Autorizzazione n. 2/2012

Autorizzazione al trattamento dei dati idonei arivelare lo stato di salute e la vita sessuale

Autorizzazione del 13 dicembre 2012


(Pubblicata sulla GU n.3 del 4-1-2013 - Suppl. Ordinario n. 2)

Registro dei provvedimenti
n. 399 del 13 dicembre 2012

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

Indata odierna, con la partecipazione del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici, della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia,segretario generale;

Vistoil decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia diprotezione dei dati personali;

Visto,in particolare, l'art. 4, comma 1, lett. d), del citato Codice, il qualeindividua i dati sensibili;

Consideratoche, ai sensi dell'art. 26, comma 1, del Codice, i soggetti privati e gli entipubblici economici possono trattare i dati sensibili solo previa autorizzazionedi questa Autorità e, ove necessario, con il consenso scritto degliinteressati, nell'osservanza dei presupposti e dei limiti stabiliti dal Codice,nonché dalla legge e dai regolamenti;

Vistol'art. 76 del Codice, secondo cui gli esercenti le professioni sanitarie e gliorganismi sanitari pubblici, anche nell'ambito di un'attività di rilevanteinteresse pubblico ai sensi dell'articolo 85 del medesimo Codice, possonotrattare i dati personali idonei a rivelare lo stato di salute anche senza ilconsenso dell'interessato, previa autorizzazione del Garante, se il trattamentoriguarda dati e operazioni indispensabili per perseguire una finalità di tuteladella salute o dell'incolumità fisica di un terzo o della collettività;

Consideratoche il trattamento dei dati in questione può essere autorizzato dal Garanteanche d'ufficio con provvedimenti di carattere generale, relativi a determinatecategorie di titolari o di trattamenti (art. 40 del Codice);

Consideratoche le autorizzazioni di carattere generale sin ora rilasciate sono risultateuno strumento idoneo per prescrivere misure uniformi a garanzia degliinteressati, rendendo altresì superflua la richiesta di singoli provvedimentidi autorizzazione da parte di numerosi titolari del trattamento;

Ritenutoopportuno rilasciare nuove autorizzazioni in sostituzione di quelle in scadenzail 31 dicembre 2012, armonizzando le prescrizioni già impartite alla lucedell'esperienza maturata;

Ritenutoopportuno che anche tali nuove autorizzazioni siano provvisorie e a tempodeterminato, ai sensi dell'art. 41, comma 5, del Codice e, in particolare,efficaci per il periodo di dodici mesi;

Consideratala necessità di garantire il rispetto di alcuni princìpi volti a ridurre alminimo i rischi di danno o di pericolo che i trattamenti potrebbero comportareper i diritti e le libertà fondamentali, nonché per la dignità delle persone,e, in particolare, per il diritto alla protezione dei dati personali sancitodall'art. 1 del Codice, principi valutati anche sulla base delleraccomandazioni adottate in materia di dati sanitari dal Consiglio d'Europa edin particolare dalla Raccomandazione N. R (97) 5, in base alla quale i datisanitari devono essere trattati, di regola, solo nell'ambito dell'assistenzasanitaria o sulla base di regole di segretezza e di efficacia pari a quellepreviste in tale ambito;

Consideratoche un elevato numero di trattamenti idonei a rivelare lo stato di salute e lavita sessuale è effettuato per finalità di prevenzione o di cura, per lagestione di servizi socio-sanitari, per ricerche scientifiche o per lafornitura all'interessato di prestazioni, beni o servizi;

Vistol'art. 167 del Codice;

Vistol'art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati inviolazione della disciplina rilevante in materia di trattamento di datipersonali non possono essere utilizzati;

Vistigli articoli 31 e seguenti del Codice e il disciplinare tecnico di cuiall'Allegato B) al Codice in materia di protezione dei dati personali recantinorme e regole sulle misure di sicurezza;

Vistol'art. 41 del Codice;

Vistigli articoli 42 e seguenti del Codice in materia di trasferimento di datipersonali all'estero;

Vistigli atti d'ufficio;

Vistele osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

Relatorela dott.ssa Giovanna Bianchi Clerici;

Autorizza

a)gli esercenti le professioni sanitarie a trattare i dati idonei a rivelare lostato di salute, qualora i dati e le operazioni siano indispensabili pertutelare l'incolumità fisica o la salute di un terzo o della collettività, e ilconsenso non sia prestato o non possa essere prestato per effettivairreperibilità;

b)gli organismi e le case di cura private, nonché ogni altro soggetto privato, atrattare con il consenso i dati idonei a rivelare lo stato di salute e la vitasessuale;

c)gli organismi sanitari pubblici, istituiti anche presso università, ivicompresi i soggetti pubblici allorché agiscano nella qualità di autoritàsanitarie, a trattare i dati idonei a rivelare lo stato di salute, qualoraricorrano contemporaneamente le seguenti condizioni:

1) iltrattamento sia finalizzato alla tutela dell'incolumità fisica e della salutedi un terzo o della collettività;

2)manchi il consenso (articolo 76, comma 1, lett. b), del Codice), in quanto nonsia prestato o non possa essere prestato per effettiva irreperibilità;

3) nonsi tratti di attività amministrative correlate a quelle di prevenzione,diagnosi, cura e riabilitazione ai sensi dell'art. 85, commi 1 e 2, del Codice;

d)anche soggetti diversi da quelli di cui alle lettere a), b) e c) a trattare idati idonei a rivelare lo stato di salute e la vita sessuale, qualora iltrattamento sia necessario per la salvaguardia della vita o dell'incolumitàfisica di un terzo. Se la medesima finalità riguarda l'interessato equest'ultimo non può prestare il proprio consenso per impossibilità fisica, perincapacità di agire o per incapacità d'intendere o di volere, il consenso è manifestatoda chi esercita legalmente la potestà, ovvero da un prossimo congiunto, da unfamiliare, da un convivente o, in loro assenza, dal responsabile dellastruttura presso cui dimora l'interessato.

Perl'informativa e, ove previsto, il consenso si osservano anche le disposizionidi cui agli articoli 13, 23, 26 e da 75 a 82 del Codice.

1) Ambito di applicazione e finalità deltrattamento.

1.1.L'autorizzazione è rilasciata:

a) aimedici-chirurghi, ai farmacisti, agli odontoiatri, agli psicologi e agli altriesercenti le professioni sanitarie iscritti in albi o in elenchi;

b) alpersonale sanitario infermieristico, tecnico e della riabilitazione cheesercita l'attività in regime di libera professione;

c) alleistituzioni e agli organismi sanitari privati, anche quando non operino inrapporto con il servizio sanitario nazionale.

In talicasi, l'autorizzazione è rilasciata anche per consentire ai destinatari diadempiere o di esigere l'adempimento di specifici obblighi o di eseguirespecifici compiti previsti da leggi, dalla normativa comunitaria o daregolamenti, in particolare in materia di igiene e di sanità pubblica, diprevenzione delle malattie professionali e degli infortuni, di diagnosi e cura,ivi compresi i trapianti di organi e tessuti, di riabilitazione degli stati diinvalidità e di inabilità fisica e psichica, di profilassi delle malattieinfettive e diffusive, di tutela della salute mentale, di assistenzafarmaceutica, di medicina scolastica e di assistenza sanitaria alle attivitàsportive o di accertamento, in conformità alla legge, degli illeciti previstidall'ordinamento sportivo. Il trattamento può riguardare anche la compilazionedi cartelle cliniche, di certificati e di altri documenti di tipo sanitario,ovvero di altri documenti relativi alla gestione amministrativa la cuiutilizzazione sia necessaria per i fini appena indicati.

Qualorail perseguimento di tali fini richieda l'espletamento di compiti diorganizzazione o di gestione amministrativa, i destinatari della presenteautorizzazione devono esigere che i responsabili e gli incaricati deltrattamento preposti a tali compiti osservino le stesse regole di segretezzaalle quali sono sottoposti i medesimi destinatari della presenteautorizzazione, nel rispetto di quanto previsto anche dall'art. 83, comma 1,del Codice.

1.2.L'autorizzazione è rilasciata, altresì, ai seguenti soggetti:

a) allepersone fisiche o giuridiche, agli enti, alle associazioni e agli altriorganismi privati, per scopi di ricerca scientifica, anche statistica, finalizzataalla tutela della salute dell'interessato, di terzi o della collettività incampo medico, biomedico o epidemiologico, allorché si debba intraprendere unostudio delle relazioni tra i fattori di rischio e la salute umana anche conriguardo a studi nell'ambito della sperimentazione clinica di farmaci, oindagini su interventi sanitari di tipo diagnostico, terapeutico o preventivo,ovvero sull'utilizzazione di strutture socio-sanitarie, e la disponibilità didati solo anonimi su campioni della popolazione non permetta alla ricerca diraggiungere i suoi scopi. In tali casi, il trattamento può comprendere anchedati idonei a rivelare la vita sessuale e l'origine razziale ed etica solo oveindispensabili per il raggiungimento delle finalità della ricerca. Inoltre,occorre acquisire il consenso (in conformità a quanto previsto dagli articoli106, 107 e 110 del Codice), e il trattamento successivo alla raccolta non devepermettere di identificare gli interessati anche indirettamente, salvo chel'abbinamento al materiale di ricerca dei dati identificativi dell'interessatosia temporaneo ed essenziale per il risultato della ricerca, e sia motivato,altresì, per iscritto. I risultati della ricerca non possono essere diffusi senon in forma anonima. Resta fermo quanto previsto dall'art. 98 del Codice;

b) alleorganizzazioni di volontariato o assistenziali, limitatamente ai dati e alleoperazioni indispensabili per perseguire scopi determinati e legittimiprevisti, in particolare, nelle rispettive norme statutarie;

c) allecomunità di recupero e di accoglienza, alle case di cura e di riposo,limitatamente ai dati e alle operazioni indispensabili per perseguire scopideterminati e legittimi previsti, in particolare, nelle rispettive normestatutarie;

d) aglienti, alle associazioni e alle organizzazioni religiose riconosciute,relativamente ai dati e alle operazioni indispensabili per perseguire scopideterminati e legittimi nei limiti di quanto stabilito dall'art. 26, comma 4,lett. a), del Codice, fermo restando quanto previsto per le confessionireligiose dagli articoli 26, comma 3, lett. a), e 181, comma 6, del Codice edall'autorizzazione n. 3/2012;

e) allepersone fisiche e giuridiche, alle imprese, anche sociali, agli enti, alleassociazioni e ad altri organismi, limitatamente ai dati, ove necessarioattinenti anche alla vita sessuale, e alle operazioni indispensabili peradempiere agli obblighi, anche precontrattuali, derivanti da un rapporto difornitura all'interessato di beni, di prestazioni o di servizi.

Se ilrapporto intercorre con istituti di credito, imprese assicurative o riguardavalori mobiliari, devono considerarsi indispensabili i soli dati ed operazioninecessari per fornire specifici prodotti o servizi richiesti dall'interessato.Il rapporto può riguardare anche la fornitura di strumenti di ausilio per lavista, per l'udito o per la deambulazione;

f) allepersone fisiche e giuridiche, agli enti, alle associazioni e agli altriorganismi che gestiscono impianti o strutture sportive, limitatamente ai dati ealle operazioni indispensabili per accertare l'idoneità fisica allapartecipazione ad attività sportive o agonistiche;

g) allepersone fisiche e giuridiche e ad altri organismi, limitatamente ai dati deibeneficiari e dei donatori e alle operazioni indispensabili per effettuaretrapianti di organi e tessuti, nonché donazioni di sangue.

1.3.La presente autorizzazione è rilasciata, altresì, quando il trattamento deidati idonei a rivelare lo stato di salute e la vita sessuale sia necessarioper:

a) losvolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000,n. 397, o comunque per far valere o difendere un diritto anche da parte di unterzo in sede giudiziaria, nonché in sede amministrativa o nelle procedure diarbitrato e di conciliazione nei casi previsti dalle leggi, dalla normativacomunitaria, dai regolamenti o dai contratti collettivi, sempre che il dirittosia di rango pari a quello dell'interessato, ovvero consistente in un dirittodella personalità o in altro diritto o libertà fondamentale e inviolabile, e idati siano trattati esclusivamente per tali finalità e per il periodostrettamente necessario per il loro perseguimento;

b)adempiere o esigere l'adempimento di specifici obblighi o per eseguirespecifici compiti previsti dalla normativa comunitaria, da leggi, daregolamenti o da contratti collettivi per la gestione del rapporto di lavoro,nonché dalla normativa in materia di previdenza e assistenza o in materia diigiene e sicurezza del lavoro o della popolazione, nei limiti previsti dallaautorizzazione generale del Garante n. 1/2012 e ferme restando le disposizioni del codice dideontologia e di buona condotta di cui all'articolo 111 del Codice.

1.4.Il trattamento di dati genetici resta autorizzato nei limiti e alle condizioniindividuati nell'autorizzazione adottata ai sensi dell'art. 90 del Codice.

2) Categorie di dati oggetto di trattamento.


Primadi iniziare o proseguire il trattamento i sistemi informativi e i programmiinformatici sono configurati riducendo al minimo l'utilizzazione di datipersonali e di dati identificativi, in modo da escluderne il trattamento quandole finalità perseguite nei singoli casi possono essere realizzate mediante,rispettivamente, dati anonimi od opportune modalità che permettano diidentificare l'interessato solo in caso di necessità, in conformità all'art. 3del Codice.

Iltrattamento può avere per oggetto i dati strettamente pertinenti ai sopraindicati obblighi, compiti o finalità che non possano essere adempiuti orealizzati, caso per caso, mediante il trattamento di dati anonimi o di datipersonali di natura diversa, e può comprendere le informazioni relative a statidi salute pregressi.
Devono essere considerate sottoposte all'ambito diapplicazione della presente autorizzazione anche le informazioni relative ainascituri, che devono essere trattate alla stregua dei dati personali inconformità a quanto previsto dalla citata raccomandazione N. R (97) 5 delConsiglio d'Europa.

3) Modalità di trattamento.


Fermirestando gli obblighi previsti dagli articoli 11 e 14 del Codice, nonché dagliarticoli 31 e seguenti del Codice e dall'Allegato B) al medesimo Codice, iltrattamento dei dati sensibili deve essere effettuato unicamente conoperazioni, nonché con logiche e mediante forme di organizzazione dei datistrettamente indispensabili in rapporto ai sopra indicati obblighi, compiti ofinalità.

Idati sono raccolti, di regola, presso l'interessato.

Lacomunicazione di dati all'interessato deve avvenire di regola direttamente aquest'ultimo o a un suo delegato (fermo restando quanto previsto dall'art. 84,comma 1, del Codice), in plico chiuso o con altro mezzo idoneo a prevenire laconoscenza da parte di soggetti non autorizzati, anche attraverso la previsionedi distanze di cortesia.

Perle informazioni relative ai nascituri, il consenso è prestato dalla gestante.Dopo il raggiungimento della maggiore età l'informativa è fornitaall'interessato anche ai fini della acquisizione di una nuova manifestazionedel consenso quando questo è necessario (art. 82, comma 4, del Codice).

4) Conservazione dei dati.


Nelquadro del rispetto dell'obbligo previsto dall'art. 11, comma 1, lett. e) delCodice, i dati possono essere conservati per un periodo non superiore a quellonecessario per adempiere agli obblighi o ai compiti sopra indicati, ovvero perperseguire le finalità ivi menzionate. A tal fine, anche mediante controlliperiodici, deve essere verificata costantemente la stretta pertinenza, noneccedenza e indispensabilità dei dati rispetto al rapporto, alla prestazione oall'incarico in corso, da instaurare o cessati, anche con riferimento ai datiche l'interessato fornisce di propria iniziativa. I dati che, anche a seguitodelle verifiche, risultano eccedenti o non pertinenti o non indispensabili nonpossono essere utilizzati, salvo che per l'eventuale conservazione, a norma dilegge, dell'atto o del documento che li contiene.

Specificaattenzione è prestata per l'indispensabilità dei dati riferiti a soggettidiversi da quelli cui si riferiscono direttamente le prestazioni e gliadempimenti.

5) Comunicazione e diffusione dei dati.


Salvoquanto previsto per i dati genetici nell'autorizzazione adottata ai sensidell'art. 90 del Codice, i dati idonei a rivelare lo stato di salute possonoessere comunicati, nei limiti strettamente pertinenti agli obblighi, ai compitie alle finalità di cui al punto 1), a soggetti pubblici e privati, ivi compresii fondi e le casse di assistenza sanitaria integrativa, le aziende che svolgonoattività strettamente correlate all'esercizio di professioni sanitarie o allafornitura all'interessato di beni, di prestazioni o di servizi, gli istituti dicredito e le imprese assicurative, le associazioni od organizzazioni divolontariato e i familiari dell'interessato.

Aisensi degli artt. 22, comma 8, e 26, comma 5, del Codice, i dati idonei arivelare lo stato di salute non possono essere diffusi.

Idati idonei a rivelare la vita sessuale non possono essere diffusi, salvo ilcaso in cui la diffusione riguardi dati resi manifestamente pubblicidall'interessato e per i quali l'interessato stesso non abbia manifestatosuccessivamente la sua opposizione per motivi legittimi.

6) Richieste di autorizzazione.


Ititolari dei trattamenti che rientrano nell'ambito di applicazione dellapresente autorizzazione non sono tenuti a presentare una richiesta diautorizzazione a questa Autorità, qualora il trattamento che si intendeeffettuare sia conforme alle prescrizioni suddette.

Lerichieste di autorizzazione pervenute o che perverranno anche successivamentealla data di adozione del presente provvedimento, devono intendersi accolte neitermini di cui al provvedimento medesimo.

IlGarante non prenderà in considerazione richieste di autorizzazione pertrattamenti da effettuarsi in difformità alle prescrizioni del presenteprovvedimento, salvo che, ai sensi dell'art. 41 del Codice, il loroaccoglimento sia giustificato da circostanze del tutto particolari o dasituazioni eccezionali non considerate nella presente autorizzazione, relative,ad esempio, al caso in cui la raccolta del consenso comporti un impiego dimezzi manifestamente sproporzionato in ragione, in particolare, del numero dipersone interessate.

7) Norme finali.


Restanofermi gli obblighi previsti da norme di legge o di regolamento o dallanormativa comunitaria che stabiliscono divieti o limiti più restrittivi inmateria di trattamento di dati personali e, in particolare:

a)dall'art. 5, comma 2, della legge 5 giugno 1990, n. 135, come modificatodall'art. 178 del Codice, secondo cui la rilevazione statistica della infezioneda HIV deve essere effettuata con modalità che non consentano l'identificazionedella persona;

b)dall'art. 11 della legge 22 maggio 1978, n. 194, il quale dispone che l'enteospedaliero, la casa di cura o il poliambulatorio nei quali è effettuato unintervento di interruzione di gravidanza devono inviare all'autorità sanitariacompetente per territorio una dichiarazione che non faccia menzionedell'identità della donna;

c)dall'art. 734-bis del codice penale, il quale vieta la divulgazione nonconsensuale delle generalità o dell'immagine della persona offesa da atti diviolenza sessuale.

Restanoaltresì fermi gli obblighi di legge che vietano la rivelazione senza giustacausa e l'impiego a proprio o altrui profitto delle notizie coperte dal segretoprofessionale, nonché gli obblighi deontologici previsti, in particolare, dalcodice di deontologia medica adottato dalla Federazione nazionale degli ordinidei medici chirurghi e degli odontoiatri.

Restaferma, infine, la possibilità di diffondere dati anonimi anche aggregati e diincluderli, in particolare, nelle pubblicazioni a contenuto scientifico o finalizzateall'educazione, alla prevenzione o all'informazione di carattere sanitario.

8) Efficacia temporale e disciplina transitoria.


Lapresente autorizzazione ha efficacia a decorrere dal 1∞ gennaio 2013 fino al 31dicembre 2013, salve eventuali modifiche che il Garante ritenga di doverapportare in conseguenza di eventuali novità normative rilevanti in materia.

Lapresente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblicaitaliana.

Roma, 13 dicembre 2012

Il Presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia