Source: http://www.privacy.it/archivio/garautor022008.html
Timestamp: 2020-04-03 22:13:25+00:00
Document Index: 109681404

Matched Legal Cases: ['art. 4', 'art. 26', 'art. 76', 'art. 40', 'art. 41', 'art. 1', 'art. 11', 'art. 85', 'art. 83', 'art. 98', 'art. 26', 'art. 3', 'art. 84', 'art. 82', 'art. 11', 'art. 41', 'art. 5', 'art. 178', 'art. 11', 'art. 734']

Autorizzazione n. 2/2008
Autorizzazione n.2/2008 al trattamento dei dati idonei a rivelare lo stato di salute e la vitasessuale
(Pubblicata sulla G.U. n. 169 del 21-7-2008 - Suppl. Ordinario n. 175)
Registro delledeliberazioni n. 33 del 19 giugno 2008
In data odierna, con la partecipazionedel prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato,componenti, e del dott. Giovanni Buttarelli, segretario generale;
Visto il decreto legislativo 30 giugno2003, n. 196, recante il Codice in materia di protezione dei dati personali;
Visto, in particolare, l'art. 4, comma 1,lett. d), del citato Codice, il quale individua i dati sensibili;
Considerato che, ai sensi dell'art. 26,comma 1, del Codice, i soggetti privati e gli enti pubblici economici possonotrattare i dati sensibili solo previa autorizzazione di questa Autorit� e, ovenecessario, con il consenso scritto degli interessati, nell'osservanza deipresupposti e dei limiti stabiliti dal Codice, nonch� dalla legge e dairegolamenti;
Visto l'art. 76 del Codice, secondo cuigli esercenti le professioni sanitarie e gli organismi sanitari pubblici, anchenell'ambito di un'attivit� di rilevante interesse pubblico ai sensidell'articolo 85 del medesimo Codice, possono trattare i dati personali idoneia rivelare lo stato di salute anche senza il consenso dell'interessato, previaautorizzazione del Garante, se il trattamento riguarda dati e operazioniindispensabili per perseguire una finalit� di tutela della salute o dell'incolumit�fisica di un terzo o della collettivit�;
Considerato che il trattamento dei datiin questione pu� essere autorizzato dal Garante anche d'ufficio conprovvedimenti di carattere generale, relativi a determinate categorie dititolari o di trattamenti (art. 40 del Codice);
Considerato che le autorizzazioni dicarattere generale sin ora rilasciate sono risultate uno strumento idoneo perprescrivere misure uniformi a garanzia degli interessati, rendendo altres�superflua la richiesta di singoli provvedimenti di autorizzazione da parte dinumerosi titolari del trattamento;
Ritenuto opportuno rilasciare nuoveautorizzazioni in sostituzione di quelle in scadenza il 30 giugno 2008,armonizzando le prescrizioni gi� impartite alla luce dell'esperienza maturata;
Ritenuto opportuno che anche tali nuoveautorizzazioni siano provvisorie e a tempo determinato, ai sensi dell'art. 41,comma 5, del Codice e, in particolare, efficaci per il periodo di diciottomesi;
Considerata la necessit� di garantire ilrispetto di alcuni princ�pi volti a ridurre al minimo i rischi di danno o dipericolo che i trattamenti potrebbero comportare per i diritti e le libert�fondamentali, nonch� per la dignit� delle persone, e, in particolare, per ildiritto alla protezione dei dati personali sancito dall'art. 1 del Codice,principi valutati anche sulla base delle raccomandazioni adottate in materia didati sanitari dal Consiglio d'Europa ed in particolare dalla Raccomandazione N.R (97) 5, in base alla quale i dati sanitari devono essere trattati, di regola,solo nell'ambito dell'assistenza sanitaria o sulla base di regole di segretezzae di efficacia pari a quelle previste in tale ambito;
Considerato che un elevato numero ditrattamenti idonei a rivelare lo stato di salute e la vita sessuale �effettuato per finalit� di prevenzione o di cura, per la gestione di servizisocio-sanitari, per ricerche scientifiche o per la fornitura all'interessato diprestazioni, beni o servizi;
Visto l'art. 11, comma 2, del Codice, ilquale stabilisce che i dati trattati in violazione della disciplina rilevantein materia di trattamento di dati personali non possono essere utilizzati;
Visti gli articoli 31 e seguenti delCodice e il disciplinare tecnico di cui all'Allegato B) al Codice in materia diprotezione dei dati personali recanti norme e regole sulle misure di sicurezza;
a) gli esercenti le professionisanitarie a trattare i dati idonei a rivelare lo stato di salute, qualora idati e le operazioni siano indispensabili per tutelare l'incolumit� fisica o lasalute di un terzo o della collettivit�, e il consenso non sia prestato o nonpossa essere prestato per effettiva irreperibilit�;
b) gli organismi e le case di curaprivate, nonch� ogni altro soggetto privato, a trattare con il consenso i datiidonei a rivelare lo stato di salute e la vita sessuale;
c) gli organismi sanitari pubblici,istituiti anche presso universit�, ivi compresi i soggetti pubblici allorch�agiscano nella qualit� di autorit� sanitarie, a trattare i dati idonei arivelare lo stato di salute, qualora ricorrano contemporaneamente le seguenticondizioni:
1) il trattamento sia finalizzatoalla tutela dell'incolumit� fisica e della salute di un terzo o dellacollettivit�;
2) manchi il consenso (articolo 76,comma 1, lett. b), del Codice), in quanto non sia prestato o non possa essereprestato per effettiva irreperibilit�;
3) non si tratti di attivit�amministrative correlate a quelle di prevenzione, diagnosi, cura eriabilitazione ai sensi dell'art. 85, commi 1 e 2, del Codice;
d) anche soggetti diversi da quellidi cui alle lettere a), b) e c) a trattare i dati idonei a rivelare lo stato disalute e la vita sessuale, qualora il trattamento sia necessario per lasalvaguardia della vita o dell'incolumit� fisica di un terzo. Se la medesima finalit�riguarda l'interessato e quest'ultimo non pu� prestare il proprio consenso perimpossibilit� fisica, per incapacit� di agire o per incapacit� d'intendere o divolere, il consenso � manifestato da chi esercita legalmente la potest�, ovveroda un prossimo congiunto, da un familiare, da un convivente o, in loro assenza,dal responsabile della struttura presso cui dimora l'interessato.
Per l'informativa e, ove previsto, ilconsenso si osservano anche le disposizioni di cui agli articoli 13, 23, 26 eda 75 a 82 del Codice.
1) Ambito di applicazione e finalit�del trattamento
1.1. L'autorizzazione � rilasciata:
a) ai medici-chirurghi, aifarmacisti, agli odontoiatri, agli psicologi e agli altri esercenti leprofessioni sanitarie iscritti in albi o in elenchi;
b) al personale sanitarioinfermieristico, tecnico e della riabilitazione che esercita l'attivit� inregime di libera professione;
c) alle istituzioni e agli organismisanitari privati, anche quando non operino in rapporto con il serviziosanitario nazionale.
In tali casi, l'autorizzazione �rilasciata anche per consentire ai destinatari di adempiere o di esigerel'adempimento di specifici obblighi o di eseguire specifici compiti previsti daleggi, dalla normativa comunitaria o da regolamenti, in particolare in materiadi igiene e di sanit� pubblica, di prevenzione delle malattie professionali edegli infortuni, di diagnosi e cura, ivi compresi i trapianti di organi etessuti, di riabilitazione degli stati di invalidit� e di inabilit� fisica epsichica, di profilassi delle malattie infettive e diffusive, di tutela dellasalute mentale, di assistenza farmaceutica, di medicina scolastica e diassistenza sanitaria alle attivit� sportive o di accertamento, in conformit�alla legge, degli illeciti previsti dall'ordinamento sportivo. Il trattamentopu� riguardare anche la compilazione di cartelle cliniche, di certificati e dialtri documenti di tipo sanitario, ovvero di altri documenti relativi allagestione amministrativa la cui utilizzazione sia necessaria per i fini appenaindicati.
Qualora il perseguimento di tali finirichieda l'espletamento di compiti di organizzazione o di gestioneamministrativa, i destinatari della presente autorizzazione devono esigere chei responsabili e gli incaricati del trattamento preposti a tali compitiosservino le stesse regole di segretezza alle quali sono sottoposti i medesimidestinatari della presente autorizzazione, nel rispetto di quanto previstoanche dall'art. 83, comma 1, del Codice.
1.2. L'autorizzazione � rilasciata,altres�, ai seguenti soggetti:
a) alle persone fisiche ogiuridiche, agli enti, alle associazioni e agli altri organismi privati, perscopi di ricerca scientifica, anche statistica, finalizzata alla tutela dellasalute dell'interessato, di terzi o della collettivit� in campo medico,biomedico o epidemiologico, allorch� si debba intraprendere uno studio dellerelazioni tra i fattori di rischio e la salute umana anche con riguardo a studicondotti su persone nell'ambito della sperimentazione clinica di farmaci, oindagini su interventi sanitari di tipo diagnostico, terapeutico o preventivo,ovvero sull'utilizzazione di strutture socio-sanitarie, e la disponibilit� didati solo anonimi su campioni della popolazione non permetta alla ricerca diraggiungere i suoi scopi. In tali casi occorre acquisire il consenso (inconformit� a quanto previsto dagli articoli 106, 107 e 110 del Codice), e iltrattamento successivo alla raccolta non deve permettere di identificare gliinteressati anche indirettamente, salvo che l'abbinamento al materiale diricerca dei dati identificativi dell'interessato sia temporaneo ed essenzialeper il risultato della ricerca, e sia motivato, altres�, per iscritto. Irisultati della ricerca non possono essere diffusi se non in forma anonima.
Resta fermo quanto previsto dall'art. 98del Codice;
b) alle organizzazioni divolontariato o assistenziali, limitatamente ai dati e alle operazioniindispensabili per perseguire scopi determinati e legittimi previsti, inparticolare, nelle rispettive norme statutarie;
c) alle comunit� di recupero e diaccoglienza, alle case di cura e di riposo, limitatamente ai dati e alleoperazioni indispensabili per perseguire scopi determinati e legittimiprevisti, in particolare, nelle rispettive norme statutarie;
d) agli enti, alle associazioni ealle organizzazioni religiose riconosciute, relativamente ai dati e alleoperazioni indispensabili per perseguire scopi determinati e legittimi neilimiti di quanto stabilito dall'art. 26, comma 4, lett. a), del Codice, fermorestando quanto previsto per le confessioni religiose dagli articoli 26, comma3, lett. a), e 181, comma 6, del Codice e dell'autorizzazione n. 3/2008;
e) alle persone fisiche egiuridiche, alle imprese, anche sociali, agli enti, alle associazioni e ad altriorganismi, limitatamente ai dati, ove necessario attinenti anche alla vitasessuale, e alle operazioni indispensabili per adempiere agli obblighi, ancheprecontrattuali, derivanti da un rapporto di fornitura all'interessato di beni,di prestazioni o di servizi.
Se il rapporto intercorre con istituti dicredito, imprese assicurative o riguarda valori mobiliari, devono considerarsiindispensabili i soli dati ed operazioni necessari per fornire specificiprodotti o servizi richiesti dall'interessato. Il rapporto pu� riguardare anchela fornitura di strumenti di ausilio per la vista, per l'udito o per ladeambulazione;
f) alle persone fisiche egiuridiche, agli enti, alle associazioni e agli altri organismi che gestisconoimpianti o strutture sportive, limitatamente ai dati e alle operazioniindispensabili per accertare l'idoneit� fisica alla partecipazione ad attivit�sportive o agonistiche;
g) alle persone fisiche e giuridichee ad altri organismi, limitatamente ai dati dei beneficiari e dei donatori ealle operazioni indispensabili per effettuare trapianti di organi e tessuti,nonch� donazioni di sangue.
1.3. La presente autorizzazione �rilasciata, altres�, quando il trattamento dei dati idonei a rivelare lo statodi salute e la vita sessuale sia necessario per:
a) lo svolgimento delleinvestigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o comunqueper far valere o difendere un diritto anche da parte di un terzo in sedegiudiziaria, nonch� in sede amministrativa o nelle procedure di arbitrato e diconciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dairegolamenti o dai contratti collettivi, sempre che il diritto sia di rango paria quello dell'interessato, ovvero consistente in un diritto della personalit� oin altro diritto o libert� fondamentale e inviolabile, e i dati siano trattatiesclusivamente per tali finalit� e per il periodo strettamente necessario peril loro perseguimento;
b) adempiere o esigere l'adempimentodi specifici obblighi o per eseguire specifici compiti previsti dalla normativacomunitaria, da leggi, da regolamenti o da contratti collettivi per la gestionedel rapporto di lavoro, nonch� della normativa in materia di previdenza eassistenza o in materia di igiene e sicurezza del lavoro o della popolazione,nei limiti previsti dalla autorizzazione generale del Garante n. 1/2008 e fermerestando le disposizioni del codice di deontologia e di buona condotta di cuiall'articolo 111 del Codice.
1.4. Il trattamento di dati geneticiresta autorizzato nei limiti e alle condizioni individuati nell'autorizzazionedel 22 febbraio 2007, pubblicata nella Gazzetta Ufficiale n. 65 del 19 marzo2007.
2) Categorie di dati oggetto ditrattamento Prima di iniziareo proseguire il trattamento i sistemi informativi e i programmi informaticisono configurati riducendo al minimo l'utilizzazione di dati personali e didati identificativi, in modo da escluderne il trattamento quando le finalit�perseguite nei singoli casi possono essere realizzate mediante,rispettivamente, dati anonimi od opportune modalit� che permettano diidentificare l'interessato solo in caso di necessit�, in conformit� all'art. 3del Codice.
Il trattamento pu� avere per oggetto idati strettamente pertinenti ai sopra indicati obblighi, compiti o finalit� chenon possano essere adempiuti o realizzati, caso per caso, mediante iltrattamento di dati anonimi o di dati personali di natura diversa, e pu�comprendere le informazioni relative a stati di salute pregressi.
Devono essere considerate sottoposte all'ambitodi applicazione della presente autorizzazione anche le informazioni relative ainascituri, che devono essere trattate alla stregua dei dati personali inconformit� a quanto previsto dalla citata raccomandazione N. R (97) 5 delConsiglio d'Europa.
3) Modalit� di trattamento Fermi restando gli obblighi previsti dagli articoli11 e 14 del Codice, nonch� dagli articoli 31 e seguenti del Codice edall'Allegato B) al medesimo Codice, il trattamento dei dati sensibili deveessere effettuato unicamente con operazioni, nonch� con logiche e medianteforme di organizzazione dei dati strettamente indispensabili in rapporto aisopra indicati obblighi, compiti o finalit�.
La comunicazione di dati all'interessatodeve avvenire di regola direttamente a quest'ultimo o a un suo delegato (fermorestando quanto previsto dall'art. 84, comma 1, del Codice), in plico chiuso ocon altro mezzo idoneo a prevenire la conoscenza da parte di soggetti nonautorizzati, anche attraverso la previsione di distanze di cortesia.
Per le informazioni relative ainascituri, il consenso � prestato dalla gestante. Dopo il raggiungimento dellamaggiore et� l'informativa � fornita all'interessato anche ai fini dellaacquisizione di una nuova manifestazione del consenso quando questo �necessario (art. 82, comma 4, del Codice).
4) Conservazione dei dati Nel quadro del rispetto dell'obbligo previstodall'art. 11, comma 1, lett. e) del Codice, i dati possono essere conservatiper un periodo non superiore a quello necessario per adempiere agli obblighi oai compiti sopra indicati, ovvero per perseguire le finalit� ivi menzionate. Atal fine, anche mediante controlli periodici, deve essere verificatacostantemente la stretta pertinenza, non eccedenza e indispensabilit� dei datirispetto al rapporto, alla prestazione o all'incarico in corso, da instaurare ocessati, anche con riferimento ai dati che l'interessato fornisce di propriainiziativa. I dati che, anche a seguito delle verifiche, risultano eccedenti onon pertinenti o non indispensabili non possono essere utilizzati, salvo cheper l'eventuale conservazione, a norma di legge, dell'atto o del documento cheli contiene. Specifica attenzione � prestata per l'indispensabilit� dei datiriferiti a soggetti diversi da quelli cui si riferiscono direttamente leprestazioni e gli adempimenti.
5) Comunicazione e diffusione dei dati Salvo quanto previsto per i dati genetici al punto 9della citata autorizzazione del 22 febbraio 2007, i dati idonei a rivelare lostato di salute possono essere comunicati, nei limiti strettamente pertinentiagli obblighi, ai compiti e alle finalit� di cui al punto 1), a soggettipubblici e privati, ivi compresi i fondi e le casse di assistenza sanitariaintegrativa, le aziende che svolgono attivit� strettamente correlateall'esercizio di professioni sanitarie o alla fornitura all'interessato dibeni, di prestazioni o di servizi, gli istituti di credito e le impreseassicurative, le associazioni od organizzazioni di volontariato e i familiaridell'interessato.
Ai sensi degli artt. 22, comma 8, e 26,comma 5, del Codice, i dati idonei a rivelare lo stato di salute non possonoessere diffusi.
I dati idonei a rivelare la vita sessualenon possono essere diffusi, salvo il caso in cui la diffusione riguardi datiresi manifestamente pubblici dall'interessato e per i quali l'interessatostesso non abbia manifestato successivamente la sua opposizione per motivilegittimi.
6) Richieste di autorizzazione I titolari dei trattamenti che rientrano nell'ambitodi applicazione della presente autorizzazione non sono tenuti a presentare unarichiesta di autorizzazione a questa Autorit�, qualora il trattamento che siintende effettuare sia conforme alle prescrizioni suddette.
Le richieste di autorizzazione pervenuteo che perverranno anche successivamente alla data di adozione del presenteprovvedimento, devono intendersi accolte nei termini di cui al provvedimentomedesimo.
Il Garante non prender� in considerazionerichieste di autorizzazione per trattamenti da effettuarsi in difformit� alleprescrizioni del presente provvedimento, salvo che, ai sensi dell'art. 41 delCodice, il loro accoglimento sia giustificato da circostanze del tuttoparticolari o da situazioni eccezionali non considerate nella presenteautorizzazione, relative, ad esempio, al caso in cui la raccolta del consensocomporti un impiego di mezzi manifestamente sproporzionato in ragione, inparticolare, del numero di persone interessate.
7) Norme finali Restano fermi gli obblighi previsti da norme di leggeo di regolamento o dalla normativa comunitaria che stabiliscono divieti olimiti pi� restrittivi in materia di trattamento di dati personali e, inparticolare:
a) dall'art. 5, comma 2, della legge5 giugno 1990, n. 135, come modificato dall'art. 178 del Codice, secondo cui larilevazione statistica della infezione da HIV deve essere effettuata conmodalit� che non consentano l'identificazione della persona;
b) dall'art. 11 della legge 22maggio 1978, n. 194, il quale dispone che l'ente ospedaliero, la casa di cura oil poliambulatorio nei quali � effettuato un intervento di interruzione digravidanza devono inviare al medico provinciale competente per territorio unadichiarazione che non faccia menzione dell'identit� della donna;
c) dall'art. 734-bis del codicepenale, il quale vieta la divulgazione non consensuale delle generalit� odell'immagine della persona offesa da atti di violenza sessuale.
Restano altres� fermi gli obblighi dilegge che vietano la rivelazione senza giusta causa e l'impiego a proprio oaltrui profitto delle notizie coperte dal segreto professionale, nonch� gliobblighi deontologici previsti, in particolare, dal codice di deontologiamedica adottato dalla Federazione nazionale degli ordini dei medici chirurghi edegli odontoiatri.
Resta ferma, infine, la possibilit� didiffondere dati anonimi anche aggregati e di includerli, in particolare, nellepubblicazioni a contenuto scientifico o finalizzate all'educazione, allaprevenzione o all'informazione di carattere sanitario.
8) Efficacia temporale e disciplinatransitoria La presenteautorizzazione ha efficacia a decorrere dal 1� luglio 2008 fino al 31 dicembre2009, salve eventuali modifiche che il Garante ritenga di dover apportare inconseguenza di eventuali novit� normative rilevanti in materia.
La presente autorizzazione sar�pubblicata nella Gazzetta Ufficiale della Repubblica italiana.
ILPRESIDENTE Pizzetti