[doc. web n. 6093240]

Provvedimento del 19 gennaio 2017

Registro dei provvedimenti
n. 13 del 19 gennaio 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

Vista l´istanza formulata dall´Azienda Usl di Imola e dall´Azienda Usl di Bologna -a seguito delle procedure di avvenuta cessione del ramo di azienda intercorse tra le medesime Aziende sanitarie con contestuale trasferimento delle attività di diagnostica di laboratorio dall´Azienda Usl di Imola all´Azienda Usl di Bologna- avente ad oggetto la richiesta di esonero dall´obbligo di rendere l´informativa in forma individuale agli interessati (pazienti) e di ottenere il relativo consenso al trattamento ai sensi dell´art. 13, comma 5, lett. c) del Codice (nota del 4 novembre 2016);

Vista l´istanza formulata dall´Istituto Ortopedico Rizzoli di Bologna e dall´Azienda Usl di Bologna -a seguito delle procedure di avvenuta cessione del ramo di azienda intercorse tra le medesime strutture sanitarie con contestuale trasferimento delle attività di diagnostica di laboratorio dall´Istituto Ortopedico Rizzoli di Bologna all´Azienda Usl di Bologna- avente ad oggetto la richiesta di esonero dall´obbligo di rendere l´informativa in forma individuale agli interessati (pazienti) e di ottenere il relativo consenso al trattamento ai sensi dell´art. 13, comma 5, lett. c) del Codice (nota del 18 novembre 2016);

Vista l´autorizzazione generale n. 2/2016 al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale rilasciata dal Garante il 15 dicembre 2016 reperibile sul sito Internet dell´Autorità www.gpdp.it, doc. web n. 5803257;

Vista la Deliberazione n. 199/2013 della Regione Emilia Romagna, con la quale sono state approvate le Linee di indirizzo 2013 per il sistema sanitario regionale;
Visto il Piano Sociale e Sanitario 2008/2010 della Regione Emilia Romagna, con particolare riferimento all´individuazione della funzione laboratoristica quale funzione di concentrazione ed integrazione;

Vista la Convenzione del 29 luglio 2016 tra l´Azienda Usl di Bologna e l´Azienda Usl di Imola per il trasferimento delle attività di diagnostica di laboratorio e per l´unificazione delle relative funzioni tra le stesse aziende;

Vista la delibera dell´Azienda Usl di Bologna n. 175 del 7.7.2016 avente ad oggetto: "Approvazione della convenzione per il trasferimento delle attività di diagnostica di laboratorio e per l´unificazione delle relative funzioni tra Azienda Usl di Bologna e Azienda Usl di Imola";

Vista la delibera dell´Azienda Usl di Imola n. 105 del 4.7.2016 avente ad oggetto: "Approvazione della convenzione per il trasferimento delle attività di diagnostica di laboratorio e per l´unificazione delle relative funzioni tra Azienda Usl di Bologna e Azienda Usl di Imola";

Vista la Convenzione del 29 luglio 2016 tra l´Azienda Usl di Bologna e l´Istituto Ortopedico Rizzoli di Bologna per il trasferimento delle attività di diagnostica di laboratorio e per l´unificazione delle relative funzioni tra le stesse strutture sanitarie;

Vista la delibera dell´Azienda Usl di Bologna n. 158 del 29.6.2016 avente ad oggetto: "Approvazione della convenzione per il trasferimento delle attività di diagnostica di laboratorio e per l´unificazione delle relative funzioni tra l´Azienda Usl di Bologna e l´Istituto Ortopedico Rizzoli di Bologna";

Vista la delibera dell´´Istituto Ortopedico Rizzoli di Bologna n. 179 del 30.6.2016 avente ad oggetto: "Approvazione della convenzione per il trasferimento delle attività di diagnostica di laboratorio e per l´unificazione delle relative funzioni tra Azienda Usl di Bologna e Istituto Ortopedico Rizzoli di Bologna";

Vista la documentazione in atti;

Viste le osservazioni dell´Ufficio formulate dal Segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Antonello Soro;

PREMESSO

L´Azienda Usl di Bologna (cessionario), l´Azienda Usl di Imola (cedente) e l´Istituto Ortopedico Rizzoli di Bologna (cedente)- a seguito delle procedure di avvenuta cessione del ramo di azienda intercorse tra le medesime strutture sanitarie con contestuale trasferimento delle attività di diagnostica di laboratorio dai cedenti al cessionario- hanno chiesto a questa Autorità, ai sensi dell´art. 13, comma 5, lett. c) del Codice, di essere esonerate dall´obbligo di rendere una nuova informativa in forma individuale agli interessati (pazienti) e di ottenere il relativo consenso.

La cessione del ramo di Azienda da parte delle strutture cedenti si inserisce all´interno del nuovo assetto organizzativo del sistema sanitario della Regione Emilia Romagna. La Deliberazione n. 199/2013 della Giunta della Regione Emilia Romagna (Linee di indirizzo 2013 per il sistema sanitario regionale), al fine di migliorare la qualità dell´offerta e l´efficienza nella produzione di servizi, prevede un processo di integrazione di attività e funzioni tra Aziende, concentrando strutturalmente le funzioni amministrative e quelle tecnico-professionali e sanitarie a prevalente carattere generale e di supporto tecnico-logistico. In tale quadro, la funzione laboratoristica è stata considerata tra quelle per le quali è possibile procedere alla concentrazione ed integrazione, al fine di garantire efficacia diagnostica e economica e appropriatezza dei servizi (cfr. Piano sociale e sanitario 2008/2010).

Alla luce di tale processo di riorganizzazione, è stato realizzato un sistema integrato in ambiti territoriali definiti (c.d. Aree vaste), funzionale per l´organizzazione dei servizi sanitari e delle attività tecnico-amministrative. In particolare, nell´Area Vasta Emilia Centrale (AVEC) è stata realizzata l´integrazione dell´Azienda Usl di Bologna, dell´Azienda USL di Imola, dell´Azienda Usl di Ferrara, dell´Azienda Ospedaliero Universitaria di Bologna, del Policlinico S.Orsola-Malpighi, dell´Azienda Ospedaliero Universitaria di Ferrara e dell´Istituto Ortopedico Rizzoli di Bologna. All´interno dell´AVEC è stato realizzato un Laboratorio Unico Metropolitano (LUM), secondo il modello "HUB & SPOKE", che prevede la concentrazione della casistica più complessa nei due centri HUB, quali strutture operative (uno nella provincia di Bologna e uno nella provincia di Ferrara), con articolazioni territoriali (SPOKE) nelle rispettive province. Il LUM è stato istituito in capo all´Azienda Usl di Bologna, HUB cittadino per tutte le attività di patologia clinica, cui confluiranno le relative attività di produzione svolte in proprio da parte dell´Azienda Usl di Imola e dell´Istituto Ortopedico Rizzoli di Bologna, presso le cui sedi verranno svolte solo talune funzioni di laboratorio (es. urgenza) quali SPOKE dell´Azienda Usl di Bologna.

Attraverso tale procedura si realizza un trasferimento di attività tra amministrazioni pubbliche per la realizzazione di attività di cooperazione e di comune interesse per la fornitura di servizi. Nell´ambito di tale procedura, le strutture sanitarie cedenti trasferiscono al cessionario il complesso dei beni materiali e immateriali, di attività e passività, risorse umane e strumentali, contratti attivi e passivi, inerenti lo svolgimento dell´attività di laboratorio.

Secondo quanto indicato nelle suddette convenzioni, l´Azienda Usl di Bologna assume di conseguenza la qualità di titolare del trattamento dei dati personali relativi agli interessati (pazienti dei laboratori di analisi ceduti, clienti e fornitori titolari di contratti commerciali connessi alla gestione del ramo d´azienda ceduto, personale dipendente e collaboratori del ramo d´azienda ceduto). In relazione a ciò, le predette strutture sanitarie, in ragione dell´elevato numero dei pazienti coinvolti in tale procedura di cessione, hanno chiesto al Garante l´esonero dall´obbligo di rendere una nuova informativa in forma individuale agli stessi e di ottenere il relativo consenso.

Secondo quanto comunicato per le vie brevi dall´Azienda Usl di Bologna, i pazienti che sarebbero coinvolti in tale operazione sono circa 80.000 per quanto riguarda l´Asl di Imola e 150.000 per l´Istituto Rizzoli. Ciò stante, l´Azienda cessionaria ha chiesto di poter fornire l´informativa ai pazienti non mediante forme di comunicazione individuale, ma attraverso modalità alternative quali, ad esempio, la diffusione di uno specifico avviso sul proprio sito Internet e tramite annunci pubblicati sui principali quotidiani.

Per quanto attiene al personale e ai fornitori interessati alla cessione del ramo di azienda, l´Azienda Usl di Bologna, visto il numero esiguo degli interessati, intende invece fornire l´informativa in forma individuale.

Le predette strutture sanitarie, inoltre, dichiarano che il trattamento dei dati personali degli interessati sarà effettuato, da parte del cessionario, in termini invariati rispetto al trattamento effettuato dai cedenti, sia in termini di finalità, che di modalità del trattamento.

Con specifico riferimento alle funzioni di laboratorio svolte dall´Azienda USL di Imola e dall´Istituto Ortopedico Rizzoli di Bologna (in qualità di titolari del trattamento), quali SPOKE dell´Azienda USL di Bologna, le stesse dichiarano di aver designato l´Azienda USL di Bologna (HUB) responsabile esterno del trattamento dei dati.

OSSERVA

Con specifico riferimento al trattamento dei dati personali dei pazienti afferenti alle attività diagnostiche di laboratorio cedute, le aziende interessate dalla predetta operazione di cessione del ramo di azienda hanno dichiarato che il trattamento dei dati personali rimarrà invariato rispetto a quello effettuato dai cedenti, sia in termini di finalità, che di modalità del trattamento.

La cessione del ramo di azienda si inserisce all´interno di un più ampio processo di riforma del servizio sanitario regionale che, almeno nei suoi tratti generali, è stato reso noto presso i principali mezzi di informazione locali.

Secondo quanto dichiarato per le vie brevi dalle aziende coinvolte nelle operazioni di cessione sopra descritte, il numero dei pazienti che verrebbero coinvolti da tale operazioni supera i 200.000. Ciò stante, si ritiene che, ove si volesse rendere a ciascun paziente, in forma individuale, una nuova informativa sul trattamento dei dati personali conseguente al conferimento delle attività di laboratorio, in considerazione dell´elevato numero di soggetti coinvolti, si renderebbe necessario un impiego di mezzi sproporzionati rispetto all´interesse che il Codice intende tutelare (art. 13, commi 4 e 5, lett. c) del Codice).

Infatti, se è vero che la disciplina di protezione dei dati prevede che i dati personali debbano essere trattati "secondo correttezza" (art. 11, comma 1, lett. a) del Codice), assicurando un elevato livello di tutela dei diritti e delle libertà fondamentali, è altresì vero che ciò deve avvenire "nel rispetto dei princìpi di semplificazione, armonizzazione ed efficacia" (art. 2, comma 2, del Codice).

Al riguardo, si evidenzia, infatti, che il Codice, nel caso in cui i dati personali non siano raccolti presso l´interessato, prevede che l´informativa sia data al medesimo interessato all´atto della registrazione dei dati; tuttavia, qualora ciò -come nel caso di specie- comporti l´impiego di mezzi che il Garante dichiari manifestamente sproporzionati rispetto al diritto tutelato, l´Autorità può individuare misure appropriate per informare l´interessato in relazione al trattamento dei suoi dati personali. Si rappresenta, inoltre, che analoga disposizione non è prevista in materia di acquisizione del consenso dell´interessato anche con particolare riferimento ai trattamenti effettuati in ambito sanitario.

Pertanto, con specifico riferimento all´obbligo di informare gli interessati riguardo al trattamento effettuato dall´Azienda Usl di Bologna (cessionario), in relazione alla circostanza dell´avvenuta acquisizione presso terzi (Azienda Usl di Imola e Istituto Ortopedico Rizzoli di Bologna -cedenti) dei dati personali, anche sensibili, dei pazienti delle attività di diagnostica di laboratorio, questa Autorità ritiene che una ragionevole ed equilibrata attuazione di tali fondamentali principi possa essere raggiunta fornendo ai medesimi interessati i necessari aggiornamenti delle informative originariamente rese dall´Azienda Usl di Imola e dall´Istituto Ortopedico Rizzoli di Bologna. Tali aggiornamenti, che devono evidenziare, in particolare, la nuova denominazione del titolare del trattamento, possono essere resi sia attraverso il sito web dell´Azienda Usl di Bologna, sia mediante comunicazione individualizzata agli interessati in occasione della prima circostanza utile di contatto che si verifichi, anche successivamente al completamento delle operazioni di cessione.

Con specifico riferimento alle modalità di acquisizione del consenso dei pazienti ceduti all´Azienda Usl di Bologna per il trattamento dei loro dati personali connesso all´attività di diagnostica di laboratorio è necessario tener conto che il trattamento dei dati rimarrà invariato rispetto a quello effettuato dai cedenti, sia in termini di finalità, che di modalità del trattamento. E´, inoltre, opportuno evidenziare che tale trattamento di dati personali risulta conseguenziale al trasferimento di attività tra amministrazioni pubbliche, finalizzato alla realizzazione di attività di cooperazione e di comune interesse per la fornitura di servizi all´interno del nuovo assetto organizzativo del sistema sanitario della Regione Emilia Romagna. La comunicazione dei dati dei pazienti dell´Azienda Usl di Imola e dell´Istituto Ortopedico Rizzoli di Bologna all´Azienda Usl di Bologna consegue al processo in itinere di integrazione di attività e funzioni tra Aziende del servizio sanitario regionale, teso a concentrare strutturalmente le funzioni amministrative e quelle tecnico-professionali e sanitarie a prevalente carattere generale e di supporto tecnico-logistico.

Occorre, infine, tenere conto dell´interesse dei pazienti ceduti a vedere garantita la conservazione dei dati che li riguardano -già raccolti e custoditi dalle strutture sanitarie cedenti- e preservata la prosecuzione del loro trattamento con le medesime finalità e modalità, nonché delle esigenze di continuità e speditezza nell´erogazione delle prestazioni sanitarie da parte del nuovo titolare.

Sulla base di tali motivazioni e in virtù di quanto disposto dal Codice e dall´autorizzazione generale del Garante n. 2/2016, si valuta che la raccolta con modalità ordinarie di una nuova manifestazione del consenso dei pazienti comporterebbe un impiego di mezzi manifestamente sproporzionati in termini di tempo, costi e oneri amministrativi, in quanto dovrebbe essere acquisita nei confronti di un numero consistente di soggetti in un contesto temporale circoscritto. Per tali ragioni si ritiene, pertanto, ai sensi dell´art. 41 del Codice, di autorizzare la comunicazione dei dati dei pazienti all´Azienda Usl di Bologna e il successivo trattamento da essa intrapreso per effetto della cessione del ramo d´azienda da parte dell´Azienda Usl di Imola e dell´Istituto Ortopedico Rizzoli di Bologna, sulla base dell´acquisizione del consenso con le modalità semplificate di seguito descritte. Oggetto dell´autorizzazione sono esclusivamente i dati personali idonei a rivelare lo stato di salute dei pazienti dell´attività di diagnostica di laboratorio ceduti per finalità di cura, trattati nei limiti delle sole finalità di originariamente perseguite. Nei confronti di tali soggetti l´Azienda Usl di Bologna può avvalersi delle seguenti modalità semplificate di raccolta del consenso: acquisizione orale della manifestazione di volontà degli interessati, purché documentata con annotazione scritta, contestualmente all´aggiornamento delle informative, in occasione della prima circostanza utile di contatto che si verifichi, anche successivamente al completamento delle operazioni di cessione (artt. 26, 76, 79, 80, 81, autorizzazione generale n. 2/2016 al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale).

TUTTO CIÒ PREMESSO, IL GARANTE

a) ai sensi dell´art. 13, comma 5, del Codice, accoglie la richiesta dell´Azienda Usl di Bologna di essere esonerata dall´obbligo di rendere un nuova informativa in forma individuale ai pazienti ceduti per effetto del conferimento del ramo dell´attività di diagnostica di laboratorio operato dall´Azienda Usl di Imola e dall´Istituto Ortopedico Rizzoli di Bologna e, ai sensi dell´art. 154, comma 1, lett. c) del Codice, prescrive all´Azienda Usl di Bologna di effettuare i necessari aggiornamenti delle informative originariamente rese dall´Azienda Usl di Imola e dall´Istituto Ortopedico Rizzoli di Bologna, evidenziando, in particolare, la nuova denominazione del titolare del trattamento sia attraverso il sito web dell´Azienda, sia mediante comunicazione individualizzata agli interessati in occasione della prima circostanza utile di contatto che si verifichi, anche successivamente al completamento delle operazioni di cessione;

b) ai sensi degli artt. 26, 76, 79, 80, 81 e 41 del Codice e dell´autorizzazione generale del Garante n. 2/2016, autorizza l´Azienda Usl di Bologna al trattamento dei dati idonei a rivelare lo stato di salute connessi alle attività di cura, riferiti ai pazienti dell´attività di diagnostica di laboratorio ceduti per effetto del conferimento del ramo d´azienda operato dall´Azienda Usl di Imola e dall´Istituto Ortopedico Rizzoli di Bologna, nei limiti delle medesime finalità di cura originariamente perseguite, avvalendosi di modalità semplificate per la raccolta del consenso, vale a dire con dichiarazione orale documentata con annotazione scritta dell´Azienda Usl di Bologna (a cura di un responsabile o di un incaricato del trattamento) raccolta contestualmente all´aggiornamento delle informative in occasione della prima circostanza utile di contatto che si verifichi, anche successivamente al completamento delle operazioni di trasferimento delle attività di diagnostica di laboratorio.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´Autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 19 gennaio 2017

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia