Source: https://garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9344635
Timestamp: 2020-07-16 14:12:54+00:00
Document Index: 59324846

Matched Legal Cases: ['art. 5', 'art. 4', 'sentenza ', 'art. 35', 'art. 2', 'art. 9', 'art. 105', 'art. 2']

Parere sul disegno di legge provinciale concernente "Ulteriori misure di... - Garante Privacy
Parere sul disegno di legge provinciale concernente "Ulteriori misure di sostegno per le famiglie, i lavoratori e i settori economici connesse all'emergenza epidemiologica da COVID-19 e conseguente variazione al bilancio di previsione della Provincia autonoma di Trento per gli esercizi finanziari 2020-2022" - 8 maggio 2020 [9344635]
9344635
Particolari categorie di dati , Sanità e ricerca scientifica , Dati sanitari , Stato di salute , Enti locali , Coronavirus
[doc. web n. 9344635]
Parere alla Provincia autonoma di Trento sul disegno di legge provinciale concernente "Ulteriori misure di sostegno per le famiglie, i lavoratori e i settori economici connesse all'emergenza epidemiologica da COVID-19 e conseguente variazione al bilancio di previsione della Provincia autonoma di Trento per gli esercizi finanziari 2020-2022" - 8 maggio 2020
n. 84 dell'8 maggio 2020
Vista la richiesta di parere della Provincia autonoma di Trento;
Visto il Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito Regolamento).
Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo n. 196 del 2003, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito Codice) e, in particolare, l’articolo 154, comma 5;
Ritenuto che le ragioni d’urgenza rappresentate dalla Provincia autonoma di Trento e il conseguente breve lasso di tempo per rendere il previsto parere non permettono allo stato la convocazione in tempo utile del Collegio del Garante;
Ritenuto quindi che ricorrano i presupposti per l’applicazione dell’articolo 5, comma 8, del Regolamento n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante, il quale prevede che «Nei casi di particolare urgenza e di indifferibilità che non permettono la convocazione in tempo utile del Garante, il presidente può adottare i provvedimenti di competenza dell'organo, i quali cessano di avere efficacia sin dal momento della loro adozione se non sono ratificati dal Garante nella prima riunione utile, da convocarsi non oltre il trentesimo giorno»;
1. La Provincia autonoma di Trento ha richiesto il parere del Garante ai sensi dell’articolo 36, paragrafo 4, del Regolamento 2016/679, sul disegno di legge provinciale concernente "Ulteriori misure di sostegno per le famiglie, i lavoratori e i settori economici connesse all'emergenza epidemiologica da COVID-19 e conseguente variazione al bilancio di previsione della Provincia autonoma di Trento per gli esercizi finanziari 2020-2022" approvato con deliberazione della Giunta provinciale n. 517/2020.
Il disegno di legge si propone di disciplinare i vari ambiti economici e sociali che più sono stati segnati dalla fase emergenziale connessa alla pandemia COVID-19, per contrastare direttamente l’impatto negativo sull’economia e sulla società.
Come è possibile leggere nella relazione illustrativa, in tale proposta normativa assumono grande rilievo le misure di sostegno al reddito e all’occupazione, ma anche misure volte a preservare il tessuto produttivo del territorio, presupposto essenziale su cui fondare il rilancio dell’economia. Proprio in quest’ottica, l’articolo 1 del disegno di legge, rubricato “Oggetto e finalità”, riassume gli obiettivi e i destinatari delle misure introdotte dalla legge, prevedendo la possibilità di armonizzare le misure provinciali tra loro e con quelle statali.
La Provincia sottopone all’attenzione dell’Autorità in particolare gli articoli da 3 a 8 e da 11 a 17, nonché gli articoli 19, 28, 30 e 31.
L’articolo 3 stabilisce che le disposizioni generali che inquadrano le misure adottate anche ai sensi della legge provinciale 23 marzo 2020, n. 2, possono essere concesse nel rispetto delle tipologie, dei limiti e delle condizioni della disciplina dell’Unione europea contenuta nell’ambito della speciale Comunicazione 2020/c 91 i/01 della Commissione europea del 19 marzo 2020 (quadro temporaneo per le misure di aiuto di Stato a sostegno dell’economia nell’attuale emergenza del COVID-19), o, se non rientranti in tali tipologie, in base all’ordinaria disciplina europea degli aiuti di Stato.
Gli articoli da 4 a 8 prevedono contributi straordinari e benefici a favore di operatori economici che si trovano in condizioni di difficoltà nell’attuale situazione emergenziale.
L’articolo 11 (“Sviluppo di una piattaforma tecnologica per lo sviluppo del commercio elettronico in Trentino”) prevede il finanziamento di un progetto per la creazione di una piattaforma per il commercio elettronico strutturata anche per settori economici. Tale intervento è volto ad attivare una rete di distribuzione territoriale idonea a garantire livelli di qualità e protezione sociale anche ai lavoratori della filiera della logistica e dei trasporti e può prevedere il coinvolgimento anche di soggetti del terzo settore.
Il secondo Capo del disegno di legge prevede, poi, disposizioni per la digitalizzazione e la semplificazione amministrativa.
In particolare all’articolo 14 (“Digitalizzazione del settore pubblico e privato”) si riconosce alla Provincia un ruolo di volano per la transizione verso il digitale, al fine di favorire l'innovazione e la ripresa economica successiva alla crisi conseguente alla pandemia, con ricorso a progetti di sistema e attraverso il coinvolgimento e il coordinamento dei soggetti pubblici e privati operanti nel territorio, anche attraverso la diffusione, presso le organizzazioni pubbliche e private del territorio, della “cultura” dello smart working intesa come modalità agile di lavoro; mentre l’articolo 15 (“Disposizioni in materia di semplificazione”), prevede la possibilità per la Giunta di individuare misure di semplificazione idonee a fornire rapida risposta agli utenti.
L’articolo 16 apporta modificazioni alla citata legge provinciale 23 marzo 2020, n. 2 (Misure urgenti di sostegno per le famiglie, i lavoratori e i settori economici connessi all’emergenza epidemiologica da COVID-19 e altre disposizioni), ampliando le misure già previste da questa legge.
Di particolare importanza è l’articolo 19 del disegno di legge (“Disposizioni in materia di protezione dei dati personali”), il quale -come specificato nella relazione illustrativa- è volto a individuare la base giuridica dei trattamenti di dati personali effettuati dalla Provincia, dagli enti locali e dai relativi enti strumentali, in base alle rispettive competenze, per l’attuazione delle disposizioni contenute nel progetto normativo e nella legge provinciale n. 2 del 2020. Si prevede che nel caso in cui, per le medesime finalità, si rendesse indispensabile il trattamento di categorie particolari di dati o di dati relativi a condanne penali e reati, di cui agli articoli 9 e 10 del Regolamento, debbano essere stabiliti con regolamento provinciale i criteri e le modalità del trattamento, nonché le relative misure di sicurezza.
L’articolo 28 propone di incrementare le risorse destinate all’acquisto di beni alimentari e di prodotti di prima necessità (Bonus alimentare) che la Provincia ha ricevuto con trasferimento dallo Stato ai sensi dell'ordinanza del Capo della Protezione civile n. 658 del 2020.
Un’altra norma di particolare interesse sotto il profilo della protezione dei dati è l’articolo 30 che, mediante modifiche della legge provinciale 23 luglio 2010, n. 16 (in materia di tutela della salute) intende individuare -come riportato sempre nella relazione illustrativa- una idonea “base normativa provinciale” per consentire il trattamento dei dati sanitari delle persone nell’ambito di un progetto di “medicina di iniziativa”, peraltro già avviato dall’Azienda provinciale per i servizi sanitari, volto a consentire un’analisi generale della morbilità, il confronto tra popolazioni e l’individuazione dei soggetti ad alto rischio.
La proposta normativa, infatti, prevede espressamente che la Provincia, “riconosce e promuove la medicina di iniziativa quale modello assistenziale del sistema sanitario provinciale finalizzato alla diagnosi precoce e alla prevenzione delle patologie”. A tal fine pertanto si autorizza l’Azienda provinciale per i servizi sanitari ad operare “la stratificazione del rischio degli assistiti e degli assistibili attraverso l’analisi statistica, l’interconnessione, l’elaborazione dei dati gestiti nell’ambito dei diversi archivi del servizio informativo sanitario provinciale e dell’Azienda stessa, ivi inclusi i dati forniti dai soggetti accreditati o convenzionati con il servizio sanitario provinciale”.
La medesima disposizione rinvia ad un successivo regolamento l’individuazione dei tipi di dati personali che potranno essere trattati, le operazioni eseguibili nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato.
Infine, particolare rilievo assume l’articolo 31 volto a riconoscere al personale operante nel settore sanitario e socio-sanitario (medici, infermieri e personale delle APSP) che si sia impegnato direttamente nella emergenza epidemiologica da COVID-19, un trattamento economico integrativo temporaneo collegato al servizio reso. Fra tale personale rientra anche quello “con periodi di malattia da COVID 19 e sintomatologia grave”.
2. Gli interventi di sostegno economico e il relativo trattamento di dati personali.
Il disegno di legge in esame reca, per la gran parte, disposizioni volte a prevedere ulteriori interventi urgenti - oltre quanto già disposto con la legge provinciale n. 2 del 2020 - di sostegno finanziario alle famiglie, ai lavoratori e alle imprese, al fine di fronteggiare l'attuale situazione emergenziale.
Da questo punto di vista esso, nel suo complesso e in via generale, non presenta particolari profili di criticità. Nondimeno si ritengono utili alcuni perfezionamenti dell’articolo 19 che, come descritto in premessa, funge da cornice di riferimento per quanto riguarda la protezione dei dati personali rispetto ai trattamenti di dati necessari a dare attuazione ai previsti interventi finanziari.
Il comma 1 del predetto articolo fa, infatti, specifico riferimento alla concessione di contributi alle imprese, alla costituzione di fondi per la promozione di interventi agricoli, a misure di sostegno alle famiglie e ai lavoratori (cfr. artt. 3, 4, 5, 6, 7, 8, 12, 13, 14, 15, 16, 17, 28 e 31), nonché a ulteriori misure previste dalla legge provinciale n. 2 del 2020 (cfr. artt. 11, 12 14 e 15). Tali articoli, nello stabilire la tipologia di interventi da adottarsi in favore degli interessati, rimandano, in generale, a specifiche deliberazioni della Giunta, con le quali verranno successivamente individuati i criteri, nonché specificati i requisiti necessari per poter beneficiare dei vari contributi, ovvero per la revoca degli stessi.
L’articolo individua correttamente le finalità di rilevante interesse pubblico perseguite (“effettuare gli interventi di sostegno al reddito di cittadini, famiglie, lavoratori autonomi, professionisti e imprese”, nonché svolgere le relative attività di vigilanza), con riferimento a quelle previste dall’articolo 2-sexies, comma 2, lett. l) ed m), del Codice, vale a dire l’attività di controllo e ispettiva e la corresponsione di benefici economici e altre provvidenze (sotto questo profilo, per completare la norma, si suggerisce di citare anche l’articolo 2-opties, comma 5, del Codice riferito ai trattamenti di dati relativi a condanne o reati sotto l’autorità pubblica).
Inoltre esso prevede che la Provincia e gli enti locali - nel rispetto delle proprie competenze e funzioni istituzionali - possano trattare, anche nell’ambito di specifiche piattaforme dotate di adeguate misure di sicurezza, i dati dei soggetti richiedenti i benefici, anche riferiti alla “relativa situazione economico-sociale” e attivare fra loro flussi informativi aventi ad oggetto dati personali diversi da quelli relativi a categorie particolari o relativi a condanne penali e reati.
Al riguardo, si richiama l’attenzione sull’opportunità di prevedere espressamente in tale comma che i trattamenti di dati siano effettuati nel rispetto del principio di proporzionalità e di minimizzazione dei dati (art. 5 lett. b) e c) del Regolamento), per assicurare che siano effettivamente trattati i soli dati necessari al perseguimento delle indicate finalità, nel rispetto dei diritti fondamentali degli interessati, sulla base dei requisiti di volta in volta richiesti dalla normativa di attuazione per accedere ai contributi e alle misure di sostegno.
3. Disposizioni in materia di medicina di iniziativa.
Di particolare importanza è l’articolo 30 del disegno di legge il quale prevede che la Provincia autonoma di Trento riconosca e promuova la medicina di iniziativa quale modello assistenziale del sistema sanitario provinciale. La medicina di iniziativa sarebbe volta alla diagnosi precoce e alla prevenzione, sia primaria che secondaria, delle patologie croniche e alla conseguente attivazione di interventi mirati al cambiamento degli stili di vita e alla presa in carico integrata e multidisciplinare dell’assistito. Al fine di realizzare tale modello assistenziale, la disposizione in esame prevede che sia l’Azienda provinciale per i servizi sanitari “a operare la stratificazione del rischio degli assistiti e degli assistibili attraverso l’analisi statistica, l’interconnessione, l’elaborazione dei dati gestiti nell’ambito dei diversi archivi del servizio informativo sanitario provinciale e dell’Azienda stessa, ivi inclusi i dati forniti dai soggetti accreditati o convenzionati con il servizio sanitario provinciale”.
La disposizione in esame presenta non poche criticità in quanto persegue una pluralità di finalità (statistiche, di cura e amministrative), che si fondano su diversi presupposti di liceità, nonché ciascuna presidiata, nell’ordinamento, da diversi e specifici apparati di misure a tutela degli interessati, definite nelle discipline di riferimento, che la disposizione, così come formulata, non consente di rispettare. Ciò, in violazione dei principi di liceità, correttezza, limitazione della finalità, minimizzazione e sicurezza del Regolamento, in quanto si accomunano, senza le necessarie distinzioni, trattamenti effettuati per scopi statistici, finalità amministrative e di cura.
3.1. Attività di stratificazione.
In primo luogo, si evidenzia che l’attività di stratificazione, legata ad un modello assistenziale di medicina di iniziativa, è stata oggetto di un recente parere del Garante al Consiglio di Stato (Parere al Consiglio di Stato sulle nuove modalità di ripartizione del fondo sanitario tra le regioni proposte dal Ministero della salute e basate sulla stratificazione della popolazione - 5 marzo 2020 -doc. web n. 9304455).
In tale parere, l’Autorità ha ricordato che “una siffatta attività pone elementi di riflessione sia di tipo giuridico, che etico”. Il modello assistenziale proposto dalla disposizione -secondo quanto indicato nella stessa- comporta una profilazione dell’utente del servizio sanitario provinciale, in quanto sembrerebbe consistere in un trattamento automatizzato di dati personali volto a valutarne determinati aspetti sanitari, sulla base dei dati registrati nei diversi archivi del servizio informativo provinciale, in particolare per analizzarne e prevederne la situazione sanitaria, con specifico riferimento alle patologie croniche (art. 4, par. 1, n. 4 del Regolamento).
Sul punto, il Regolamento prevede requisiti specifici e garanzie adeguate per i diritti degli interessati, specie ove si faccia ricorso alla profilazione per adottare decisioni che incidano su singoli individui (cfr. artt. 13, par. 1, lett. f); 14, par. 2, lett. g), 15, par. 1, lett. h), 21, par. 1 e 35, par 3, lett. a) del Regolamento).
Si evidenziano inoltre gli specifici vincoli, in termini di protezione dei dati e trasparenza, che dovrebbero essere rispettati nel caso in cui tale attività di profilazione fosse realizzata attraverso l’uso di un algoritmo. Al riguardo, si richiama la recente sentenza del Consiglio di Stato (Cons. St., sez. VI, 13 dicembre 2019, n. 8472) nella quale la Corte ha dichiarato che “dal diritto sovranazionale emergono tre principi, da tenere in debita considerazione nell’esame e nell’utilizzo degli strumenti in-formatici. In primo luogo, il principio di conoscibilità, per cui ognuno ha diritto a conoscere l’esistenza di processi decisionali automatizzati che lo riguardino ed in questo caso a ricevere informazioni significative sulla logica utilizzata […] il principio di non esclusività della decisione algoritmica […]. In terzo luogo, dal considerando n. 71 del Regolamento 679/2016 il diritto europeo trae un ulteriore principio fondamentale, di non discriminazione algoritmica, secondo cui è opportuno che il titolare del trattamento utilizzi procedure matematiche o statistiche appropriate per la profilazione, mettendo in atto misure tecniche e organizzative adeguate al fine di garantire, in particolare, che siano rettificati i fattori che comportano inesattezze dei dati e sia minimizzato il rischio di errori e al fine di garantire la sicurezza dei dati personali, secondo una modalità che tenga conto dei potenziali rischi esistenti per gli interessi e i diritti dell'interessato e che impedisca tra l'altro effetti discriminatori nei confronti di persone fisiche sulla base della razza o dell'origine etnica, delle opinioni politiche, della religione o delle convinzioni personali, dell'appartenenza sindacale, dello status genetico, dello stato di salute o dell'orientamento sessuale, ovvero che comportano misure aventi tali effetti”.
Tale attività di stratificazione dovrebbe, essere, in ogni caso, suffragata da una compiuta analisi circa i rischi, per i diritti e le libertà fondamentali degli interessati, che ne potrebbero derivare, alla luce dei principi di responsabilizzazione e di protezione dei dati personali fin dalla progettazione, nonché dell’obbligo di condurre una valutazione di impatto per i trattamenti che presentano rischi significativi per i diritti degli interessati (artt. 5, par. 2; 25 e 35 del Regolamento). Valutazione, questa che non risulta essere stata effettuata, neanche in via generale, nel contesto dell’adozione della base giuridica del trattamento prospettato (cfr. art. 35, par. 10, del Regolamento).
3.2 Trattamenti per finalità di cura.
Con specifico riferimento ai trattamenti effettuati attraverso tale modello per finalità di cura, si evidenzia che la raccolta e l’elaborazione di dati sanitari, al fine di realizzare, con riferimento a specifiche patologie, un profilo sanitario di rischio dell’interessato configura un trattamento autonomo rispetto a quello principale finalizzato alla cura dell’assistito, che deve essere pertanto effettuato sulla base del consenso dell’interessato, in quanto trattamento automatizzato non strettamente necessario per finalità di cura dell’interessato (artt. 9, par. 2, lett. h) e 22 del Regolamento). Ciò anche in considerazione del fatto che il predetto modello di “sanità di iniziativa” coinvolgerebbe diversi titolari del trattamento (soggetti accreditati o convenzionati con il servizio sanitario provinciale).
La disposizione in esame rinvia poi ad un regolamento per l’individuazione dei dati e delle operazioni eseguibili con riferimento ai trattamenti di dati personali effettuati per i motivi di interesse pubblico rilevante, ai sensi dell’articolo 9, paragrafo 2, lettere g) e h) e dell’art. 2 sexies del Codice. Tuttavia, tale atto risulta necessario solo con riferimento ai trattamenti di cui all’art. 9, par. 2, lettera g) e non anche a quelli finalizzati alla cura richiamati nella successiva lett. h) del medesimo articolo. Ciò, come già rilevato, discende dal fatto che la disposizione in esame intende realizzare un modello assistenziale che persegue finalità eterogenee, senza distinguere gli specifici trattamenti necessari al perseguimento delle stesse e quindi i diversi presupposti di liceità.
3.3. Trattamenti per fini statistici.
Sotto altro profilo, si rileva che la disposizione sottoposta al parere del Garante prevede che venga svolta “un’analisi statistica” dei dati relativi agli assistiti e assistibili della Provincia, anche attraverso l’interconnessione e l’elaborazione dei dati gestiti nell’ambito degli archivi del servizio informativo sanitario provinciale, ivi inclusi quelli provenienti dai soggetti con esso convenzionato o ad esso accreditato.
A tale riguardo, come più volte evidenziato dall’Autorità, anche nel richiamato parere al Consiglio di Stato, il trattamento di dati personali per scopi statistici deve essere perseguito dai soggetti istituzionalmente deputati al perseguimento di tali scopi e secondo le specifiche normative di settore. Ciò, anche al fine di assicurare che siano rispettati, nello svolgimento di tali delicate operazioni, che prevedono trattamenti su larga scala di dati personali inerenti alle particolari categorie, tutti i vincoli, le garanzie e le misure a tutela dei diritti e delle libertà fondamentali degli interessati.
Nello specifico, il trattamento di dati personali, svolto per scopi statistici compete ai soggetti che fanno parte o partecipano al SISTAN, e deve avvenire nel rispetto, non solo delle pertinenti disposizioni del Regolamento (artt. 5, par. 1, lett. c) ed e) e 89) e del Codice (artt. 104 e ss.), ma anche delle Regole deontologiche per i trattamenti a fini statistici o di ricerca scientifica effettuati nell’ambito del Sistema Statistico nazionale (Allegato A4 al Codice), nonché della specifica disciplina di settore di cui al decreto legislativo n. 322 del 1989, recante norme sul Sistema statistico nazionale e sulla riorganizzazione dell’Istituto nazionale di statistica.
In tale quadro, occorre, in via prioritaria, evidenziare due principi cardine della disciplina sul trattamento dei dati personali per scopi statistici in base ai quali “i dati personali trattati a fini statistici (…) non possono essere utilizzati (…) per trattamenti di dati per scopi di altra natura” e “la finalità statistica implica che il risultato del trattamento per finalità statistiche non siano dati personali, ma dati aggregati, e che tale risultato o i dati personali non siano utilizzati a sostegno di misure o decisioni riguardanti persone fisiche specifiche” (art. 105 del Codice, cfr. anche con. 162 del Regolamento).
La prospettata interconnessione e la successiva analisi statistica dei dati presenti nel servizio informativo sanitario provinciale con quelli provenienti dai soggetti con esso convenzionati o ad esso accreditati al fine di analizzare la morbilità e definire, tra i soggetti assistiti e assistibili, quelli ad alto rischio per consentire alle Autorità sanitarie locali di intervenire con progetti personalizzati di medicina di iniziativa può, pertanto, svolgersi solo nel rispetto della richiamata cornice giuridica.
3.4. Conclusioni.
Ciò premesso si ritiene necessario che l’articolo 30 del disegno di legge sia modificato come segue:
a) con riferimento alle attività statistiche, sia integrato con un esplicito riferimento al motivo di interesse pubblico di cui all’articolo 2-sexies, comma 2, lett. cc), del Codice e con l’indicazione, quale titolare del trattamento, di un soggetto che faccia parte o appartenga al SISTAN. Come correttamente indicato nella disposizione la specificazione degli ulteriori elementi relativi a siffatti trattamenti e le connesse garanzie, ivi inclusi i tempi di conservazione, potranno poi essere definiti in un atto normativo avente natura regolamentare;
b) con riferimento ai trattamenti per finalità di cura, sia prevista l’acquisizione del consenso informato dell’interessato in quanto si tratta di trattamento automatizzato non strettamente necessario alla cura dell’interessato e sia eliminato il rinvio a una fonte regolamentare ai sensi dell’art. 2 sexies del Codice.
Infine, con riferimento all’attività di stratificazione della popolazione, l’Autorità richiama l’attenzione sulla necessità che sul relativo trattamento, che presenta rischi significativi per i diritti degli interessati, sia effettuata una valutazione di impatto, da richiamare nella norma in esame.
esprime parere nei termini di cui in motivazione, ai sensi dell’articolo 57, par. 1, lett. c), del Regolamento, sul disegno di legge della Provincia autonoma di Trento concernente "Ulteriori misure di sostegno per le famiglie, i lavoratori e i settori economici connesse all'emergenza epidemiologica da COVID-19 e conseguente variazione al bilancio di previsione della Provincia autonoma di Trento per gli esercizi finanziari 2020-2022", con le osservazioni di cui ai punti 2 e 3.