[doc. web n. 8983816]

Parere alla Conferenza delle Regioni e delle Province Autonome su uno "schema tipo di regolamento recante norme per il funzionamento del Registro Tumori della Regione/Provincia autonoma” - 18 aprile 2018

Registro dei provvedimenti
n. 227 del 18 aprile 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, con la partecipazione del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti, e del dott. Giuseppe Busia, segretario generale;

Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito Codice);

Vista la richiesta di parere sullo “Schema tipo di regolamento recante norme per il funzionamento del Registro Tumori della Regione/Provincia autonoma”, presentata dalla Conferenza delle Regioni e delle Province Autonome con nota del 22 febbraio 2018 (prot. n. 997/C7SAN);

Visti gli atti d'ufficio;

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Antonello Soro;

PREMESSO:

La Conferenza delle Regioni e delle Province Autonome (di seguito Conferenza), organismo di coordinamento e di indirizzo delle Regioni e delle Province Autonome di Trento e Bolzano, ha chiesto il parere del Garante in ordine allo “Schema tipo di regolamento recante norme per il funzionamento del Registro Tumori della Regione/Provincia autonoma”, approvato dalla medesima Conferenza nella riunione del 15 febbraio 2018.

Il quadro giuridico vigente in materia di registri di tumori e di altre patologie prevede che le Regioni e le Province Autonome di Trento e di Bolzano possano istituire con propria legge registri di tumori e di altre patologie, di mortalità e di impianti protesici di rilevanza regionale e provinciale diversi da quelli di rilevanza nazionale (art. 12, comma 12, del d.l. 18 ottobre 2012, n. 179, convertito con modificazioni dalla legge 17 dicembre 2012 n. 221 e art. 1, comma 1, d.P.C.M. 3 marzo 2017).

In tal caso, i medesimi enti sono tenuti ad adottare, qualora non già adottati, i regolamenti concernenti i propri sistemi di sorveglianza e registri, che individuano i soggetti che possono aver accesso ai predetti sistemi, i dati che possono conoscere, nonché le misure per la custodia e la sicurezza dei dati (cfr. artt. 5, comma 1, e 6, comma 3, del d.P.C.M. 3 marzo 2017 e art. 12, comma 11, del d.l. n. 119/2012, cit.).
L’istituzione dei registri di tumori comporta un trattamento di dati personali, anche idonei a rivelare lo stato di salute, da parte delle predette Regioni e Province Autonome.

La disciplina in materia di protezione dei dati personali dispone che i soggetti pubblici possono trattare dati sensibili in base ad un’espressa disposizione di legge nella quale siano specificati i tipi di dati, le operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite. In presenza di una disposizione primaria che si limiti a specificare solo la finalità di rilevante interesse pubblico, è necessario identificare e rendere pubblici in un atto di natura regolamentare, adottato in conformità al parere espresso dal Garante, anche su schemi tipo, i tipi di dati sensibili, nonché le operazioni eseguibili in relazione alle finalità perseguite nei singoli casi, al fine di rendere legittimo il trattamento (artt. 20 e 154, comma 1, lett. g) del Codice).

Pertanto, le Regioni e le Province Autonome, al fine di conformarsi alla disciplina in materia di protezione dei dati personali, hanno sottoposto all’Autorità, per il tramite della Conferenza, il citato schema tipo per l’acquisizione del previsto parere.

Il Garante, alla luce del principio di semplificazione, ha accolto la proposta si rendere il parere sullo schema tipo e ha collaborato con la Conferenza fornendo tutte le indicazioni necessarie per la corretta impostazione dello schema di regolamento in esame.

Il documento costituisce lo schema tipo in conformità al quale ciascuna Regione e Provincia Autonoma potrà adottare il proprio regolamento. L’adozione di un regolamento conforme allo schema tipo valutato positivamente in questa sede dal Garante, non rende necessario chiedere all’Autorità uno specifico parere. Diversamente, qualora si intendano apportare modifiche sostanziali o integrazioni non formali riguardanti il trattamento dei dati personali rispetto allo schema tipo in esame, i predetti enti dovranno chiedere all’Autorità uno specifico parere su tali modifiche/integrazioni. 

Lo schema è stato trasmesso all’Autorità, parzialmente riformulato con nota del 22 febbraio, recependo i rilievi e le indicazioni fornite dall’Ufficio, nel corso di numerose riunioni e interlocuzioni, al fine di renderlo conforme alla disciplina in materia di protezione dei dati personali.

Il predetto schema si compone di 15 articoli e di un allegato recante il “Disciplinare tecnico in materia di misure di sicurezza per il funzionamento del Registro Tumori” (Allegato A), che ne forma parte integrante.

In particolare, lo schema individua, nell’ambito delle finalità di rilevante interesse pubblico di cui agli artt. 85, comma 1, lett. b) e 98, comma 1, lett. c) del Codice, le  specifiche finalità perseguite (artt. 2 e 3), i tipi di dati sensibili trattati (art. 5), le operazioni eseguibili e le fonti dei dati raccolti (art. 6), nonché l'ambito di comunicazione e di diffusione dei dati contenuti nel Registro (artt. 7 e 8).

Nell’art. 4, viene specificato che il titolare del trattamento è l’”ente presso cui viene istituito il registro”, da definirsi con legge della singola Regione e Provincia Autonoma.

Specifiche disposizioni sono dedicate all'obbligo di rendere l'informativa agli interessati, prevedendo che questa sia fornita “per il tramite delle strutture del Servizio Sanitario Regionale/Provinciale (…) mediante l’integrazione dei modelli di informativa già in uso” (art. 12).

Lo schema, inoltre, prevede una serie di misure tecniche e di sicurezza, che sono indicate nel dettaglio nel disciplinare Tecnico contenuto nell’Allegato A, al fine di preservare i “dati da rischi di distruzione o perdita anche accidentale, di accesso non autorizzato di trattamento non consentito o non conforme alle finalità della raccolta” (art. 10).

OSSERVA

Il parere è reso su una versione aggiornata dello schema tipo di regolamento che tiene conto di gran parte delle osservazioni formulate dall'Ufficio del Garante, all'esito di riunioni e contatti informali.

Le osservazioni hanno riguardato, in particolare, i seguenti aspetti dello schema (e del disciplinare tecnico allegato):

• la corretta individuazione delle finalità di rilevante interesse pubblico per il cui perseguimento è effettuato il trattamento dei dati sensibili nell’ambito del Registro tumori;

• il rispetto del principio di necessità nel trattamento dei dati previsto per le attività di gestione, controllo e valutazione dell’assistenza sanitaria;

• la selezione dei dati sensibili raccolti presso gli archivi delle strutture sanitarie regionali/provinciali per implementare e aggiornare il Registro Tumori in conformità ai principi di pertinenza, non eccedenza e indispensabilità dei dati trattati;

• le modalità per fornire l’informativa agli interessati;

• l’ambito di operatività della convenzione prevista dall’Allegato A (punto 1.2.), relativa alle modalità tecniche di raccolta dei dati (trasmissione telematica  e  cooperazione applicativa) e alle misure di sicurezza, nel rispetto delle prescrizioni impartite dal Garante con il Provvedimento del 2 luglio 2015 recante “Misure di sicurezza e  modalità di scambio dei dati personali tra amministrazioni pubbliche” (pubblicato sulla Gazzetta Ufficiale n. 179 del 4 agosto 2015 e reperibile sul sito istituzionale dell’Autorità, doc. web n. 4129029);

• le cautele relative alla pseudonimizzazione dei dati destinati a confluire nel Registro Tumori e alla trasmissione di documenti cartacei;

•  l’individuazione di un congruo periodo di tempo per la conservazione:

- dei dati sensibili presenti nel Registro Tumori al termine del quale questi devono essere cancellati o resi anonimi in maniera irreversibile;

- dei file di log relativi alle operazioni di accesso agli archivi delle strutture sanitarie regionali/provinciali finalizzato alla raccolta dei dati necessari per implementare e aggiornare il Registro Tumori (punto 1.1., lett. e), dell’Allegato A);

- dei dati utili al ripristino in caso di guasti e malfunzionamenti.

Si fa inoltre presente che, a partire dal 25 maggio 2018, dovrà definitivamente applicarsi il Regolamento (UE) 2016/679 (relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE), il quale prevede, tra l’altro, che vengano fornite agli interessati talune informazioni supplementari sul trattamento dei dati personali rispetto a quelle previste dal Codice (artt. 13 e 14) e, nell’estendere l’obbligo di notifica delle violazioni di dati personali, ne ridefinisce in parte i termini e le condizioni (art. 33 e 34). In proposito, si sottolinea quindi l’esigenza di adeguare, a tale nuovo quadro giuridico, le pertinenti disposizioni dello schema tipo di regolamento in esame, tenendo in considerazione che gli atti regolamentari che saranno adottati in conformità a tale schema tipo dovranno conformarsi alle disposizioni del citato Regolamento europeo stante la sua imminente applicazione.

Ciò premesso, sullo schema di regolamento in esame, che tiene conto delle indicazioni fornite dall’Ufficio, non vi sono rilievi da formulare, sotto il profilo della protezione dei dati personali.

TUTTO CIÒ PREMESSO IL GARANTE:

ai sensi degli artt. 20, comma 2, e 154, comma 1, lett. g) del Codice, esprime parere favorevole sullo schema tipo di regolamento predisposto dalla Conferenza delle Regioni delle Regioni e delle Province Autonome, nei termini sopra descritti.

Roma, 18 aprile 2018

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia