[doc. web n. 1915390]

[comunicato stampa]

Parere del Garante su una versione aggiornata dello schema tipo di regolamento per il trattamento di dati personali sensibili e giudiziari da effettuarsi presso le regioni e le province autonome, le aziende sanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalle regioni e dalle province autonome - 26 luglio 2012

Registro dei provvedimenti
n. 220 del 26 luglio 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, con la partecipazione del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, del dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali;

Vista la richiesta di parere della Conferenza delle regioni e delle province autonome sullo schema tipo aggiornato di regolamento per il trattamento di dati personali sensibili e giudiziari da effettuarsi presso le regioni e le province autonome, le aziende sanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalle regioni e dalle province autonome (prot. n. 2878/C2 INFO del 18 giugno 2012);

Visti gli atti d´ufficio;

Viste le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore dott. Antonello Soro;

PREMESSO:

La Conferenza delle regioni e delle province autonome ha chiesto il parere del Garante in ordine ad una versione aggiornata dello schema tipo di regolamento per il trattamento di dati personali sensibili e giudiziari da effettuarsi presso le regioni e le province autonome, le aziende sanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalle regioni e dalle province autonome, sul quale l´Autorità aveva espresso parere favorevole con il provvedimento del 13 aprile 2006 [doc. web n. 1272225].

La revisione del predetto schema tipo, curata dal tavolo di lavoro interregionale cui ha partecipato l´Ufficio del Garante, trae origine dalla necessità, evidenziata da parte di più enti, di adeguare i regolamenti regionali sul trattamento dei dati sensibili e giudiziari al mutato quadro normativo in vari settori di attività di competenza delle regioni, delle aziende sanitarie e degli altri enti strumentali o vigilati dalle regioni e dalle province autonome.

Le regioni e le province autonome, le aziende sanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalle regioni e dalle province autonome, al pari degli altri soggetti pubblici, possono trattare i dati sensibili e giudiziari (fatto salvo quanto previsto dagli artt. 75 e seguenti del Codice per i trattamenti effettuati dalle aziende sanitarie per finalità di diagnosi, prevenzione e cura della salute), in base ad un´espressa disposizione di legge nella quale siano specificati i tipi di dati, le operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite.

In presenza di una disposizione primaria che si limiti a specificare solo la finalità di rilevante interesse pubblico, è necessario identificare e rendere pubblici, in un atto di natura regolamentare conforme al parere reso dal Garante, i tipi di dati sensibili o giudiziari, nonché le operazioni eseguibili in relazione alle finalità perseguite nei singoli casi, al fine di rendere legittimo il trattamento.

A tale scopo, le regioni e le province autonome sono tenute ad adottare un atto di natura regolamentare conforme al parere reso dal Garante, che, in armonia con il principio di semplificazione, nel quadro di un elevato livello di tutela dei diritti, può essere fornito anche su schemi-tipo (art. 20 del Codice).

In questa prospettiva il Garante, sin dal 2004, ha intrapreso alcune iniziative con la Conferenza delle regioni e delle province autonome, che ha portato alla predisposizione del citato primo schema tipo di regolamento nel 2006 e, successivamente al testo in esame. Quest´ultimo nasce dall´esigenza di individuare un quadro aggiornato di garanzie in conformità al quale potranno essere adottati i necessari atti regolamentari sul trattamento di dati di pertinenza delle regioni e delle province autonome, delle aziende sanitarie, degli enti e delle agenzie regionali/provinciali, degli enti vigilati dalle regioni e dalle province autonome.

Qualora tali atti siano adottati in conformità alla versione aggiornata dello schema tipo di regolamento in esame, essi non dovranno essere sottoposti singolarmente al Garante per il parere. Eventuali ulteriori trattamenti di dati sensibili e/o giudiziari non considerati nello schema tipo in esame non potranno essere effettuati. Laddove si renda, tuttavia, indispensabile trattare ulteriori categorie di dati, o eseguire altre operazioni di trattamento per perseguire finalità di rilevante interesse pubblico individuate dalla legge, le integrazioni o modifiche dovranno essere sottoposte al parere del Garante.

OSSERVA

Il predetto schema tipo è composto da 2 allegati, che individuano i tipi di dati che possono essere trattati e le operazioni su di questi eseguibili, rispettivamente:

- da parte delle regioni/province autonome, degli enti e agenzie regionali/provinciali e degli enti vigilati dalle regioni e dalle province autonome (Allegato A), schede da 1 a 40);

- da parte delle aziende unità sanitarie locali, delle aziende ospedaliere, degli istituti di ricerca e cura a carattere scientifico, delle aziende universitarie di qualsiasi tipo e natura operanti nell´ambito del Servizio Sanitario Nazionale (Allegato B), schede da 1 a 40).

Il parere è reso su una versione aggiornata dello schema tipo di regolamento, che tiene conto di gran parte delle osservazioni formulate, in via collaborativa, dall´Ufficio del Garante al tavolo di lavoro interregionale.

Oltre ad alcuni errori materiali evidenziati nell´Allegato 1) al presente parere, le osservazioni riguardano taluni aspetti suscettibili di ulteriore perfezionamento, al fine di elevare lo standard di tutela del diritto alla protezione dei dati personali degli interessati, nell´ambito dei trattamenti di dati personali presi in considerazione nello schema tipo aggiornato di regolamento.

1. Considerazioni generali
Con riferimento all´Allegato B), si evidenzia che in molte schede (v., a titolo esemplificativo, le schede 18 e 23), nella Descrizione del trattamento e del flusso informativo, sono contenuti vari riferimenti ad attività, riconducibili a finalità di tutela della salute o dell´incolumità fisica dell´interessato, di un terzo o della collettività, che non devono essere prese in considerazione nello schema tipo in esame, in quanto per i trattamenti effettuati da organismi sanitari per tali finalità, come previsto dall´art. 85, comma 2, del Codice, si osservano le disposizioni relative al consenso dell´interessato o all´autorizzazione del Garante (art. 76 del Codice). E´ necessario pertanto operare una parziale revisione delle indicazioni riportate nelle schede dell´Allegato B) al fine di eliminare i predetti riferimenti.

2. Fonti normative

2.1 Nelle fonti normative della scheda 15 dell´Allegato A) e della scheda 2 dell´Allegato B), riguardanti le attività amministrative correlate alla sorveglianza epidemiologica delle malattie infettive e diffusive, è stato menzionato il D.M. 31 marzo 2008, concernente l´"Istituzione del sistema di sorveglianza delle nuove diagnosi di infezioni da HIV", che risulta essere stato emanato senza il previsto parere del Garante (art. 154, comma 4 del Codice).

Al riguardo, in tale contesto, occorre rappresentare che i regolamenti e gli atti adottati senza la doverosa consultazione dell´Autorità sono viziati per violazione di legge e del diritto comunitario in materia. Inoltre, i dati personali trattati in applicazione di tali atti sono inutilizzabili, anche con conseguente responsabilità diretta, da parte di qualunque soggetto emanante ulteriori atti applicativi (art. 11, comma 2, del Codice).

Il decreto prevede la notifica, attraverso la scheda allegata allo stesso, dei nuovi casi di infezione da HIV da parte dei centri clinici che offrono diagnosi e cura per HIV alle regioni e, da queste, all´Istituto superiore di sanità. Per i profili riguardanti la protezione dei dati personali, vanno, tuttavia, sollevate alcune criticità relative, in particolare, al codice identificativo individuato dal decreto per la notifica. Tale codice, infatti, non appare idoneo a garantire la non identificazione della persona interessata come invece previsto dalla legge 5 giugno 1990, n. 135 (art. 5). Si rappresenta, inoltre, che le modalità di trasmissione delle suddette notifiche previste nel citato decreto non garantiscono un adeguato livello di sicurezza rispetto alla natura dei dati oggetto di trattamento nei confronti dei quali l´ordinamento richiede cautele più rigorose (artt. 31 e 178, comma 2 del Codice).

Al riguardo, il Ministero della salute ha inviato una nota all´Autorità in cui, nel trasmettere il predetto decreto 31 marzo 2008, evidenzia l´intenzione di avviare un percorso collaborativo ai fini dell´acquisizione del previsto parere segnalando, in particolare, la delicatezza degli aspetti relativi al codice univoco e alle misure di sicurezza disciplinati nel provvedimento medesimo (nota prot. n.I.D. 108817538 del 17 luglio 2012). In tale quadro, pertanto, i trattamenti di dati possono essere effettuati dalle aziende sanitarie, dalle regioni e dalle province autonome, nell´ambito delle attività amministrative correlate alla sorveglianza epidemiologica dei casi di infezione da HIV, nel rispetto delle specifiche cautele individuate dal Ministero della salute, in collaborazione con l´Autorità.

2.2 Lo schema tipo di regolamento in esame fa riferimento all´attivazione dei nuovi flussi di dati tra i medici prescrittori e il Ministero dell´economia e delle finanze (di seguito Mef), ai fini di monitoraggio della spesa sanitaria e di verifica dell´appropriatezza prescrittiva che sono stati introdotti dal comma 5-bis dell´art. 50 del d.l. 30 settembre 2003, n. 269 (convertito dalla l. 24 novembre 2003, n.326), inserito dall´art. 1, comma 810, lett. c) della legge 27 novembre 2006, n. 296 (scheda 12 dell´Allegato A)).

La suddetta disposizione legislativa rende necessario provvedere alla modifica del protocollo sottoscritto in data 9 marzo 2006 tra il Garante, il Mef, il Ministero della salute e le regioni in cui sono stati stabiliti i dati in possesso del Mef che possono essere trasmessi al Ministero della salute e alle regioni, nonché le modalità di tale trasmissione (comma 10, dell´art. 50 citato).

Al riguardo, il Mef ha inviato una nota all´Autorità al fine di avviare, insieme con le amministrazioni sottoscrittrici del protocollo, una collaborazione volta alla revisione dello stesso, con particolare riferimento all´estensione delle cautele già previste per il trattamento dei dati contenuti nelle prescrizioni di farmaci e di prestazioni specialistiche anche ai trattamenti di dati contenuti nei nuovi flussi originati dai medici prescrittori (nota n. 65256 del 20 luglio 2012).

2.3 Con riferimento alla scheda 32 dell´Allegato B), è necessario integrare le fonti normative con l´indicazione del d.l. 9 febbraio 2012, n. 5 convertito in l. 4 aprile 2012, n. 35 che, all´art. 4, introduce alcune rilevanti semplificazioni in materia di documentazione per le persone con disabilità e patologie croniche.

2.4 Nella scheda 34 del medesimo Allegato B), relativa alle attività medico legali inerenti l´accertamento dell´idoneità al porto d´armi, occorre menzionare il R.D. 18 giugno 1931, n. 773 recante approvazione del testo unico delle leggi di pubblica sicurezza, peraltro recentemente modificato dal d.lg. 26 ottobre 2010 n. 204 che ha, in particolare, dettato nuove disposizioni relative al rilascio da parte del Questore del nulla osta all´acquisto di armi da parte di privati subordinandolo alla presentazione di un certificato rilasciato, tra gli altri, dal settore medico legale delle Aziende sanitarie locali (art. 35).

3. Tipologie di dati trattati

3.1 Nella scheda 12 dell´Allegato A) non risulta espressamente comprovata, anche sulla base della sintetica descrizione del trattamento, l´indispensabilità dell´utilizzo da parte dall´amministrazione regionale di dati sensibili relativi all´adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale per finalità di programmazione, gestione, controllo e valutazione dell´assistenza sanitaria. Occorre pertanto espungere il riferimento a tali informazioni dalla tipologia di dati trattati senza che sia necessario sottoporre tale scheda al Garante per un nuovo parere.

3.2 Analogo rilievo va formulato con riferimento ai medesimi tipi di dati indicati nella scheda 13 dell´Allegato A) che riguarda le attività amministrative correlate all´assistenza socio-sanitaria a favore di fasce deboli di popolazione e di soggetti in regime di detenzione. In relazione ai trattamenti presi in considerazione in questa scheda occorre pertanto rivalutare l´indispensabilità dell´utilizzo dei predetti dati, tenendo in considerazione che nella corrispondente scheda dell´Allegato B), di pertinenza delle aziende sanitarie (scheda 6), non è previsto il trattamento di questa tipologia di dati per il perseguimento di attività similari. A seguito di tale valutazione, in caso di esito negativo, occorre espungere l´indicazione della predetta tipologia di dati dalla scheda 13 dell´Allegato A) senza che sia necessario sottoporla nuovamente al Garante per il parere. In caso di esito positivo, invece, è necessario integrare la scheda 6 dell´Allegato B) menzionando tali informazioni tra la tipologia di dati trattati e documentare adeguatamente l´indispensabilità dell´utilizzo dei dati in questione nella descrizione del trattamento e del flusso informativo, sottoponendo la scheda così integrata al Garante per un nuovo parere.

4. Modalità di trattamento dei dati
Per ciò che concerne le attività medico-legali di competenza degli organismi sanitari, inerenti l´accertamento dell´idoneità in ambito di diritto al lavoro e quelle amministrative correlate alle dipendenze, nelle schede 23 e 33 dell´Allegato B), vanno integrate le modalità di trattamento dei dati indicando anche la modalità "supporto video". Conseguentemente, nella descrizione del trattamento e del flusso informativo appare opportuno evidenziare che, in talune limitate e residuali circostanze, in mancanza di modalità alternative più rispettose della dignità e della riservatezza della persona sottoposta ad esame tossicologico, la ripresa del prelievo del campione biologico dell´interessato può risultare indispensabile per evitare la manomissione del campione stesso. Le modalità del trattamento dei dati mediante l´utilizzo di "supporti video" potrà avvenire nel rispetto delle garanzie che saranno individuate dal Garante con autonomo provvedimento a tutela della dignità e della riservatezza degli interessati.

5. Operazioni eseguibili

5.1 Per quanto concerne le operazioni di trattamento, occorre espungere nella scheda 2 dell´Allegato A), tra i destinatari delle comunicazioni, l´indicazione del "Ministero del Lavoro e della Previdenza sociale" e introdurre quella del "Centro per l´impiego competente", in quanto, ai sensi dell´art. 1 comma 1180 della l. 27 dicembre 2006 n. 296, è a tale servizio che deve essere indirizzata la comunicazione obbligatoria prevista in caso di instaurazione di rapporto di lavoro subordinato e di lavoro autonomo in forma coordinata e continuativa da parte di pubbliche amministrazioni in qualità di datori di lavoro. In conformità a tale rilievo, è necessario riformulare anche la relativa descrizione del trattamento e del flusso informativo.

5.2 Con riferimento alla operazione di diffusione di dati sensibili e giudiziari riferiti a consiglieri e assessori, menzionate nelle schede 37 e 40 dell´Allegato A), è opportuno specificare che tale operazione, ove venga effettuata attraverso la rete Internet, deve avvenire nell´osservanza delle garanzie individuate dal Garante nelle "Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web" del 2 marzo 2011, [doc. web n. 1793203].

6. Descrizione del trattamento e del flusso informativo

6.1 Nella scheda 3 dell´Allegato B) relativa alle attività amministrative e certificatorie correlate alle vaccinazioni e alla verifica dell´assolvimento dell´obbligo vaccinale si evidenzia l´opportunità per le regioni che hanno sospeso l´obbligo vaccinale o le sanzioni ad esso connesse di modificare la Descrizione del trattamento e del flusso informativo in conformità al quadro normativo regionale di riferimento.

6.2 Per ciò che concerne le attività amministrative correlate all´assistenza socio-sanitaria a favore di fasce deboli della popolazione, occorre specificare, nella Descrizione del trattamento e del flusso informativo della scheda 6 dell´Allegato B), che gli organismi sanitari, nell´espletamento dei servizi di telesoccorso e telecontrollo, possono trasmettere all´amministrazione regionale a fini di erogazione dei contributi agli anziani che ne facciano richiesta, in luogo dei "dati individuali", i "dati identificativi e altre informazioni che risultano strettamente indispensabili rispetto ai requisiti richiesti per l´erogazione del contributo" medesimo.

7. Conclusioni
Le regioni e le province autonome nell´aggiornare, sulla base dello schema tipo in esame, i propri atti regolamentari sul trattamento dei dati sensibili e giudiziari, da effettuarsi presso le medesime regioni e province autonome, nonché le aziende sanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalle regioni e dalle province autonome, sono tenuti a recepire le indicazioni sopra formulate, tenendo presente che il trattamento dei dati sensibili e giudiziari non potrà essere effettuato in difformità dalle indicazioni medesime. Al riguardo, si precisa che gli atti regolamentari adottati da ciascuna Regione o Provincia autonoma in conformità alla versione aggiornata dello schema tipo di regolamento in esame, modificata in conformità alle indicazioni contenute nei punti 1, 2, 3.1, 4, 5 e 6 del presente parere e dell´Allegato 1, non devono essere sottoposti nuovamente al Garante per il parere, fermo restando quanto indicato nel punto 3.2.

TUTTO CIÒ PREMESSO IL GARANTE:

ai sensi degli articoli 20, comma 2, e 154, comma 1, lett. g) del Codice, esprime parere favorevole sullo schema tipo di regolamento predisposto dalla Conferenza delle regioni e delle province autonome per il trattamento dei dati personali sensibili e giudiziari da effettuarsi presso le regioni e le province autonome, le aziende sanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalle regioni e dalle province autonome in relazione alle finalità perseguite nei singoli casi, a condizione che siano recepite le indicazioni fornite nei punti da 1 a 6 del presente parere e nell´Allegato 1 che ne costituisce parte integrante.

Roma, 26 luglio 2012

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia

Allegato 1

Errori materiali presenti nello schema tipo aggiornato di regolamento per il trattamento di dati personali sensibili e giudiziari da effettuarsi presso le regioni e le province autonome, le aziende sanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalle regioni e dalle province autonome

1. All´articolo 3, comma 1, dello schema di deliberazione per l´adozione del regolamento per il trattamento di dati personali sensibili e giudiziari da effettuarsi presso le regioni e le province autonome, le aziende sanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalle regioni e dalle province autonome, sostituire:

a.  le parole: "Allegato A (schede da A1 a A41)" con le seguenti: "Allegato A (schede da A1 a A40)";

b. le parole: "istituti specifici in ambito sanitario" con le seguenti: "istituti scientifici in ambito sanitario".

2. Nelle Avvertenze per la compilazione/consultazione delle schede relative ai singoli trattamenti sostituire le parole: "Al fine di una maggiore semplificazione le disposizioni di legge citate" con le seguenti: "Al fine di una maggiore semplificazione le disposizioni normative citate";

3. Nell´Elenco dei trattamenti descritti nell´Allegato A):

a. nel titolo della scheda n. 18 sopprimere le parole: "(fornitura di prodotti dietetici e di presidi sanitari a categorie particolari)";

b. nella nota c) sopprimere le parole: ", delle IPAB";

c. nella nota d) sopprimere le parole: ", delle IPAB".

4. Nell´Elenco dei trattamenti descritti nell´Allegato B):

a. nel titolo della scheda 8 sopprimere la parola: "reddito";

b. nel titolo della scheda 23 sopprimere le parole: "(tossicodipendenze e alcool dipendenze)".

5. Nelle Comunicazioni previste nella scheda 3 dell´Allegato A) sopprimere la parola: "INPDAP";

6. Nella Descrizione del trattamento e del flusso informativo della scheda 10 dell´Allegato A), al paragrafo C), sostituire le parole: "opinioni politiche, convinzioni religiose" con le seguenti: "dati idonei a rivelare l´adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale";

7. Nella Descrizione del trattamento e del flusso informativo della scheda 12 dell´Allegato A), alla voce dell´elenco: "assistenza residenziale e semiresidenziale" sostituire la congiunzione: "e" con il segno d´interpunzione: "," e aggiungere infine le seguenti parole: "e negli hospice";

8. Nella scheda 18 dell´Allegato A):

a. nelle Finalità del trattamento dopo le parole: "art.85, comma 1, lettera a)" aggiungere le seguenti: "D.Lgs. 196/2003)";

b. nella Denominazione del trattamento sopprimere le parole: "(fornitura di prodotti dietetici e di presidi sanitari a categorie particolari)".

9. Nella Tipologia delle operazioni eseguite della scheda 27 dell´Allegato A) spuntare la casella relativa alla "comunicazione";

10. Nella Descrizione del trattamento e del flusso informativo della scheda 31 dell´Allegato A), nel terzo paragrafo sostituire le parole: "dati sensibili idonei a rivelare le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche o sindacali o lo stato di salute o dati giudiziari dell´interessato o dei suoi familiari" con le seguenti: "i dati sensibili e giudiziari individuati nella presente scheda riferiti all´interessato o ai suoi familiari";

11. Nella Descrizione del trattamento e del flusso informativo della scheda 34 dell´Allegato A), nell´ultimo paragrafo, aggiungere dopo le parole: "dati sensibili" le seguenti: "e giudiziari";

12. Nella Descrizione del trattamento e del flusso informativo delle schede 3, 4, 7, 8, 12, 14, 16, 38 e 39 dell´Allegato B), al paragrafo dedicato all´indicazione dei soggetti destinatari delle comunicazioni finalizzate alle attività di programmazione, gestione, controllo e valutazione dell´assistenza sanitaria di cui alla scheda 12 dell´Allegato A), sostituire la parola: "Regione" con le seguenti: "Regione/Agenzia regionale di sanità";

13. Nelle Comunicazioni previste nelle schede 7 e 8 dell´Allegato B) sostituire la parola: "Regione" con le seguenti: "Regione/Agenzia regionale di sanità";

14. Nella Denominazione del trattamento della scheda 23 dell´Allegato B) sopprimere le parole: "(tossicodipendenze e alcool dipendenze)";

15. Nella scheda 15 dell´Allegato B):

a. nella Tipologia dei dati trattati eliminare le parole: "(specificare se: anamnesi familiare)" e le relative caselle;

b. nella Descrizione del trattamento e del flusso informativo, al secondo paragrafo, al primo punto dell´elenco dopo la parola: "attività" aggiungere la seguente: "amministrativa" e al secondo punto dopo la parola: "attività" aggiungere la seguente: "amministrative".

16. Nella Descrizione del trattamento e del flusso informativo della scheda 25 sostituire le parole: "Sistema Sanitario Nazionale" con le seguenti: "Servizio sanitario nazionale";

17. Nella Descrizione del trattamento e del flusso informativo delle schede 25 e 39 consolidare le revisioni evidenziate nel testo;

18. Nella Descrizione del trattamento e del flusso informativo della scheda 30 dell´Allegato B), al sesto paragrafo, dopo le parole: "Ministero dell´Economia e delle Finanze" aggiungere le seguenti: "direttamente o  tramite la specifica struttura regionale".