Garante per la protezione
    dei dati personali


Autorizzazione n.2/2008 al trattamento dei dati idonei a rivelare lo stato di salute e la vitasessuale
(Pubblicata sulla G.U. n. 169 del 21-7-2008 - Suppl. Ordinario n. 175)

Registro delledeliberazioni n. 33 del 19 giugno 2008

 

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

In data odierna, con la partecipazionedel prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato,componenti, e del dott. Giovanni Buttarelli, segretario generale;

Visto il decreto legislativo 30 giugno2003, n. 196, recante il Codice in materia di protezione dei dati personali;

Visto, in particolare, l'art. 4, comma 1,lett. d), del citato Codice, il quale individua i dati sensibili;

Considerato che, ai sensi dell'art. 26,comma 1, del Codice, i soggetti privati e gli enti pubblici economici possonotrattare i dati sensibili solo previa autorizzazione di questa Autoritą e, ovenecessario, con il consenso scritto degli interessati, nell'osservanza deipresupposti e dei limiti stabiliti dal Codice, nonché dalla legge e dairegolamenti;

Visto l'art. 76 del Codice, secondo cuigli esercenti le professioni sanitarie e gli organismi sanitari pubblici, anchenell'ambito di un'attivitą di rilevante interesse pubblico ai sensidell'articolo 85 del medesimo Codice, possono trattare i dati personali idoneia rivelare lo stato di salute anche senza il consenso dell'interessato, previaautorizzazione del Garante, se il trattamento riguarda dati e operazioniindispensabili per perseguire una finalitą di tutela della salute o dell'incolumitąfisica di un terzo o della collettivitą;

Considerato che il trattamento dei datiin questione puė essere autorizzato dal Garante anche d'ufficio conprovvedimenti di carattere generale, relativi a determinate categorie dititolari o di trattamenti (art. 40 del Codice);

Considerato che le autorizzazioni dicarattere generale sin ora rilasciate sono risultate uno strumento idoneo perprescrivere misure uniformi a garanzia degli interessati, rendendo altresďsuperflua la richiesta di singoli provvedimenti di autorizzazione da parte dinumerosi titolari del trattamento;

Ritenuto opportuno rilasciare nuoveautorizzazioni in sostituzione di quelle in scadenza il 30 giugno 2008,armonizzando le prescrizioni gią impartite alla luce dell'esperienza maturata;

Ritenuto opportuno che anche tali nuoveautorizzazioni siano provvisorie e a tempo determinato, ai sensi dell'art. 41,comma 5, del Codice e, in particolare, efficaci per il periodo di diciottomesi;

Considerata la necessitą di garantire ilrispetto di alcuni princďpi volti a ridurre al minimo i rischi di danno o dipericolo che i trattamenti potrebbero comportare per i diritti e le libertąfondamentali, nonché per la dignitą delle persone, e, in particolare, per ildiritto alla protezione dei dati personali sancito dall'art. 1 del Codice,principi valutati anche sulla base delle raccomandazioni adottate in materia didati sanitari dal Consiglio d'Europa ed in particolare dalla Raccomandazione N.R (97) 5, in base alla quale i dati sanitari devono essere trattati, di regola,solo nell'ambito dell'assistenza sanitaria o sulla base di regole di segretezzae di efficacia pari a quelle previste in tale ambito;

Considerato che un elevato numero ditrattamenti idonei a rivelare lo stato di salute e la vita sessuale Źeffettuato per finalitą di prevenzione o di cura, per la gestione di servizisocio-sanitari, per ricerche scientifiche o per la fornitura all'interessato diprestazioni, beni o servizi;

Visto l'art. 167 del Codice;

Visto l'art. 11, comma 2, del Codice, ilquale stabilisce che i dati trattati in violazione della disciplina rilevantein materia di trattamento di dati personali non possono essere utilizzati;

Visti gli articoli 31 e seguenti delCodice e il disciplinare tecnico di cui all'Allegato B) al Codice in materia diprotezione dei dati personali recanti norme e regole sulle misure di sicurezza;

Visto l'art. 41 del Codice;

Visti gli atti d'ufficio;

Viste le osservazioni dell'Ufficioformulate dal segretario generale ai sensi dell'art. 15 del regolamento delGarante n. 1/2000;

Relatore il prof. Francesco Pizzetti;

Autorizza

a) gli esercenti le professionisanitarie a trattare i dati idonei a rivelare lo stato di salute, qualora idati e le operazioni siano indispensabili per tutelare l'incolumitą fisica o lasalute di un terzo o della collettivitą, e il consenso non sia prestato o nonpossa essere prestato per effettiva irreperibilitą;

b) gli organismi e le case di curaprivate, nonché ogni altro soggetto privato, a trattare con il consenso i datiidonei a rivelare lo stato di salute e la vita sessuale;

c) gli organismi sanitari pubblici,istituiti anche presso universitą, ivi compresi i soggetti pubblici allorchéagiscano nella qualitą di autoritą sanitarie, a trattare i dati idonei arivelare lo stato di salute, qualora ricorrano contemporaneamente le seguenticondizioni:

1) il trattamento sia finalizzatoalla tutela dell'incolumitą fisica e della salute di un terzo o dellacollettivitą;

2) manchi il consenso (articolo 76,comma 1, lett. b), del Codice), in quanto non sia prestato o non possa essereprestato per effettiva irreperibilitą;

3) non si tratti di attivitąamministrative correlate a quelle di prevenzione, diagnosi, cura eriabilitazione ai sensi dell'art. 85, commi 1 e 2, del Codice;

d) anche soggetti diversi da quellidi cui alle lettere a), b) e c) a trattare i dati idonei a rivelare lo stato disalute e la vita sessuale, qualora il trattamento sia necessario per lasalvaguardia della vita o dell'incolumitą fisica di un terzo. Se la medesima finalitąriguarda l'interessato e quest'ultimo non puė prestare il proprio consenso perimpossibilitą fisica, per incapacitą di agire o per incapacitą d'intendere o divolere, il consenso Ź manifestato da chi esercita legalmente la potestą, ovveroda un prossimo congiunto, da un familiare, da un convivente o, in loro assenza,dal responsabile della struttura presso cui dimora l'interessato.

Per l'informativa e, ove previsto, ilconsenso si osservano anche le disposizioni di cui agli articoli 13, 23, 26 eda 75 a 82 del Codice.

 

1) Ambito di applicazione e finalitądel trattamento

1.1. L'autorizzazione Ź rilasciata:

a) ai medici-chirurghi, aifarmacisti, agli odontoiatri, agli psicologi e agli altri esercenti leprofessioni sanitarie iscritti in albi o in elenchi;

b) al personale sanitarioinfermieristico, tecnico e della riabilitazione che esercita l'attivitą inregime di libera professione;

c) alle istituzioni e agli organismisanitari privati, anche quando non operino in rapporto con il serviziosanitario nazionale.

In tali casi, l'autorizzazione Źrilasciata anche per consentire ai destinatari di adempiere o di esigerel'adempimento di specifici obblighi o di eseguire specifici compiti previsti daleggi, dalla normativa comunitaria o da regolamenti, in particolare in materiadi igiene e di sanitą pubblica, di prevenzione delle malattie professionali edegli infortuni, di diagnosi e cura, ivi compresi i trapianti di organi etessuti, di riabilitazione degli stati di invaliditą e di inabilitą fisica epsichica, di profilassi delle malattie infettive e diffusive, di tutela dellasalute mentale, di assistenza farmaceutica, di medicina scolastica e diassistenza sanitaria alle attivitą sportive o di accertamento, in conformitąalla legge, degli illeciti previsti dall'ordinamento sportivo. Il trattamentopuė riguardare anche la compilazione di cartelle cliniche, di certificati e dialtri documenti di tipo sanitario, ovvero di altri documenti relativi allagestione amministrativa la cui utilizzazione sia necessaria per i fini appenaindicati.

Qualora il perseguimento di tali finirichieda l'espletamento di compiti di organizzazione o di gestioneamministrativa, i destinatari della presente autorizzazione devono esigere chei responsabili e gli incaricati del trattamento preposti a tali compitiosservino le stesse regole di segretezza alle quali sono sottoposti i medesimidestinatari della presente autorizzazione, nel rispetto di quanto previstoanche dall'art. 83, comma 1, del Codice.

1.2.  L'autorizzazione Ź rilasciata,altresď, ai seguenti soggetti:

a) alle persone fisiche ogiuridiche, agli enti, alle associazioni e agli altri organismi privati, perscopi di ricerca scientifica, anche statistica, finalizzata alla tutela dellasalute dell'interessato, di terzi o della collettivitą in campo medico,biomedico o epidemiologico, allorché si debba intraprendere uno studio dellerelazioni tra i fattori di rischio e la salute umana anche con riguardo a studicondotti su persone nell'ambito della sperimentazione clinica di farmaci, oindagini su interventi sanitari di tipo diagnostico, terapeutico o preventivo,ovvero sull'utilizzazione di strutture socio-sanitarie, e la disponibilitą didati solo anonimi su campioni della popolazione non permetta alla ricerca diraggiungere i suoi scopi. In tali casi occorre acquisire il consenso (inconformitą a quanto previsto dagli articoli 106, 107 e 110 del Codice), e iltrattamento successivo alla raccolta non deve permettere di identificare gliinteressati anche indirettamente, salvo che l'abbinamento al materiale diricerca dei dati identificativi dell'interessato sia temporaneo ed essenzialeper il risultato della ricerca, e sia motivato, altresď, per iscritto. Irisultati della ricerca non possono essere diffusi se non in forma anonima.

Resta fermo quanto previsto dall'art. 98del Codice;

b) alle organizzazioni divolontariato o assistenziali, limitatamente ai dati e alle operazioniindispensabili per perseguire scopi determinati e legittimi previsti, inparticolare, nelle rispettive norme statutarie;

c) alle comunitą di recupero e diaccoglienza, alle case di cura e di riposo, limitatamente ai dati e alleoperazioni indispensabili per perseguire scopi determinati e legittimiprevisti, in particolare, nelle rispettive norme statutarie;

d) agli enti, alle associazioni ealle organizzazioni religiose riconosciute, relativamente ai dati e alleoperazioni indispensabili per perseguire scopi determinati e legittimi neilimiti di quanto stabilito dall'art. 26, comma 4, lett. a), del Codice, fermorestando quanto previsto per le confessioni religiose dagli articoli 26, comma3, lett. a), e 181, comma 6, del Codice e dell'autorizzazione n. 3/2008;

e) alle persone fisiche egiuridiche, alle imprese, anche sociali, agli enti, alle associazioni e ad altriorganismi, limitatamente ai dati, ove necessario attinenti anche alla vitasessuale, e alle operazioni indispensabili per adempiere agli obblighi, ancheprecontrattuali, derivanti da un rapporto di fornitura all'interessato di beni,di prestazioni o di servizi.

Se il rapporto intercorre con istituti dicredito, imprese assicurative o riguarda valori mobiliari, devono considerarsiindispensabili i soli dati ed operazioni necessari per fornire specificiprodotti o servizi richiesti dall'interessato. Il rapporto puė riguardare anchela fornitura di strumenti di ausilio per la vista, per l'udito o per ladeambulazione;

f) alle persone fisiche egiuridiche, agli enti, alle associazioni e agli altri organismi che gestisconoimpianti o strutture sportive, limitatamente ai dati e alle operazioniindispensabili per accertare l'idoneitą fisica alla partecipazione ad attivitąsportive o agonistiche;

g) alle persone fisiche e giuridichee ad altri organismi, limitatamente ai dati dei beneficiari e dei donatori ealle operazioni indispensabili per effettuare trapianti di organi e tessuti,nonché donazioni di sangue.

1.3.  La presente autorizzazione Źrilasciata, altresď, quando il trattamento dei dati idonei a rivelare lo statodi salute e la vita sessuale sia necessario per:

a) lo svolgimento delleinvestigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o comunqueper far valere o difendere un diritto anche da parte di un terzo in sedegiudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e diconciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dairegolamenti o dai contratti collettivi, sempre che il diritto sia di rango paria quello dell'interessato, ovvero consistente in un diritto della personalitą oin altro diritto o libertą fondamentale e inviolabile, e i dati siano trattatiesclusivamente per tali finalitą e per il periodo strettamente necessario peril loro perseguimento;

b) adempiere o esigere l'adempimentodi specifici obblighi o per eseguire specifici compiti previsti dalla normativacomunitaria, da leggi, da regolamenti o da contratti collettivi per la gestionedel rapporto di lavoro, nonché della normativa in materia di previdenza eassistenza o in materia di igiene e sicurezza del lavoro o della popolazione,nei limiti previsti dalla autorizzazione generale del Garante n. 1/2008 e fermerestando le disposizioni del codice di deontologia e di buona condotta di cuiall'articolo 111 del Codice.

1.4. Il trattamento di dati geneticiresta autorizzato nei limiti e alle condizioni individuati nell'autorizzazionedel 22 febbraio 2007, pubblicata nella Gazzetta Ufficiale n. 65 del 19 marzo2007.

 

2) Categorie di dati oggetto ditrattamento Prima di iniziareo proseguire il trattamento i sistemi informativi e i programmi informaticisono configurati riducendo al minimo l'utilizzazione di dati personali e didati identificativi, in modo da escluderne il trattamento quando le finalitąperseguite nei singoli casi possono essere realizzate mediante,rispettivamente, dati anonimi od opportune modalitą che permettano diidentificare l'interessato solo in caso di necessitą, in conformitą all'art. 3del Codice.

Il trattamento puė avere per oggetto idati strettamente pertinenti ai sopra indicati obblighi, compiti o finalitą chenon possano essere adempiuti o realizzati, caso per caso, mediante iltrattamento di dati anonimi o di dati personali di natura diversa, e puėcomprendere le informazioni relative a stati di salute pregressi.

Devono essere considerate sottoposte all'ambitodi applicazione della presente autorizzazione anche le informazioni relative ainascituri, che devono essere trattate alla stregua dei dati personali inconformitą a quanto previsto dalla citata raccomandazione N. R (97) 5 delConsiglio d'Europa.

 

3) Modalitą di trattamento Fermi restando gli obblighi previsti dagli articoli11 e 14 del Codice, nonché dagli articoli 31 e seguenti del Codice edall'Allegato B) al medesimo Codice, il trattamento dei dati sensibili deveessere effettuato unicamente con operazioni, nonché con logiche e medianteforme di organizzazione dei dati strettamente indispensabili in rapporto aisopra indicati obblighi, compiti o finalitą.

I dati sono raccolti, di regola, pressol'interessato.

La comunicazione di dati all'interessatodeve avvenire di regola direttamente a quest'ultimo o a un suo delegato (fermorestando quanto previsto dall'art. 84, comma 1, del Codice), in plico chiuso ocon altro mezzo idoneo a prevenire la conoscenza da parte di soggetti nonautorizzati, anche attraverso la previsione di distanze di cortesia.

Per le informazioni relative ainascituri, il consenso Ź prestato dalla gestante. Dopo il raggiungimento dellamaggiore etą l'informativa Ź fornita all'interessato anche ai fini dellaacquisizione di una nuova manifestazione del consenso quando questo Źnecessario (art. 82, comma 4, del Codice).

 

4) Conservazione dei dati Nel quadro del rispetto dell'obbligo previstodall'art. 11, comma 1, lett. e) del Codice, i dati possono essere conservatiper un periodo non superiore a quello necessario per adempiere agli obblighi oai compiti sopra indicati, ovvero per perseguire le finalitą ivi menzionate. Atal fine, anche mediante controlli periodici, deve essere verificatacostantemente la stretta pertinenza, non eccedenza e indispensabilitą dei datirispetto al rapporto, alla prestazione o all'incarico in corso, da instaurare ocessati, anche con riferimento ai dati che l'interessato fornisce di propriainiziativa. I dati che, anche a seguito delle verifiche, risultano eccedenti onon pertinenti o non indispensabili non possono essere utilizzati, salvo cheper l'eventuale conservazione, a norma di legge, dell'atto o del documento cheli contiene. Specifica attenzione Ź prestata per l'indispensabilitą dei datiriferiti a soggetti diversi da quelli cui si riferiscono direttamente leprestazioni e gli adempimenti.

 

5) Comunicazione e diffusione dei dati Salvo quanto previsto per i dati genetici al punto 9della citata autorizzazione del 22 febbraio 2007, i dati idonei a rivelare lostato di salute possono essere comunicati, nei limiti strettamente pertinentiagli obblighi, ai compiti e alle finalitą di cui al punto 1), a soggettipubblici e privati, ivi compresi i fondi e le casse di assistenza sanitariaintegrativa, le aziende che svolgono attivitą strettamente correlateall'esercizio di professioni sanitarie o alla fornitura all'interessato dibeni, di prestazioni o di servizi, gli istituti di credito e le impreseassicurative, le associazioni od organizzazioni di volontariato e i familiaridell'interessato.

Ai sensi degli artt. 22, comma 8, e 26,comma 5, del Codice, i dati idonei a rivelare lo stato di salute non possonoessere diffusi.

I dati idonei a rivelare la vita sessualenon possono essere diffusi, salvo il caso in cui la diffusione riguardi datiresi manifestamente pubblici dall'interessato e per i quali l'interessatostesso non abbia manifestato successivamente la sua opposizione per motivilegittimi.

 

6) Richieste di autorizzazione I titolari dei trattamenti che rientrano nell'ambitodi applicazione della presente autorizzazione non sono tenuti a presentare unarichiesta di autorizzazione a questa Autoritą, qualora il trattamento che siintende effettuare sia conforme alle prescrizioni suddette.

Le richieste di autorizzazione pervenuteo che perverranno anche successivamente alla data di adozione del presenteprovvedimento, devono intendersi accolte nei termini di cui al provvedimentomedesimo.

Il Garante non prenderą in considerazionerichieste di autorizzazione per trattamenti da effettuarsi in difformitą alleprescrizioni del presente provvedimento, salvo che, ai sensi dell'art. 41 delCodice, il loro accoglimento sia giustificato da circostanze del tuttoparticolari o da situazioni eccezionali non considerate nella presenteautorizzazione, relative, ad esempio, al caso in cui la raccolta del consensocomporti un impiego di mezzi manifestamente sproporzionato in ragione, inparticolare, del numero di persone interessate.

 

7) Norme finali Restano fermi gli obblighi previsti da norme di leggeo di regolamento o dalla normativa comunitaria che stabiliscono divieti olimiti piĚ restrittivi in materia di trattamento di dati personali e, inparticolare:

a) dall'art. 5, comma 2, della legge5 giugno 1990, n. 135, come modificato dall'art. 178 del Codice, secondo cui larilevazione statistica della infezione da HIV deve essere effettuata conmodalitą che non consentano l'identificazione della persona;

b) dall'art. 11 della legge 22maggio 1978, n. 194, il quale dispone che l'ente ospedaliero, la casa di cura oil poliambulatorio nei quali Ź effettuato un intervento di interruzione digravidanza devono inviare al medico provinciale competente per territorio unadichiarazione che non faccia menzione dell'identitą della donna;

c) dall'art. 734-bis del codicepenale, il quale vieta la divulgazione non consensuale delle generalitą odell'immagine della persona offesa da atti di violenza sessuale.

Restano altresď fermi gli obblighi dilegge che vietano la rivelazione senza giusta causa e l'impiego a proprio oaltrui profitto delle notizie coperte dal segreto professionale, nonché gliobblighi deontologici previsti, in particolare, dal codice di deontologiamedica adottato dalla Federazione nazionale degli ordini dei medici chirurghi edegli odontoiatri.

Resta ferma, infine, la possibilitą didiffondere dati anonimi anche aggregati e di includerli, in particolare, nellepubblicazioni a contenuto scientifico o finalizzate all'educazione, allaprevenzione o all'informazione di carattere sanitario.

 

8) Efficacia temporale e disciplinatransitoria La presenteautorizzazione ha efficacia a decorrere dal 1° luglio 2008 fino al 31 dicembre2009, salve eventuali modifiche che il Garante ritenga di dover apportare inconseguenza di eventuali novitą normative rilevanti in materia.

La presente autorizzazione sarąpubblicata nella Gazzetta Ufficiale della Repubblica italiana.

Roma, 19 giugno 2008

ILPRESIDENTE Pizzetti

IL RELATORE Pizzetti

IL SEGRETARIO GENERALE Buttarelli