Source: https://ambientediritto.it/home/dottrina/attuazione-del-gdpr-ambito-sanitario
Timestamp: 2019-01-16 21:12:55+00:00
Document Index: 35948284

Matched Legal Cases: ['art. 5', 'art. 30', 'art. 5', 'art. 25', 'art. 28', 'art. 42', 'art. 33', 'art. 34', 'arty 29']

ATTUAZIONE DEL GDPR IN AMBITO SANITARIO. | AmbienteDiritto.it
ATTUAZIONE DEL GDPR IN AMBITO SANITARIO.
PIERLUIGI PISELLI - FRANCESCO ANASTASI
L’ATTUAZIONE DEL GDPR IN AMBITO SANITARIO
Avv. Pierluigi Piselli - Avv. Francesco Anastasi
Il regolamento costituisce un prezioso tentativo di armonizzazione della normativa in materia di privacy dei vari Stati ed è finalizzato a sviluppare il mercato unico digitale attraverso la creazione e la promozione di nuovi servizi, applicazioni, piattaforme e software.
Il testo del regolamento abroga la direttiva la Direttiva 95/46/CE in materia di protezione dei dati personali /privacy, concepita in un periodo nel quale solo una minima parte della popolazione europea (nella percentuale del 1%) utilizzava internet e non esistevano social media, tablet, app e gli scenari e gli effetti della moderna e l’attuale società della sorveglianza elettronica nella quale sono gli stessi cittadini che pubblicano, più o meno inconsapevolmente i propri dati personali sulle piattaforme on line e social media.
Tra le principali novità introdotte dal regolamento va segnalato il principio di "responsabilizzazione" (cd. accountability), che attribuisce direttamente ai titolari del trattamento il compito di assicurare, ed essere in grado di comprovare, il rispetto dei principi applicabili al trattamento dei dati personali (art. 5).
Le principali novità da seguire sono: la portabilità dei dati; l’istituzione del Registro delle attività di trattamento (art. 30 e cons. 171); l’individuazione del Responsabile del trattamento (artt. 37-39); le certificazioni; lo Sportello Unico; la gestione del data breach; l’istituzione di Codici di condotta.
In particolare, uno dei nuovi diritti degli interessati previsti dal GDPR, è il cosiddetto diritto alla portabilità. Si tratta di un nuovo e innovativo diritto, previsto dall’articolo 20 del GDPR, che consente all’interessato di ricevere i dati personali forniti a un titolare, in un formato strutturato.
Essenziale avviare quanto prima la ricognizione dei trattamenti svolti (nell’ambito del Registro delle attività di trattamento) e delle loro principali caratteristiche (finalità del trattamento, descrizione delle categorie di dati e interessati, categorie di destinatari cui è prevista la comunicazione, misure di sicurezza, tempi di conservazione, e ogni altra informazione che il titolare ritenga opportuna al fine di documentare le attività di trattamento svolte) funzionale all’istituzione del registro. La ricognizione consente di verificare anche il rispetto dei principi fondamentali (art. 5), la liceità del trattamento (verifica dell'idoneità della base giuridica, artt. 6, 9 e 10) nonché l’opportunità dell'introduzione di misure a protezione dei dati fin dalla progettazione e per impostazione (privacy by design e by default, art. 25), in modo da assicurare, entro il 25 maggio 2018, la piena conformità dei trattamenti in corso (cons. 171);
Il regolamento Europeo introduce la figura del responsabile del trattamento (nel nuovo regolamento europeo) è la persona fisica, giuridica, pubblica amministrazione o ente che elabora i dati personali per conto del titolare del trattamento. Il titolare del trattamento, quindi, nomina uno o più responsabili.
In base all'art. 28 del nuovo regolamento generale europeo, la nomina deve avvenire tramite contratto o altro “atto giuridico a norma del diritto dell’Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento”.
In ambito di certificazioni, il Regolamento stabilisce all’art. 42 UE 2016/679 che queste sono uno strumento volontario, che si affiancano a tutti quelli obbligatori e a quelli consigliati indicati nel regolamento.
Per risolvere eventuali difficoltà è stato introdotto lo Sportello unico (one stop shop), che semplificherà la gestione dei trattamenti e garantirà un approccio uniforme.
Altro profilo di rilevo introdotto dal regolamento europeo è rappresentato dall’obbligo di comunicazione delle violazioni di dati personali (data breach), (non previsto nella precedente direttiva 95/46/CE a tutti i trattamenti di dati personali effettuati dalle pubbliche amministrazioni e imprese, obbligo previsto attualmente previsto in alcuni ordinamenti.
Il regolamento distingue due modalità di data breach: la comunicazione delle violazioni di dati all’autorità nazionale di protezione dei dati personali (prevista dall’art. 33 del regolamento) e la comunicazione ai soggetti a cui si riferiscono i dati, nei casi più gravi (c.d. soggetti interessati), prevista dall’art. 34 del regolamento.
Il Regolamento europeo dedica alla tematica dei codici di condotta solo un paio di articoli, il 40 (Codici di condotta) ed il 41 (Monitoraggio dei codici di condotta), ma l’importanza degli stessi è fondamentale come strumento per contribuire alla corretta applicazione del regolamento medesimo, in funzione delle specificità dei vari settori di trattamento e delle esigenze specifiche delle micro, piccole e medie imprese e sinora un po’ troppo sottovalutato nell’attuale assetto normativo.
In particolare, questi dovrebbero essere redatti dalle associazioni e dalle organizzazioni che rappresentano categorie di titolari del trattamento o di responsabili del trattamento e dovrebbero tenere conto delle caratteristiche specifiche dei settori di riferimento e delle diverse esigenze connesse alle dimensioni aziendali.
Il progetto di codice deve essere sottoposto all’Autorità garante nazionale e questa esprime un parere sul progetto. Se il parere è positivo e l’applicazione del codice riguarda solamente lo Stato membro in cui è presentato, l’Autorità registrerà e pubblicherà il codice realizzato.
Proprio in tale contesto si colloca la lettera, datata 10 aprile 2017, del Working Party 29 (l’organismo indipendente che raggruppa i Garanti Privacy europei) come risposta “critica” alla richiesta di esame di una bozza di “Codice di Condotta sulla privacy per mobile health applications”.
Altrimenti, qualora il progetto di codice di condotta si riferisca alle attività di trattamento in vari Stati membri (come sarebbe normale nell’ambito delle app m-health ed in considerazione dell’importanza sempre più grande che il Digital Single Market è destinato ad assumere nella UE), prima di approvare il progetto, la modifica o la proroga, l’autorità di controllo competente territorialmente lo sottopone al comitato europeo per la protezione dei dati, il quale formula un parere sulla conformità al Regolamento Privacy del progetto di codice, della modifica o della proroga o sulla previsione di adeguate garanzie.
PUBBLICATO SU AMBIENTEDIRITTO.IT - 05 APRILE 2018 – ANNO XVIII
Totale Visitatori: 78608219