Autorizzazione n.2/2008 al trattamento dei dati idonei a rivelare lo stato di salute e la vitasessuale
(Pubblicata sulla G.U. n. 169 del 21-7-2008 - Suppl. Ordinario n. 175)

Registro delledeliberazioni n. 33 del 19 giugno 2008

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

In data odierna, con la partecipazionedel prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato,componenti, e del dott. Giovanni Buttarelli, segretario generale;

Visto il decreto legislativo 30 giugno2003, n. 196, recante il Codice in materia di protezione dei dati personali;

Visto, in particolare, l'art. 4, comma 1,lett. d), del citato Codice, il quale individua i dati sensibili;

Considerato che, ai sensi dell'art. 26,comma 1, del Codice, i soggetti privati e gli enti pubblici economici possonotrattare i dati sensibili solo previa autorizzazione di questa Autorità e, ovenecessario, con il consenso scritto degli interessati, nell'osservanza deipresupposti e dei limiti stabiliti dal Codice, nonché dalla legge e dairegolamenti;

Visto l'art. 76 del Codice, secondo cuigli esercenti le professioni sanitarie e gli organismi sanitari pubblici, anchenell'ambito di un'attività di rilevante interesse pubblico ai sensidell'articolo 85 del medesimo Codice, possono trattare i dati personali idoneia rivelare lo stato di salute anche senza il consenso dell'interessato, previaautorizzazione del Garante, se il trattamento riguarda dati e operazioniindispensabili per perseguire una finalità di tutela della salute o dell'incolumitàfisica di un terzo o della collettività;

Considerato che il trattamento dei datiin questione può essere autorizzato dal Garante anche d'ufficio conprovvedimenti di carattere generale, relativi a determinate categorie dititolari o di trattamenti (art. 40 del Codice);

Considerato che le autorizzazioni dicarattere generale sin ora rilasciate sono risultate uno strumento idoneo perprescrivere misure uniformi a garanzia degli interessati, rendendo altresìsuperflua la richiesta di singoli provvedimenti di autorizzazione da parte dinumerosi titolari del trattamento;

Ritenuto opportuno rilasciare nuoveautorizzazioni in sostituzione di quelle in scadenza il 30 giugno 2008,armonizzando le prescrizioni già impartite alla luce dell'esperienza maturata;

Ritenuto opportuno che anche tali nuoveautorizzazioni siano provvisorie e a tempo determinato, ai sensi dell'art. 41,comma 5, del Codice e, in particolare, efficaci per il periodo di diciottomesi;

Considerata la necessità di garantire ilrispetto di alcuni princìpi volti a ridurre al minimo i rischi di danno o dipericolo che i trattamenti potrebbero comportare per i diritti e le libertàfondamentali, nonché per la dignità delle persone, e, in particolare, per ildiritto alla protezione dei dati personali sancito dall'art. 1 del Codice,principi valutati anche sulla base delle raccomandazioni adottate in materia didati sanitari dal Consiglio d'Europa ed in particolare dalla Raccomandazione N.R (97) 5, in base alla quale i dati sanitari devono essere trattati, di regola,solo nell'ambito dell'assistenza sanitaria o sulla base di regole di segretezzae di efficacia pari a quelle previste in tale ambito;

Considerato che un elevato numero ditrattamenti idonei a rivelare lo stato di salute e la vita sessuale èeffettuato per finalità di prevenzione o di cura, per la gestione di servizisocio-sanitari, per ricerche scientifiche o per la fornitura all'interessato diprestazioni, beni o servizi;

Visto l'art. 167 del Codice;

Visto l'art. 11, comma 2, del Codice, ilquale stabilisce che i dati trattati in violazione della disciplina rilevantein materia di trattamento di dati personali non possono essere utilizzati;

Visti gli articoli 31 e seguenti delCodice e il disciplinare tecnico di cui all'Allegato B) al Codice in materia diprotezione dei dati personali recanti norme e regole sulle misure di sicurezza;

Visto l'art. 41 del Codice;

Visti gli atti d'ufficio;

Viste le osservazioni dell'Ufficioformulate dal segretario generale ai sensi dell'art. 15 del regolamento delGarante n. 1/2000;

Relatore il prof. Francesco Pizzetti;

Autorizza

a) gli esercenti le professionisanitarie a trattare i dati idonei a rivelare lo stato di salute, qualora idati e le operazioni siano indispensabili per tutelare l'incolumità fisica o lasalute di un terzo o della collettività, e il consenso non sia prestato o nonpossa essere prestato per effettiva irreperibilità;

b) gli organismi e le case di curaprivate, nonché ogni altro soggetto privato, a trattare con il consenso i datiidonei a rivelare lo stato di salute e la vita sessuale;

c) gli organismi sanitari pubblici,istituiti anche presso università, ivi compresi i soggetti pubblici allorchéagiscano nella qualità di autorità sanitarie, a trattare i dati idonei arivelare lo stato di salute, qualora ricorrano contemporaneamente le seguenticondizioni:

1) il trattamento sia finalizzatoalla tutela dell'incolumità fisica e della salute di un terzo o dellacollettività;

2) manchi il consenso (articolo 76,comma 1, lett. b), del Codice), in quanto non sia prestato o non possa essereprestato per effettiva irreperibilità;

3) non si tratti di attivitàamministrative correlate a quelle di prevenzione, diagnosi, cura eriabilitazione ai sensi dell'art. 85, commi 1 e 2, del Codice;

d) anche soggetti diversi da quellidi cui alle lettere a), b) e c) a trattare i dati idonei a rivelare lo stato disalute e la vita sessuale, qualora il trattamento sia necessario per lasalvaguardia della vita o dell'incolumità fisica di un terzo. Se la medesima finalitàriguarda l'interessato e quest'ultimo non può prestare il proprio consenso perimpossibilità fisica, per incapacità di agire o per incapacità d'intendere o divolere, il consenso è manifestato da chi esercita legalmente la potestà, ovveroda un prossimo congiunto, da un familiare, da un convivente o, in loro assenza,dal responsabile della struttura presso cui dimora l'interessato.

Per l'informativa e, ove previsto, ilconsenso si osservano anche le disposizioni di cui agli articoli 13, 23, 26 eda 75 a 82 del Codice.

1) Ambito di applicazione e finalitàdel trattamento

1.1. L'autorizzazione è rilasciata:

a) ai medici-chirurghi, aifarmacisti, agli odontoiatri, agli psicologi e agli altri esercenti leprofessioni sanitarie iscritti in albi o in elenchi;

b) al personale sanitarioinfermieristico, tecnico e della riabilitazione che esercita l'attività inregime di libera professione;

c) alle istituzioni e agli organismisanitari privati, anche quando non operino in rapporto con il serviziosanitario nazionale.

In tali casi, l'autorizzazione èrilasciata anche per consentire ai destinatari di adempiere o di esigerel'adempimento di specifici obblighi o di eseguire specifici compiti previsti daleggi, dalla normativa comunitaria o da regolamenti, in particolare in materiadi igiene e di sanità pubblica, di prevenzione delle malattie professionali edegli infortuni, di diagnosi e cura, ivi compresi i trapianti di organi etessuti, di riabilitazione degli stati di invalidità e di inabilità fisica epsichica, di profilassi delle malattie infettive e diffusive, di tutela dellasalute mentale, di assistenza farmaceutica, di medicina scolastica e diassistenza sanitaria alle attività sportive o di accertamento, in conformitàalla legge, degli illeciti previsti dall'ordinamento sportivo. Il trattamentopuò riguardare anche la compilazione di cartelle cliniche, di certificati e dialtri documenti di tipo sanitario, ovvero di altri documenti relativi allagestione amministrativa la cui utilizzazione sia necessaria per i fini appenaindicati.

Qualora il perseguimento di tali finirichieda l'espletamento di compiti di organizzazione o di gestioneamministrativa, i destinatari della presente autorizzazione devono esigere chei responsabili e gli incaricati del trattamento preposti a tali compitiosservino le stesse regole di segretezza alle quali sono sottoposti i medesimidestinatari della presente autorizzazione, nel rispetto di quanto previstoanche dall'art. 83, comma 1, del Codice.

1.2.  L'autorizzazione è rilasciata,altresì, ai seguenti soggetti:

a) alle persone fisiche ogiuridiche, agli enti, alle associazioni e agli altri organismi privati, perscopi di ricerca scientifica, anche statistica, finalizzata alla tutela dellasalute dell'interessato, di terzi o della collettività in campo medico,biomedico o epidemiologico, allorché si debba intraprendere uno studio dellerelazioni tra i fattori di rischio e la salute umana anche con riguardo a studicondotti su persone nell'ambito della sperimentazione clinica di farmaci, oindagini su interventi sanitari di tipo diagnostico, terapeutico o preventivo,ovvero sull'utilizzazione di strutture socio-sanitarie, e la disponibilità didati solo anonimi su campioni della popolazione non permetta alla ricerca diraggiungere i suoi scopi. In tali casi occorre acquisire il consenso (inconformità a quanto previsto dagli articoli 106, 107 e 110 del Codice), e iltrattamento successivo alla raccolta non deve permettere di identificare gliinteressati anche indirettamente, salvo che l'abbinamento al materiale diricerca dei dati identificativi dell'interessato sia temporaneo ed essenzialeper il risultato della ricerca, e sia motivato, altresì, per iscritto. Irisultati della ricerca non possono essere diffusi se non in forma anonima.

Resta fermo quanto previsto dall'art. 98del Codice;

b) alle organizzazioni divolontariato o assistenziali, limitatamente ai dati e alle operazioniindispensabili per perseguire scopi determinati e legittimi previsti, inparticolare, nelle rispettive norme statutarie;

c) alle comunità di recupero e diaccoglienza, alle case di cura e di riposo, limitatamente ai dati e alleoperazioni indispensabili per perseguire scopi determinati e legittimiprevisti, in particolare, nelle rispettive norme statutarie;

d) agli enti, alle associazioni ealle organizzazioni religiose riconosciute, relativamente ai dati e alleoperazioni indispensabili per perseguire scopi determinati e legittimi neilimiti di quanto stabilito dall'art. 26, comma 4, lett. a), del Codice, fermorestando quanto previsto per le confessioni religiose dagli articoli 26, comma3, lett. a), e 181, comma 6, del Codice e dell'autorizzazione n. 3/2008;

e) alle persone fisiche egiuridiche, alle imprese, anche sociali, agli enti, alle associazioni e ad altriorganismi, limitatamente ai dati, ove necessario attinenti anche alla vitasessuale, e alle operazioni indispensabili per adempiere agli obblighi, ancheprecontrattuali, derivanti da un rapporto di fornitura all'interessato di beni,di prestazioni o di servizi.

Se il rapporto intercorre con istituti dicredito, imprese assicurative o riguarda valori mobiliari, devono considerarsiindispensabili i soli dati ed operazioni necessari per fornire specificiprodotti o servizi richiesti dall'interessato. Il rapporto può riguardare anchela fornitura di strumenti di ausilio per la vista, per l'udito o per ladeambulazione;

f) alle persone fisiche egiuridiche, agli enti, alle associazioni e agli altri organismi che gestisconoimpianti o strutture sportive, limitatamente ai dati e alle operazioniindispensabili per accertare l'idoneità fisica alla partecipazione ad attivitàsportive o agonistiche;

g) alle persone fisiche e giuridichee ad altri organismi, limitatamente ai dati dei beneficiari e dei donatori ealle operazioni indispensabili per effettuare trapianti di organi e tessuti,nonché donazioni di sangue.

1.3.  La presente autorizzazione èrilasciata, altresì, quando il trattamento dei dati idonei a rivelare lo statodi salute e la vita sessuale sia necessario per:

a) lo svolgimento delleinvestigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o comunqueper far valere o difendere un diritto anche da parte di un terzo in sedegiudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e diconciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dairegolamenti o dai contratti collettivi, sempre che il diritto sia di rango paria quello dell'interessato, ovvero consistente in un diritto della personalità oin altro diritto o libertà fondamentale e inviolabile, e i dati siano trattatiesclusivamente per tali finalità e per il periodo strettamente necessario peril loro perseguimento;

b) adempiere o esigere l'adempimentodi specifici obblighi o per eseguire specifici compiti previsti dalla normativacomunitaria, da leggi, da regolamenti o da contratti collettivi per la gestionedel rapporto di lavoro, nonché della normativa in materia di previdenza eassistenza o in materia di igiene e sicurezza del lavoro o della popolazione,nei limiti previsti dalla autorizzazione generale del Garante n. 1/2008 e fermerestando le disposizioni del codice di deontologia e di buona condotta di cuiall'articolo 111 del Codice.

1.4. Il trattamento di dati geneticiresta autorizzato nei limiti e alle condizioni individuati nell'autorizzazionedel 22 febbraio 2007, pubblicata nella Gazzetta Ufficiale n. 65 del 19 marzo2007.

2) Categorie di dati oggetto ditrattamento Prima di iniziareo proseguire il trattamento i sistemi informativi e i programmi informaticisono configurati riducendo al minimo l'utilizzazione di dati personali e didati identificativi, in modo da escluderne il trattamento quando le finalitàperseguite nei singoli casi possono essere realizzate mediante,rispettivamente, dati anonimi od opportune modalità che permettano diidentificare l'interessato solo in caso di necessità, in conformità all'art. 3del Codice.

Il trattamento può avere per oggetto idati strettamente pertinenti ai sopra indicati obblighi, compiti o finalità chenon possano essere adempiuti o realizzati, caso per caso, mediante iltrattamento di dati anonimi o di dati personali di natura diversa, e puòcomprendere le informazioni relative a stati di salute pregressi.

Devono essere considerate sottoposte all'ambitodi applicazione della presente autorizzazione anche le informazioni relative ainascituri, che devono essere trattate alla stregua dei dati personali inconformità a quanto previsto dalla citata raccomandazione N. R (97) 5 delConsiglio d'Europa.

3) Modalità di trattamento Fermi restando gli obblighi previsti dagli articoli11 e 14 del Codice, nonché dagli articoli 31 e seguenti del Codice edall'Allegato B) al medesimo Codice, il trattamento dei dati sensibili deveessere effettuato unicamente con operazioni, nonché con logiche e medianteforme di organizzazione dei dati strettamente indispensabili in rapporto aisopra indicati obblighi, compiti o finalità.

I dati sono raccolti, di regola, pressol'interessato.

La comunicazione di dati all'interessatodeve avvenire di regola direttamente a quest'ultimo o a un suo delegato (fermorestando quanto previsto dall'art. 84, comma 1, del Codice), in plico chiuso ocon altro mezzo idoneo a prevenire la conoscenza da parte di soggetti nonautorizzati, anche attraverso la previsione di distanze di cortesia.

Per le informazioni relative ainascituri, il consenso è prestato dalla gestante. Dopo il raggiungimento dellamaggiore età l'informativa è fornita all'interessato anche ai fini dellaacquisizione di una nuova manifestazione del consenso quando questo ènecessario (art. 82, comma 4, del Codice).

4) Conservazione dei dati Nel quadro del rispetto dell'obbligo previstodall'art. 11, comma 1, lett. e) del Codice, i dati possono essere conservatiper un periodo non superiore a quello necessario per adempiere agli obblighi oai compiti sopra indicati, ovvero per perseguire le finalità ivi menzionate. Atal fine, anche mediante controlli periodici, deve essere verificatacostantemente la stretta pertinenza, non eccedenza e indispensabilità dei datirispetto al rapporto, alla prestazione o all'incarico in corso, da instaurare ocessati, anche con riferimento ai dati che l'interessato fornisce di propriainiziativa. I dati che, anche a seguito delle verifiche, risultano eccedenti onon pertinenti o non indispensabili non possono essere utilizzati, salvo cheper l'eventuale conservazione, a norma di legge, dell'atto o del documento cheli contiene. Specifica attenzione è prestata per l'indispensabilità dei datiriferiti a soggetti diversi da quelli cui si riferiscono direttamente leprestazioni e gli adempimenti.

5) Comunicazione e diffusione dei dati Salvo quanto previsto per i dati genetici al punto 9della citata autorizzazione del 22 febbraio 2007, i dati idonei a rivelare lostato di salute possono essere comunicati, nei limiti strettamente pertinentiagli obblighi, ai compiti e alle finalità di cui al punto 1), a soggettipubblici e privati, ivi compresi i fondi e le casse di assistenza sanitariaintegrativa, le aziende che svolgono attività strettamente correlateall'esercizio di professioni sanitarie o alla fornitura all'interessato dibeni, di prestazioni o di servizi, gli istituti di credito e le impreseassicurative, le associazioni od organizzazioni di volontariato e i familiaridell'interessato.

Ai sensi degli artt. 22, comma 8, e 26,comma 5, del Codice, i dati idonei a rivelare lo stato di salute non possonoessere diffusi.

I dati idonei a rivelare la vita sessualenon possono essere diffusi, salvo il caso in cui la diffusione riguardi datiresi manifestamente pubblici dall'interessato e per i quali l'interessatostesso non abbia manifestato successivamente la sua opposizione per motivilegittimi.

6) Richieste di autorizzazione I titolari dei trattamenti che rientrano nell'ambitodi applicazione della presente autorizzazione non sono tenuti a presentare unarichiesta di autorizzazione a questa Autorità, qualora il trattamento che siintende effettuare sia conforme alle prescrizioni suddette.

Le richieste di autorizzazione pervenuteo che perverranno anche successivamente alla data di adozione del presenteprovvedimento, devono intendersi accolte nei termini di cui al provvedimentomedesimo.

Il Garante non prenderà in considerazionerichieste di autorizzazione per trattamenti da effettuarsi in difformità alleprescrizioni del presente provvedimento, salvo che, ai sensi dell'art. 41 delCodice, il loro accoglimento sia giustificato da circostanze del tuttoparticolari o da situazioni eccezionali non considerate nella presenteautorizzazione, relative, ad esempio, al caso in cui la raccolta del consensocomporti un impiego di mezzi manifestamente sproporzionato in ragione, inparticolare, del numero di persone interessate.

7) Norme finali Restano fermi gli obblighi previsti da norme di leggeo di regolamento o dalla normativa comunitaria che stabiliscono divieti olimiti più restrittivi in materia di trattamento di dati personali e, inparticolare:

a) dall'art. 5, comma 2, della legge5 giugno 1990, n. 135, come modificato dall'art. 178 del Codice, secondo cui larilevazione statistica della infezione da HIV deve essere effettuata conmodalità che non consentano l'identificazione della persona;

b) dall'art. 11 della legge 22maggio 1978, n. 194, il quale dispone che l'ente ospedaliero, la casa di cura oil poliambulatorio nei quali è effettuato un intervento di interruzione digravidanza devono inviare al medico provinciale competente per territorio unadichiarazione che non faccia menzione dell'identità della donna;

c) dall'art. 734-bis del codicepenale, il quale vieta la divulgazione non consensuale delle generalità odell'immagine della persona offesa da atti di violenza sessuale.

Restano altresì fermi gli obblighi dilegge che vietano la rivelazione senza giusta causa e l'impiego a proprio oaltrui profitto delle notizie coperte dal segreto professionale, nonché gliobblighi deontologici previsti, in particolare, dal codice di deontologiamedica adottato dalla Federazione nazionale degli ordini dei medici chirurghi edegli odontoiatri.

Resta ferma, infine, la possibilità didiffondere dati anonimi anche aggregati e di includerli, in particolare, nellepubblicazioni a contenuto scientifico o finalizzate all'educazione, allaprevenzione o all'informazione di carattere sanitario.

8) Efficacia temporale e disciplinatransitoria La presenteautorizzazione ha efficacia a decorrere dal 1° luglio 2008 fino al 31 dicembre2009, salve eventuali modifiche che il Garante ritenga di dover apportare inconseguenza di eventuali novità normative rilevanti in materia.

La presente autorizzazione saràpubblicata nella Gazzetta Ufficiale della Repubblica italiana.

Roma, 19 giugno 2008

ILPRESIDENTE Pizzetti

IL RELATORE Pizzetti

IL SEGRETARIO GENERALE Buttarelli