Garante per la protezione
    dei dati personali


I soggetti pubblici nel trattare i dati sanitari devono prevedere che l'accesso alle operazioni di trattamento sia consentito ai soli "incaricati", che la conservazione dei dati c.d."particolari" sia effettuata "separatamente da ogni altro dato personale", che l'interessato possa essere identificato dal solo SSN e altri organismi sanitari pubblici e che vengano individuate "misure minime di sicurezza" (d.lg. 135/99). I "nuovi" certificati di assistenza al parto dovranno dunque garantire la riservatezza delle informazioni, in particolare di quelle più delicate riguardanti le interruzioni di gravidanza e l'anonimato delle madri che non consentono di essere nominate.

In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Ugo De Siervo e dell'ing. Claudio Manganelli, componenti e del dott. Giovanni Buttarelli, segretario generale;

Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni;

Vista la richiesta di parere del Ministero della Sanità in data 13 dicembre 1999;

Visti gli atti d'ufficio;

Viste le osservazioni formulate dal segretario generale ai sensi dell'art. 7, comma 2, lettera a) del d.P.R. 31 marzo 1998, n. 501;

Relatore il prof. Ugo De Siervo;

PREMESSO:

Il Ministero della sanità ha chiesto al Garante di esprimere, ai sensi dell'art. 31, comma 2, della legge n. 675/1996, un parere sullo schema di decreto ministeriale recante "modificazioni al certificato di assistenza al parto per la rilevazione dei dati di sanità pubblica e statistici di base relativi agli eventi di nascita, alla nati-mortalità ed ai nati affetti da malformazioni", ai sensi dell'art. 8, comma 2, del d.P.R. 20 ottobre 1998, n. 403.

Con riferimento a tale schema il Garante formula le seguenti osservazioni.

Come già evidenziato in alcuni pareri resi a codesta amministrazione, a decorrere dal 18 maggio 1999 il trattamento dei dati sensibili da parte dei soggetti pubblici è disciplinato non più sulla base del regime transitorio di cui all'art. 41, comma 5, della legge n. 675/1996, bensì secondo le regole e gli adempimenti previsti dall'art. 22, commi 3 e 3bis della legge medesima, come modificati dall'art. 5 del decreto legislativo 11 maggio 1999, n. 135.

In particolare, il decreto legislativo n. 135/1999 ha individuato alcune rilevanti finalità di interesse pubblico per il cui perseguimento è ora consentito il trattamento dei dati sensibili da parte dei soggetti pubblici nei casi in cui non sussista una espressa disposizione di legge nella quale siano specificati i dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite.

Il decreto medesimo, peraltro, introducendo nell'art. 22 della legge n. 675/1996 il comma 3bis, ha previsto che i soggetti pubblici (nei casi in cui, come nel decreto medesimo, è specificata legislativamente la finalità di rilevante interesse pubblico, ma non sono individuati i tipi di dati e le operazioni eseguibili), possono, in alternativa ad una integrazione legislativa, "identificare e rendere pubblici, secondo i rispettivi ordinamenti, i tipi di dati e di operazioni strettamente pertinenti e necessari in relazione alle finalità perseguite nei singoli casi, aggiornando tale identificazione periodicamente".

Nel caso in esame, il trattamento dei dati sensibili per la compilazione del certificato di assistenza al parto deve ritenersi compreso tra le attività di rilevante interesse pubblico rientranti nei compiti del Servizio sanitario nazionale individuate dall’art. 17 del d.lg. n. 135/1999. In particolare il trattamento appare rientrare tra le "attività certificatorie" e concernenti "la programmazione, la gestione, il controllo e la valutazione dell'assistenza sanitaria", nonché in quelle concernenti "il monitoraggio epidemiologico ivi compresi la sorveglianza della emergenza o riemergenza delle malattie, e degli eventi avversi nelle vaccinazioni, i registri di patologia e la gestione della profilassi internazionale" (art. 17, comma 1, lett. b), d) e e) d.lg. n. 135/1999).

Ciò posto occorre che codesta amministrazione, in adempimento di quanto previsto dall'articolo 22, comma 3bis della legge n. 675/1996, precisi la portata dei trattamenti consentiti attraverso l'adozione di un apposito regolamento ministeriale quale esplicitamente richiesto, per l'ambito sanitario, dall'art. 23, commi 1bis e 1ter della legge n. 675/1996, quali aggiunti dall'art. 2, comma 1, del decreto legislativo 30 luglio 1999, n. 282.

Questo stesso regolamento dovrà essere utilizzato anche per disciplinare il flusso di informazioni relative al certificato di assistenza al parto nell'osservanza dei criteri di essenzialità, pertinenza, compatibilità tra le finalità perseguite e selettività nella comunicazione dei dati, già affermati dalla legge n. 675 e ora ribaditi per i dati sensibili dagli artt. 1-5 del d.lg. n. 135/1999.

Si rileva pertanto che lo schema di decreto in esame non costituisce fonte idonea ad operare la ricognizione sopra detta, in quanto non ha la forma regolamentare ai sensi dell'art. 17, comma 3, della legge 23 agosto 1988, n. 400.

2. Dallo "schema esemplificativo di base" allegato al decreto ministeriale in esame si evince che il certificato di assistenza al parto verrà a comporsi di una sezione generale contenente le informazioni anagrafiche relative alla madre del neonato e di cinque sezioni in cui verranno annotate, prevalentemente, informazioni di carattere sanitario relative ai genitori e al neonato. In relazione a tale schema, si segnala la necessità di assicurare il rispetto dei princìpi generali contenuti nell'articolo 3, commi 4 e 5, del decreto legislativo n. 135/1999. In particolare si fa presente che:

a) le informazioni anagrafiche contenute nella "sezione generale", se contenute in elenchi, registri o banche dati gestite con l'ausilio di mezzi elettronici o comunque automatizzati, devono essere trattate con "tecniche di cifratura o codici identificativi che consentano di identificare gli interessati solo in caso di necessità" (art. 3, comma 4, d.lg. n. 135/1999);

b) i dati anagrafici devono essere conservati separatamente rispetto a quelli sanitari, con conseguente opportuna individuazione dei servizi autorizzati a procedere alla loro ricongiunzione (art. 3, comma 5, d.lg. n. 135/1999);

c) i dati idonei ad identificare anche indirettamente l'interessato (contenuti nella prima parte della "sezione A"), devono essere trattati nel rispetto dei princìpi sopra menzionati; si segnala peraltro che, per quanto riguarda l'informazione relativa al numero delle interruzioni volontarie di gravidanza, la speciale disciplina contenuta nella legge 22 maggio 1978, n. 194 prevede già un rigoroso rispetto della riservatezza.

Si segnala quindi a codesto Ministero la necessità di inserire nello schema di provvedimento idonee clausole per richiamare l'attenzione sul rispetto di tali princìpi.

3. In attuazione dell'articolo 8, comma 2, del d.P.R. 20 ottobre 1998, n. 403, l'articolo 1 del decreto in esame dispone che il Ministero della sanità trasmette all'Istat le informazioni rilevate attraverso il certificato di assistenza al parto, "prive degli elementi identificativi diretti". Al riguardo è opportuno integrare il suddetto articolo 1 prevedendo che anche la trasmissione semestrale delle medesime informazioni da parte delle regioni al Ministero della sanità avvenga in modo che non possa risalirsi all'identità delle persone interessate.

4.Occorre infine segnalare che una particolare attenzione deve essere posta al profilo della sicurezza. Più precisamente, per effetto della pubblicazione in Gazzetta Ufficiale (G.U. n. 216 del 14 settembre 1999) del d.P.R. 28 luglio 1999 n. 318, recante norme per l'individuazione delle misure minime di sicurezza per il trattamento dei dati personali, chiunque tratti dati personali dovrà adottare le misure minime individuate nel medesimo regolamento entro il termine di sei mesi dalla data della sua entrata in vigore (art. 41, comma 3, l. n. 675/1996).

In particolare, si richiama l'attenzione sulle disposizioni dell'art. 5 ("accesso ai dati particolari"), le quali prevedono, per l'accesso alle operazioni di trattamento dei dati di cui agli articoli 22 e 24 della legge n. 675/1996, specifiche autorizzazioni rilasciate agli incaricati del trattamento o della manutenzione da parte del titolare o, se designato, del responsabile.

A tale proposito si richiama parimenti l'attenzione sulla necessità che tutte le strutture pubbliche e private coinvolte nel flusso dei dati relativi al certificato di assistenza al parto individuino al loro interno i soggetti "responsabili" e "incaricati" del trattamento ai sensi degli artt. 8 e 19 della legge n. 675/1996.

Si prende atto infine che, nello schema in esame, si è tenuto conto della problematica relativa alla donna che non consente di essere nominata, la cui volontà al riguardo è salvaguardata dalla nuova disciplina della dichiarazione di nascita (art. 70 R.D. 9 luglio 1939, n. 1238 come sostituito dall'art. 2, comma 1, della l. 15 maggio 1997, n. 127; vedi anche art. 8 d.P.R. 20 ottobre 1998, n. 403).

Si fa presente tuttavia che l'opportuna non menzione nel certificato dell'identità e del codice sanitario della donna che non vuole essere nominata risulterebbe vanificata dalle ulteriori indicazioni anagrafiche contenute nella sezione A) dello schema, le quali consentirebbero comunque l'identificazione dell'interessata attraverso il combinato riferimento a varie altre informazioni (in particolare, alla data e al comune di nascita, nonché al comune di residenza).

Si rende quindi necessario, anche per armonia con la scelta effettuata con il d.m., di selezionare meglio le informazioni richieste nella sezione A), integrando le istruzioni delle prime due pagine dell'allegato tecnico in modo da non registrare taluni dati (quantomeno, i comuni di nascita e di residenza) nel caso di anonimato richiesto dalla madre.

Nel pregare infine codesta amministrazione di dare atto nel preambolo dell'avvenuta consultazione ai sensi dell'art. 31, comma 2, della legge n. 675/1996, il Garante resta a disposizione per ogni ulteriore collaborazione o chiarimento.

Roma, 1° marzo 2000

IL PRESIDENTE
(Rodotà)
IL RELATORE
(De Siervo)
IL SEGRETARIO GENERALE
(Buttarelli)