ASPETTI PECULIARI DEL TRATTAMENTO DI DATI PERSONALI NEGLI ORGANISMI SANITARI PUBBLICI.

1. Introduzione 1
2. Dato personale 1
3. Titolare e responsabile del trattamento 2
4. Notifica al garante 3
5. Modalita’ di trattamento dei dati 3
6. Diritti dell’interessato 4
7. Trattamenti dei dati personali da parte di soggetti pubblici 5
7.1 Comunicazione e diffusione di dati da parte di soggetti pubblici. 5
8. Dati sensibili 6
9. Trattamento dei dati sensibili negli enti pubblici. 7
9.1 Attività di rilevante interesse pubblico 7
10 Dati inerenti la salute 8
10.1 Il consenso 8
10.2 Comunicazione e diffusione di dati inerenti la salute 9
10.3 Conservazione dei dati sanitari 9
10.4 Dati genetici 10
10.5 Prescrizioni mediche, ricerca medica ed epidemiologica e carte sanitarie elettroniche 10

1. INTRODUZIONE
L’applicazione della normativa in materia di trattamento dei dati personali nelle Aziende Sanitarie Pubbliche comporta la lettura coordinata di una pluralità di disposizioni.
La Legge 31.12.1996 n. 675, in tema di “Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali”, disciplina i principi fondamentali cui devono attenersi i soggetti che effettuano trattamenti di dati[i]; tale normativa và integrata con quanto dettato in tema “trattamento dei dati sensibili da parte di soggetti pubblici”, con le “Disposizioni per garantire la riservatezza dei dati personali in ambito sanitario”[ii], con le autorizzazioni del Garante per la Protezione dei Dati Personali[iii], nonché con un’ormai ampio numero di provvedimenti del medesimo Garante, dovendo peraltro considerarsi la giurisprudenza in via di formazione sull’argomento.
Scopo del presente contributo, anche alla luce dell’imminente approvazione del Decreto Legislativo in materia di trattamento dei dati sanitari previsto dall’art. 23 della L. n. 675/’96[iv], è di evidenziare, tramite il coordinamento e il raccordo fra le disposizioni sopra menzionate, alcune peculiarità del trattamento dei dati in un’Azienda Sanitaria rispetto alla disciplina generale, in considerazione della natura pubblica dei soggetti titolari, e delle caratteristiche dei dati trattati, spesso di carattere sanitario, cercando di sottolineare i possibili aspetti controversi individuando le soluzioni corrette.

2. DATO PERSONALE
L’art. 1 c. 2 lett. c) L. n. 675’96 definisce il dato personale come “Qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale”. Si tratta di una definizione assai ampia, nella quale possono confluire molte delle informazioni trattate in un’Azienda Sanitaria, in virtù del requisito della riferibilità (anche) indiretta all’interessato dei dati trattati.
E’ opportuno pertanto che a fronte di ogni informazione ci si interroghi se la stessa sia o meno riconducibile alla definizione legislativa di dato personale, onde effettuarne o meno il trattamento (raccolta, comunicazione, diffusione, ecc) in conformità agli istituti previsti dalla normativa. Tuttavia nella prassi può non essere semplice valutare se un dato abbia o meno le caratteristiche di cui alla L. n. 675/’96; ad esempio, se ciò è pacifico nel caso di un dato anagrafico, più problematica può essere la valutazione di informazioni formalmente anonime ma in qualche misura “riferibili” a una persona.
In particolare, il Garante ha ritenuto che la pubblicazione su una rivista medica delle riproduzioni di radiografie, accompagnate dal nome di battesimo, dall’età e da indicazioni di carattere diagnostico riferite a una persona, per quanto corredate da un incompleto riferimento nominativo, potrebbero rappresentare un dato personale, specie se il nome pubblicato è alquanto inusuale nel contesto italiano. Infatti per avere un dato personale “non è necessario che il soggetto sia identificato mediante i suoi completi riferimenti anagrafici, essendo sufficiente che sia più semplicemente identificabile anche indirettamente. L’identificabilità sussisteva anche nel caso di specie, in ragione delle speciali circostanze legate al particolare nome di battesimo associato all’età della persona e alle modalità di ampia diffusione (…). La messa a disposizione della rivista per la sua consultazione presso gli ambulatori medici, ha in qualche misura acuito il rischio che una molteplicità di soggetti abbia potuto agevolmente ricollegare i dati all’interessato, visto che nello stesso ambito territoriale di diffusione, persone legate da rapporti di parentela, amicizia o conoscenza con la stessa hanno potuto visionare la rivista ed apprendere, in tale modo, notizie riguardanti il relativo stato di salute”. Il Garante conclude suggerendo l’adozione di modalità operative che consentano di contemperare la tutela della riservatezza dell’interessato con l’informazione a contenuto scientifico “L’utilizzo, ad esempio, delle sole iniziali, o di nomi di fantasia o di codici numerici avrebbe permesso di contemperare le esigenze della ricerca medica con il diritto alla riservatezza”.[v]

3. TITOLARE E RESPONSABILE DEL TRATTAMENTO
L’art. 1 c. 2 lett. d) della L. n. 675/’96 definisce “titolare”, “la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le decisioni in ordine alle finalità ed alle modalità del trattamento di dati personali, ivi compreso il profilo della sicurezza”. Il Garante è intervenuto più volte per chiarire che il Titolare non deve identificarsi con la persona fisica che ha la legale rappresentanza dell’Ente, bensì con la persona giuridica nel suo complesso.
Il Titolare può procedere alla nomina di uno o più Responsabili, la cui designazione sarà tanto più opportuna in relazione alle dimensioni dell’Ente Titolare e alla complessità dei trattamenti effettuati[vi]. Nella prassi accade spesse che le Aziende Sanitarie, per lo svolgimento dei loro compiti, si avvalgano di soggetti terzi, i quali, in forza di atti convenzionali, si obblighino a prestare determinati servizi che per la loro natura richiedono il trattamento di dati personali dei cittadini, previa comunicazione dei medesimi dati da parte delle strutture sanitarie; si pensi ad esempio al servizio di archiviazione di cartelle cliniche, ai numerosi servizi di carattere sociale (servizi di assistenza domiciliare integrata, di inserimento lavorativo per persone disabili, ecc), o alle erogazioni di particolari prodotti effettuate direttamente al domicilio dei pazienti (protesi, prodotti alimentari per soggetti nefropatici, ossigenoterapia, ecc), la cui erogazione, anziché essere effettuata direttamente dalle strutture pubbliche, viene appaltata a terzi. Con riferimento a tali fattispecie il Garante, con Provvedimento del 16.02.2001, ha ricordato che “nello svolgimento dei propri compiti istituzionali il soggetto pubblico può ricorrere a privati affidando ad essi determinate attività anche attraverso concessioni, appalti o convenzioni. In tal caso, a garanzia della tutela della riservatezza dei dati personali trattati dal soggetto privato, è necessario che la convenzione contenga espresse disposizioni relative alla nomina del responsabile e dei soggetti incaricati del trattamento e alle garanzie per la sicurezza dei trattamenti e dei dati”[vii]. Concludendo sul punto, il Responsabile potrà essere nominato sia fra i soggetti interni all’Azienda Sanitaria, ad esempio un Primario Ospedaliero o un Dirigente Amministrativo, sia fra quelli esterni, integrando in tale ipotesi la fattispecie del c.d. trattamento in out sourcing.

4. NOTIFICA AL GARANTE
L’art. 7 c. 1 L. n. 675/’96 prevede che “Il titolare che intenda procedere ad un trattamento di dati personali soggetto al campo di applicazione della presente legge è tenuto a darne notificazione al Garante”, il c 5 bis del medesimo articolo aggiunge che “La notificazione in forma semplificata può non contenere taluno degli elementi di cui al comma 4, lettere b) (finalità e modalità del trattamento), c) (natura dei dati, luogo ove sono custoditi, e le categorie di interessati cui si riferiscono) e) (i trasferimenti dei dati verso paesi non appartenenti all’U.E. o, qualora riguardino dati sensibili, fuori dal territorio nazionale) e g) (l’indicazione della banca di dati o delle banche di dati cui si riferisce il trattamento, nonché l’eventuale connessione con altri trattamenti o banche di dati), individuati dal Garante ai sensi del regolamento di cui all’articolo 33, comma 3, quando il trattamento è effettuato: (…) da soggetti pubblici, sulla base di espressa disposizione di legge ai sensi degli articoli 22, comma 3, e 24, ovvero del provvedimento di cui al medesimo articolo 24”. Per contro, in base al comma 5-ter “Il trattamento non è soggetto a notificazione quando: (…) è necessario per l’assolvimento di un compito previsto dalla legge, da un regolamento o della normativa comunitaria, relativamente a dati diversi da quelli indicati negli articoli 22 e 24”.
Dal combinato disposto delle norme di cui sopra risulta pertanto che le Aziende Sanitarie Pubbliche devono effettuare la notifica in forma semplificata, come lo stesso Garante ha avuto modo di chiarire rispondendo ad un quesito in data 22.05.1998; “La notificazione del trattamento di dati sulla salute da parte di un’Azienda Ospedaliera va effettuata in forma semplificata. Sono invece esclusi dall’obbligo di notificazione i trattamenti di dati “ordinari”, effettuati da soggetti sia pubblici sia privati, necessari all’adempimento di un obbligo di legge, di regolamento o della normativa comunitaria.”

5. MODALITA’ DI TRATTAMENTO DEI DATI
L’art. 9 L. n. 675/’96 disciplina le modalità di trattamento dei dati, precisando che le stesse devono essere incentrate, in generale, sul rispetto del c.d. principio di finalità, in base al quale occorre sempre verificare la sussistenza della correlazione tra il trattamento dei dati e le finalità per il quale gli stessi sono stati raccolti[viii].
Il Garante è intervenuto in più occasioni per tutelare il rispetto di tale principio nell’attività sanitaria, segnalando la necessità che le informazioni in possesso del personale medico per lo svolgimento delle proprie funzioni, non vengano comunicate in misura sovrabbondante, seppur per lo svolgimento dei compiti d’ufficio, ad altri soggetti facenti parte della struttura sanitaria.
In particolare si sono stigmatizzate alcune prassi che consentivano al personale amministrativo di venire a conoscenza di dati strettamente sanitari degli assistiti; informazioni ovviamente non indispensabili allo svolgimento delle funzioni di contabilità, di rendicontazione, di controllo, ecc. attribuite dalla legge a tali organi.
Si veda in questo senso quanto affermato dal Garante in data 13.02.1998 in risposta ad alcuni quesiti; “Da alcune segnalazioni pervenute risulta che le richieste di indagine o di visita, corredate di tutte le indicazioni in esse contenute, vengono trasmesse anche ad Uffici amministrativi e a personale non medico, nel corso di procedimenti volti a registrare le diverse operazioni, specie in vista della contabilizzazione e del rimborso delle spese effettuate (…). Si ritiene necessario che per alcuni adempimenti di carattere amministrativo, vengano predisposti moduli differenti, o tali da consentire una compilazione differenziata. Infatti, determinate fasi procedurali possono essere espletate prescindendo dall’indicazione di alcuni dati relativi alle patologie riscontrate nell’assistito. E’ quindi opportuno che le amministrazioni interessate individuino per quali trattamenti sia indispensabile l’indicazione delle patologie riscontrate negli assistiti e degli altri dati relativi alla loro salute. Le amministrazioni potrebbero predisporre formulari che potrebbero rendere superfluo il trattamento di alcuni dati quando ciò non è strettamente necessario per il perseguimento delle finalità di ogni singola fase procedurale”.
I medesimi principi sono rinvenibili in un Parere del Garante del 07.01.1999; “Il primario della divisione malattie infettive chiede il parere in ordine alla richiesta di trasmissione dei dati nominali e di indicazione terapeutiche relative ai pazienti affetti da AIDS, pervenutagli dal proprio Direttore Generale. La suddetta richiesta comporta la trasmissione di dati, da parte della Divisione Malattie Infettive, di estrema delicatezza e sensibilità, dai quali non solo si desume chiaramente l’identità di tutti gli ammalati di AIDS che sono stati ricoverati presso tale struttura, ma altresì il tipo di terapie cui gli stessi sono stati sottoposti. (…). La trasmissione dei sopra citati dati personali sensibili alla Direzione Sanitaria, motivata da esigenze di rilevamento di dati concernenti il consumo dei farmaci, appare non conforme al preciso dettato normativo della L. n. 135/1990. Le finalità perseguite dalla Direzione dell’U.S.L. sono di tipo statistico-contabile, pertanto rilevazioni e controlli sul numero delle presenze, sulla durata dei periodi di degenza, sul tipo di farmaci somministrati dovrebbero avvenire attraverso rilevazioni che siano in grado di preservare l’anonimato dei soggetti interessati”.

6. DIRITTI DELL’INTERESSATO
Sono dettagliatamente indicati nell’art. 13 L. n. 675/’96[ix]. Si tratta di una delle norme la cui applicazione ha dato origine a un considerevole numero di controversie, anche fra il Garante e l’Autorità Giurisdizionale, soprattutto in materia di lavoro, a causa dei “confini” circa il diritto del datore di escludere il lavoratore dalla conoscenza di alcune informazioni legate a giudizi valutativi che lo riguardano[x].
Con riferimento all’esercizio dei diritti dell’interessato rispetto ai dati inerenti la salute trattati dalle Aziende Sanitarie, occorre evidenziare che la concreta portata degli stessi risulterà talvolta più circoscritta di quanto previsto in generale nell’articolo 13.
Infatti i dati del paziente, nel momento in cui vengono “versati” nella documentazione medica, cessano di essere di esclusiva pertinenza del medesimo, in conseguenza della rilevanza pubblicistica rivestita dall’attività esercitata dagli organismi sanitari pubblici. In particolare, potrebbe essere necessario addivenire ad un contemperamento fra l’esercizio da parte dell’interessato di uno dei diritti previsti dall’articolo 13 della L. n. 675/’96 e gli obblighi legati alla conservazione e alla disponibilità di atti pubblici, quali sono, ad esempio, le cartelle cliniche.
Infatti, a fronte della richiesta di un cittadino finalizzata ad ottenere da parte di una A.S.L. la cancellazione di alcuni dati contenuti nella propria cartella clinica, il Garante ha chiarito che “la disciplina della conservazione e distruzione della cartella clinica rientra nell’ambito di applicazione del D.P.R. n. 1409 del 30.09.1963 sullo scarto degli atti d’archivio (integrato dal D.M. 16.12.1986 e dalla Circ. 19.12.1996 del Ministero della Sanità)”. Tuttavia deve riconoscersi all’interessato il diritto di ottenere “l’eventuale aggiornamento o rettificazione, oppure, per motivi legittimi ed oggettivi, l’integrazione, attraverso, ad esempio, la richiesta di inserimento od apposizione nella cartella clinica di annotazioni relative alle risultanze di accertamenti successivamente effettuati dall’interessato presso organismi sanitari accreditati.”.
In un altro caso, a fronte del rifiuto espresso dal personale di una Azienda U.S.L. in merito alla richiesta formulata da un privato finalizzata ad “ottenere copia delle riproduzioni fotografiche relative a una ecografia effettuata presso un Presidio Ospedaliero”, motivato dalla circostanza che “la tecnologia in uso non consente a posteriori la riproduzione delle immagini che pertanto sono in copia unica e non riproducibili in originale”, il Garante ha rigettato, in data 11.04.2000, il ricorso proposto dal cittadino poiché “L’art. 13 della Legge n. 675/1996 non prevede la necessaria consegna della documentazione o dei supporti sui quali i dati sono conservati, in quanto obbliga, più precisamente, il titolare e il responsabile del trattamento ad estrapolare dai propri archivi e documenti tutte le informazioni su supporto cartaceo o informatico che riguardano il richiedente e a riferirle a quest’ultimo con modalità idonee a rendere i dati facilmente comprensibili”.

7. TRATTAMENTI DEI DATI PERSONALI DA PARTE DI SOGGETTI PUBBLICI
L’art. 27 c. 1 stabilisce che “Salvo quanto previsto dal comma 2 (in tema di comunicazione e diffusione) il trattamento di dati personali da parte di soggetti pubblici è consentito soltanto per lo svolgimento delle funzioni istituzionali, nei limiti stabiliti dalle leggi e dai regolamenti”; tale norma deve coordinarsi con l’art. 3 del D.Lgs. 11.05.1999 n. 135[xi], che specifica alcuni principi in tema di modalità di trattamento dei dati negli Enti Pubblici.
Il Garante ha più volte chiarito che per gli Enti Pubblici, a differenza di quanto stabilito per i soggetti privati, la condizione legittimante il trattamento non è da ravvisarsi nel consenso dell’interessato, quanto in una disposizione di Legge che autorizzi il trattamento; in merito si è più volte ribadito che gli Enti Pubblici, “a differenza dei privati non devono richiedere il consenso degli interessati per poter trattare i dati riferiti a persone fisiche o giuridiche; devono verificare piuttosto che i singoli trattamenti siano riconducibili, al pari dei dati trattati, alle proprie finalità istituzionali”[xii].

7.1 Comunicazione e diffusione di dati da parte di soggetti pubblici.
Comunicazione e diffusione sono regolati in modo diverso a seconda che siano effettuati nei confronti di soggetti pubblici, nel qual caso “sono ammesse quando siano previste da norme di legge o di regolamento, o risultino comunque necessarie per lo svolgimento delle funzioni istituzionali. In tale ultimo caso deve esserne data previa comunicazione (…) al Garante che vieta, con provvedimento motivato, la comunicazione o la diffusione se risultano violate le disposizioni della presente legge”; se effettuate verso soggetti privati invece sono “ammesse solo se previste da norme di legge o di regolamento”[xiii].
Con riferimento alle comunicazioni di dati effettuate da Enti Pubblici nei confronti di Aziende Sanitarie, occorre sottolineare la liceità della trasmissione di dati anagrafici da parte di Enti Locali; si veda in questo senso una pronuncia del Garante del 31.12.1998; “In merito al quesito formulato dalla Prefettura, in ordine alla possibilità per un’Azienda Sanitaria di ottenere dai Comuni elenchi anagrafici della popolazione e i relativi aggiornamenti periodici, al fine di effettuare uno screening dei tumori, si segnala che la normativa sugli atti anagrafici prevede la possibilità per l’Ufficiale dell’Anagrafe di rilasciare elenchi di iscritti nell’anagrafe della popolazione residente alle Amministrazioni Pubbliche che ne facciano motivata richiesta per esclusivo uso di pubblica utilità (art. 34 c. 1 D.P.R. n. 223/’89); pertanto i Comuni possono comunicare alla A.S.L. gli elenchi degli iscritti nelle anagrafi della popolazione residente”.
L’esistenza di una norma che autorizza il trattamento è dunque una condizione necessaria del trattamento da parte dell’Ente Pubblico; tuttavia nella prassi non sempre è anche sufficiente. Infatti le norme che espressamente consentono la comunicazione di dati, devono comunque essere coordinate con i principi dettati dalla L. n. 675/’96[xiv], e ciò anche con riferimento alla gerarchia delle fonti; infatti eventuali norme regolamentari che consentono la comunicazione, non possono comunque derogare a quelle di rango primario che la vietino. Ad esempio, il Garante, in data 31.07.1998, ha avuto modo di intervenire affermando la preminenza della normativa a tutela dei dati personali (L. n. 675/’96, nella parte in cui richiama la Legge 05.06.1990 n. 135), rispetto a quanto disposto in tema di comunicazione degli accertamenti all’idoneità lavorativa, affermando che “il D.M. n. 187/’97 (disciplinante l’accertamento dello stato di inabilità a svolgere un’attività lavorativa), in quanto fonte normativa secondaria, deve essere applicato in conformità alle norme aventi forza di legge; in particolare, la legge n. 675/’96 ha confermato la vigenza delle disposizioni contenute nella Legge 05.06.1990 n. 135 in materia di AIDS[xv].
Un caso peculiare di comunicazione è quello effettuato in conseguenza dell’esercizio del diritto di accesso agli atti amministrativi; in questo senso l’art. 43 c. 2 L. n. 675/’96 stabilisce che “restano ferme le vigenti norme in tema di accesso ai documenti amministrativi”, le quali, anche antecedentemente all’emanazione della L. n. 675/’96, disciplinavano alcune fattispecie in cui la tutela della riservatezza risultava preminente rispetto all’esercizio del diritto di accesso. In particolare l’art. 8 c. 5 lett. d) D.P.R. 27.06.1992 n. 352 prevede che i documenti amministrativi possono essere sottratti all’accesso quando i documenti “riguardino la vita privata o la riservatezza di persone fisiche, di persone giuridiche, gruppi, imprese e associazioni, con particolare riferimento agli interessi epistolare, sanitario, professionale, finanziario, industriale e commerciale di cui siano in concreto titolari, ancorché i relativi dati siano forniti all’amministrazione dagli stessi soggetti cui si riferiscono. Deve comunque essere garantita ai richiedenti la visione degli atti dei procedimenti amministrativi la cui conoscenza sia necessaria per curare o per difendere i loro stessi interessi giuridici”. Il Garante è più volte intervenuto per ribadire come tra la L. n. 241/’90 e la L. n. 675/’96 non vi sia alcuna incompatibilità, ma come le stesse, anche in virtù del rinvio operato dall’art. 27 c. 3 L. n. 675/’96 a norme di legge o regolamento che consentano il trattamento, siano perfettamente coordinate; ad esempio affermando che “La comunicazione e/o la diffusione dei dati da soggetti pubblici a privati o ad enti pubblici economici, come avviene in caso di richiesta di accesso ai sensi della Legge n. 241/’90, è basata non sul consenso degli interessati, ma sull’esigenza di una norma di legge o di regolamento che deve prevedere puntualmente tale comunicazione o diffusione, il che si verifica nel caso di specie, poiché le disposizioni normative in tema di accesso ai documenti amministrativi rappresentano una idonea fonte ai fini dell’applicazione dell’art. 27 c. 3”[xvi], o che “I trattamenti effettuati per consentire l’esercizio del diritto di accesso devono essere effettuati nel rispetto dei principi fissati dalla L. n. 675/’96 e dallo stesso D.Lgs. n. 135/’99, e in particolare, di quelli di pertinenza e di essenzialità dei dati trattati e del rispetto della finalità perseguita”[xvii].
Per quanto riguarda la diffusione dei dati personali si deve sottolineare che le condizioni previste dall’art. 27 c. 3 L. n. 675/’96, vanno coordinate con l’art. 23 c. 4 che prevede il divieto di diffusione dei dati idonei a rivelare lo stato di salute[xviii], nonché tenendo conto che la liceità della diffusione risulta condizionata dall’esistenza di un’apposita disposizione di rango normativo primario o secondario, escludendo pertanto che norme regolamentari meramente interne possano istituire nuove fattispecie di diffusione dei dati personali da parte degli Enti pubblici[xix].

8. DATI SENSIBILI
La Legge n. 675/’96 prevede una diversa disciplina del trattamento dei dati personali, a seconda che gli stessi siano ascrivibili o meno alla categoria dei c.d. “dati sensibili”; questi ultimi sono definiti dall’art. 22 c. 1 “I dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale, possono essere oggetto di trattamento solo con il consenso scritto dell’interessato e previa autorizzazione del Garante”.
Anche in questo caso, come visto in precedenza in tema di individuazione delle informazioni rientranti nella definizione di dato personale, può porsi nella prassi l’interrogativo se un certo dato appartenga alla categoria dei dati personali comuni o sensibili, onde effettuare il trattamento secondo le diverse modalità previste dalla Legge. A tali fini occorre porre particolare attenzione alla lettera della legge che, definendo i dati sensibili come quelli “idonei a rivelare” le diverse situazioni previste nell’art. 23, amplia notevolmente la portata delle possibili informazioni riconducibili a tale categoria, ricomprendendovi anche dati che non contengono direttamente notizie precise sulle fattispecie tutelate.
Ad esempio, il Garante, in data 31.12.1998, rispondendo ad alcuni quesiti sul tema ha chiarito, con riferimento al c.d. Libretto Sanitario Sportivo, che “Il giudizio conclusivo di idoneità all’esercizio dell’attività sportiva agonistica, formulato dai servizi pubblici di Medicina dello Sport, inteso come dato denotante la normalità psicofisica del soggetto, può ritenersi compreso fra i dati personali comuni. Invece il referto di non idoneità, che presuppone nell’interessato o la presenza di patologie o comunque la necessità di evitare potenziali rischi indotti dalla pratica agonistica, assume senza dubbio la connotazione di dato sensibile.” Per analogia, le conclusioni contenute nel suddetto parere possono ovviamente applicarsi ad ogni altro giudizio di idoneità che presuppone una valutazione medica delle condizioni dell’interessato, quale ad esempio quello di idoneità all’impiego (D.P.R. 20.12.1979 n. 761), o quello rilasciato dal medico competente attestante il permanere delle condizioni richieste per svolgere una determinata attività lavorativa (D.Lgs. 19.09.1994 n. 626).

9. TRATTAMENTO DEI DATI SENSIBILI NEGLI ENTI PUBBLICI.
Le condizioni richieste per poter legittimamente effettuare il trattamento dei dati sensibili sono a loro volta differenziate a seconda che il titolare sia un soggetto privato o un Ente Pubblico.
In quest’ultimo caso il trattamento “è consentito solo se autorizzato da espressa disposizione di legge, nella quale siano specificati i tipi di dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite”; “nei casi in cui è specificata, a norma del comma 3, la finalità di rilevante interesse pubblico, ma non sono specificati i tipi di dati e le operazioni eseguibili, i soggetti pubblici, in applicazione di quanto previsto dalla presente legge e dai decreti legislativi di attuazione della legge 31 dicembre 1996, n. 676, in materia di dati sensibili, identificano e rendono pubblici, secondo i rispettivi ordinamenti, i tipi di dati e di operazioni strettamente pertinenti e necessari in relazione alle finalità perseguite nei singoli casi, aggiornando tale identificazione periodicamente”. ex art. 22 c. 3 e 3 bis[xx].
In tale materia il Garante si è pronunciato più volte; fra queste, in data 20/06/2000 ha affermato che “Per i dati aventi natura sensibile, va ricordato che i soggetti pubblici non devono acquisire né il consenso degli interessati, né rispettare l’autorizzazione del Garante, dovendo piuttosto attenersi al disposto dell’art. 22 commi 3 e 3 bis, che consente il trattamento dei predetti dati solo se autorizzato da espresse disposizioni normative che specifichino i dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite.”

9.1 Attività di rilevante interesse pubblico
Il D.Lgs. n. 135/’99 è dunque la normativa che individua una serie di attività “di rilevante interesse pubblico”, in presenza delle quali gli Enti Pubblici cui sono attribuite, possono legittimamente effettuare il trattamento dei dati sensibili. Tra le attività di maggior rilievo ricomprese nel lungo elenco vi sono quelle in tema di documentazione dell’attività amministrativa, ex art. 8 c. 2 D.Lgs. n. 135/’99[xxi]; il Garante ha avuto modo di individuare in tale disposizione il fondamento normativo che consente di inserire dati sensibili negli atti deliberativi degli organi pubblici[xxii]. Altre attività menzionate nella normativa in esame, sono quelle “dirette all’instaurazione ed alla gestione di rapporti di lavoro di qualunque tipo, dipendente o autonomo, anche non retribuito o onorario o a tempo parziale o temporaneo, e di altre forme di impiego che non comportano la costituzione di un rapporto di lavoro subordinato”[xxiii], quelle necessarie “per far valere il diritto di difesa in sede amministrativa o giudiziaria, anche da parte di un terzo, o per ciò che attiene alla riparazione di un errore giudiziario o di un’ingiusta restrizione della libertà personale”[xxiv], e soprattutto quelle che comportano trattamenti di dati “effettuati in conformità alle leggi e ai regolamenti per l’applicazione della disciplina sull’accesso ai documenti amministrativi”[xxv].
Il problema del coordinamento fra le norme sul diritto di accesso agli atti amministrativi, nei casi in cui questi contengano dati sensibili, e la normativa dettata in tema di privacy, è una delle questioni più dibattute in dottrina e giurisprudenza, la complessità della quale esula dal presente contributo. In estrema sintesi, e salvo quanto detto al paragrafo 7.1, si richiama una recentissima sentenza del Consiglio di Stato (sez. VI sent. n. 1882/2001), che ha statuito una differenziazione in ordine alla disciplina applicabile ai trattamenti previsti per l’esercizio del diritto di accesso ai dati sanitari, da quella prevista per i dati sensibili in generale, secondo la quale “Il legislatore, con i commi 1 e 2 dell’art. 16 D.Lgs. 11.05.1999 n. 135, ha consentito il trattamento dei dati sensibili diversi da quelli sulla salute e sulla vita sessuale, mentre avrebbe condizionato l’accesso ai documenti amministrativi contenenti dati sulla salute e sulla vita sessuale ad un giudizio comparativo tra il diritto da far valere e il diritto alla riservatezza dell’interessato. Tale valutazione deve essere fatta in concreto, in modo da evitare soluzioni precostituite poggianti su una astratta scala gerarchica dei diritti in contesa”.
Altre attività di rilevante interesse pubblico che permettono il trattamento di dati sensibili da parte di soggetti pubblici sono quelle effettuate in materia di “tutela della salute”[xxvi], di “interruzione volontaria di gravidanza”[xxvii], di “tossicodipendenze”[xxviii], e di “handicap”[xxix].
Il D.Lgs. n. 135/’99 non è l’unica disposizione in cui sono rinvenibili elencazioni di attività per il perseguimento delle quali gli Enti Pubblici sono autorizzati a trattare dati sensibili, infatti la stessa L. n. 675/’96, all’art. 22 c. 3 ha previsto che nei casi in cui non vi sia alcuna espressa disposizione di legge che autorizzi il trattamento “i soggetti pubblici possono chiedere al Garante (…) l’individuazione delle attività, tra quelle demandate ai medesimi soggetti dalla legge, che perseguono finalità di interesse pubblico e per le quali è conseguentemente autorizzato il trattamento dei dati indicati nel comma 1”. In attuazione del suesposto dettato normativo, il Garante ha emanato il Provvedimento n. 1/2000[xxx], in cui tra l’altro si statuisce che “Il Garante, nelle more di una specificazione legislativa e ai sensi dell’art. 22 c. 3 L. n. 675/’96, individua, tra le attività che le leggi demandano ai soggetti pubblici, le seguenti attività che perseguono rilevanti finalità di interesse pubblico”, fra le quali rientrano in un numeroso elenco, anche quelle “socio assistenziali” e quelle degli Uffici per le Relazioni con il Pubblico.
Oltre al D.Lgs. n. 135/’99 e all’Autorizzazione generale di cui si è detto, in materia di controllo di dichiarazioni sostitutive, l’art. 43 c. 2 D.P.R. 28.12.2000 stabilisce che “Si considera operata per finalità di rilevante interesse pubblico, ai fini di quanto previsto dal D.Lgs. 11.05.1999 n. 135, la consultazione diretta, da parte di una pubblica amministrazione (…) degli archivi di un’amministrazione certificante finalizzata all’accertamento d’ufficio di stati, qualità e fatti ovvero al controllo delle dichiarazioni sostitutive presentate dai cittadini. Per l’accesso diretto ai propri archivi l’amministrazione certificante rilascia all’amministrazione procedente apposita certificazione in cui vengono indicati i limiti e le condizioni di accesso volti ad assicurare la riservatezza dei dati personali ai sensi della normativa vigente”.

10 DATI INERENTI LA SALUTE

10.1 Il consenso
L’art. 23 della L. n. 675/’96 stabilisce che “Gli esercenti le professioni sanitarie e gli organismi sanitari pubblici possono, anche senza l’autorizzazione del Garante, trattare i dati personali idonei a rivelare lo stato di salute, limitatamente ai dati e alle operazioni indispensabili per il perseguimento di finalità di tutela dell’incolumità fisica e della salute dell’interessato. Se le medesime finalità riguardano un terzo o la collettività, in mancanza del consenso dell’interessato, il trattamento può avvenire previa autorizzazione del Garante”.
Tale norma, con riferimento alle Aziende Sanitarie pubbliche, deve essere coordinata con l’art. 22 c. 3, per la quale il trattamento dei dati sensibili[xxxi] può legittimamente essere effettuato solo in presenza di un “espressa disposizione di legge” che autorizzi il trattamento; l’art.’17 c. 1 D.Lgs. 11.05.1999 n. 135 considera “di rilevante interesse pubblico” un’insieme di “attività rientranti nei compiti del servizio sanitario nazionale e degli altri organismi sanitari pubblici”.
Come si è visto, l’art. 23 L. n. 675/’96, per ciò che concerne “gli organismi sanitari pubblici”, in considerazione della particolare rilevanza attribuita alla categoria dei dati inerenti la salute, disciplina il trattamento degli stessi con modalità maggiormente restrittive rispetto a quanto previsto per la generalità dei dati sensibili[xxxii], infatti la facoltà di trattare i dati senza il consenso dell’interessato e senza l’autorizzazione del Garante viene riconosciuta “limitatamente ai dati e alle operazioni indispensabili per il perseguimento di finalità di tutela dell’incolumità fisica e della salute dell’interessato”. Nel caso in cui le “medesime finalità riguardano un terzo o la collettività”, deve essere alternativamente presente “il consenso dell’interessato” o l’autorizzazione del Garante[xxxiii].
A prescindere dalla diversità delle condizioni richieste per effettuare il trattamento dei dati sanitari da parte degli “organismi sanitari pubblici” e degli “esercenti le professioni sanitarie”, si tenga conto che nella prassi i loro rapporti sono compenetrati, costituendo un unicum ai fini dell’erogazione della prestazione sanitaria; si pensi al caso tipico dell’assistito che si reca presso la struttura pubblica per ricevere una prestazione specialistica su prescrizione del proprio medico di medicina generale. Per questo motivo l’emanando Decreto Ministeriale prevederà, tra l’altro, la “validità, nei confronti di più titolari di trattamento, del consenso prestato ai sensi dell’articolo 11 comma 3, per conto di più titolari di trattamento, anche con riguardo alla richiesta di prestazioni specialistiche, alla prescrizione di farmaci, alla raccolta di dati da parte del medico di medicina generale detenuti da altri titolari, e alla pluralità di prestazioni mediche effettuate da un medesimo titolare di trattamento”[xxxiv].

10.2 Comunicazione e diffusione di dati inerenti la salute
In tema di comunicazione di dati sanitari, l’art. 23. c. 3 L. n. 675/’96 prevede che “I dati personali idonei a rivelare lo stato di salute possono essere resi noti all’interessato o ai soggetti di cui al comma 1-ter (da chi esercita legalmente la potestà ovvero da un familiare, da un prossimo congiunto, da un convivente, o, in loro assenza, dal responsabile della struttura presso cui dimori) solo per il tramite di un medico designato dall’interessato o dal titolare”.
Il Garante ha affrontato con una pronuncia del 1999 il problema della comunicazione a terzi dei dati contenuti nella cartella clinica; a fronte della richiesta formulata da una donna affetta da malattia congenita di accedere ai dati sanitari riportati nella cartella clinica del padre, necessaria a consentire agli specialisti di formulare un giudizio circa il rischio di trasmissione della malattia in caso di gravidanza, il Garante ha ritenuto che l’Ospedale debba prima chiedere al padre della donna il consenso scritto all’acquisizione dei dati sanitari contenuti nella cartella clinica, e che, qualora l’interessato opponesse il suo rifiuto, l’Ospedale potrà acquisire i dati sanitari anche senza il suo consenso. E ciò in base alla Legge n. 675 e all’Autorizzazione al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale; infatti, come si è visto in precedenza, agli organismi sanitari pubblici è consentito trattare i dati senza il consenso dell’interessato qualora si debbano tutelare la salute e l’incolumità fisica di terzi o della collettività.
In base al comma 4 dell’art. 23 L. n. 675/’96 “La diffusione dei dati idonei a rivelare lo stato di salute è vietata, salvo nel caso in cui sia necessaria per finalità di prevenzione, accertamento o repressione dei reati, con l’osservanza delle norme che regolano la materia”. Il Garante è intervenuto in data 16.06.1999, in seguito ad alcune dichiarazioni diffuse alla stampa dal personale sanitario di una U.S.L. in merito al ricovero di una minorenne colpita da malore[xxxv], precisando che “La diffusione di dati idonei a rivelare lo stato di salute è vietata, pertanto la divulgazione di dati personali ad organi di stampa, in ordine allo stato di salute di una persona, in assenza di un consenso dell’interessato o dei suoi legittimi rappresentanti, è illegittimo a prescindere dalla loro esattezza”.

10.3 Conservazione dei dati sanitari
L’art. 3 c. 5 D.Lgs. 11.05.1999 n. 135 stabilisce che “I dati idonei a rivelare lo stato di salute (…) sono conservati separatamente da ogni altro dato personale trattato per finalità che non richiedano il suo utilizzo. Al trattamento di tali dati si procede con le modalità di cui al comma 4 (trattati con tecniche di cifratura o mediante l’utilizzazione di codici identificativi o di altri sistemi che, considerato il numero e la natura dei dati trattati, permettono di identificare gli interessati solo in caso di necessità) anche quando detti dati non sono contenuti in elenchi, registri o banche dati o non sono tenuti con l’ausilio di mezzi elettronici o comunque automatizzati”. Il Garante ha avuto modo, pronunciandosi sul tema in data 23/05/2000, di confermare il rigore della norma; “Ci dovrà quindi essere una netta separazione di documenti, qualora fra questi ve ne siano alcuni contenenti dati idonei a rivelare lo stato di salute e la vita sessuale dell’interessato”.

10.4 Dati genetici
La Legge n. 675/’96 e la normativa collegata non forniscono alcuna definizione di “dato genetico”, pertanto si dovrebbe fare riferimento alla Raccomandazione n. 97/5 del Consiglio d’Europa, che definisce i medesimi come “Tutti i dati, indipendentemente dalla tipologia, che riguardano i caratteri ereditari di un individuo o le modalità di trasmissione di tali caratteri nell’ambito di un gruppo di individui legati da un vincolo di parentela”.
L’art. 17 c. 5 D.Lgs. 11.05.1999 n. 135 prevede che “Il trattamento dei dati genetici da chiunque effettuato è consentito nei soli casi previsti da apposita autorizzazione rilasciata dal Garante”. Tale provvedimento al momento non è ancora stato emanato, tuttavia, la citata Autorizzazione n. 2/2000 prevede che “Visto l’art. 17 c. 5 del D.Lgs. 11.05.1999 n. 135 (…) il trattamento dei dati genetici può essere proseguito nei limiti di quanto disposto dalla presente autorizzazione fino al rilascio di una nuova autorizzazione” e che quindi “Devono essere considerati sottoposti all’ambito di applicazione della presente autorizzazione anche i dati genetici, limitatamente alle informazioni e alle operazioni indispensabili per tutelare l’incolumità fisica e la salute di un terzo o della collettività, sulla base del consenso, ai sensi degli articoli 22 e 23. In mancanza del consenso, se il trattamento è volto a tutelare l’incolumità fisica e la salute di un terzo o della collettività, il trattamento può essere iniziato o proseguito solo previa apposita autorizzazione del Garante.”.

10.5 Prescrizioni mediche, ricerca medica ed epidemiologica e carte sanitarie elettroniche
L’art. 4 D.Lgs. 30.07.1999 n. 282, rinviando ad un Decreto Ministeriale non ancora emanato, disciplina i principi necessari a contemperare la riservatezza degli interessati con l’adempimento degli obblighi di legge in materia di prescrizioni di medicinali[xxxvi].
L’art. 5 D.Lgs. 30.07.1999 n. 282 stabilisce regole particolari in tema di “trattamento di dati idonei a rivelare lo stato di salute finalizzato a scopi di ricerca scientifica in campo medico, biomedico o epidemiologico”, prevedendo che in alcuni casi il consenso dell’interessato non sia necessario[xxxvii]. L’Autorizzazione al trattamento dei dati idonei a rivelare lo stato di salute n. 2/2000, al punto 1.2), precisa che “L’autorizzazione è rilasciata alle persone fisiche o giuridiche, agli enti, alle associazioni e agli altri organismi privati, per scopi di ricerca scientifica, anche statistica, finalizzata alla tutela della salute (…) in campo medico, biomedico e epidemiologico, (…) e la disponibilità di dati solo anonimi su campioni della popolazione non permetta alla ricerca d raggiungere i suoi scopi. In tali casi occorre acquisire il consenso (…) e il trattamento successivo alla raccolta non deve permettere di identificare gli interessati anche indirettamente, salvo che l’abbinamento al materiale di ricerca dei dati identificativi dell’interessato sia temporaneo ed essenziale per il risultato della ricerca, e sia motivato, altresì per iscritto. I risultati della ricerca non possono essere diffusi se non in forma anonima”.
L’art. 6 D.Lgs. 30.07.1999 n. 282, a proposito della c.d. Carta Sanitaria Elettronica, introducendo alcune garanzie a tutela degli interessati, quali la facoltà di “opporsi all’inserimento nelle carte dei dati idonei a rivelare lo stato di salute che li riguardano e che eccedano i dati relativi alla gestione amministrativa e alle situazioni di interventi di urgenza, quali definite a livello internazionale”; demanda ad un Decreto Ministeriale l’individuazione delle “categorie di incaricati delle aziende sanitarie locali e di operatori sanitari che possono accedere alle diverse categorie di dati inseriti nelle carte, nonché le categorie professionali tenute ad inserire i dati e il periodo massimo entro i quali i dati devono essere aggiornati”.
****
[i] Artt. 1-6: Principi generali, artt. 7 e 8: Obblighi per il titolare del trattamento, artt. 9-10: Raccolta e requisiti dei dati, artt. 11-14: Diritti dell’interessato nel trattamento dei dati, artt. 15-18: Sicurezza nel trattamento dei dati, limiti alla utilizzabilità dei dati e risarcimento del danno, artt. 19-21: Comunicazione e diffusione dei dati, artt. 22-26: Trattamento di dati particolari, artt. 27-28: Trattamenti soggetti a regime speciale, art 29: Tutela amministrativa e giurisdizionale, artt. 30-33: Garante per la protezione dei dati personali, artt. 34-39: Sanzioni.
[ii] Rispettivamente, il D.Lgs. 11.05.1999 n. 135 e il D.Lgs. 30.07.1999 n. 282.
[iii] Emanate ai sensi dell’art. 41 c. 7 L. 31.12.1996 n. 675, come modificato dall’art. 4 D.Lgs. 09.05.1997 n. 123, per il quale “Le disposizioni della presente legge che prevedono un’autorizzazione del Garante si applicano, limitatamente alla medesima autorizzazione e fatta eccezione per la disposizione di cui all’articolo 28, comma 4, lettera g), a decorrere dal 30 novembre 1997. Le medesime disposizioni possono essere applicate dal Garante anche mediante il rilascio di autorizzazioni relative a determinate categorie di titolari o di trattamenti”. In particolare, il Garante per la Protezione dei Dati Personali ha emanato in data 20.09.2000 la “Autorizzazione al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale (Provvedimento n. 2/2000)” in G.U. Serie Generale n. 229 del 30.09.2000, la cui efficacia temporale si esaurirà il 31.12.2001. Con provvedimento del 30.12.1999-13.01.2000 “Individuazione di attività che perseguono rilevanti finalità di interesse pubblico per le quali è autorizzato il trattamento di dati sensibili da parte di soggetti pubblici” (Provv. n. 1/2000) si è provveduto ad individuare alcune “attività che perseguono rilevanti finalità di interesse pubblico”, fra le quali, di particolare interesse per le Aziende Sanitarie, rientrano le “attività socio-assistenziali”.
[iv] Articolo cosi modificato dall’art. 2 D.Lgs. 30 luglio 1999 n. 282.
“1-bis. Con decreto del Ministro della sanità adottato ai sensi dell’articolo 17, comma 3, della legge 23 agosto 1988, n. 400, sentiti la Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e Bolzano e il Garante, sono individuate modalità semplificate per le informative di cui all’articolo 10 e per la prestazione del consenso nei confronti di organismi sanitari pubblici, di organismi sanitari e di esercenti le professioni sanitarie convenzionati o accreditati dal Servizio sanitario nazionale, nonché per il trattamento dei dati da parte dei medesimi soggetti, sulla base dei seguenti criteri: a) previsione di informative effettuate da un unico soggetto, in particolare da parte del medico di medicina generale scelto dall’interessato, per conto di più titolari di trattamento; b) validità, nei confronti di più titolari di trattamento, del consenso prestato ai sensi dell’articolo 11, comma 3, per conto di più titolari di trattamento, anche con riguardo alla richiesta di prestazioni specialistiche, alla prescrizione di farmaci, alla raccolta di dati da parte del medico di medicina generale detenuti da altri titolari, e alla pluralità di prestazioni mediche effettuate da un medesimo titolare di trattamento; c) identificazione di casi di urgenza nei quali, anche per effetto delle situazioni indicate nel comma 1-ter, l’informativa e il consenso possono intervenire successivamente alla richiesta della prestazione; d) previsione di modalità di applicazione del comma 2 del presente articolo ai professionisti sanitari, diversi dai medici, che intrattengono rapporti diretti con i pazienti; e) previsione di misure volte ad assicurare che nell’organizzazione dei servizi e delle prestazioni sia garantito il rispetto dei diritti di cui all’articolo 1.
1-ter . Il decreto di cui al comma 1 disciplina anche quanto previsto dall’articolo 22, comma 3-bis, della legge”.
[v] Provvedimento del Garante in data 09.01.1999 a decisione di un ricorso. I Provvedimenti citati sono rinvenibili presso il sito www.garanteprivacy.it
[vi] V. art. 8 L. n. 675/’96 “Il responsabile, se designato, deve essere nominato tra soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza. Il responsabile procede al trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni di cui al comma 1 e delle proprie istruzioni. Ove necessario per esigenze organizzative, possono essere designati responsabili più soggetti, anche mediante suddivisione di compiti”.
[vii] Nello stesso senso V. anche G. FINOCCHIARO “Guida alla tutela della privacy”, in Guida al Diritto, n. 12/1997, 100, per il quale “Quando titolare è una Pubblica Amministrazione, il responsabile del trattamento può essere anche un soggetto esterno all’apparato organizzativo, e segnatamente un altro ente pubblico o privato, che gestisce i dati personali in base ad una specifica convenzione”.
[viii] L’art. 9 statuisce che “I dati personali oggetto di trattamento devono essere: a) trattati in modo lecito e secondo correttezza; b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini non incompatibili con tali scopi; c) esatti e, se necessario, aggiornati; d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati e) conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati”.
[ix] “1. In relazione al trattamento di dati personali l’interessato ha diritto: (…)
b) di essere informato su quanto indicato all’articolo 7, comma 4, lettere a) (il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del titolare), b) (le finalità e modalità del trattamento) e h) (il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del responsabile; in mancanza di tale indicazione si considera responsabile il notificante);
c) di ottenere, a cura del titolare o del responsabile, senza ritardo:
1) la conferma dell’esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la comunicazione in forma intellegibile dei medesimi dati e della loro origine, nonché della logica e delle finalità su cui si basa il trattamento; la richiesta può essere rinnovata, salva l’esistenza di giustificati motivi, con intervallo non minore di novanta giorni; 2) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati; 3) l’aggiornamento, la rettificazione ovvero, qualora vi abbia interesse, l’integrazione dei dati; 4) l’attestazione che le operazioni di cui ai numeri 2) e 3) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si riveli impossibile o comporti un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato;
d) di opporsi, in tutto o in parte, per motivi legittimi, al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta;
e) di opporsi, in tutto o in parte, al trattamento di dati personali che lo riguardano, previsto a fini di informazione commerciale o di invio di materiale pubblicitario o di vendita diretta ovvero per il compimento di ricerche di mercato o di comunicazione commerciale interattiva e di essere informato dal titolare, non oltre il momento in cui i dati sono comunicati o diffusi, della possibilità di esercitare gratuitamente tale diritto.
2. Per ciascuna richiesta di cui al comma 1, lettera c), numero 1), può essere chiesto all’interessato, ove non risulti confermata l’esistenza di dati che lo riguardano, un contributo spese, non superiore ai costi effettivamente sopportati, secondo le modalità ed entro i limiti stabiliti dal regolamento di cui all’articolo 33, comma 3.
3. I diritti di cui al comma 1 riferiti ai dati personali concernenti persone decedute possono essere esercitati da chiunque vi abbia interesse.
4. Nell’esercizio dei diritti di cui al comma 1 l’interessato può conferire, per iscritto, delega o procura a persone fisiche o ad associazioni.”
[x] V. i Provvedimenti del Garante del 17.10.2000, del 28.10.2000, in senso contrario il Decreto 26.10.1999 del Tribunale di Fermo.
[xi] “1. I soggetti pubblici sono autorizzati a trattare i soli dati essenziali per svolgere attività istituzionali che non possono essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di dati personali di natura diversa”, nell’art. 3 c. 2 D.Lgs. 2. I dati sono raccolti, di regola, presso l’interessato. 3. Ai sensi dell’articolo 9, comma 1, lettera c), d) ed e), della legge, i soggetti pubblici verificano periodicamente l’esattezza e l’aggiornamento dei dati, nonché la loro pertinenza, completezza, non eccedenza e necessità rispetto alle finalità perseguite nei singoli casi, anche con riferimento ai dati che l’interessato fornisce di propria iniziativa. Al fine di assicurare che i dati siano strettamente pertinenti e non eccedenti rispetto agli obblighi e ai compiti loro attribuiti, i soggetti pubblici valutano specificamente il rapporto tra i dati e gli adempimenti. I dati che, anche a seguito delle verifiche, risultano eccedenti o non pertinenti o non necessari non possono essere utilizzati, salvo che per l’eventuale conservazione, a norma di legge, dell’atto o del documento che li contiene. Specifica attenzione è prestata per la verifica dell’essenzialità dei dati riferiti a soggetti diversi da quelli cui si riferiscono direttamente le prestazioni o gli adempimenti. 4. I dati contenuti in elenchi, registri o banche di dati, tenuti con l’ausilio di mezzi elettronici o comunque automatizzati, sono trattati con tecniche di cifratura o mediante l’utilizzazione di codici identificativi o di altri sistemi che, considerato il numero e la natura dei dati trattati, permettono di identificare gli interessati solo in caso di necessità.”
[xii] V. ad esempio la risposta in data 16.02.1999 ad alcuni quesiti con cui si chiedeva “se contrasti con la normativa sulla protezione dei dati personali la richiesta (diretta alle imprese partecipanti a gare pubbliche) di indicare alcuni dati quali gli importi ed i destinatari di analoghi servizi prestati i precedenti circostanze”. Il Garante ha chiarito che “non si rinvengono ostacoli di principio alla raccolta dei dati relativi ai servizi prestati in precedenza dalle imprese che concorrono all’appalto. La normativa anche comunitaria in materia di appalti pubblici di beni e servizi prevede che le amministrazioni possano richiedere ai concorrenti di dimostrare le proprie capacità tecniche mediante la produzione di un elenco dei principali servizi o forniture prestati negli ultimi tre anni, con l’indicazione degli importi, delle date e dei destinatari (art. 14 D.Lgs. n. 157/’95). Analoghe considerazioni sono contenute nella disciplina in materia di appalti di forniture (art. 14 D.Lgs. n. 358/’92). Dal canto loro le imprese partecipanti possono comunicare tali dati alle Amministrazioni richiedenti nel rispetto della vigente normativa in materia di segreto aziendale e industriale, laddove, come avviene nella prevalenza dei casi, vengano in considerazione dati relativi allo svolgimento di attività economiche (artt. 12, c. 1 lett. f) e 20, c. 1 , lett. e) L. n. 675/’96)”.
[xiii] Ex art. 27 commi 2 e 3 L. n. 675/’96.
[xiv] Si veda ad es. quanto disposto dalla Circ. Reg. Lombardia 04.08.2000 n. 36, per la quale l’art. 8 L. 30.03.1971 n. 119, secondo cui “Gli elenchi dei nominativi (degli invalidi civili) sono trasmessi anche alle Associazioni Nazionali dei mutilati ed invalidi civili, a cura del segretario della Commissione”, deve essere interpretato nel senso che “Non sono trasmissibili i dati relativi alla patologia e alla percentuale di invalidità accertata, salvo che le Aziende Sanitarie stabiliscano in sede regolamentare la trasmissibilità di ulteriori altri dati, nel rispetto dei principi della normativa”.
[xv] In base all’art. 5 c. 4 e 5, gli operatori sanitari che nell’esercizio della loro professione vengano a conoscenza di un caso di AIDS, ovvero di un caso di infezione da HIV, devono adottare tutte le misure occorrenti per la tutela della riservatezza della persona assistita e comunicare i risultati degli accertamenti diagnostici, diretti o indiretti, esclusivamente alla persona cui tali esami sono riferiti.
Il caso in questione prendeva spunto dall’applicabilità del D.M. 08.05.1997 n. 187 nella parte in cui prevede che la Commissione medica per gli accertamenti sanitari debba redigere un processo verbale per descrivere gli accertamenti eseguiti, comprensivo del giudizio diagnostico sulle infermità riscontrate e con l’indicazione della menomazione che compromette l’efficienza psicofisica. La Commissione deve trasmettere poi all’Amministrazione o all’Ente che ha richiesto l’accertamento, entro sessanta giorni, il verbale, ivi incluso il predetto giudizio diagnostico. Tuttavia il Garante, in forza della prevalenza della legge n. 675/’96 sulle fonti normative secondarie, fra le quali rientra anche il D.M. n. 187/’97, ha confermato la vigenza delle disposizioni contenute nella Legge 05.06.1990 n. 135 in materia di AIDS. Pertanto la Commissione, nonostante lo specifico disposto regolamentare, avrebbe dovuto documentare la diagnosi relativa all’AIDS o all’HIV in un documento riservato anziché nel verbale; il quale, pur regolarmente redatto e comprensivo della predetta diagnosi, non dovrebbe essere trasmesso al provveditorato, per il quale sarebbe sufficiente un diverso attestato che riassuma le notizie indicate, configurato in maniera tale da evitare che la diagnosi relativa all’AIDS o all’HIV sia desumibile con relativa facilità anche in maniera indiretta.
[xvi] V. la risposta del Garante in data 08.06.1998 ad alcuni quesiti formulati da una Camera di Commercio relativamente alla legittimità di comunicazioni di dati effettuate a Enti Pubblici, in assenza del consenso degli interessati, in conseguenza dello svolgimento di procedure d’appalto.
Nello stesso senso, una risposta fornita in data 09.06.1998 ad un Comune che chiedeva di conoscere l’accessibilità ai dati dei firmatari di una petizione popolare “Trasparenza e partecipazione rappresentano i due principi complementari dell’attività dell’amministrazione pubblica (…), che risultano non solo non modificati, ma anzi rafforzati delle normative introdotte a tutela dei dati personali. (…). L’esistenza di una disciplina sulla tutela dei dati personali non può essere invocata per negare l’accesso ai documenti (…) pertanto le istanze, petizioni e proposte (come pure, in generale, tutti gli atti e i documenti con cui si concretizza la partecipazione della comunità all’attività dell’Ente) devono essere ritenuti di per se stessi pubblici, unitamente ai dati relativi ai promotori e sottoscrittori.”.
[xvii] V. Provv.Garante 09/06/1999.
[xviii] Espressamente richiamato dall’art. 4 c. 4 D.Lgs. 11.05.1999 n. 135, per il quale “Resta fermo il divieto di diffusione dei dati idoneo a rivelare lo stato di salute sancito dall’art. 23 c. 4 della Legge”.
[xix] V. la risposta del Garante, in data 16.06.1999, per il quale “La legge n. 675/’96 non ha introdotto alcun divieto di dare conoscibilità, ma in un quadro di maggior trasparenza stabilisce che le amministrazioni e gli enti pubblici possono diffondere i dati personali quando ciò sia previsto da norme di legge o di regolamento; è necessario quindi che la materia trovi la sua disciplina in un’apposita disposizione di rango normativo. E’ necessario quindi che la materia trovi la sua disciplina in un’apposita disciplina di rango normativo primario o secondario; la previsione contenute in un regolamento interno all’A.C.I. non può considerarsi fonte idonea a permettere tale forma di diffusione”.
[xx] Il D.Lgs. 11.05.1999 n. 135 ha dato attuazione a tali precetti di, precisando, ex art. 5 c. 4, che “I soggetti pubblici avviano l’adeguamento dei propri ordinamenti a quanto previsto dai commi 3 e 3 bis della Legge”; a tal fine la Circolare del Presidente del Consiglio dei Ministri del 19.04.2000, ha chiarito che la “ricognizione del tipo di dati sensibili e delle operazioni eseguibili sugli stessi da parte dei soggetti pubblici”, riguarda solo i dati sensibili (compresi quelli trattati nello svolgimento di attività con finalità socio-assistenziale) e quelli giudiziari, specificando quale tipo di dato sensibile sia trattato dal soggetto pubblico”. Per quanto riguarda le “operazioni eseguibili”, si è chiarito che non occorre far riferimento a tutte quelle indicate nella Legge, essendo sufficiente suddividerle in quattro categorie: raccolta, trattamento effettuato all’interno della stessa p.a. (conservazione, registrazione, organizzazione, modificazione, cancellazione, distruzione, con l’eventuale indicazione dei termini di dette operazioni), attività di trasmissione esterne (comunicazione e diffusione), evidenziazione se il trattamento è di tipo statico o dinamico.
Il c. 1 ter art. 23 L. n. 675/’96 ha previsto che “Il decreto di cui al comma 1 disciplina anche quanto previsto dall’art. 22 comma 3-bis della Legge.”.
[xxi] “Ai sensi dell’articolo 1, si considerano di rilevante interesse pubblico le attività dirette all’applicazione della disciplina in materia di documentazione dell’attività istituzionale di organi pubblici”.
[xxii] V. la risposta del Garante in data 02.09.1999 “Nel caso in cui i dati contenuti nelle deliberazioni comunali abbiano natura sensibile o siano attinenti a particolari provvedimenti giudiziari, si fa presente che il trattamento di tali dati risulta espressamente autorizzato dal D.Lgs. n. 135/’99”.
[xxiii] V. art. 9 c. 1 D.Lgs. 11.05.1999 n. 135.
[xxiv] V. art. 16 c. 1 lett. b) D.Lgs. 11.05.1999 n. 135.
[xxv] V. art. 16 c. 1 lett. c) D.Lgs. 11.05.1999 n. 135.
[xxvi] V. art. 17 c. 1 D.Lgs. 11.05.1999 n. 135 “Ai sensi dell’articolo 1, si considerano di rilevante interesse pubblico le seguenti attività rientranti nei compiti del servizio sanitario nazionale e degli altri organismi sanitari pubblici, nel rispetto dell’articolo 23, comma 1, della legge: a) la prevenzione, la diagnosi, la cura e la riabilitazione dei soggetti assistiti dal servizio sanitario nazionale, ivi compresa l’assistenza degli stranieri in Italia e dei cittadini italiani all’estero, nonché l’assistenza sanitaria erogata al personale navigante ed aeroportuale; b) la programmazione, la gestione, il controllo e la valutazione dell’assistenza sanitaria; c) la vigilanza sulle sperimentazioni, la farmacovigilanza, l’autorizzazione all’immissione in commercio ed all’importazione di medicinali e di altri prodotti di rilevanza sanitaria; d) le attività certificatorie; e) il monitoraggio epidemiologico, ivi compresi la sorveglianza della emergenza o riemergenza delle malattie, e degli eventi avversi nelle vaccinazioni, i registri di patologia e la gestione della profilassi internazionale; f) l’applicazione della normativa in materia di igiene e sicurezza nei luoghi di lavoro e di sicurezza e salute della popolazione; g) i trapianti d’organo e le trasfusioni di sangue umano, anche in applicazione della legge 4 maggio 1990, n. 107; h) l’instaurazione, la gestione, la pianificazione ed il controllo dei rapporti tra l’amministrazione ed i soggetti accreditati o convenzionati del Servizio sanitario nazionale”. Il comma 2 del medesimo statuisce che “L’identificazione dell’interessato è riservata ai soggetti che perseguono direttamente le finalità di cui al comma 1. L’accesso alle diverse tipologie di dati è consentito ai soli incaricati del trattamento, preposti caso per caso, alle specifiche fasi delle attività di cui al comma 1, secondo il principio della pertinenza dei dati di volta in volta trattati.”
[xxvii] V. art. 18 c. 1 D.Lgs. 11.05.1999 n. 135 “Ai sensi dell’articolo 1, si considerano di rilevante interesse pubblico i trattamenti di dati volti all’applicazione della disciplina in materia di tutela sociale della maternità e sull’interruzione volontaria della gravidanza, con particolare riferimento ai trattamenti svolti per: a) la gestione dei consultori familiari; b) l’informazione, la cura e la degenza delle madri, nonché per gli interventi di interruzione della gravidanza.”
[xxviii] V. Art. 19 D.Lgs. 11.05.1999 n. 135 “1. Ai sensi dell’articolo 1, si considerano di rilevante interesse pubblico i trattamenti di dati volti all’applicazione della disciplina in materia di stupefacenti e sostanze psicotrope, prevenzione, cura e riabilitazione dei relativi stati di tossicodipendenza 2. Tra i trattamenti effettuati per le finalità di cui al comma 1, si intendono ricompresi, in particolare quelli svolti al fine di assicurare, anche avvalendosi di enti ed associazioni senza fine di lucro, i servizi pubblici necessari per l’assistenza socio-sanitaria ai tossicodipendenti e gli interventi preventivi, curativi e riabilitativi previsti dalle leggi e di applicare le misure amministrative previste”.
[xxix] V. art. 20 c. 1 D.Lgs. 11.05.1999 n. 135 “Ai sensi dell’articolo 1, si considerano di rilevante interesse pubblico i trattamenti di dati volti all’applicazione della disciplina in materia di assistenza, integrazione sociale e diritti delle persone handicappate”.
[xxx] In tema di “Individuazione di attività che perseguono rilevanti finalità di interesse pubblico per le quali è autorizzato il trattamento dei dati sensibili da parte di soggetti pubblici”, in G.U. n. 26 del 02.02.2000.
[xxxi] Fra i quali rientrano ovviamente anche quelli “idonei a rivelare lo stato di salute”.
[xxxii] Infatti l’ art. 17 D.Lgs. 11.05.1999 n. 135 subordina i suoi effetti al “rispetto dell’articolo 23, comma 1, della legge”.
[xxxiii] Infatti il Provvedimento del Garante n. 2/2000 “Autorizzazione al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale”, in G.U. n. 229 del 30.09.2000, ha autorizzato, alla lett. c), “gli organismi sanitari pubblici (…) a rivelare lo stato di salute (…), qualora ricorrano contemporaneamente le seguenti condizioni: a) il trattamento sia finalizzato alla tutela dell’incolumità fisica e della salute di un terzo o della collettività; b) manchi il consenso (art. 23. comma 1 ultimo periodo , legge n. 675/’96), in quanto non sia prestato o non possa essere prestato per effettiva irreperibilità; c) il trattamento non sia previsto da una disposizione di legge che specifichi, ai sensi dell’art. 22 c. 3 della legge n. 675/’96, i tipi di dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite”.
[xxxiv] V. nota n. IV.
[xxxv] Il caso aveva suscitato l’interesse della stampa poiché il malore della minore era stato associato ai contraccolpi psicologici determinati dalla cessazione del funzionamento del gioco “pulcino elettronico”.
[xxxvi] “1. Fermi restando i casi in cui norme speciali prevedono che le ricette siano rilasciate in forma anonima o con particolari annotazioni, con decreto del Ministro della sanità da adottarsi entro sei mesi dalla data di entrata in vigore del presente decreto, sentito il Garante, sono individuati i medicinali diversi da quelli di cui al comma 2 per la cui prescrizione non è richiesta l’indicazione delle generalità dell’interessato. 2. Le ricette relative a prescrizioni di medicinali a carico, anche parziale, del Servizio sanitario nazionale sono redatte su apposito modello, approvato con il decreto di cui al comma 1. Detto modello, la cui utilizzazione è obbligatoria decorsi diciotto mesi dalla data di entrata in vigore del decreto di cui al comma 1, è conformato in modo da permettere di risalire all’identità dell’interessato solo in caso di necessità connesse al controllo della correttezza della prescrizione, ovvero a fini di verifiche amministrative o per scopi epidemiologici e di ricerca, nel rispetto delle norme deontologiche applicabili. 3. I modelli di cui al comma 2 sono utilizzati entro diciotto mesi dalla data di entrata in vigore del decreto di cui al comma 1. 4. Nei casi in cui è fatto obbligo di accertare l’identità dell’interessato ai sensi del testo unico delle leggi in materia di disciplina degli stupefacenti e sostanze psicotrope, prevenzione, cura e riabilitazione dei relativi stati di tossicodipendenza approvato con decreto del Presidente della Repubblica 9 ottobre 1990, n. 309, le ricette sono conservate separatamente da ogni altro documento che non ne richieda l’utilizzo. 5. Le ricette disciplinate dall’articolo 5 del decreto legislativo 30 dicembre 1992, n. 539, e successive modificazioni, sono conservate dal farmacista per il periodo prescritto, e successivamente distrutte, con modalità atte ad escludere l’accesso di terzi ai dati contenuti nelle stesse”.
[xxxvii] “Qualora la ricerca sia prevista da un’espressa previsione di legge o rientri nel programma di ricerca biomedica o sanitaria di cui all’articolo 12-bis del D.Lgs. 30 dicembre 1992, n. 502, e successive modificazioni ed integrazioni”.
Particolari disposizioni in materia sono altresì dettate dal comma 2 con riferimento all’esercizio dei diritti dell’interessato ai sensi dell’art. 13 della L. n. 675/’96 “In caso di esercizio dei diritti dell’interessato ai sensi dell’articolo 13 della legge nei riguardi dei trattamenti di cui al comma 1, l’aggiornamento, la rettificazione e l’integrazione dei dati sono annotati senza modificare questi ultimi, qualora il risultato di tali operazioni non produca effetti significativi sul risultato della ricerca”