consanguineità mediante certificati o attestazioni rilasciati da competenti autorità straniere, in ragione della mancanza di un’autorità riconosciuta o comunque quando sussistano fondati dubbi sulla autenticità della predetta documentazione (cfr. anche d.lgs. 25 luglio 1998, n. 286).
In ipotesi di realizzazione di test o screening genetici per finalità di ricongiungimento familiare è necessario acquisire il consenso degli interessati; agli interessati è richiesto di dichiarare se vogliono conoscere o meno i risultati dell’esame, comprese eventuali notizie inattese che li riguardano, qualora queste ultime rappresentino per gli interessati un beneficio concreto e diretto in termini di terapia o di prevenzione o di consapevolezza delle scelte riproduttive.
I dati genetici raccolti a fini di ricongiungimento familiare possono essere comunicati unicamente alle rappresentanze diplomatiche o consolari competenti all’esame della documentazione prodotta dall’interessato o all’organismo internazionale ritenuto idoneo dal Ministero degli affari esteri e della cooperazione internazionale cui l’interessato si sia rivolto. I campioni biologici prelevati ai medesimi fini possono essere trasferiti unicamente al laboratorio designato per l’effettuazione del test sulla variabilità individuale o all’organismo internazionale ritenuto idoneo dal Ministero degli affari esteri e della cooperazione internazionale.
Il progetto è conservato in forma riservata (essendo la consultazione del progetto possibile ai soli fini dell’applicazione della normativa in materia di protezione dei dati personali) per cinque anni dalla conclusione programmata della ricerca.
Quando le finalità della ricerca possono essere realizzate soltanto tramite l’identificazione anche temporanea degli interessati, il titolare del trattamento adotta specifiche misure per mantenere separati i dati identificativi dai campioni biologici e dalle informazioni genetiche già al momento della raccolta, salvo che ciò risulti impossibile in ragione delle particolari caratteristiche del trattamento o richieda un impiego di mezzi manifestamente sproporzionato.
In relazione ai trattamenti effettuati per scopi di ricerca scientifica e statistica nelle informazioni fornite agli interessati si evidenziano, altresì:
I trattamenti effettuati mediante test genetici, compreso lo screening, a fini di ricerca necessitano del consenso degli interessati; in questi casi agli interessati è richiesto di dichiarare se vogliono conoscere o meno i risultati della ricerca, comprese eventuali notizie inattese che li riguardano, qualora queste ultime rappresentino per gli interessati un beneficio concreto e diretto in termini di terapia o di prevenzione o di consapevolezza delle scelte riproduttive.
In assenza del consenso degli interessati, i campioni biologici prelevati e i dati genetici raccolti per scopi di tutela della salute possono essere conservati e utilizzati per finalità di ricerca scientifica o statistica nei seguenti casi:
a) indagini statistiche o ricerche scientifiche previste dal diritto dell’Unione europea, dalla legge o, nei casi previsti dalla legge, da regolamento;
b) limitatamente al perseguimento di ulteriori scopi scientifici e statistici direttamente collegati con quelli per i quali è stato originariamente acquisito il consenso informato degli interessati.
aa) il programma di ricerca comporta l’utilizzo di campioni biologici e di dati genetici che in origine non consentono di identificare gli interessati, ovvero che, a seguito di trattamento, non consentono di identificare i medesimi interessati e non risulta che questi ultimi abbiano in precedenza fornito indicazioni contrarie;
bb) ovvero il programma di ricerca, preventivamente oggetto di motivato parere favorevole del competente comitato etico a livello territoriale, è sottoposto a preventiva consultazione del Garante ai sensi dell’art. 36 del Regolamento (UE) 2016/679.
I dati genetici e i campioni biologici raccolti per scopi di ricerca scientifica e statistica possono essere comunicati o trasferiti a enti e istituti di ricerca, alle associazioni e agli altri organismi pubblici e privati aventi finalità di ricerca, nell’ambito di progetti congiunti e nel rispetto dell’art. 26 del Regolamento.
I dati genetici e i campioni biologici raccolti per scopi di ricerca scientifica e statistica possono essere comunicati o trasferiti ai soggetti sopra indicati, qualora siano autonomi titolari del trattamento, limitatamente alle informazioni prive di dati identificativi, per scopi scientifici direttamente collegati a quelli per i quali sono stati originariamente raccolti e chiaramente determinati per iscritto nella richiesta dei dati e/o dei campioni. In tal caso, il soggetto richiedente si impegna a non trattare i dati e/o utilizzare i campioni per fini diversi da quelli indicati nella richiesta e a non comunicarli o trasferirli ulteriormente a terzi.
c) persone fisiche o giuridiche, enti, associazioni e organismi privati, nonché soggetti specificatamente preposti al trattamento quali designati o responsabili del trattamento (ricercatori, commissioni di esperti, organizzazioni di ricerca a contratto, laboratori di analisi, ecc.) (art. 2-quaterdecies del Codice; 28 del Regolamento UE 2016/679).
• il trattamento è necessario per la conduzione di studi effettuati con dati riferiti a persone che, in ragione della gravità del loro stato clinico, non sono in grado di comprendere le indicazioni rese nell’informativa e di prestare validamente il consenso.
1. i motivi etici riconducibili alla circostanza che l’interessato ignora la propria condizione. Rientrano in questa categoria le ricerche per le quali l’informativa sul trattamento dei dati da rendere agli interessati comporterebbe la rivelazione di notizie concernenti la conduzione dello studio la cui conoscenza potrebbe arrecare un danno materiale o psicologico agli interessati stessi (possono rientrare in questa ipotesi, ad esempio, gli studi epidemiologici sulla distribuzione di un fattore che predica o possa predire lo sviluppo di uno stato morboso per il quale non esista un trattamento);
Con riferimento a tali motivi di impossibilità organizzativa, le seguenti prescrizioni concernono anche il trattamento dei dati di coloro i quali, all’esito di ogni ragionevole sforzo compiuto per contattarli (anche attraverso la verifica dello stato in vita, la consultazione dei dati riportati nella documentazione clinica, l’impiego dei recapiti telefonici eventualmente forniti, nonché l’acquisizione dei dati di contatto presso l’anagrafe degli assistiti o della popolazione residente) risultino essere al momento dell’arruolamento nello studio:
Resta fermo l’obbligo di rendere l’informativa agli interessati inclusi nella ricerca in tutti i casi in cui, nel corso dello studio, ciò sia possibile e, in particolare, laddove questi si rivolgano al centro di cura, anche per visite di controllo, anche al fine di consentire loro di esercitare i diritti previsti dal Regolamento;
3. motivi di salute riconducibili alla gravità dello stato clinico in cui versa l’interessato a causa del quale questi è impossibilitato a comprendere le indicazioni rese nell’informativa e a prestare validamente il consenso. In tali casi, lo studio deve essere volto al miglioramento dello stesso stato clinico in cui versa l’interessato. Inoltre, occorre comprovare che le finalità dello studio non possano essere conseguite mediante il trattamento di dati riferiti a persone in grado di comprendere le indicazioni rese nell’informativa e di prestare validamente il consenso o con altre metodologie di ricerca. Ciò, avuto riguardo, in particolare, ai criteri di inclusione previsti dallo studio, alle modalità di arruolamento, alla numerosità statistica del campione prescelto, nonché all’attendibilità dei risultati conseguibili in relazione alle specifiche finalità dello studio. Con riferimento a tali motivi, deve essere acquisito il consenso delle persone indicate nell´art. 82, comma 2, lett. a), del Codice come modificato dal d.lgs. n. 101/2018. Ciò, fermo restando che sia resa all’interessato l’informativa sul trattamento dei dati non appena le condizioni di salute glielo consentano, anche al fine dell’esercizio dei diritti previsti dal Regolamento.
Ove la ricerca non possa raggiungere i suoi scopi senza l’identificazione, anche temporanea, degli interessati, nel trattamento successivo alla raccolta retrospettiva dei dati, sono adottate tecniche di cifratura o di pseudonimizzazione oppure altre soluzioni che, considerato il volume dei dati trattati, la natura, l’oggetto, il contesto e le finalità del trattamento, li rendono non direttamente riconducibili agli interessati, permettendo di identificare questi ultimi solo in caso di necessità. In questi casi, i codici utilizzati non sono desumibili dai dati personali identificativi degli interessati, salvo che ciò risulti impossibile in ragione delle particolari caratteristiche del trattamento o richieda un impiego di mezzi manifestamente sproporzionato e sia motivato, altresì, per iscritto, nel progetto di ricerca.
In applicazione del principio di minimizzazione, il trattamento di dati personali per scopi di ricerca scientifica in campo medico, biomedico o epidemiologico può riguardare i dati relativi alla salute degli interessati e, solo ove indispensabili per il raggiungimento delle finalità della ricerca, congiuntamente anche i dati relativi alla vita sessuale o all’orientamento sessuale, nonché all’origine razziale ed etnica (art. 5, par. 1, lett. c), Regolamento UE 2016/679).
In aggiunta al divieto di diffusione dei dati relativi alla salute degli interessati (art. 2-septies del Codice), non possono essere diffusi anche quelli relativi alla vita sessuale, all’orientamento sessuale e all’origine razziale ed etnica utilizzati per la conduzione dello studio.
e. con specifico riferimento alle operazioni di elaborazione dei dati dello studio memorizzati in una banca dati centralizzata, è necessario adottare:
- idonei sistemi di autenticazione e di autorizzazione per il personale preposto al trattamento in funzione dei ruoli ricoperti e delle esigenze di accesso e trattamento, avendo cura di utilizzare credenziali di validità limitata alla durata dello studio e di disattivarle al termine dello stesso;