|
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
In data odierna, con la
partecipazione del prof. Stefano Rodota', presidente, del prof. Giuseppe
Santaniello, vicepresidente, del prof. Gaetano Rasi e del dott. Mauro
Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;
Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed
integrazioni, in materia di tutela delle persone e di altri soggetti
rispetto al trattamento dei dati personali;
Visto, in particolare, l'art. 22, comma 1, della citata legge n.
675/1996, il quale individua i dati personali "sensibili";
Considerato che i soggetti privati e gli enti pubblici economici possono
trattare i dati sensibili solo previa autorizzazione di questa Autorita'
e, ove necessario, con il consenso scritto degli interessati;
Visti gli articoli 22, comma 3 e comma 3-bis e 23 della medesima legge n.
675/1996;
Visto l'art. 17 del decreto legislativo 11 maggio 1999, n. 135 e
successive modificazioni ed integrazioni, nonche' il provvedimento del
Garante n. 1/P/2000 del 30 dicembre 1999-13 gennaio 2000, pubblicato
nella Gazzetta Ufficiale n. 26 del 2 febbraio 2000, con il quale sono
state individuate le rilevanti finalita' di interesse pubblico di cui
all'art. 22, comma 3, della legge n. 675/1996;
Visto l'art. 23, comma 1-bis, della legge n. 675/1996 che prevede
modalita' semplificate per le informative di cui all'art. 10 della
medesima legge e per la prestazione del consenso; considerato che
analoghe modalita' semplificate sono previste dall'art. 17, comma 3, del
decreto legislativo n. 135/1999;
Considerato che il trattamento dei dati in questione puo' essere
autorizzato dal Garante anche d'ufficio con provvedimenti di carattere
generale, relativi a determinate categorie di titolari o di trattamenti
(art. 41, comma 7, legge n. 675/1996);
Considerato che le autorizzazioni di carattere generale sinora rilasciate
sono risultate uno strumento idoneo per prescrivere misure uniformi a
garanzia degli interessati, rendendo altresi' superflua la richiesta di
singoli provvedimenti autorizzatori da parte di numerosi titolari del
trattamento;
Ritenuto opportuno rilasciare nuove autorizzazioni in sostituzione di
quelle in scadenza il 31 gennaio 2002, armonizzando le prescrizioni gia'
impartite alla luce dell'esperienza maturata;
Visto l'art. 17, comma 5, del decreto legislativo 11 maggio 1999, n. 135
(come integrato e modificato dall'art. 16 del decreto legislativo 30
luglio 1999, n. 281), secondo cui il trattamento dei dati genetici da
chiunque effettuato e' consentito nei soli casi previsti da apposita
autorizzazione; considerato che il trattamento dei dati genetici puo'
essere proseguito nei limiti di quanto disposto dalla presente
autorizzazione fino al rilascio della predetta autorizzazione;
Ritenuto opportuno che anche tali nuove autorizzazioni provvisorie siano
a tempo determinato ai sensi dell'art. 14 del decreto del Presidente
della Repubblica 31 marzo 1998 n. 501, in relazione alla prevista
emanazione del testo unico della normativa in materia di protezione dei
dati personali, in attuazione della legge n. 127 del 2001;
Considerata la necessita' di garantire il rispetto di alcuni principi
volti a ridurre al minimo i rischi di danno o di pericolo che i
trattamenti potrebbero comportare per i diritti e le liberta'
fondamentali, nonche' per la dignita' delle persone, principi valutati
anche sulla base delle raccomandazioni adottate in materia di dati
sanitari dal Consiglio d'Europa ed in particolare dalla raccomandazione
N.R (97) 5, in base alla quale i dati sanitari devono essere trattati, di
regola, solo nell'ambito dell'assistenza sanitaria o sulla base di regole
di segretezza e di efficacia pari a quelle previste in tale ambito;
Considerato che un elevato numero di trattamenti idonei a rivelare lo
stato di salute e la vita sessuale e' effettuato per finalita' di
prevenzione o di cura, per la gestione di servizi socio-sanitari, per
ricerche scientifiche o per la fornitura all'interessato di prestazioni,
beni o servizi;
Visto l'art. 35 della legge n. 675/1996;
Visto il regolamento recante norme sulle misure minime di sicurezza
adottato con decreto del Presidente della Repubblica 28 luglio 1999, n.
318;
Visto l'art. 14 del decreto del Presidente della Repubblica 31 marzo
1998, n. 501;
Visti gli atti d'ufficio;
Viste le osservazioni dell'Ufficio formulate dal segretario generale ai
sensi dell'art. 15 del regolamento del Garante n. 1/2000;
Relatore il dott. Mauro Paissan;
Autorizza:
a) gli esercenti le
professioni sanitarie a trattare i dati idonei a rivelare lo stato di
salute, qualora i dati e le operazioni siano indispensabili per tutelare
l'incolumita' fisica e la salute di un terzo o della collettivita', e il
consenso non sia prestato o non possa essere prestato per effettiva
irreperibilita';
b) gli organismi e le case di cura private, nonche' ogni altro soggetto
privato, a trattare con il consenso i dati idonei a rivelare lo stato di
salute e la vita sessuale;
c) gli organismi sanitari pubblici, istituiti anche presso universita',
ivi compresi i soggetti pubblici allorche' agiscano nella qualita' di
autorita' sanitarie, a trattare i dati idonei a rivelare lo stato di
salute, anche per il perseguimento delle finalita' di rilevante interesse
pubblico individuate dall'art. 17, comma 1, del decreto legislativo n.
135/1999 o dal provvedimento del Garante n. 1/P/2000 del 30 dicembre
1999-13 gennaio 2000, o da altro provvedimento di questa Autorita'
parimenti adottato ai sensi dell'art. 22, comma 3-bis, della legge n.
675/1996, qualora ricorrano contemporaneamente le seguenti condizioni:
1) il trattamento sia finalizzato alla tutela dell'incolumita' fisica e
della salute di un terzo o della collettivita';
2) manchi il consenso (art. 23, comma 1, ultimo periodo, legge n.
675/1996), in quanto non sia prestato o non possa essere prestato per
effettiva irreperibilita';
3) il trattamento non sia previsto da una disposizione di legge che
specifichi, ai sensi dell'art. 22, comma 3, della legge n. 675/1996, come
modificato dall'art. 5 del decreto legislativo n. 135/1999, i tipi di
dati che possono essere trattati, le operazioni eseguibili e le rilevanti
finalita' di interesse pubblico perseguite;
d) anche soggetti diversi da quelli di cui alle lettere a), b) e c) a
trattare i dati idonei a rivelare lo stato di salute e la vita sessuale,
qualora il trattamento sia necessario per la salvaguardia della vita o
dell'incolumita' fisica dell'interessato o di un terzo, nel caso in cui
l'interessato non puo' prestare il proprio consenso per impossibilita'
fisica, per incapacita' di agire o per incapacita' d'intendere o di
volere. Il consenso, ove previsto, e' acquisito in conformita' anche a
quanto previsto dall'art. 23, commi 1-bis e 1-quater, della legge n.
675/1996 e dall'art. 17, comma 3, del decreto legislativo n. 135/1999, e
successive modificazioni ed integrazioni.
1) Ambito di
applicazione e finalita' del trattamento.
1.1. L'autorizzazione e'
rilasciata:
a) ai medici-chirurghi, ai farmacisti, agli odontoiatri, agli psicologi e
agli altri esercenti le professioni sanitarie iscritti in albi o in
elenchi;
b) al personale sanitario infermieristico, tecnico e della riabilitazione
che esercita l'attivita' in regime di libera professione;
c) alle istituzioni e agli organismi sanitari privati, anche quando non
operino in rapporto con il Servizio sanitario nazionale. In tali casi,
l'autorizzazione e' rilasciata al fine di consentire ai destinatari di
adempiere o di esigere l'adempimento di specifici obblighi o di eseguire
specifici compiti previsti da leggi, dalla normativa comunitaria o da
regolamenti, in particolare in materia di igiene e di sanita' pubblica,
di prevenzione delle malattie professionali e degli infortuni, di
diagnosi e cura, ivi compresi i trapianti di organi e tessuti, di
riabilitazione degli stati di invalidita' e di inabilita' fisica e
psichica, di profilassi delle malattie infettive e diffusive, di tutela
della salute mentale, di assistenza farmaceutica e di assistenza
sanitaria alle attivita' sportive o di accertamento, in conformita' alla
legge, degli illeciti previsti dall'ordinamento sportivo. Il trattamento
puo' riguardare anche la compilazione di cartelle cliniche, di
certificati e di altri documenti di tipo sanitario, ovvero di altri
documenti relativi alla gestione amministrativa la cui utilizzazione sia
necessaria per i fini suindicati. Qualora il perseguimento di tali fini
richieda l'espletamento di compiti di organizzazione o di gestione
amministrativa, i destinatari della presente autorizzazione devono
esigere che i responsabili e gli incaricati del trattamento preposti a
tali compiti osservino le stesse regole di segretezza alle quali sono
sottoposti i medesimi destinatari della presente autorizzazione, nel
rispetto di quanto previsto dall'art. 17, comma 3, del decreto
legislativo n. 135/1999.
1.2. L'autorizzazione e' rilasciata, altresi', ai seguenti soggetti:
a) alle persone fisiche o giuridiche, agli enti, alle associazioni e agli
altri organismi privati, per scopi di ricerca scientifica, anche
statistica, finalizzata alla tutela della salute dell'interessato, di
terzi o della collettivita' in campo medico, biomedico o epidemiologico,
allorche' si debba intraprendere uno studio delle relazioni tra i fattori
di rischio e la salute umana, o indagini su interventi sanitari di tipo
diagnostico, terapeutico o preventivo, ovvero sull'utilizzazione di
strutture socio-sanitarie, e la disponibilita' di dati solo anonimi su
campioni della popolazione non permetta alla ricerca di raggiungere i
suoi scopi. In tali casi occorre acquisire il consenso (fermo restando
quanto previsto dall'art. 23, comma 1, ultimo periodo, della legge n.
675/1996 e dall'art. 5, comma 1, del decreto legislativo 30 luglio 1999,
n. 282), e il trattamento successivo alla raccolta non deve permettere di
identificare gli interessati anche indirettamente, salvo che
l'abbinamento al materiale di ricerca dei dati identificativi
dell'interessato sia temporaneo ed essenziale per il risultato della
ricerca, e sia motivato, altresi', per iscritto. I risultati della
ricerca non possono essere diffusi se non in forma anonima. Resta fermo
quanto previsto dai decreti legislativi 30 luglio 1999, n. 281 e n. 282
in materia di ricerca scientifica e di ricerca medica ed epidemiologica;
b) alle organizzazioni di volontariato o assistenziali, limitatamente ai
dati e alle operazioni indispensabili per perseguire scopi determinati e
legittimi previsti, in particolare, nelle rispettive norme statutarie;
c) alle comunita' di recupero e di accoglienza, alle case di cura e di
riposo, limitatamente ai dati e alle operazioni indispensabili per
perseguire scopi determinati e legittimi previsti, in particolare, nelle
rispettive norme statutarie;
d) agli enti, alle associazioni e alle organizzazioni religiose
riconosciute, ivi comprese le confessioni religiose e le comunita'
religiose, relativamente ai dati e alle operazioni indispensabili per
perseguire scopi determinati e legittimi previsti, ove esistenti, nelle
rispettive norme statutarie, salvo quanto previsto dall'art. 22, comma
1-bis, della legge n. 675/1996;
e) alle persone fisiche e giuridiche, alle imprese, agli enti, alle
associazioni e ad altri organismi, limitatamente ai dati, ove necessario
attinenti anche alla vita sessuale, e alle operazioni indispensabili per
adempiere agli obblighi anche precontrattuali derivanti da un rapporto di
fornitura all'interessato di beni, di prestazioni o di servizi.
Se il rapporto intercorre con istituti di credito, imprese assicurative o
riguarda valori mobiliari, devono considerarsi indispensabili i soli dati
ed operazioni necessari per fornire specifici prodotti o servizi
richiesti dall'interessato. Il rapporto puo' riguardare anche la
fornitura di strumenti di ausilio per la vista, per l'udito o per la
deambulazione;
f) alle persone fisiche e giuridiche, agli enti, alle associazioni e agli
altri organismi che gestiscono impianti o strutture sportive,
limitatamente ai dati e alle operazioni indispensabili per accertare l'idoneita'
fisica alla partecipazione ad attivita' sportive o agonistiche;
g) alle persone fisiche e giuridiche e ad altri organismi, limitatamente
ai dati dei beneficiari e dei donatori e alle operazioni indispensabili
all'effettuazione di trapianti di organi e tessuti, nonche' di donazioni
di sangue.
1.3. La presente autorizzazione e' rilasciata, altresi', per il
trattamento dei dati idonei a rivelare lo stato di salute e la vita
sessuale, quando il trattamento sia necessario ai fini dello svolgimento
delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397,
o comunque per far valere o difendere un diritto anche da parte di un
terzo in sede giudiziaria, nonche' in sede amministrativa o nelle
procedure di arbitrato e di conciliazione nei casi previsti dalle leggi,
dalla normativa comunitaria, dai regolamenti o dai contratti collettivi,
sempreche' il diritto sia di rango pari a quello dell'interessato, e i
dati siano trattati esclusivamente per tali finalita' e per il periodo
strettamente necessario per il loro perseguimento.
2) Categorie di dati
oggetto di trattamento
Il trattamento puo' avere
per oggetto i dati strettamente pertinenti agli obblighi, ai compiti o
alle finalita' di cui al punto 1) che non possano essere adempiute, caso
per caso, mediante il trattamento di dati anonimi o di dati personali di
natura diversa, e puo' comprendere le informazioni relative a stati di
salute pregressi.
Devono essere considerati sottoposti all'ambito di applicazione della
presente autorizzazione, anche i seguenti dati:
a) le informazioni relative ai nascituri, che devono essere trattate alla
stregua dei dati personali in conformita' a quanto previsto dalla citata
raccomandazione N.R (97) 5 del Consiglio d'Europa;
b) i dati genetici, limitatamente alle informazioni e alle operazioni
indispensabili per tutelare l'incolumita' fisica e la salute
dell'interessato, di un terzo o della collettivita', sulla base del
consenso ai sensi degli articoli 22 e 23 della legge n. 675/1996. In
mancanza del consenso, se il trattamento e' volto a tutelare l'incolumita'
fisica e la salute di un terzo o della collettivita', il trattamento puo'
essere iniziato o proseguito solo previa apposita autorizzazione del
Garante. I dati genetici non possono essere trattati dai soggetti di cui
al punto 1.2, lettere c), d), e) ed f).
Le informative all'interessato previste dall'art. 10 della legge n.
675/1996 devono porre in particolare evidenza il diritto dell'interessato
di opporsi, per motivi legittimi, al trattamento dei dati genetici che lo
riguardano. Fino alla data in cui sara' efficace l'apposita
autorizzazione per il trattamento dei dati genetici prevista dall'art.
17, comma 5, del decreto n. 135/1999, e successive modificazioni ed
integrazioni, i dati genetici trattati per fini di prevenzione, di
diagnosi o di terapia nei confronti dell'interessato, ovvero per
finalita' di ricerca scientifica, possono essere utilizzati unicamente
per tali finalita' o per consentire all'interessato di prendere una
decisione libera e informata, ovvero per finalita' probatorie in sede
civile o penale, in conformita' alla legge.
3) Modalita' di
trattamento
Fermi restando gli
obblighi previsti dagli articoli 9, 15 e 17 della legge n. 675/1996 e dal
decreto del Presidente della Repubblica n. 318/1999, il trattamento dei
dati sensibili deve essere effettuato unicamente con logiche e mediante
forme di organizzazione dei dati strettamente correlate agli obblighi, ai
compiti o alle finalita' sopra elencati.
Restano inoltre fermi gli obblighi di acquisire il consenso
dell'interessato e di informarlo in conformita' a quanto previsto dagli
articoli 10, 22 e 23 della legge n. 675/1996. Per le informazioni
relative ai nascituri, il consenso e' prestato dalla gestante.
4) Conservazione dei
dati
Nel quadro del rispetto
dell'obbligo previsto dall'art. 9, comma 1, lettera e) della legge n.
675/1996, i dati possono essere conservati, per un periodo non superiore
a quello necessario per adempiere agli obblighi o ai compiti di cui al
punto 3), ovvero per perseguire le finalita' ivi menzionate.
A tal fine, anche mediante controlli periodici, deve essere verificata
costantemente la stretta pertinenza e la non eccedenza dei dati rispetto
al rapporto, alla prestazione o all'incarico in corso, da instaurare o
cessati, anche con riferimento ai dati che l'interessato fornisce di
propria iniziativa. I dati che, anche a seguito delle verifiche,
risultano eccedenti o non pertinenti o non necessari non possono essere
utilizzati, salvo che per l'eventuale conservazione, a norma di legge,
dell'atto o del documento che li contiene.
Specifica attenzione e' prestata per l'essenzialita' dei dati riferiti a
soggetti diversi da quelli cui si riferiscono direttamente le prestazioni
e gli adempimenti.
5) Comunicazione e
diffusione dei dati
Ai sensi dell'art. 23,
comma 4, della legge n. 675/1996, i dati idonei a rivelare lo stato di
salute possono essere diffusi solo se necessario per finalita' di
prevenzione, accertamento o repressione dei reati, con l'osservanza delle
norme che regolano la materia.
I dati idonei a rivelare la vita sessuale non possono essere diffusi,
salvo il caso in cui la diffusione riguardi dati resi manifestamente
pubblici dall'interessato e per i quali l'interessato stesso non abbia
manifestato successivamente la sua opposizione per motivi legittimi. I
dati idonei a rivelare lo stato di salute, esclusi i dati genetici,
possono essere comunicati, nei limiti strettamente pertinenti agli
obblighi, ai compiti e alle finalita' di cui al punto 1), a soggetti
pubblici e privati, ivi compresi i fondi e le casse di assistenza
sanitaria integrativa, le aziende che svolgono attivita' strettamente
correlate all'esercizio di professioni sanitarie o alla fornitura
all'interessato di beni, di prestazioni o di servizi, gli istituti di
credito e le imprese assicurative, le associazioni od organizzazioni di
volontariato e i familiari dell'interessato.
6) Richieste di
autorizzazione
I titolari dei trattamenti
che rientrano nell'ambito di applicazione della presente autorizzazione
non sono tenuti a presentare una richiesta di autorizzazione a questa
Autorita', qualora il trattamento che si intende effettuare sia conforme
alle prescrizioni suddette.
Le richieste di autorizzazione pervenute o che perverranno anche
successivamente alla data di adozione del presente provvedimento, devono
intendersi accolte nei termini di cui al provvedimento medesimo.
Il Garante non prendera' in considerazione richieste di autorizzazione
per trattamenti da effettuarsi in difformita' alle prescrizioni del
presente provvedimento, salvo che il loro accoglimento sia giustificato
da circostanze del tutto particolari o da situazioni eccezionali non
considerate nella presente autorizzazione, relative, ad esempio, al caso
in cui la raccolta del consenso comporti un impiego di mezzi
manifestamente sproporzionato in ragione, in particolare, del numero di
persone interessate.
7) Norme finali
Restano fermi gli obblighi
previsti da norme di legge o di regolamento o dalla normativa comunitaria
che stabiliscono divieti o limiti piu' restrittivi in materia di
trattamento di dati personali e, in particolare:
a) dall'art. 5, comma 2, della legge 5 giugno 1990, n. 135, il quale
prevede che la rilevazione statistica della infezione da HIV deve essere
effettuata con modalita' che non consentano l'identificazione della
persona;
b) dall'art. 11 della legge 22 maggio 1978, n. 194, il quale dispone che
l'ente ospedaliero, la casa di cura o il poliambulatorio nei quali e'
effettuato un intervento di interruzione di gravidanza devono inviare al
medico provinciale competente per territorio una dichiarazione che non
faccia menzione dell'identita' della donna;
c) dall'art. 734-bis del codice penale, il quale vieta la divulgazione
non consensuale delle generalita' o dell'immagine della persona offesa da
atti di violenza sessuale.
Restano altresi' fermi gli obblighi di legge che vietano la rivelazione
senza giusta causa e l'impiego a proprio o altrui profitto delle notizie
coperte dal segreto professionale, nonche' gli obblighi deontologici
previsti, in particolare, dal codice di deontologia medica adottato dalla
Federazione nazionale degli ordini dei medici chirurghi e degli
odontoiatri.
Resta ferma, infine, la possibilita' di diffondere dati anonimi anche
aggregati e di includerli, in particolare, nelle pubblicazioni a
contenuto scientifico o finalizzate all'educazione, alla prevenzione o
all'informazione di carattere sanitario.
8) Efficacia temporale e
disciplina transitoria
La presente autorizzazione
ha efficacia a decorrere dal 1 febbraio 2002 fino al 30 giugno 2003.
Qualora alla data della pubblicazione della presente autorizzazione il
trattamento non sia gia' conforme alle prescrizioni non contenute nella
precedente autorizzazione n. 2/2000, il titolare deve adeguarsi ad esse
entro il 31 maggio 2002.
La presente autorizzazione sara' pubblicata nella Gazzetta Ufficiale
della Repubblica italiana.
Roma, 31 gennaio 2002
Il presidente Rodota'
Il relatore Paissan
Il segretario generale Buttarelli
|