Source: https://www.agendadigitale.eu/sicurezza/privacy/consenso-al-trattamento-dei-dati-sanitari-ecco-perche-col-gdpr-e-cambiato-tutto/
Timestamp: 2020-02-29 11:51:01+00:00
Document Index: 140121300

Matched Legal Cases: ['art. 6', 'art. 6', 'art. 9', 'art. 26', 'art. 82', 'art. 26', 'art. 82', 'art. 4', 'art. 29', 'art. 7', 'art. 9', 'art. 75', 'art. 77', 'art. 81', 'art. 9', 'art. 6', 'art. 9', 'art. 9', 'art. 9']

Consenso al trattamento dei dati sanitari: ecco perché col GDPR è cambiato tutto | Agenda Digitale
Uno dei settori su cui l’entrata in vigore del GDPR ha inciso in maniera più significativa è quello del trattamento dei dati relativi alla salute. La nuova normativa pone una disciplina differenziata a seconda che si tratti di un trattamento “necessario” o “accessorio” all’erogazione dei servizi sanitari
Uno degli aspetti su cui il GDPR ha inciso maggiormente sono le basi giuridiche del trattamento e tra queste, nello specifico, il ruolo del consenso dell’interessato, la cui centralità sembra essere venuta meno.
Tra i settori su cui la nuova configurazione del Regolamento ha avuto maggiore impatto, come vedremo, c’è quello della sanità.
Gdpr e centralità del consenso
Il consenso per il trattamento dei dati relativi alla salute
L’inadeguatezza del consenso come base giuridica per il trattamento dei dati sanitari e la nuova configurazione del GDPR
Il decreto n. 101 del 2018.
Nel sistema del Codice privacy al consenso dell’interessato era riconosciuto un ruolo centrale quale presupposto legittimante e condizione di liceità del trattamento dei dati personali. La regola generale era, infatti, quella secondo cui i dati personali potevano essere trattati solo con il consenso dell’interessato. Ulteriori condizioni di legittimità del trattamento, pur previste dal Codice, si configuravano come deroghe alla regola del consenso, giustificate solo dalla straordinarietà di determinate situazioni.
L’art. 6 del Gdpr nel disciplinare la liceità del trattamento, elenca sei diverse basi giuridiche. In questa elencazione il consenso dell’interessato figura solo come una delle possibili alternative su cui il trattamento di dati personali può essere fondato e si pone sullo stesso piano rispetto agli altri presupposti legittimanti. Non si configura più quindi un rapporto di regola – eccezione, ma piuttosto si individuano una pluralità di condizioni tra loro equiparate. Questo comporta che il titolare del trattamento, coerentemente con il principio di accountability, per ciascun trattamento posto in essere dovrà individuare la base giuridica più idonea scegliendo, a seconda del caso specifico, una delle sei alternative previste dall’art. 6 del GDPR.
L’art. 9 del Regolamento infatti, al paragrafo 1 pone un divieto generale di trattare queste categorie di dati. Tale divieto viene tuttavia derogato dal successivo paragrafo 2 che ammette il trattamento di questi dati purché sussista almeno una delle dieci condizioni dallo stesso elencate. Anche in questo caso il consenso dell’interessato figura solo come una delle possibili condizioni, ponendosi sullo stesso piano delle altre alternative previste.
Nel quadro delineato dal Codice privacy i dati sanitari potevano essere trattati, salve poche ipotesi marginali, solo con il consenso dell’interessato. L’art. 26 del Codice prevedeva infatti al comma 1 che i dati sensibili (di cui i dati sanitari erano parte) potevano essere oggetto di trattamento solo con il consenso dell’interessato e previa autorizzazione del Garante. Il successivo comma 4 prevedeva una serie di casi particolari in cui il trattamento di questi dati era ammesso anche senza consenso, ferma restando la necessità della previa autorizzazione del Garante. In particolare, per quanto riguarda i dati relativi alla salute, la lett. b) faceva riferimento all’ipotesi in cui il trattamento dei dati fosse necessario per la salvaguardia della vita o dell’incolumità fisica di un terzo. Se invece la stessa esigenza si poneva con riferimento all’interessato, e questo non era in grado di prestare il consenso per impossibilità fisica, incapacità di agire o incapacità di intendere e di volere, era previsto che “il consenso è manifestato da chi esercita legalmente la potestà, ovvero da un prossimo congiunto, da un familiare, da un convivente o, in loro assenza, dal responsabile della struttura presso cui dimora l’interessato”.
Nella stessa ottica l’art. 82 del Codice dettava una disciplina specifica per le situazioni di emergenza, prevedendo che l’informativa e il consenso al trattamento dei dati personali potevano intervenire “senza ritardo, successivamente alla prestazione” quando sussisteva una delle seguenti ipotesi: (i) impossibilità fisica, incapacità di agire o incapacità di intendere e di volere dell’interessato, quando non è possibile acquisire il consenso dai soggetti indicati dalla lett. b) dell’art. 26; (ii) rischio grave, imminente e irreparabile per la salute o l’incolumità fisica dell’interessato e (iii) prestazione medica che può essere pregiudicata dall’acquisizione preventiva del consenso, in termini di tempestività o efficacia.
Il quadro che emergeva dal combinato disposto di questi articoli dimostrava che, di fatto, nel sistema codicistico non esistevano casi in cui il trattamento di dati sanitari per finalità di cura dell’interessato potesse prescindere dal rilascio di un consenso (preventivo o successivo, proveniente direttamente dall’interessato o da un terzo, ma comunque sempre necessario). D’altra parte il Codice non contemplava l’ipotesi in cui l’interessato, pur richiedendo una prestazione sanitaria necessaria per la tutela della sua vita o incolumità fisica, rifiutasse di prestare il consenso al trattamento dei suoi dati personali. Nel sistema delineato dal Codice in questo caso, a rigore, il medico avrebbe dovuto rifiutarsi di eseguire la prestazione, e il tema diveniva ancora più complesso nel caso in cui il medico avesse già effettuato la prestazione senza richiedere alcun consenso, per la sussistenza di una delle ipotesi di cui all’art. 82, ma successivamente l’interessato avesse rifiutato di rilasciare il proprio consenso. In questo caso il medico che era intervenuto tempestivamente per salvaguardare l’incolumità dell’interessato avrebbe rischiato di essere chiamato a rispondere per avere trattato illecitamente i dati personali di quest’ultimo.
L’art. 4 n. 11 del GDPR definisce il consenso dell’interessato come “qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato […]”. Come sottolineato anche dal Gruppo di Lavoro ex art. 29 nelle “Guidelines on Consent under Regulation 2016/679” (WP 259), il consenso si caratterizza, tra le altre cose, per essere “libero”, ovvero per presupporre una scelta e un controllo effettivi da parte dell’interessato. Il considerando 42 precisa che il consenso non può essere considerato liberamente espresso, e quindi valido, se l’interessato non può operare una scelta effettivamente libera o se non può rifiutare di prestare il proprio consenso senza subire pregiudizi. L’art. 7(4) aggiunge che nel valutare se il consenso è stato liberamente prestato si deve considerare in particolare se la prestazione del consenso sia una condizione essenziale per l’esecuzione della prestazione. Questo significa che se dal rifiuto del consenso possono derivare conseguenze significativamente negative per l’interessato, quali, in particolare, l’impossibilità di usufruire del servizio o di ricevere la prestazione richiesta, è evidente che il soggetto che ha interesse o bisogno di ricevere quella prestazione non gode di fatto di una libertà di scelta. Ne deriva che il consenso non è libero e, quindi, non può essere considerato valido come base giuridica del trattamento.
Con riferimento al consenso al trattamento di dati personali per l’esecuzione di un trattamento sanitario, è evidente che tale consenso non può che essere necessario in quanto un professionista sanitario non potrebbe mai trattare, sul piano sanitario, un paziente, senza trattare anche i suoi dati personali. Il professionista dovrà infatti necessariamente venire a conoscenza di una serie di dati identificativi e clinici (es. anamnesi, stato di salute, farmaci assunti) e, d’altra parte, egli stesso, nel trattare il paziente, andrà a produrre una serie di dati relativi alla salute di quest’ultimo (es. lastre, referti, fogli chirurgici, ecc.). Dal momento che anche la semplice raccolta e consultazione dei dati costituisce un trattamento, è evidente che il medico, nello svolgimento delle sue funzioni, tratta costantemente e inevitabilmente i dati personali dei pazienti. Il consenso al trattamento dei dati diventa quindi “obbligatorio” proprio perché senza di esso il medico dovrebbe rifiutarsi di eseguire la prestazione medica. Tuttavia, parlare di “consenso obbligatorio” è evidentemente un ossimoro in quanto, come detto in precedenza, il consenso per essere effettivo deve sempre essere libero. La conseguenza è che il consenso al trattamento dei dati personali per finalità di trattamento sanitario risulta essere sempre invalido, e dunque si deve ritenere che esso non possa mai costituire un’idonea base giuridica per tale trattamento.
Si segnala che il paragrafo 4 dell’art. 9 riconosce agli Stati membri la possibilità di mantenere o introdurre ulteriori condizioni, comprese limitazioni, per il trattamento di dati genetici, dati biometrici o dati relativi alla salute. Rimane quindi aperta la possibilità, per il legislatore nazionale, di introdurre condizioni più stringenti volte a garantire un livello di tutela più elevato di quello derivante dalla disciplina del Regolamento. In ogni caso, in assenza di tale intervento, a partire dal 25 maggio 2018 (data della definitiva applicabilità del GDPR) la necessità di diagnosi, assistenza o terapia sanitaria o sociale, o la necessità per motivi di interesse pubblico nel settore della sanità pubblica, configurano condizioni sufficienti per permettere il trattamento dei dati relativi alla salute dei pazienti, senza bisogno di acquisire il consenso degli stessi.
Con riferimento alla Parte II del Titolo V del Codice, rubricato “Trattamento di dati personali in ambito sanitario”, il decreto ha modificato l’art. 75 prevedendo che “il trattamento dei dati personali effettuato per finalità di tutela della salute e incolumità fisica dell’interessato o di terzi o della collettività deve essere effettuato ai sensi dell’articolo 9, paragrafi 2, lettere h) ed i), e 3 del Regolamento, dell’articolo 2-septles del presente codice […]”. È stato inoltre modificato l’art. 77, relativo alle modalità particolari per trattare i dati personali e per fornire all’interessato le informazioni sul trattamento, in cui è stato eliminato il riferimento al consenso per il trattamento dei dati personali. Il decreto è poi intervenuto marginalmente sugli articoli 78, 79, 80 e 82, adeguandoli alle nuove disposizioni del GDPR ma lasciandoli invariati nel loro contenuto sostanziale, e ha invece abrogato gli articoli 76, 81, 83 e 84. Di particolare rilievo, ai fini della presente trattazione, è stata l’abrogazione dell’art. 81 relativo alla “Prestazione del consenso” che prevedeva la possibilità di manifestare oralmente il consenso al trattamento dei dati idonei a rivelare lo stato di salute, con annotazione dell’esercente la professione sanitaria ai fini di documentare il rilascio del consenso. Tale abrogazione conferma dunque il venir meno della necessità di acquisire il consenso del paziente.
In ogni caso, indipendentemente dal decreto di adeguamento, a partire dal 25 maggio 2018 il Regolamento è definitivamente applicabile in tutti gli Stati membri, con conseguente automatica disapplicazione di tutte le norme nazionali con esso incompatibili. Si ricorda infatti che la fonte normativa della nuova disciplina europea sul trattamento dei dati non è più una direttiva, come per la disciplina precedente su cui si basava il Codice privacy, bensì, appunto, un regolamento che, in quanto tale, non necessita di una legge nazionale di implementazione, ma è direttamente applicabile in tutti gli Stati membri. Questo significa che fin dal 25 maggio 2018, anche in mancanza del decreto di adeguamento, è divenuto possibile trattare per finalità mediche i dati relativi alla salute senza bisogno di acquisire il consenso del soggetto interessato, purché sussista una delle condizioni previste dal paragrafo 2 dell’art. 9 del GDPR e il trattamento si fondi su una delle basi giuridiche di cui al paragrafo 1 dell’art. 6 del GDPR.
In particolare, il Garante ha confermato in maniera esplicita che il professionista sanitario (sia quando opera come libero professionista che quando offre la propria prestazione medica all’interno di una struttura sanitaria) non è tenuto ad acquisire il consenso del paziente per il trattamento dei dati relativi alla salute quando tale trattamento è “necessario” al perseguimento delle finalità di cura. Il Garante conferma, infatti, che il divieto di trattare categorie particolari di dati personali posto dall’art. 9, paragrafo 1 del GDPR viene meno in presenza di una delle condizioni di cui alle lett. g), h) o i) dell’art. 9, paragrafo 2. Il consenso resta invece comunque necessario per tutti i trattamenti di dati che, seppur latu senso collegati alla prestazione sanitaria, non risultano tuttavia necessari ai fini della cura del paziente (es. utilizzo di app mediche, invio di comunicazioni promozionali, ecc.).
Il summenzionato provvedimento, se da un lato costituisce un importante strumento interpretativo della normativa vigente, dall’altro tuttavia lascia ancora alcuni punti aperti. Nello specifico, il Garante non analizza il delicato tema del trattamento dei dati relativi alla salute realizzato dal personale amministrativo per lo svolgimento di attività funzionali all’erogazione della prestazione sanitaria. Questo tema solleva in particolare due questioni:
se il personale amministrativo che, di regola, non è soggetto nel nostro ordinamento ad un obbligo di segreto professionale, può trattare categorie particolari di dati personali; e
Se il primo problema può essere agevolmente superato ponendo, nell’ambito dell’organigramma aziendale, il personale amministrativo sotto la responsabilità dei professionisti sanitari tenuti al segreto professionale, più complessa rimane la risoluzione della seconda questione. Il Garante infatti non chiarisce cosa debba intendersi per “trattamenti attinenti, solo in senso lato, alla cura, ma non strettamente necessari”; espressione questa utilizzata nel provvedimento di cui sopra per identificare i trattamenti per i quali permane la necessità di acquisizione del consenso, ma il cui significato non è stato esplicitato dal Garante.
Il trattamento di dati personali realizzato mediante il DSE si differenzia dalla compilazione e tenuta della cartella clinica per il fatto che questa contiene solo le informazioni relative al singolo evento clinico. D’altra parte si differenzia anche dalla mera conservazione delle singole cartelle cliniche relative a un determinato paziente e generate presso lo stesso titolare del trattamento; il DSE si caratterizza infatti per mettere l’insieme dei dati del paziente in condivisione logica a vantaggio dei professionisti sanitari che lo prendono in cura, consentendo loro di consultare tali dati in qualsiasi momento per tutto il tempo in cui si articola il processo di cura.
In questo caso quindi l’interessato gode di una effettiva libertà di scelta in quanto può decidere di impedire la formazione del DSE senza che tale scelta pregiudichi la possibilità di ricevere la prestazione (l’interessato deve anzi essere specificamente informato che l’eventuale mancato consenso al trattamento dei dati personali mediante DSE non incide sulla possibilità di accedere alle cure mediche richieste).
Il consenso al trattamento dei dati personali mediante dossier sanitario è inoltre modulabile con riferimento ai dati che vi possono essere inseriti. Innanzitutto occorre un consenso specifico per l’inserimento delle informazioni relative a eventi sanitari pregressi all’istituzione del dossier, per cui l’interessato può scegliere di non inserire tali informazioni. In secondo luogo, l’interessato ha il diritto all’oscuramento, ovvero il diritto di chiedere che alcuni dati o documenti sanitari non compaiano nel dossier senza che risulti che egli abbia effettuato tale richiesta.
Come il DSE, anche il FSE costituisce uno strumento per la raccolta, in forma elettronica, dei dati relativi a tutti gli eventi clinici riguardanti un determinato paziente; la differenza rispetto al DSE consiste nel fatto che mentre quest’ultimo raccoglie i dati generati in occasione di eventi clinici che hanno avuto luogo solamente all’interno della struttura sanitaria presso cui il dossier è stato costituito, il FSE è gestito a livello nazionale o regionale e, pertanto, può contenere i dati relativi ad eventi clinici che hanno avuto luogo in qualunque struttura sanitaria del territorio (nazionale o regionale) e può essere alimentato da ciascun medico operante in ognuna di queste strutture. Il FSE risulta, dunque, molto più ampio e più completo del DSE e presenta l’ulteriore vantaggio di consentire una condivisione logica di portata estremamente più ampia.
A tal fine, uno degli strumenti previsti dal legislatore per la tutela degli interessati è la preventiva acquisizione del consenso come condizione necessaria per l’alimentazione del FSE. Questo perché, così come per il DSE, l’utilizzo di tale strumento viene considerato come un servizio accessorio offerto ai pazienti, non strettamente necessario per il perseguimento delle finalità di diagnosi e cura. Pertanto, il trattamento dei dati personali finalizzato all’alimentazione del FSE costituisce un trattamento diverso e ulteriore rispetto a quello necessario per la cura del paziente; in quest’ottica, non sarà applicabile la condizione di cui all’art. 9, paragrafo 2, lett. h) del GDPR per il trattamento delle categorie particolari di dati personali e, in mancanza di altre condizioni applicabili, si dovrà ricorrere a quella di cui alla lett. a) dello stesso articolo consistente, per l’appunto, nell’acquisizione di un consenso esplicito dell’interessato.
Preso atto dell’attuale impostazione così come delineata al legislatore, si potrebbe tuttavia sollevare il dubbio se l’utilizzo del FSE possa effettivamente essere considerato un servizio accessorio e facoltativo rispetto alla prestazione sanitaria in senso stretto. Se da un lato è evidente che un professionista sanitario possa intervenire anche in assenza di qualunque conoscenza pregressa in merito all’anamnesi del paziente e ad eventuali eventi clinici pregressi, dall’altro è innegabile che, in alcune circostanze, la conoscenza di tali informazioni potrebbe risultare rilevante, o addirittura determinate, per un tempestivo intervento e, in alcuni casi, per la vita stessa del paziente o, comunque, per la qualità della vita. In questa prospettiva sarebbe quindi lecito domandarsi se effettivamente l’utilizzo di un tale strumento possa ancora essere considerato non “necessario” e se tale utilizzo possa essere subordinato ad una esplicita manifestazione di volontà del paziente con la conseguenza che un paziente che non abbia la possibilità di manifestare una tale volontà risulterebbe essere privato di uno strumento che potrebbe concorrere alla tutela della sua integrità fisica.
Trattamento dati in Sanità dopo i chiarimenti del Garante: che c'è di nuovo e che manca