IL GARANTE

Vista la legge 31 dicembre 1996, n. 675, e successivemodificazioni ed integrazioni, in materia di tutela delle personee di altri soggetti rispetto al trattamento dei dati personali;

Visto, in particolare, l'art. 22, comma 1, dellamedesima legge, il quale individua come "sensibili"i dati personali idonei a rivelare, tra l'altro, lo stato di salutee la vita sessuale;

Rilevato che tali dati possono essere trattati daisoggetti pubblici solo in presenza di una disposizione di leggeche specifichi i dati che possono essere trattati, le operazionieseguibili e le rilevanti finalità di interesse pubblicoperseguite, senza necessità, pertanto, di un'autorizzazionedi questa Autorità (art. 22, comma 3, legge n. 675/1996);

Constatato che i soggetti pubblici possono avvalersidi una disposizione transitoria, in base alla quale i trattamentidi dati sensibili iniziati prima dell'8 maggio 1997 possono essereproseguiti fino al 7 maggio 1998 anche in mancanza di una disposizionedi legge avente le caratteristiche predette, purché sieffettui una comunicazione a questa Autorità (art. 41,comma 5, legge n. 675/96);

Rilevato che gli organismi sanitari pubblici possonoavvalersi di tale disposizione transitoria, oppure, a loro scelta,di una disposizione speciale che permette di trattare i dati inerentialla salute (fatta eccezione, quindi, degli altri dati sensibili)anche in mancanza di una puntuale disposizione di legge e delconsenso scritto dell'interessato, qualora perseguano finalitàdi tutela dell'incolumità fisica e della salute di un terzoo della collettività ed osservino le prescrizioni dell'autorizzazionerilasciata da questa Autorità (art. 23, legge n. 675/96);

Considerato che la legge n. 675/96 prevede che gliesercenti le professioni sanitarie possono trattare:

a) i dati idonei a rivelare lo stato di salute, anchesenza l'autorizzazione di questa Autorità, qualora i datie le operazioni siano indispensabili per tutelare l'incolumitàfisica e la salute degli interessati che abbiano manifestato ilproprio consenso per iscritto;

b) i dati idonei a rivelare lo stato di salute, sullabase di un'autorizzazione, qualora il consenso scritto non siao non possa essere prestato e i dati e le operazioni siano indispensabiliper tutelare l'incolumità fisica e la salute di un terzoo della collettività;

c) i dati idonei a rivelare la vita sessuale, sullabase del consenso scritto e dell'autorizzazione;

Considerato che gli enti pubblici economici ed ognialtro soggetto privato, inclusi gli organismi sanitari, possonotrattare i dati idonei a rivelare lo stato di salute e la vitasessuale solo sulla base del consenso scritto e dell'autorizzazione;

Considerato che il Garante può rilasciarel'autorizzazione anche d'ufficio, nei confronti di singoli titolarioppure, con provvedimenti generali, di determinate categorie dititolari o di trattamenti (art. 41, comma 7, della legge n. 675/96,modificato dall'art. 4, comma 1, del decreto legislativo 9 maggio1997, n. 123);

Ritenuto opportuno rilasciare prima del 30 novembre1997 una autorizzazione generale volta a semplificare gli adempimentiprevisti dalla legge n. 675/96, ad armonizzare le prescrizionida impartire e a favorire la funzionalità dell'Ufficiodel Garante;

Rilevato che sono in fase di predisposizione alcunidecreti legislativi per il completamento della disciplina sullaprotezione dei dati personali, i quali, in attuazione della legge31 dicembre 1996, n. 676, dovranno prevedere entro il 23 luglio1998 alcune norme integrative riguardanti i dati sensibili, anchein attuazione della raccomandazione n. R (97) 5 adottata dal Consigliod'Europa in materia di dati sanitari;

Constatato che tali decreti dovranno tener contodel principio affermato nella citata raccomandazione, secondoil quale i dati sanitari devono essere trattati, di regola, solonell'ambito dell'assistenza sanitaria o sulla base di regole disegretezza, di efficacia pari a quelle previste in tale ambito;

Considerata l'opportunità che in questa fasetransitoria le autorizzazioni non rechino disposizioni particolarmentedettagliate, e ciò allo scopo di evitare che l'attivitàdei titolari sia soggetta a modifiche sostanziali nel corso diun breve periodo, ferme restando alcune garanzie per gli interessati;

Ritenuto pertanto opportuno rilasciare, allo stato,un'autorizzazione provvisoria, anche in conformità a quantoprevisto dall'emanando regolamento concernente l'organizzazionee il funzionamento dell'Ufficio di questa Autorità;

Ritenuta, tuttavia, la necessità che l'autorizzazioneprenda in considerazione le finalità dei trattamenti, lecategorie di dati, di interessati e di destinatari della comunicazionee della diffusione, nonché il periodo di conservazionedei dati stessi, in quanto la disciplina di tali aspetti èprevista dalla legge n. 675/96 ai fini dell'applicazione dellenorme sull'esonero dall'obbligo della notificazione e sulla notificazionesemplificata (art. 7, comma 5-quater );

Considerata la necessità che sia garantito,anche nell'attuale fase transitoria, il rispetto di alcuni principivolti a ridurre al minimo i rischi di danno o di pericolo chei trattamenti potrebbero comportare per i diritti e le libertàfondamentali, nonché per la dignità delle persone,specie per quanto riguarda la riservatezza e l'identitàpersonale, principi valutati anche sulla base della citata raccomandazionedel Consiglio d'Europa;

Considerato che un numero elevato di trattamentidi dati idonei a rivelare lo stato di salute è effettuatoper finalità di prevenzione e di cura, o che riguardano,in particolare, la gestione di servizi socio-sanitari, la ricercascientifica e la fornitura di prestazioni, beni o servizi all'interessato,e che è pertanto necessario che tali trattamenti forminooggetto di un'autorizzazione generale ai sensi dell'art. 41, comma7, della legge n. 675/96;

Autorizza:

a) gli esercenti le professioni sanitarie a trattarei dati idonei a rivelare lo stato di salute, qualora i dati ele operazioni siano indispensabili per tutelare l'incolumitàfisica e la salute di un terzo o della collettività, el'interessato non abbia prestato il proprio consenso per iscrittoo non possa prestarlo per effettiva irreperibilità, perimpossibilità fisica, per incapacità di agire oper incapacità di intendere o di volere;

b) gli organismi e le case di cura private, nonchéogni altro soggetto privato, a trattare i dati idonei a rivelarelo stato di salute e la vita sessuale, con il consenso scrittodell'interessato;

c) gli organismi sanitari pubblici, ivi compresii soggetti pubblici allorché agiscano nella qualitàdi autorità sanitarie, a trattare i dati idonei a rivelarelo stato di salute qualora ricorrano contemporaneamente le seguenticondizioni:

1) il trattamento sia finalizzato alla tuteladell'incolumità fisica e della salute di un terzo o dellacollettività;

2) manchi il consenso scritto (articolo 23, comma 1, ultimo periodo,legge n. 675/96), in quanto l'interessato non lo ha prestato onon può prestarlo per effettiva irreperibilità,per impossibilità fisica, per incapacità di agireo per incapacità di intendere o di volere;

3) il trattamento non sia previsto da una disposizione di leggeche specifichi i dati che possono essere trattati, le operazionieseguibili e le rilevanti finalità di interesse pubblicoperseguite.

1. Ambito di applicazione e finalità deltrattamento

1.1 L'autorizzazione è rilasciata, anche senzarichiesta:

a) ai medici-chirurgici, agli odontoiatri e aglialtri esercenti le professioni sanitarie iscritti in albi o inelenchi;

b) al personale sanitario infermieristico, tecnico e della riabilitazioneche esercita l'attività in regime di libera professione;

c) alle istituzioni e agli organismi sanitari privati, anche quandonon operino in rapporto con il Servizio sanitario nazionale.

In tali casi, l'autorizzazione è rilasciataal fine di consentire ai destinatari di adempiere o di esigerel'adempimento di specifici obblighi o di eseguire specifici compitiprevisti da leggi, da regolamenti o dalla normativa comunitaria,in particolare in materia di igiene e di sanità pubblica,di prevenzione delle malattie anche professionali e degli infortuni,di cura e di diagnosi, di riabilitazione degli stati di invaliditàe di inabilità fisica e psichica, di profilassi delle malattieinfettive diffusive, di tutela della salute mentale, di assistenzafarmaceutica e di assistenza sanitaria alle attività sportiveo di accertamento, in conformità alla legge, degli illecitiprevisti dall'ordinamento sportivo. Il trattamento puòriguardare anche la compilazione di cartelle cliniche, di certificatie di altri documenti di tipo sanitario, ovvero di altri documentirelativi alla gestione amministrativa la cui utilizzazione sianecessaria per i fini suindicati.

Qualora il perseguimento di tali fini richieda l'espletamentodi compiti di organizzazione o di gestione amministrativa, i destinataridella presente autorizzazione devono esigere che i responsabilie gli incaricati del trattamento preposti a tali compiti osservinole stesse regole di segretezza alle quali sono sottoposti i medesimidestinatari della presente autorizzazione.

1.2 L'autorizzazione è rilasciata, altresìai seguenti soggetti:

a) alle persone fisiche o giuridiche, agli enti,alle associazioni e agli altri organismi privati, per scopi diricerca scientifica, anche statistica, finalizzata alla tuteladella salute dell'interessato, di terzi o della collettivitàin campo medico, biomedico o epidemiologico, allorché sidebba intraprendere uno studio delle relazioni tra i fattori dirischio e la salute umana, o indagini su interventi sanitari ditipo diagnostico, terapeutico o preventivo ovvero sull'utilizzazionedi strutture socio-sanitarie, e la disponibilità di datisolo anonimi su campioni della popolazione non permetta alla ricercadi raggiungere i suoi scopi. In tali casi occorre acquisire ilconsenso (fermo restando quanto previsto dall'articolo 23, comma1, ultimo periodo, della legge n. 675/96) e il trattamento successivoalla raccolta non deve permettere di identificare gli interessatianche indirettamente, salvo che l'abbinamento al materiale diricerca dei dati identificativi dell'interessato sia temporaneoed essenziale per il risultato della ricerca e sia motivato, altresì,per iscritto. I risultati della ricerca non possono essere diffusise non in forma anonima;

b) alle organizzazioni di volontariato o assistenziali, limitatamenteai dati e alle operazioni indispensabili per perseguire scopideterminati e legittimi previsti, in particolare, nelle rispettivenorme statutarie;

c) alle comunità di recupero e di accoglienza, alle casedi cura e di riposo, limitatamente ai dati e alle operazioni indispensabiliper perseguire scopi determinati e legittimi previsti, in particolare,nelle rispettive norme statutarie;

d) agli enti, alle associazioni e alle organizzazioni religiosericonosciute, ivi comprese le confessioni religiose e le comunitàreligiose, relativamente ai dati e alle operazioni indispensabiliper perseguire scopi determinati e legittimi previsti, ove esistenti,nelle rispettive norme statutarie;

e) alle persone fisiche e giuridiche, alle imprese, agli enti,alle associazioni e ad altri organismi, limitatamente ai datie alle operazioni indispensabili per adempiere agli obblighi ancheprecontrattuali derivanti da un rapporto di fornitura all'interessatodi beni, di prestazioni o di servizi. Se il rapporto intercorrecon istituti di credito, imprese assicurative o riguarda valorimobiliari, devono considerarsi indispensabili i soli dati ed operazioninecessari per fornire specifici prodotti o servizi richiesti dall'interessato.Il rapporto può riguardare anche la fornitura di strumentidi ausilio per la vista, per l'udito o per la deambulazione;

f) alle persone fisiche e giuridiche, agli enti, alle associazionie agli altri organismi che gestiscono impianti o strutture sportive,limitatamente ai dati e alle operazioni indispensabili per accertarel'idoneità fisica alla partecipazione ad attivitàsportive o agonistiche.

1.3 La presente autorizzazione è rilasciata,altresì, per il trattamento dei dati idonei a rivelarelo stato di salute e la vita sessuale, quando il trattamento sianecessario:

a) ai fini dello svolgimento delle investigazionidi cui all'articolo 38 delle norme di attuazione, di coordinamentoe transitorie del Codice di procedura penale, approvate con decretolegislativo 28 luglio 1989, n. 271, e successive modificazioni;

b) per far valere o difendere un diritto in sede giudiziaria ancheda parte di un terzo, sempreché il diritto sia di rangopari a quello dell'interessato e i dati siano trattati esclusivamenteper tali finalità e per il periodo strettamente necessarioper il loro perseguimento.

2. Categoria di dati oggetto di trattamento

Il trattamento può avere per oggetto i datistrettamente pertinenti agli obblighi, ai compiti o alle finalitàdi cui al punto 1), e può comprendere le informazioni relativea stati di salute pregressi.

Devono essere considerati sottoposti all'ambito diapplicazione della presente autorizzazione, anche i seguenti dati:

a) le informazioni relative ai nascituri, chedevono essere trattate alla stregua dei dati personali in conformitàa quanto previsto dalla citata raccomandazione n. R (97) 5 delConsiglio d'Europa;

b) i dati genetici, limitatamente alle informazioni e alle operazioniindispensabili per tutelare l'incolumità fisica e la salutedell'interessato, di un terzo o della collettività, sullabase del consenso scritto ai sensi degli articoli 22 e 23 dellalegge n. 675/96. In mancanza del consenso, se il trattamento èvolto a tutelare l'incolumità fisica e la salute di unterzo o della collettività, il trattamento può essereiniziato o proseguito solo previa apposita autorizzazione delGarante. I dati genetici non possono essere trattati dai soggettidi cui al punto 1.2, lettere c), d), e) ed f). Le informativeall'interessato previste dall'articolo 10 della legge n. 675/96devono porre in particolare evidenza il diritto dell'interessatodi opporsi, per motivi legittimi, al trattamento dei dati geneticiche lo riguardano. Fino alla data di entrata in vigore del decretodelegato che darà attuazione alla citata autorizzazionein applicazione della legge 31 dicembre 1996, n. 676, i dati geneticitrattati per fini di prevenzione, di diagnosi o di terapia neiconfronti dell'interessato, ovvero per finalità di ricercascientifica, possono essere utilizzati unicamente per tali finalitào per consentire all'interessato di prendere una decisione liberae informata, ovvero per finalità probatorie in sede civileo penale, in conformità alla legge.

3. Modalità di trattamento

Fermo restando gli obblighi previsti dagli articoli9, 15, 17 e 28 della legge n. 675/96, concernenti i requisitidei dati personali, la sicurezza, i limiti posti ai trattamentiautomatizzati volti a definire il profilo o la personalitàdegli interessati e il trasferimento all'estero dei dati, il trattamentodei dati idonei a rivelare lo stato di salute e la vita sessualedeve essere effettuato unicamente con logiche e forme di organizzazionedei dati strettamente correlate agli obblighi, ai compiti e allefinalità di cui al punto 1).

Restano inoltre fermi gli obblighi di acquisire ilconsenso scritto dell'interessato di informare l'interessato medesimo,in conformità a quanto previsto dagli articoli 10, 22 e23 della legge n. 675/96. Se l'interessato è minore dietà, il consenso può essere prestato disgiuntamenteda coloro che esercitano la potestà. Per le informazionirelative ai nascituri, il consenso è prestato dalla gestante.

4. Conservazione dei dati

Nel quadro del rispetto dell'obbligo previsto dall'articolo9, comma 1, lettera e) della legge 31 dicembre 1996, n. 675, idati idonei a rivelare lo stato di salute e la vita sessuale possonoessere conservati per un periodo non superiore a quello necessarioper adempiere agli obblighi o ai compiti di cui al punto 1), ovveroper perseguire le finalità ivi menzionate, verificandoanche periodicamente la stretta pertinenza e la non eccedenzadei dati trattati.

5. Comunicazione e diffusione dei dati

Ai sensi dell'articolo 23, comma 4, della legge n.675/96, i dati idonei a rivelare lo stato di salute possono esserediffusi solo se necessario per finalità di prevenzione,accertamento o repressione dei reati, con l'osservanza delle normeche regolano la materia.

I dati idonei a rivelare la vita sessuale non possonoessere diffusi, salvo il caso in cui la diffusione riguardi datiresi manifestamente pubblici dall'interessato e per i quali l'interessatostesso non abbia manifestato successivamente la sua opposizioneper motivi legittimi.

I dati idonei a rivelare lo stato di salute, esclusii dati genetici, possono essere comunicati, nei limiti strettamentepertinenti agli obblighi, ai compiti e alle finalità dicui al punto 1), a soggetti pubblici e privati, ivi compresi ifondi e le casse di assistenza sanitaria integrativa, le aziendeche svolgono attività strettamente correlate all'eserciziodi professione sanitarie o alla fornitura all'interessato di beni,di prestazioni o di servizi, gli istituti di credito e le impreseassicurative, le associazioni od organizzazioni di volontariatoe i familiari dell'interessato.

6. Richieste di autorizzazione

I titolari dei trattamenti che rientrano nell'ambitodi applicazione della presente autorizzazione non sono tenutia presentare una richiesta di autorizzazione a questa Autorità,qualora il trattamento che si intende effettuare sia conformealle prescrizioni suddette.

Le richieste di autorizzazione pervenute o che perverrannoanche successivamente alla data di adozione del presente provvedimento,devono intendersi accolte nei termini di cui al provvedimentomedesimo.

Il Garante non prenderà in considerazionerichieste di autorizzazione per trattamenti da effettuarsi indifformità alle prescrizioni del presente provvedimento,salvo che il loro accoglimento sia giustificato da circostanzedel tutto particolari o da situazioni eccezionali non consideratenella presente autorizzazione, relative, ad esempio, al caso incui la raccolta del consenso comporti un impiego di mezzi manifestamentesproporzionato in ragione, in particolare, del numero di personeinteressate.

7. Norme finali

Restano fermi gli obblighi previsti da norme di leggeo di regolamento o dalla normativa comunitaria che stabilisconodivieti o limiti più restrittivi in materia di trattamentodi dati personali e, in particolare:

a) dall'articolo 5, comma 2, della legge 5 giugno1990, n. 135, il quale prevede che la rilevazione statistica dellainfezione da HIV deve essere effettuata con modalità chenon consentano l'identificazione della persona;

b) dall'articolo 11 della legge 22 maggio 1978, n. 194, il qualedispone che l'ente ospedaliero, la casa di cura o il poliambulatorionei quali è effettuato un intervento di interruzione digravidanza devono inviare al medico provinciale competente perterritorio una dichiarazione che non faccia menzione dell'identitàdella donna;

c) dall'articolo 734-bis del Codice penale, il quale vietala divulgazione non consensuale delle generalità o dell'immaginedella persona offesa da atti di violenza sessuale.

Restano altresì fermi gli obblighi di leggeche vietano la rivelazione senza giusta causa e l'impiego a proprioo altrui profitto delle notizie coperte dal segreto professionale,nonché gli obblighi deontologici previsti, in particolare,dal Codice di deontologia medica adottato il 25 giugno 1995 dallaFederazione nazionale degli ordini dei medici chirurghi e degliodontoiatri.

Resta ferma, infine, la possibilità di diffonderedati anonimi anche aggregati e di includerli, in particolare,nelle pubblicazioni a contenuto scientifico o finalizzate all'educazione,alla prevenzione o all'informazione di carattere sanitario.

8. Efficacia temporale e disciplina transitoria

La presente autorizzazione ha efficacia a decorreredal 30 novembre 1997, fino al 30 settembre 1998.

Qualora alla data del 30 novembre 1997 il trattamentonon sia già conforme alle prescrizioni della presente autorizzazione,il titolare può adeguarsi ad esse entro il 31 dicembre1997, sempreché le caratteristiche del trattamento nonpermettano un adeguamento entro un termine più breve.

La presente autorizzazione sarà pubblicatanella Gazzetta Ufficiale della Repubblica Italiana.

Il Presidente : Rodotà