Documenti contenenti dati personali idonei a rivelare lo stato di salute: la consegna deve avvenire in busta chiusa

PROVVEDIMENTO DEL 24 FEBBRAIO 2011

Registro dei provvedimenti
n. 071 del 24 febbraio 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

VISTA la segnalazione del Gruppo consiliare Unione Progresso Dormellettese, nella persona del Sig. Michele Davide Guglielmetti in data 28 aprile 2010, con la quale lo stesso lamenta "l’anomalia di una consegna, da parte di un consigliere comunale, di un referto clinico non contenuto in busta chiusa e sigillata" da parte dell’Azienda sanitaria locale "NO" di Novara, di seguito "Azienda sanitaria";

VISTA la nota di riscontro del 25 giugno 2010 della Azienda sanitaria trasmessa a seguito di specifica richiesta di informazioni dell’Ufficio del Garante, nella quale è stato dichiarato che "il laboratorio analisi, su richiesta di alcuni comuni (e previa convenzione con essi) riceve referti ematici e liquidi biologici "prelevati" da personale sanitario in "Centri prelievi" organizzati presso i Comuni" e che "i relativi referti vengono trasmessi, dalla Asl No al Comune interessato, che provvede - tramite propri incaricati- alla consegna in loco";

CONSIDERATO che, con la citata nota di riscontro del 25 giugno 2010, l’Azienda sanitaria ha:

- precisato che la cartellina contenente i referti, "essendo pinzata sul solo lato sinistro….può considerarsi una "confezionatura aperta"";

- dichiarato di aver ritenuto che l’indicazione "di consegnare il referto in busta chiusa (…) non sia vincolante quando l’interessato acconsenta esplicitamente a che il referto sia consegnato "aperto", a proprio delegato", precisando di "voler attribuire valore primario alla volontà dell’interessato informando quest’ultimo che il referto viene consegnato "aperto" e richiedendo all’interessato di autorizzare tale modalità di consegna; l’autorizzazione viene acquisita tramite sottoscrizione della delega sul documento chiamato "Certificato di consegna"";

CONSIDERATO che tale documento denominato "certificato di consegna", utilizzato dalla Azienda sanitaria, prevede che la scelta dell’utente di utilizzare i Centri prelievo "costituisce autorizzazione a che l’Asl NO consegni il referto – in cartellina aperta – a Incaricati del Comune, i quali consegneranno il referto all’Interessato o al Delegato di quest’ultimo";

CONSIDERATO che l’Azienda sanitaria, nella medesima nota, ha altresì evidenziato che "il referto (la cui redazione è automatizzata) viene inserito manualmente nella predetta cartellina. Tale inserimento richiede pochissimo tempo ai Dipendenti addetti a tale operazione. Ben più lunga sarebbe l’operazione di imbustamento; che richiederebbe, oltre all’inserimento, la scrittura sulla busta dei dati identificativi dell’Interessato per consentire la consegna del referto", specificando inoltre che "la carenza di personale, dovuta ai reiterati "blocchi delle assunzioni", impedisce di eseguire l’operazione di imbustamento (sopraipotizzata); ciò, stante il rilevante numero di referti giornalmente consegnati" (nota del 25 giugno 2010);

VISTE le specifiche disposizioni del Codice che disciplinano la comunicazione dei dati idonei a rivelare lo stato di salute, prevedendo che tali dati possono essere resi noti all’interessato da parte di esercenti le professioni sanitarie ed organismi sanitari solo per il tramite di un medico designato dall’interessato o dal titolare (art. 84, comma 1);

VISTO che le medesime disposizioni consentono che i dati idonei a rivelare lo stato di salute siano resi noti all’interessato anche da parte di esercenti le professioni sanitarie diversi dai medici, che nell’esercizio dei propri compiti intrattengono rapporti diretti con i pazienti e sono altresì incaricati di trattare dati personali idonei a rivelare lo stato di salute nonché autorizzati per iscritto dal titolare o dal responsabile, prevedendo che l’atto di incarico individui appropriate modalità e cautele rapportate al contesto nel quale è effettuato il trattamento dei dati (art. 84, comma 2, del Codice);

VISTO il provvedimento generale del Garante secondo il quale "nel caso in cui l’interessato riceva una comunicazione dalla struttura sanitaria che documenti gli esiti di esami clinici effettuati, l’intermediazione può essere soddisfatta accompagnando un giudizio scritto con la disponibilità del medico a fornire ulteriori indicazioni a richiesta" (punto 4 del provvedimento generale del Garante del 9 novembre 2005; cfr. altresì punto 2 della nota del Garante del 30 giugno 1997);

VISTE, altresì, le specifiche prescrizioni contenute nel medesimo provvedimento generale del 2005, relative alla possibilità che "le certificazioni rilasciate dai laboratori di analisi o dagli altri organismi sanitari possono essere ritirate anche da persone diverse dai diretti interessati, purché sulla base di una delega scritta e mediante la consegna delle stesse in busta chiusa" (punto 4 del citato provvedimento generale del 9 novembre 2005);

CONSIDERATO che gli organismi sanitari e i laboratori di analisi possono effettuare in busta aperta la consegna della certificazione contenente dati sanitari, soltanto se la stessa è eseguita nelle mani dell’interessato, da parte di un medico designato dall’interessato, ovvero a cura di esercenti le professioni sanitarie diversi dai medici, che nell’esercizio dei propri compiti intrattengono rapporti diretti con i pazienti e sono altresì incaricati di trattare dati personali idonei a rivelare lo stato di salute nonché autorizzati per iscritto dal titolare o dal responsabile;

CONSIDERATO che gli organismi sanitari e i laboratori di analisi devono consegnare detta certificazione sanitaria in busta chiusa in tutte le altre ipotesi -diverse da quella rappresentata- riguardanti la consegna effettuata:

a) a soggetti delegati dall’interessato;

b) all’interessato, da parte del personale non esercente le professioni sanitarie (personale amministrativo o addetto ad attività di sportello);

RILEVATO che l’Azienda sanitaria, nel documento denominato "certificato di consegna", ha previsto che "per le sole attività dei Centri prelievo, organizzati dai comuni convenzionati per tale attività, la scelta dell’utente di utilizzare tali centri costituisce autorizzazione a che l’Asl No consegni il referto – in cartellina aperta – a Incaricati del Comune, i quali consegneranno il referto all’interessato o a Delegato di quest’ultimo";

RITENUTO che la sottoscrizione di tale autorizzazione non soddisfa i requisiti individuati dal legislatore, secondo i quali "il consenso è validamente prestato solo se è espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato" (art. 23, comma 3, del Codice), in quanto, nel caso di specie, non può definirsi "libero" il consenso che l’interessato "è tenuto" a prestare, ma necessitato quale conseguenza dell’aver scelto di utilizzare i Centri prelievo organizzati dal Comune e non essendo previste modalità alternative di consegna della certificazione rispetto a quella in "confezionatura aperta";

VERIFICATO inoltre che, secondo quanto riportato nella formulazione del "certificato di consegna" predisposto dall’Azienda sanitaria, la sottoscrizione della citata autorizzazione comprende la possibilità per l’Azienda stessa di consegnare la certificazione in "confezionatura aperta" anche agli incaricati del Comune, affinché questi ultimi possano renderla successivamente disponibile anche a soggetti delegati al ritiro da parte dell’interessato;

CONSIDERATO altresì che le richiamate prescrizioni in materia di consegna delle certificazioni rilasciate dagli organismi sanitari o dai laboratori di analisi, contenute nel provvedimento del Garante del 2005, costituiscono misure necessarie a garantire il rispetto della dignità della persona e il massimo livello di tutela degli interessati in ambito sanitario e che non possono, pertanto, essere derogate da parte dell’Azienda sanitaria;

CONSIDERATE le specifiche garanzie per i cittadini individuate dal Garante in relazione ai servizi di refertazione on-line offerti da talune strutture sanitarie, con particolare riferimento all’indicazione di specifici accorgimenti tecnici da adottare per assicurare idonei livelli di sicurezza ai sensi dell’art. 31 del Codice, fermo restando quanto previsto dall’art. 84 del Codice (cfr. Provvedimento del 19 novembre 2009 recante "Linee guida in tema di referti on-line" );

CONSIDERATO, inoltre, che recenti disposizioni legislative hanno attribuito alle farmacie pubbliche e private operanti in convenzione con il Servizio sanitario nazionale nuovi servizi, tra i quali quello di consentire agli assistititi di prenotare, nelle medesime farmacie, prestazioni di assistenza specialistica ambulatoriale presso le strutture pubbliche e private accreditate, di provvedere al pagamento delle relative quote di partecipazione alla spesa, nonché di ritirare i relativi referti, delegando ad un decreto di natura regolamentare, in corso di adozione, la definizione di modalità, regole tecniche e misure di sicurezza (art. 1, comma 1, lett. f) d.lg. 3 ottobre 2009, n. 153);

CONSIDERATO che su tale schema di decreto il Garante, nell’esprimere il previsto parere, ha fornito specifiche indicazioni, richiedendo, in particolare, la previsione che gli operatori della farmacia, individuati quali incaricati del trattamento dei dati nell’ambito del sistema CUP (Centro Unificato di Prenotazione), non tenuti per legge al segreto professionale, siano sottoposti a regole di condotta analoghe al segreto professionale, in analogia a quanto previsto in ambito sanitario (artt. 30 e 83, comma 2, lett. i) del Codice)(parere del 19 gennaio 2011);

CONSIDERATO, inoltre, che "il personale designato deve essere istruito debitamente anche in ordine alle modalità di consegna a terzi dei documenti contenenti dati idonei a rivelare lo stato di salute dell’interessato (es. referti diagnostici)" (punto 4 del citato provvedimento generale del 9 novembre 2005);

CONSIDERATO, pertanto, che il trattamento posto in essere dall’Azienda sanitaria risulta illecito in quanto configura una comunicazione di dati personali idonei a rivelare lo stato di salute degli interessati che si rivolgono ai Centri prelievo organizzati presso i Comuni, effettuata mediante la consegna della certificazione sanitaria in "confezionatura aperta", da parte di soggetti non esercenti le professioni sanitarie;

CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice, ha il compito di prescrivere anche d’ufficio le misure necessarie o opportune al fine di rendere il trattamento conforme alle disposizioni vigenti;

RILEVATA la necessità di prescrivere all’Azienda sanitaria, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice, di effettuare, nel caso di specie, la comunicazione dei dati personali idonei a rivelare lo stato di salute degli interessati che si rivolgono ai Centri prelievo organizzati presso i Comuni, mediante la consegna della relativa certificazione sanitaria in busta chiusa;

RITENUTO necessario che tale prescrizione sia eseguita dall’Azienda sanitaria al più presto e, comunque, entro un mese dalla notifica del presente provvedimento, e che ne sia data conferma a questa Autorità, entro il medesimo termine;

TENUTO CONTO che, ai sensi dell’art. 162, comma 2-ter del Codice, in caso di inosservanza del presente provvedimento, è applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da trentamila a centottantamila euro;

CONSIDERATO che resta impregiudicata la facoltà per gli interessati di far valere i propri diritti in sede civile in relazione alla condotta illecita accertata, ove ne ricorrono i presupposti, con specifico riguardo agli eventuali profili di danno (art. 15 del Codice);

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante, n. 1/2000 del 28 giugno 2000;

RELATORE il dott. Mauro Paissan;

TUTTO CIÒ PREMESSO IL GARANTE:

ritenuta l’illiceità del trattamento, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice, prescrive alla Azienda sanitaria locale "NO" di Novara di effettuare al più presto e, comunque, entro un mese dalla notifica del presente provvedimento, la comunicazione dei dati personali idonei a rivelare lo stato di salute degli interessati che si rivolgono ai Centri prelievo organizzati presso i Comuni, mediante la consegna della certificazione sanitaria in busta chiusa, dandone conferma a questa Autorità, entro il medesimo termine.

Roma, 24 febbraio 2011

Il presidente
Pizzetti

Il relatore
Paissan

Il segretario generale
De Paoli