| Garante per la protezione dei dati personali Pareredel Garante su una versione aggiornata dello schema tipo di regolamento per iltrattamento di dati personali sensibili e giudiziari da effettuarsi presso leregioni e le province autonome, le aziende sanitarie, gli enti e agenzieregionali/provinciali, gli enti vigilati dalle regioni e dalle provinceautonome PROVVEDIMENTODEL 26 LUGLIO 2012 Registro dei provvedimenti n.220 del 26 luglio 2012 ILGARANTE PER LA PROTEZIONE DEI DATI PERSONALI In data odierna, con la partecipazione del dott.Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, deldott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti,e del dott. Giuseppe Busia, segretario generale; Visto il decreto legislativo 30 giugno 2003, n. 196,recante il Codice in materia di protezione dei dati personali; Vista la richiesta di parere della Conferenza delleregioni e delle province autonome sullo schema tipo aggiornato di regolamentoper il trattamento di dati personali sensibili e giudiziari da effettuarsipresso le regioni e le province autonome, le aziende sanitarie, gli enti eagenzie regionali/provinciali, gli enti vigilati dalle regioni e dalle provinceautonome (prot. n. 2878/C2 INFO del 18 giugno 2012); Visti gli atti d'ufficio; Viste le osservazioni dell'Ufficio formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000; Relatore dott. Antonello Soro; PREMESSO: La Conferenza delle regioni e delle province autonomeha chiesto il parere del Garante in ordine ad una versione aggiornata delloschema tipo di regolamento per il trattamento di dati personali sensibili egiudiziari da effettuarsi presso le regioni e le province autonome, le aziendesanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalleregioni e dalle province autonome, sul quale l'Autorità aveva espresso parerefavorevole con il provvedimento del La revisione del predetto schema tipo, curata daltavolo di lavoro interregionale cui ha partecipato l'Ufficio del Garante, traeorigine dalla necessità, evidenziata da parte di più enti, di adeguare iregolamenti regionali sul trattamento dei dati sensibili e giudiziari al mutatoquadro normativo in vari settori di attività di competenza delle regioni, delleaziende sanitarie e degli altri enti strumentali o vigilati dalle regioni edalle province autonome. Le regioni e le province autonome, le aziendesanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalleregioni e dalle province autonome, al pari degli altri soggetti pubblici,possono trattare i dati sensibili e giudiziari (fatto salvo quanto previstodagli artt. 75 e seguenti del Codice per i trattamenti effettuati dalle aziendesanitarie per finalità di diagnosi, prevenzione e cura della salute), in basead un'espressa disposizione di legge nella quale siano specificati i tipi didati, le operazioni eseguibili e le finalità di rilevante interesse pubblicoperseguite. In presenza di una disposizione primaria che si limitia specificare solo la finalità di rilevante interesse pubblico, è necessarioidentificare e rendere pubblici, in un atto di natura regolamentare conforme alparere reso dal Garante, i tipi di dati sensibili o giudiziari, nonché leoperazioni eseguibili in relazione alle finalità perseguite nei singoli casi,al fine di rendere legittimo il trattamento. A tale scopo, le regioni e le province autonome sonotenute ad adottare un atto di natura regolamentare conforme al parere reso dalGarante, che, in armonia con il principio di semplificazione, nel quadro di unelevato livello di tutela dei diritti, può essere fornito anche su schemi-tipo(art. 20 del Codice). In questa prospettiva il Garante, sin dal 2004, haintrapreso alcune iniziative con la Conferenza delle regioni e delle provinceautonome, che ha portato alla predisposizione del citato primo schema tipo diregolamento nel 2006 e, successivamente al testo in esame. Quest'ultimo nascedall'esigenza di individuare un quadro aggiornato di garanzie in conformità alquale potranno essere adottati i necessari atti regolamentari sul trattamentodi dati di pertinenza delle regioni e delle province autonome, delle aziendesanitarie, degli enti e delle agenzie regionali/provinciali, degli entivigilati dalle regioni e dalle province autonome. Qualora tali atti siano adottati in conformità allaversione aggiornata dello schema tipo di regolamento in esame, essi nondovranno essere sottoposti singolarmente al Garante per il parere. Eventualiulteriori trattamenti di dati sensibili e/o giudiziari non considerati nelloschema tipo in esame non potranno essere effettuati. Laddove si renda, tuttavia,indispensabile trattare ulteriori categorie di dati, o eseguire altreoperazioni di trattamento per perseguire finalità di rilevante interessepubblico individuate dalla legge, le integrazioni o modifiche dovranno esseresottoposte al parere del Garante. OSSERVA Il predetto schema tipo è composto da 2 allegati, cheindividuano i tipi di dati che possono essere trattati e le operazioni su diquesti eseguibili, rispettivamente: - da parte delle regioni/province autonome, deglienti e agenzie regionali/provinciali e degli enti vigilati dalle regioni edalle province autonome (Allegato A), schede da 1 a 40); - da parte delle aziende unità sanitarie locali,delle aziende ospedaliere, degli istituti di ricerca e cura a caratterescientifico, delle aziende universitarie di qualsiasi tipo e natura operantinell'ambito del Servizio Sanitario Nazionale (Allegato B), schede da 1 a 40). Il parere è reso su una versione aggiornata delloschema tipo di regolamento, che tiene conto di gran parte delle osservazioniformulate, in via collaborativa, dall'Ufficio del Garante al tavolo di lavorointerregionale. Oltre ad alcuni errori materiali evidenziati nell' 1. Considerazionigenerali Con riferimento all'Allegato B),si evidenzia che in molte schede (v., a titolo esemplificativo, leschede 18 e 23), nella Descrizione del trattamento e del flusso informativo,sono contenuti vari riferimenti ad attività, riconducibili a finalità di tuteladella salute o dell'incolumità fisica dell'interessato, di un terzo o dellacollettività, che non devono essere prese in considerazione nello schema tipoin esame, in quanto per i trattamenti effettuati da organismi sanitari per talifinalità, come previsto dall'art. 85, comma 2, del Codice, si osservano ledisposizioni relative al consenso dell'interessato o all'autorizzazione delGarante (art. 76 del Codice). E' necessario pertanto operare una parzialerevisione delle indicazioni riportate nelle schede dell'Allegato B) al fine dieliminare i predetti riferimenti. 2. Fonti normative 2.1 Nelle fonti normative della scheda 15dell'Allegato A) e della scheda 2 dell'Allegato B), riguardanti le attivitàamministrative correlate alla sorveglianza epidemiologica delle malattieinfettive e diffusive, è stato menzionato il D.M. 31 marzo 2008, concernentel'"Istituzione del sistema di sorveglianza delle nuove diagnosi diinfezioni da HIV", che risulta essere stato emanato senza il previstoparere del Garante (art. 154, comma 4 del Codice). Al riguardo, in tale contesto, occorre rappresentareche i regolamenti e gli atti adottati senza la doverosa consultazionedell'Autorità sono viziati per violazione di legge e del diritto comunitario inmateria. Inoltre, i dati personali trattati in applicazione di tali atti sonoinutilizzabili, anche con conseguente responsabilità diretta, da parte diqualunque soggetto emanante ulteriori atti applicativi (art. 11, comma 2, delCodice). Il decreto prevede la notifica, attraverso la schedaallegata allo stesso, dei nuovi casi di infezione da HIV da parte dei centriclinici che offrono diagnosi e cura per HIV alle regioni e, da queste, all'Istitutosuperiore di sanità. Per i profili riguardanti la protezione dei datipersonali, vanno, tuttavia, sollevate alcune criticità relative, inparticolare, al codice identificativo individuato dal decreto per la notifica.Tale codice, infatti, non appare idoneo a garantire la non identificazionedella persona interessata come invece previsto dalla legge 5 giugno 1990, n.135 (art. 5). Si rappresenta, inoltre, che le modalità di trasmissione dellesuddette notifiche previste nel citato decreto non garantiscono un adeguatolivello di sicurezza rispetto alla natura dei dati oggetto di trattamento neiconfronti dei quali l'ordinamento richiede cautele più rigorose (artt. 31 e178, comma 2 del Codice). Al riguardo, il Ministero della salute ha inviato unanota all'Autorità in cui, nel trasmettere il predetto decreto 31 marzo 2008,evidenzia l'intenzione di avviare un percorso collaborativo ai finidell'acquisizione del previsto parere segnalando, in particolare, ladelicatezza degli aspetti relativi al codice univoco e alle misure di sicurezzadisciplinati nel provvedimento medesimo (nota prot. n.I.D. 108817538 del 17luglio 2012). In tale quadro, pertanto, i trattamenti di dati possono essereeffettuati dalle aziende sanitarie, dalle regioni e dalle province autonome,nell'ambito delle attività amministrative correlate alla sorveglianzaepidemiologica dei casi di infezione da HIV, nel rispetto delle specifichecautele individuate dal Ministero della salute, in collaborazione con l'Autorità. 2.2 Lo schema tipo di regolamento in esame fariferimento all'attivazione dei nuovi flussi di dati tra i medici prescrittorie il Ministero dell'economia e delle finanze (di seguito Mef), ai fini dimonitoraggio della spesa sanitaria e di verifica dell'appropriatezza prescrittivache sono stati introdotti dal comma 5-bis dell'art. 50 del d.l. 30 settembre2003, n. 269 (convertito dalla l. 24 novembre 2003, n.326), inserito dall'art.1, comma 810, lett. c) della legge 27 novembre 2006, n. 296 (scheda 12dell'Allegato A)). La suddetta disposizione legislativa rende necessarioprovvedere alla modifica del protocollo sottoscritto in data 9 marzo 2006 trail Garante, il Mef, il Ministero della salute e le regioni in cui sono statistabiliti i dati in possesso del Mef che possono essere trasmessi al Ministerodella salute e alle regioni, nonché le modalità di tale trasmissione (comma 10,dell'art. 50 citato). Al riguardo, il Mef ha inviato una nota all'Autoritàal fine di avviare, insieme con le amministrazioni sottoscrittrici del protocollo,una collaborazione volta alla revisione dello stesso, con particolareriferimento all'estensione delle cautele già previste per il trattamento deidati contenuti nelle prescrizioni di farmaci e di prestazioni specialisticheanche ai trattamenti di dati contenuti nei nuovi flussi originati dai mediciprescrittori (nota n. 65256 del 20 luglio 2012). 2.3 Con riferimento alla scheda 32 dell'Allegato B), ènecessario integrare le fonti normative con l'indicazione del d.l. 9 febbraio2012, n. 5 convertito in l. 4 aprile 2012, n. 35 che, all'art. 4, introducealcune rilevanti semplificazioni in materia di documentazione per le personecon disabilità e patologie croniche. 2.4 Nella scheda 34 del medesimo Allegato B), relativaalle attività medico legali inerenti l'accertamento dell'idoneità al portod'armi, occorre menzionare il R.D. 18 giugno 1931, n. 773 recante approvazionedel testo unico delle leggi di pubblica sicurezza, peraltro recentementemodificato dal d.lg. 26 ottobre 2010 n. 204 che ha, in particolare, dettatonuove disposizioni relative al rilascio da parte del Questore del nulla ostaall'acquisto di armi da parte di privati subordinandolo alla presentazione diun certificato rilasciato, tra gli altri, dal settore medico legale delleAziende sanitarie locali (art. 35). 3. Tipologie di datitrattati 3.1 Nella scheda 12 dell'Allegato A) non risultaespressamente comprovata, anche sulla base della sintetica descrizione deltrattamento, l'indispensabilità dell'utilizzo da parte dall'amministrazione regionaledi dati sensibili relativi all'adesione a partiti, sindacati, associazioni odorganizzazioni a carattere religioso, filosofico, politico o sindacale perfinalità di programmazione, gestione, controllo e valutazione dell'assistenzasanitaria. Occorre pertanto espungere il riferimento a tali informazioni dallatipologia di dati trattati senza che sia necessario sottoporre tale scheda alGarante per un nuovo parere. 3.2 Analogo rilievo va formulato con riferimento aimedesimi tipi di dati indicati nella scheda 13 dell'Allegato A) che riguarda leattività amministrative correlate all'assistenza socio-sanitaria a favore difasce deboli di popolazione e di soggetti in regime di detenzione. In relazioneai trattamenti presi in considerazione in questa scheda occorre pertantorivalutare l'indispensabilità dell'utilizzo dei predetti dati, tenendo inconsiderazione che nella corrispondente scheda dell'Allegato B), di pertinenzadelle aziende sanitarie (scheda 6), non è previsto il trattamento di questatipologia di dati per il perseguimento di attività similari. A seguito di talevalutazione, in caso di esito negativo, occorre espungere l'indicazione dellapredetta tipologia di dati dalla scheda 13 dell'Allegato A) senza che sianecessario sottoporla nuovamente al Garante per il parere. In caso di esitopositivo, invece, è necessario integrare la scheda 6 dell'Allegato B)menzionando tali informazioni tra la tipologia di dati trattati e documentareadeguatamente l'indispensabilità dell'utilizzo dei dati in questione nelladescrizione del trattamento e del flusso informativo, sottoponendo la schedacosì integrata al Garante per un nuovo parere. 4. Modalità ditrattamento dei dati Per ciò checoncerne le attività medico-legali di competenza degli organismi sanitari,inerenti l'accertamento dell'idoneità in ambito di diritto al lavoro e quelleamministrative correlate alle dipendenze, nelle schede 23 e 33 dell'AllegatoB), vanno integrate le modalità di trattamento dei dati indicando anche lamodalità "supporto video". Conseguentemente, nella descrizione deltrattamento e del flusso informativo appare opportuno evidenziare che, intalune limitate e residuali circostanze, in mancanza di modalità alternative piùrispettose della dignità e della riservatezza della persona sottoposta ad esametossicologico, la ripresa del prelievo del campione biologico dell'interessatopuò risultare indispensabile per evitare la manomissione del campione stesso.Le modalità del trattamento dei dati mediante l'utilizzo di "supportivideo" potrà avvenire nel rispetto delle garanzie che saranno individuatedal Garante con autonomo provvedimento a tutela della dignità e dellariservatezza degli interessati. 5. Operazionieseguibili 5.1 Per quanto concerne le operazioni di trattamento,occorre espungere nella scheda 2 dell'Allegato A), tra i destinatari dellecomunicazioni, l'indicazione del "Ministero del Lavoro e della Previdenzasociale" e introdurre quella del "Centro per l'impiegocompetente", in quanto, ai sensi dell'art. 1 comma 1180 della l. 27dicembre 2006 n. 296, è a tale servizio che deve essere indirizzata lacomunicazione obbligatoria prevista in caso di instaurazione di rapporto dilavoro subordinato e di lavoro autonomo in forma coordinata e continuativa daparte di pubbliche amministrazioni in qualità di datori di lavoro. In conformitàa tale rilievo, è necessario riformulare anche la relativa descrizione deltrattamento e del flusso informativo. 5.2 Con riferimento alla operazione di diffusione didati sensibili e giudiziari riferiti a consiglieri e assessori, menzionatenelle schede 37 e 40 dell'Allegato A), è opportuno specificare che taleoperazione, ove venga effettuata attraverso la rete Internet, deve avvenirenell'osservanza delle garanzie individuate dal Garante nelle "Lineeguida in materia di trattamento di dati personali contenuti anche in atti edocumenti amministrativi, effettuato da soggetti pubblici per finalità dipubblicazione e diffusione sul web" del 6. Descrizione deltrattamento e del flusso informativo 6.1 Nella scheda 3 dell'Allegato B) relativa alleattività amministrative e certificatorie correlate alle vaccinazioni e allaverifica dell'assolvimento dell'obbligo vaccinale si evidenzia l'opportunitàper le regioni che hanno sospeso l'obbligo vaccinale o le sanzioni ad essoconnesse di modificare la Descrizione del trattamento e del flussoinformativo in conformità al quadro normativo regionale di riferimento. 6.2 Per ciò che concerne le attività amministrativecorrelate all'assistenza socio-sanitaria a favore di fasce deboli dellapopolazione, occorre specificare, nella Descrizione del trattamento e delflusso informativo della scheda 6 dell'Allegato B), che gli organismisanitari, nell'espletamento dei servizi di telesoccorso e telecontrollo,possono trasmettere all'amministrazione regionale a fini di erogazione deicontributi agli anziani che ne facciano richiesta, in luogo dei "datiindividuali", i "dati identificativi e altre informazioni cherisultano strettamente indispensabili rispetto ai requisiti richiesti perl'erogazione del contributo" medesimo. 7. Conclusioni
TUTTOCIO' PREMESSO IL GARANTE: ai sensi degli articoli 20, comma 2, e 154, comma 1,lett. g) del Codice, esprime parere favorevole sullo schema tipo di regolamentopredisposto dalla Conferenza delle regioni e delle province autonome per iltrattamento dei dati personali sensibili e giudiziari da effettuarsi presso leregioni e le province autonome, le aziende sanitarie, gli enti e agenzieregionali/provinciali, gli enti vigilati dalle regioni e dalle provinceautonome in relazione alle finalità perseguite nei singoli casi, a condizioneche siano recepite le indicazioni fornite nei punti da 1 a 6 del presenteparere e nell'Allegato1 che ne costituisce parte integrante. Roma, 26 luglio 2012
Allegato 1 Errori materiali presentinello schema tipo aggiornato di regolamento per il trattamento di dati personalisensibili e giudiziari da effettuarsi presso le regioni e le province autonome,le aziende sanitarie, gli enti e agenzie regionali/provinciali, gli entivigilati dalle regioni e dalle province autonome 1. All'articolo 3, comma 1, dello schema di deliberazioneper l'adozione del regolamento per il trattamento di dati personali sensibili egiudiziari da effettuarsi presso le regioni e le province autonome, le aziendesanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalleregioni e dalle province autonome, sostituire: a. le parole: "Allegato A (schede da A1 aA41)" con le seguenti: "Allegato A (schede da A1 a A40)"; b. le parole: "istituti specifici in ambitosanitario" con le seguenti: "istituti scientifici in ambitosanitario". 2. Nelle Avvertenze per lacompilazione/consultazione delle schede relative ai singoli trattamentisostituire le parole: "Al fine di una maggiore semplificazione ledisposizioni di legge citate" con le seguenti: "Al fine di unamaggiore semplificazione le disposizioni normative citate"; 3. Nell'Elenco dei trattamenti descrittinell'Allegato A): a. nel titolo della scheda n. 18 sopprimere leparole: "(fornitura di prodotti dietetici e di presidi sanitari acategorie particolari)"; b. nella nota c) sopprimere le parole: ",delle IPAB"; c. nella nota d) sopprimere le parole: ",delle IPAB". 4. Nell'Elenco dei trattamenti descrittinell'Allegato B): a. nel titolo della scheda 8 sopprimere laparola: "reddito"; b. nel titolo della scheda 23 sopprimere leparole: "(tossicodipendenze e alcool dipendenze)". 5. Nelle Comunicazioni previste nellascheda 3 dell'Allegato A) sopprimere la parola: "INPDAP"; 6. Nella Descrizione del trattamento e delflusso informativo della scheda 10 dell'Allegato A), al paragrafo C),sostituire le parole: "opinioni politiche, convinzioni religiose" conle seguenti: "dati idonei a rivelare l'adesione a partiti, sindacati,associazioni od organizzazioni a carattere religioso, filosofico, politico osindacale"; 7. Nella Descrizione del trattamento e delflusso informativo della scheda 12 dell'Allegato A), alla voce dell'elenco:"assistenza residenziale e semiresidenziale" sostituire lacongiunzione: "e" con il segno d'interpunzione: "," eaggiungere infine le seguenti parole: "e negli hospice"; 8. Nella scheda 18 dell'Allegato A): a. nelle Finalità del trattamento dopo leparole: "art.85, comma 1, lettera a)" aggiungere le seguenti:"D.Lgs. 196/2003)"; b. nella Denominazione del trattamentosopprimere le parole: "(fornitura di prodotti dietetici e di presidisanitari a categorie particolari)". 9. Nella Tipologia delle operazioni eseguitedella scheda 27 dell'Allegato A) spuntare la casella relativa alla"comunicazione"; 10. Nella Descrizione del trattamento e delflusso informativo della scheda 31 dell'Allegato A), nel terzo paragrafosostituire le parole: "dati sensibili idonei a rivelare le convinzionireligiose, filosofiche o di altro genere, le opinioni politiche o sindacali olo stato di salute o dati giudiziari dell'interessato o dei suoifamiliari" con le seguenti: "i dati sensibili e giudiziariindividuati nella presente scheda riferiti all'interessato o ai suoifamiliari"; 11. Nella Descrizione del trattamento e delflusso informativo della scheda 34 dell'Allegato A), nell'ultimo paragrafo,aggiungere dopo le parole: "dati sensibili" le seguenti: "egiudiziari"; 12. Nella Descrizione del trattamento e delflusso informativo delle schede 3, 4, 7, 8, 12, 14, 16, 38 e 39dell'Allegato B), al paragrafo dedicato all'indicazione dei soggettidestinatari delle comunicazioni finalizzate alle attività di programmazione,gestione, controllo e valutazione dell'assistenza sanitaria di cui alla scheda12 dell'Allegato A), sostituire la parola: "Regione" con le seguenti:"Regione/Agenzia regionale di sanità"; 13. Nelle Comunicazioni previste nelleschede 7 e 8 dell'Allegato B) sostituire la parola: "Regione" con leseguenti: "Regione/Agenzia regionale di sanità"; 14. Nella Denominazione del trattamentodella scheda 23 dell'Allegato B) sopprimere le parole: "(tossicodipendenzee alcool dipendenze)"; 15. Nella scheda 15 dell'Allegato B): a. nella Tipologia dei dati trattatieliminare le parole: "(specificare se: anamnesi familiare)" e lerelative caselle; b. nella Descrizione del trattamento e delflusso informativo, al secondo paragrafo, al primo punto dell'elenco dopola parola: "attività" aggiungere la seguente:"amministrativa" e al secondo punto dopo la parola: "attività"aggiungere la seguente: "amministrative". 16. Nella Descrizione del trattamento e delflusso informativo della scheda 25 sostituire le parole: "SistemaSanitario Nazionale" con le seguenti: "Servizio sanitarionazionale"; 17. Nella Descrizione del trattamento e delflusso informativo delle schede 25 e 39 consolidare le revisionievidenziate nel testo; 18. Nella Descrizione del trattamento e delflusso informativo della scheda 30 dell'Allegato B), al sesto paragrafo,dopo le parole: "Ministero dell'Economia e delle Finanze" aggiungerele seguenti: "direttamente o tramite la specifica strutturaregionale".
|