Parere del garante europeo della protezione dei dati sulla proposta di Direttiva del Parlamento europeo e del Consiglio relativa alle norme di qualit e sicurezza degli organi umani destinati ai trapianti (Pubblicato sulla GUUE n. C 192 del 15.8.2009)
IL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI, visto il trattato che istituisce la Comunit europea, in particolare l'articolo 286, vista la carta dei diritti fondamentali dell'Unione europea, in particolare l'articolo 8, vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonch alla libera circolazione di tali dati, visto il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonch la libera circolazione di tali dati, in particolare l'articolo 41, vista la richiesta di parere a norma dell'articolo 28, paragrafo 2, del regolamento (CE) n. 45/2001 trasmessa al GEPD l'8 dicembre 2008, HA ADOTTATO IL SEGUENTE PARERE:
I. INTRODUZIONE La proposta di direttiva relativa alle norme di qualit e sicurezza degli organi umani destinati ai trapianti 1. L'8 dicembre 2008 la Commissione ha adottato la proposta di direttiva del Parlamento europeo e del Consiglio relativa alle norme di qualit e sicurezza degli organi umani destinati ai trapianti (in prosieguo: la proposta) (1). La proposta stata trasmessa dalla Commissione al GEPD per consultazione, a norma dell'articolo 28, paragrafo 2, del regolamento (CE) n. 45/2001. 2. La proposta intesa a garantire un alto livello di qualit e di sicurezza degli organi umani destinati al trapianto, al fine di assicurare un alto livello di tutela della salute umana. In particolare la proposta: — Definisce i requisiti fondamentali di qualit e sicurezza ai quali devono conformarsi i sistemi di trapianto degli Stati membri e prevede l'istituzione o la designazione di un'autorit nazionale competente per garantire la conformit a tali requisiti. A tal fine saranno istituiti in tutti i paesi programmi nazionali di qualit per il reperimento e trasporto degli organi umani, compreso — tra l'altro — un sistema per la segnalazione di eventi avversi e reazioni avverse gravi nonch un meccanismo che garantisca la tracciabilit di tutti gli organi, dal donatore al ricevente e viceversa. — Prevede la protezione dei donatori e dei riceventi. In particolare per quanto riguarda i donatori viventi, la proposta contiene misure per la valutazione dello stato di salute del donatore e l'informazione esauriente sui rischi della donazione, l'introduzione di registri dei donatori viventi nonch misure per garantire il carattere volontario e altruista della donazione di organi da parte di donatori viventi. — Facilita la cooperazione tra Stati membri e gli scambi transfrontalieri di organi (anche tra Stati membri e Paesi terzi), standardizzando la raccolta di informazioni relative alle caratteristiche dell'organo e istituendo un meccanismo per la trasmissione delle informazioni. 3. L'attuazione del sistema proposto per la donazione e il trapianto di organi richiede il trattamento di dati personali relativi alla salute dei donatori degli organi e di coloro che li ricevono da parte delle organizzazioni autorizzate e degli operatori sanitari dei diversi Stati membri. Tali dati sono considerati sensibili e sono soggetti alle norme di protezione dei dati pi rigorose di cui all'articolo 8 della direttiva 95/46/CE, riguardante categorie particolari di dati. 4. In particolare, i dati dei donatori sono trattati dagli organismi di reperimento che effettuano la caratterizzazione di organi e donatori e decidono pertanto se l'organo in esame adeguato per il trapianto (un elenco di tali dati figura nell'allegato della proposta). I dati dei riceventi (pazienti) sono trattati nei centri per i trapianti in cui si svolge effettivamente l'operazione. Bench i dati del donatore non siano comunicati al ricevente (e viceversa), necessario che le competenti autorit nazionali mantengano la piena tracciabilit dell'organo dal donatore al ricevente (e viceversa), cosa che dovrebbe essere possibile anche in caso di scambio transfrontaliero di organi. Consultazione del GEPD 5. Il GEPD accoglie con soddisfazione il fatto di essere stato consultato e il riferimento a tale consultazione figurante nel preambolo della proposta, in conformit dell'articolo 28 del regolamento (CE) n. 45/2001. 6. La proposta comporter progressi per le procedure di donazione e trapianto di organi, con l'obiettivo finale di aumentare la disponibilit di organi e far diminuire la mortalit dei pazienti in lista d'attesa. Integra il quadro legislativo vigente per quanto riguarda l'uso di materiali biologici di origine umana. (2) Pu inoltre essere considerata parte dell'approccio globale della CE verso la definizione di vari tipi di standard comuni per la prestazione di servizi di assistenza sanitaria negli Stati membri, con l'obiettivo principale di promuovere la disponibilit transfrontaliera di questi servizi in tutta Europa. (3) Come gi dichiarato nel suo parere sui diritti dei pazienti nell'ambito dell'assistenza sanitaria transfrontaliera, il GEPD sostiene questo approccio. Torna tuttavia a sottolineare l'esigenza di un approccio adeguatamente coordinato e uniforme per la protezione dei dati nell'ambito delle varie iniziative connesse all'assistenza sanitaria. (4) 7. La proposta ha gi preso in considerazione le esigenze in materia di protezione dei dati sia per i donatori di organi che per i riceventi. L'elemento pi importante l'esigenza di mantenere riservata l'identit dei donatori e dei riceventi (considerando 11 e 16, articoli 10 e 17). Alcuni riferimenti generali alla protezione dei dati figurano inoltre in alcune parti della proposta (considerando 17, articoli 16, 4, paragrafo 3, lettera a), 15, paragrafo 3) e 19, paragrafo 1, lettera a), allegato); vi sono anche riferimenti specifici all'esigenza di cooperare con le autorit nazionali preposte alla protezione dei dati. (articoli 18, lettera f) e 20, paragrafo 2). 8. Il GEPD si compiace delle disposizioni succitate. Tiene tuttavia a esprimere le sue preoccupazioni per alcune delle disposizioni che non sono chiaramente definite o elaborate, con conseguenti ambiguit che potrebbero pregiudicare l'attuazione uniforme della proposta da parte degli Stati membri. 9. In particolare l'uso talvolta contraddittorio dei concetti di tracciabilit degli organi e anonimato dei donatori e dei riceventi un aspetto che richiede ulteriori chiarimenti e precisazioni. In questo contesto dovrebbe essere maggiormente sottolineata l'esigenza di adottare misure di sicurezza pi incisive per la protezione dei dati dei donatori e dei riceventi a livello di Stati membri, di garantire un pi alto livello di protezione dei dati nei vari paesi europei, nonch di assicurare la protezione dei dati nello scambio transfrontaliero di organi (all'interno e all'esterno dell'Europa). 10. Il presente parere elaborer ulteriormente i temi succitati, al fine di migliorare le attuali disposizioni della proposta in materia protezione dei dati, in termini sia di chiarezza che di coerenza.
II. PRECISAZIONE DEI CONCETTI DI TRACCIABILIT E DI ANONIMATO L'applicabilit della direttiva 95/46/CE 11. Ai sensi dell'articolo 2, lettera a) della direttiva 95/46/CE sulla protezione dei dati personali si intende per dati personali: qualsiasi informazione concernente una persona fisica identificata o identificabile; si considera identificabile la persona che pu essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o pi elementi specifici caratteristici della sua identit fisica, fisiologica, psichica, economica, culturale o sociale. 12. I materiali biologici di origine umana, quali organi, tessuti, cellule o sangue, possono essere definiti come materiale che pu essere estratto dal corpo umano. discutibile se questi materiali in quanto tali possano essere considerati dati personali. E' tuttavia indiscusso che tali materiali possono essere usati come fonti di informazioni personali sulla persona a cui appartengono. I materiali biologici sono spesso sottoposti a trattamento al fine di ricavare tali informazioni. E anche se non si persegue tale scopo, i materiali biologici sono spesso accompagnati da informazioni che ne sono ricavate. In queste situazioni si applicano le norme della direttiva 95/46/CE. (5) Ossia nella misura in cui il materiale biologico appartiene a una persona (fisica) identificata o identificabile. 13. Il considerando 26 della direttiva 95/46/CE spiega come determinare se una persona identificabile: Ǐ opportuno prendere in considerazione l'insieme dei mezzi che possono essere ragionevolmente utilizzati dal responsabile del trattamento o da altri per identificare detta persona. Lo stesso considerando spiega inoltre che le norme della direttiva 95/46/CE non si applicano se le informazioni si riferiscono a una persona che non pi identificabile: tali dati sono considerati anonimi. 14. Nella raccomandazione (2006) 4, il Consiglio d'Europa ha affrontato la questione specifica dell'identificabilit dei materiali biologici, facendo una distinzione tra materiali biologici identificabili e non identificabili. (6) 15. In base alla raccomandazione, per materiale biologico identificabile si intende il materiale biologico che, da solo o in combinazione con dati associati, permette l'identificazione degli interessati, direttamente o ricorrendo a un codice (7). In quest'ultimo caso chi usa materiale biologico pu avere accesso al codice (materiali codificati) o non avere accesso a questo codice che sotto il controllo di parti terze (materiali collegati anonimizzati ). Nel parere 4/2007 sul concetto di dati personali, il gruppo dell'articolo 29 ha fatto ricorso alla nozione di dati pseudonimizzati con sistema tracciabile per descrivere informazioni su persone identificabili indirettamente che possono ancora essere usate per risalire alle persone e identificarle in condizioni definite in precedenza (8). I dati codificati con chiave sono indicati a titolo di esempio; in questo caso i dati personali sono contrassegnati da un codice, mentre la chiave che crea la corrispondenza tra il codice e i comuni identificatori tenuta separata. Se i codici usati sono unici per ogni persona specifica, l'identificazione possibile mediante la chiave applicata per la codificazione. 16. La raccomandazione fa anche riferimento al materiale biologico non identificabile (o materiale anonimizzato non collegato) per indicare il materiale biologico che, da solo o in combinazione con dati associati, non permette, compiendo sforzi ragionevoli, l'identificazione degli interessati(9). Si tratterebbe effettivamente di dati anonimi secondo la definizione data dalla direttiva 95/46/CE. 17. Da quanto precede consegue che la direttiva 95/46/CE si applica alla raccolta, alla conservazione e alla lavorazione di organi identificabili e alla successiva estrazione di informazioni da tali organi, per il tempo durante il quale rimane possibile, tenendo debitamente conto di tutti i mezzi che con ogni probabilit sono ragionevolmente usati, identificare l'interessato. Come si dimostrer, la tracciabilit permanente di organi come prevista nella direttiva proposta manterr identificabili le persone per tutta la durata del processo. Tracciabilit ovvero anonimato degli organi umani 18. La tracciabilit del materiale biologico la possibilit di risalire alla persona alla quale appartiene e quindi di identificarla. In altre parole, ogniqualvolta possibile risalire alla persona cui appartiene il materiale biologico, in modo diretto o indiretto, quest'ultimo pu essere considerato identificabile e viceversa. I concetti di tracciabilit e identificabilit sono pertanto in linea di massima strettamente interconnessi. La tracciabilit e l'anonimato dei dati non possono invece essere presenti simultaneamente, in quanto si tratta di concetti contrapposti. Se una determinata informazione realmente anonima, non possibile identificare e rintracciare le persone. 19. Nel contesto della proposta in oggetto, la tracciabilit un requisito obbligatorio da definire nell'ambito dei programmi nazionali di qualit degli Stati membri in un duplice senso, ossia per i donatori e per i riceventi. Ci significa che, bench le informazioni sui donatori e i riceventi siano mantenute riservate, le informazioni riguardanti gli organi sono identificabili. Il concetto anche incluso nella definizione di tracciabilit contenuta nell'articolo 3 della proposta: la possibilit di localizzare ed identificare l'organo, in qualunque fase del processo che va dalla donazione al trapianto o all'eliminazione, da parte di un'autorit competente che sia autorizzata, nelle circostanze specificate nella presente direttiva, a identificare il donatore e l'organismo di reperimento, identificare i riceventi nel centro di trapianto, localizzare ed identificare tutte le informazioni pertinenti non personali relative ai prodotti e ai materiali che entrano in contatto con tale organo. 20. Inoltre l'articolo 10, paragrafo 1 della proposta, riguardante la tracciabilit, dispone che Gli Stati membri provvedono affinch sia garantita la tracciabilit dal donatore al ricevente e viceversa di tutti gli organi reperiti e assegnati sul loro territorio, in modo da salvaguardare la salute dei donatori e dei riceventi. Il paragrafo 3 dello stesso articolo prevede che Gli Stati membri provvedono affinch: a) l'autorit competente o gli altri organismi che intervengono nel processo che va dalla donazione al trapianto o all'eliminazione conservino i dati necessari per garantire la tracciabilit in tutte le fasi di tale processo, in conformit ai programmi nazionali di qualit; b) i dati richiesti ai fini della completa tracciabilit sono conservati almeno per i 30 anni successivi alla donazione. I dati possono essere conservati in forma elettronica. 21. Bench il processo della tracciabilit sia soggetto a misure di applicazione (cfr. articolo 25 della proposta), un sistema di identificazione indiretta dei donatori e dei riceventi sembra la soluzione pi probabile, in quanto segue (o per lo meno interoperabile con) la direttiva 2004/23/CE (10) sui tessuti e le cellule e con il codice d'identificazione europeo ivi previsto (11). In un caso del genere il trattamento dei dati relativi ai donatori e ai riceventi nel contesto della proposta riguarderebbe materiali biologici collegati anonimizzati o, nella terminologia della protezione dei dati, dati pseudonimizzati con sistema tracciabile (si veda il precedente punto 15) ai quali si applica la direttiva 95/46/CE. 22. Si rileva tuttavia che, nonostante gli obblighi chiari in materia di tracciabilit e identificabilit, in alcune parti della proposta ricorre il termine anonimato o dati anonimi riferito ai dati del donatore e del ricevente. Come risulta dai punti precedenti, questa situazione contraddittoria e d luogo a grande confusione. (12) 23. In particolare, l'articolo 10, paragrafo 2 della proposta, che impone l'obbligo di un sistema di identificazione dei donatori, recita: Gli Stati membri provvedono affinch sia messo in atto un sistema di identificazione dei donatori che permetta di identificare ciascuna donazione e ciascun organo ad essa associato. Il sistema prescelto concepito in modo da non raccogliere, trattare o utilizzare dati personali o raccoglierne, trattarne e utilizzarne il meno possibile. Occorre in particolare ricorrere alla possibilit di pseudonimi o all'anonimato delle persone (13). Il GEPD ritiene che i termini sottolineati in questo particolare paragrafo siano in conflitto con il concetto di tracciabilit in quanto non possibile disporre di dati tracciabili e identificabili se i donatori e i riceventi sono resi anonimi. Va inoltre rilevato che questo paragrafo si riferisce all'identificazione del donatore mentre quella del ricevente (anch'esso parte del processo) non affatto menzionata. 24. Questa contraddizione anche pi vistosa nell'articolo 17 sull'anonimato dei donatori e dei riceventi che recita: Gli Stati membri adottano le misure necessarie affinch tutti i dati personali dei donatori e dei riceventi trattati nell'ambito della presente direttiva siano resi anonimi, in modo da impedire l'identificazione dei donatori o dei riceventi. Questo articolo del tutto in contrasto con gli articoli della proposta riguardanti la tracciabilit. Riservatezza invece di anonimato 25. Il GEPD parte dall'assunto che il termine anonimato sia effettivamente usato per sottolineare l'esigenza di una maggiore riservatezza (14) dei dati del donatore e del ricevente, nel senso che l'informazione deve essere accessibile solo a coloro che sono autorizzati ad accedervi. Il GEPD suppone che con il termine anonimizzazione si intenda pi specificamente una soluzione che implica un sistema di identificazione indiretta dei donatori e dei riceventi (15) , come si pu anche desumere dal modo in cui tale termine usato nella direttiva 2004/23/CE sui tessuti e le cellule. Come si detto sopra, anonimato non comunque il termine corretto da utilizzare. 26. Un esempio del modo in cui la protezione dei dati e la tracciabilit possono essere trattati in una procedura di trapianto figura nel protocollo addizionale alla Convenzione del Consiglio d'Europa sui diritti dell'uomo e la biomedicina (16). In quel contesto, invece del concetto di anonimato si usa quello di riservatezza. In particolare, l'articolo 23, paragrafo 1 del protocollo prevede che tutti i dati personali riguardanti la persona da cui sono stati prelevati organi o tessuti e quelli riguardanti il ricevente sono considerati riservati. Tali dati possono essere raccolti, trattati e comunicati solo nel rispetto delle norme in materia di segreto professionale e protezione dei dati personali. Il paragrafo 2 dello stesso articolo prevede che le disposizioni del paragrafo 1 sono interpretate facendo salve le disposizioni che permettono, con le debite salvaguardie, la raccolta, il trattamento e la comunicazione delle necessarie informazioni sulla persona da cui sono stati prelevati organi o tessuti o sul ricevente/sui riceventi di organi e tessuti nella misura in cui ci richiesto per fini medici, compresa la tracciabilit, come previsto dall'articolo 3 del protocollo. 27. Sulla base di quanto precede, il GEPD raccomanda di modificare la formulazione di alcune parti della proposta per evitare ambiguit ed esprimere in modo esplicito che i dati non sono anonimi, ma dovrebbero essere trattati secondo norme rigorose di riservatezza e sicurezza. Pi in particolare il GEPD raccomanda le seguenti modifiche: — nel considerando 16, ultima frase: In conformit alla Carta e per tenere in debito conto la Convenzione sui diritti dell'uomo e la biomedicina, i programmi di trapianto di organi devono basarsi sui principi della donazione volontaria e non remunerata, dell'altruismo del donatore e della solidariet tra il donatore e il ricevente, garantendo contemporaneamente che siano poste in essere norme di riservatezza e misure di sicurezza rigorose a protezione dei dati personali del donatore e del ricevente.; — all'articolo 10, paragrafo 2: Gli Stati membri provvedono affinch sia messo in atto un sistema di identificazione dei donatori e dei riceventi che permetta di identificare ciascuna donazione e ciascun organo ad essa associato. Il sistema prescelto concepito in modo da raccogliere, trattare e utilizzare il meno possibile di dati personali, ricorrendo in particolare a metodi di pseudonimizzazione, e per la sicurezza di tali dati sono poste in essere le necessarie misure tecniche e organizzative.; — l'articolo 17 in quanto tale potrebbe essere soppresso e il suo contenuto (in termini di esigenze di riservatezza) incorporato in un nuovo paragrafo dell'articolo 16 relativo a Protezione dei dati personali, riservatezza e sicurezza del trattamento (cfr. punto 36). 28. Il GEPD suggerisce inoltre, come si vedr pi avanti nel presente parere, di precisare meglio l'esigenza di una maggiore protezione dei dati del donatore e del ricevente per mezzo di rigorose misure di sicurezza da applicare a livello sia nazionale che transfrontaliero. III. ENFASI SULLE MISURE NAZIONALI DI PROTEZIONE DEI DATI Esigenze e requisiti basilari in materia di sicurezza 29. Secondo quanto stabilisce la proposta, il trattamento dei dati personali dei donatori e dei riceventi si svolge principalmente a livello nazionale, ossia nei centri nazionali per il reperimento e i trapianti. ancora a questo livello che si tiene il registro dei donatori viventi. Bench il meccanismo di tracciabilit non sia stato ancora definito, prevedibile che le attivit di codificazione si svolgano a loro volta a livello nazionale anche nel caso in cui venga utilizzato un sistema europeo di codifica, dal momento che l'identificazione di donatori e riceventi possibile soltanto tramite le autorit nazionali competenti. 30. perci della massima importanza attuare una politica di sicurezza dell'informazione basata su misure di sicurezza rigorose e solide a livello dei servizi nazionali responsabili, soprattutto al fine di soddisfare i requisiti di riservatezza per donatori e riceventi previsti dalla proposta, nonch salvaguardare l'integrit (17), l'attendibilit (18) e la disponibilit (19) di tali dati. A tale riguardo, la politica di sicurezza dell'informazione dovrebbe contemplare elementi di sicurezza fisica e logica incentrandosi, tra l'altro, sul controllo dellinserimento dei dati, l'accesso, la registrazione, il trasferimento e la comunicazione nonch sul controllo dei supporti di memorizzazione e dello stoccaggio. 31. Per quanto concerne la riservatezza, i dati medici dei riceventi (20) e i dati utilizzati per la caratterizzazione dei donatori e il monitoraggio [anche in relazione ai donatori marginali (21)] possono rivelare su di loro informazioni personali sensibili che ne possono anche compromettere la vita sociale, professionale e/o personale. La protezione dei dati di identificazione dei donatori ancor pi importante nei casi in cui i donatori viventi o le persone che abbiano acconsentito a donare uno o pi organi dopo la morte potrebbero diventare vittima del traffico di organi e tessuti umani qualora tali informazioni fossero divulgate. Anche l'integrit dei dati riguardanti gli organi determinante perch anche un solo errore nelle informazioni trasferite potrebbe mettere in pericolo di vita il ricevente. Ci vale anche per l'accuratezza dei dati relativi alla salute dei donatori prima del trapianto, essendo essi utilizzati per valutare l'idoneit al trapianto di un organo. Quanto all'attendibilit, essendo cos numerose le organizzazioni coinvolte nel sistema di donazione e trapianti nel suo insieme, dovrebbe esistere un modo per cui tutte le entit interessate siano consapevoli delle proprie azioni e possano assumersene la responsabilit, ad esempio nel caso in cui i dati didentificazione del donatore fossero comunicati a persone non autorizzate o i dati medici relativi agli organi non fossero accurati. Infine, siccome l'intero sistema basato sul trasferimento dei dati relativi agli organi e sul meccanismo di tracciabilit dal donatore al ricevente, tali dati dovrebbero essere immediatamente a disposizione delle persone autorizzate quando richiesti (altrimenti la non disponibilit comprometterebbe il corretto funzionamento del sistema). 32. A questo proposito, bisognerebbe istituire adeguati meccanismi di autorizzazione, conformi a specifiche politiche di controllo dell'accesso, sia per le banche dati nazionali che per gli scambi transfrontalieri di organi. Tali politiche dovrebbero essere definite in primo luogo a livello organizzativo, specie con riguardo alle procedure di identificazione dei donatori e dei riceventi (ad es. chi ha accesso a quali informazioni e in quali circostanze). In questo modo saranno stabiliti i diritti di accesso, unitamente a scenari di accesso in cui possono essere esercitati tali diritti (ad es. le circostanze e la procedura per la comunicazione dei dati all'autorit competente da parte dell'organismo di reperimento, gli — eventuali — casi in cui l'identit del donatore deve essere comunicata al ricevente e le relative procedure, ecc.). Ai fini dell'efficacia delle politiche le persone che intervengono nel trattamento dovrebbero essere vincolate da regole specifiche di riservatezza. 33. Una volta definite, tali politiche potranno essere attuate a livello tecnico, ossia in termini di controllo dell'accesso degli utenti a sistemi e applicazioni secondo i diritti di accesso prestabiliti. A tal fine possono essere impiegate tecnologie collaudate quali la cifratura e i certificati digitali (22) (sulla base, ad es., di schemi di infrastrutture di certificazione a chiave pubblica (23). Si possono applicare anche meccanismi di autenticazione in base al ruolo per restringere i diritti di accesso degli utenti in base al loro ruolo (ad es. solo i dottori dovrebbero essere in grado di modificare i dati medici di riceventi e donatori nelle banche dati nazionali). 34. Il controllo dell'accesso dovrebbe essere integrato da possibilit di registrazione delle azioni degli utenti (ad es. l'accesso in lettura e in scrittura ai dati medici), specie in caso di utilizzo di sistemi elettronici. Si dovrebbero inoltre predisporre misure di sicurezza fisica e logica per garantire la piena operativit delle banche dati dei donatori e degli organi quali elemento centrale del sistema di donazione e trapianti proposto. La disponibilit dei dati dovrebbe essere considerata un principio fondamentale del sistema. A tale riguardo la politica di sicurezza dell'informazione dovrebbe basarsi su una corretta analisi e valutazione del rischio e includere anche elementi quali gli incidenti e la gestione della continuit operativa. Tutti questi elementi dovrebbero essere mantenuti e migliorati con periodiche attivit di controllo e revisione. Anche le verifiche indipendenti possono rendere pi efficace e migliore il sistema, con particolare attenzione alle pratiche di pseudonimizzazione, tracciabilit e trasferimento dati. 35. Il GEPD vorrebbe una maggiore enfasi sulla necessit di tali misure nell'ambito della direttiva proposta. Rafforzamento delle disposizioni della proposta in materia di sicurezza 36. L'articolo 16 della proposta relativo a Protezione dei dati personali, riservatezza e sicurezza del trattamento stabilisce che Gli Stati membri provvedono affinch il diritto fondamentale alla protezione dei dati personali sia tutelato pienamente ed efficacemente in tutte le attivit di trapianto di organi, in conformit alle disposizioni comunitarie relative alla protezione dei dati personali, come la direttiva 95/46/CE, in particolare l'articolo 8, paragrafo 3, e gli articoli 16, 17 e 28, paragrafo 2. Il GEPD raccomanda di aggiungere a questo articolo un secondo paragrafo in cui siano descritti i principi fondamentali per garantire la sicurezza a livello degli Stati membri, compreso almeno un riferimento ai seguenti punti: — Si dovrebbe predisporre una politica di sicurezza dell'informazione che dia attuazione a misure tecniche e organizzative per garantire la riservatezza, l'integrit, l'attendibilit e la disponibilit dei dati personali di donatori e riceventi. — Si dovrebbe definire un'apposita politica di riservatezza e controllo dell'accesso da applicare in tutti gli Stati membri, che precisi i diritti di accesso, i ruoli e le responsabilit di tutte le parti coinvolte (donatore, organismo di reperimento, centro trapianti, ricevente, autorit nazionale competente, autorit transfrontaliera competente) in tutto il processo di tracciabilit. Occorre predisporre specifiche garanzie di riservatezza dei dati per le persone che intervengono nel trattamento, specie se non vincolate dall'obbligo del segreto medico (ad es. codici di condotta in materia di riservatezza e misure incentrate sulla sensibilizzazione). — Bisognerebbe precisare la necessit di affrontare la questione dei meccanismi di sicurezza (quali cifratura e certificati digitali) nell'ambito delle banche dati nazionali. Con particolare riguardo ai registri dei donatori, bisognerebbe applicare il principio della tutela della vita privata fin dalla fase di progettazione (privacy by design) affinch tutti i necessari requisiti di sicurezza siano inclusi gi nelle fasi iniziali di attuazione di tali applicazioni. — Bisognerebbe inoltre istituire procedure per tutelare il diritto di donatori e riceventi alla protezione dei loro dati, specie i diritti di accesso e rettifica, nonch il diritto all'informazione. Sarebbe inoltre opportuno prestare particolare attenzione ai casi dei donatori che intendono revocare il proprio consenso o non sono accettati (a seguito della caratterizzazione di organi e donatori) come donatori. Per questi casi sarebbe opportuno stabilire un'apposita procedura e un termine specifico per la conservazione dei loro dati. — La politica di sicurezza dell'informazione dovrebbe altres prevedere misure intese a garantire l'integrit e l'ininterrotta disponibilit dei dati. La funzione della valutazione del rischio ai fini della sicurezza dell'informazione dovrebbe essere completata prevedendo elementi relativi alla gestione degli incidenti e della continuit operativa. — Le politiche di sicurezza dell'informazione dovrebbero essere sottoposte a regolare controllo e revisione, comprese verifiche indipendenti. 37. Il GEPD raccomanda che le suddette indicazioni siano inserite nell'articolo 16 e poi ulteriormente specificate tra le misure di applicazione dell'articolo 25, in particolare al paragrafo 1, lettere a), b) e c).
IV. GARANZIE RELATIVE AGLI SCAMBI TRANSFRONTALIERI DI ORGANI Armonizzazione della sicurezza in tutti gli Stati membri 38. Lo scambio transfrontaliero di organi comporter praticamente sempre il trattamento di dati personali dato che, anche se codificati, gli organi restano (indirettamente) identificabili tramite le autorit nazionali competenti. 39. Il GEPD si gi espresso riguardo alle esigenze di sicurezza per la protezione dei dati personali nell'ambito dell'assistenza sanitaria transfrontaliera in Europa, sottolineando — tra l'altro — la necessit di armonizzare le politiche di sicurezza dell'informazione tra gli Stati membri al fine di raggiungere un livello di protezione dei dati appropriato (24). Egli raccomanda che tale indicazione sia menzionata anche nell'attuale proposta e pi in particolare nel considerando 17, in cui fatto riferimento alla disposizione della direttiva 95/46/CE sulla sicurezza del trattamento. Istituzione del sistema di tracciabilit 40. In questo caso particolare un parametro rilevante per la sicurezza transfrontaliera dei dati il meccanismo di tracciabilit che dovr essere istituito. A tal fine, oltre alle misure di sicurezza applicate a livello nazionale, si dovrebbe prestare particolare attenzione alle possibilit di pseudonimizzazione di cui avvalersi per identificare i donatori e i riceventi (ad es. tipo di codificazione, possibilit di doppia codificazione, ecc.) e al mantenimento dell'interoperabilit con il sistema di identificazione dei tessuti e delle cellule. 41. Il GEPD raccomanda di introdurre al riguardo, nell'articolo 25 della proposta di direttiva relativo alle misure di applicazione, un riferimento specifico recante modifica del paragrafo 1, lettera b) nel modo seguente: procedure che assicurano la completa tracciabilit degli organi, comprese prescrizioni di etichettatura, salvaguardando al contempo la riservatezza dei dati di donatori e riceventi in tutto il processo di tracciabilit e mantenendo l'interoperabilit con il sistema di identificazione dei tessuti e delle cellule. Scambi di organi con paesi terzi 42. Le esigenze di sicurezza sono ancora pi importanti quando i dati vengono scambiati con paesi terzi che non riescono sempre a garantire un livello di protezione dei dati adeguato. Agli articoli 25 e 26 la direttiva 95/46/CE stabilisce un regime specifico per il trasferimento di dati personali verso paesi terzi. Il GEPD consapevole del fatto che gli obblighi in materia di protezione dei dati non dovrebbero ostacolare il rapido ed efficace trasferimento di organi, che una necessit per il sistema di donazione degli organi ma spesso anche una questione di vita o di morte. Bisognerebbe pertanto esplorare le possibilit di autorizzare i trasferimenti anche quando nel paese terzo in questione manchi in generale un livello di protezione dei dati adeguato. Si dovrebbe tener conto del fatto che, a causa del carattere indiretto dell'identificazione delle persone fisiche a livello transfrontaliero, unitamente al fatto che la vigilanza globale sul sistema spetta alle autorit nazionali competenti, i rischi inerenti sono molto probabilmente inferiori a quelli che si presentano a livello nazionale (25). 43. A tal fine, il GEPD ritiene che l'autorit competente, responsabile dell'autorizzazione di tali trasferimenti, si debba consultare con l'autorit nazionale preposta alla protezione dei dati per mettere a punto, alla luce delle possibili deroghe di cui all'articolo 26 della direttiva 95/46/CE, la struttura necessaria per il trasferimento sicuro, ma anche rapido ed efficace, dei dati relativi agli organi verso e da paesi terzi. Il GEPD raccomanda di introdurre un riferimento al riguardo nell'articolo 21 sugli scambi di organi con i paesi terzi oppure nel corrispondente considerando 15. Misure di applicazione 44. Come osservazione finale, il GEPD esorta il legislatore a provvedere affinch, per quanto riguarda l'articolo 25, in tutti i casi in cui vengano prese in considerazione misure di applicazione che pregiudicano la protezione e la sicurezza dei dati, siano consultate tutte le parti interessate, compreso il GEPD e il Gruppo dell'articolo 29. V. CONCLUSIONI 45. Il GEPD ha preso atto dell'iniziativa di garantire standard elevati di qualit e sicurezza degli organi umani destinati ai trapianti, che pu essere considerata parte dell'approccio globale della CE verso la definizione di standard comuni per promuovere la disponibilit transfrontaliera di servizi di assistenza sanitaria in tutta Europa. 46. La proposta ha gi preso in considerazione le esigenze di protezione dei dati sia per i donatori di organi che per i riceventi, con particolare riguardo alla prescrizione intesa a mantenere la riservatezza circa l'identit. Il GEPD si rammarica tuttavia che alcune disposizioni siano vaghe, ambigue o generiche e raccomanda perci una serie di modifiche per rendere pi incisivo il contenuto della proposta in materia di protezione dei dati. 47. In primo luogo, il GEPD rileva la contraddizione esistente tra il concetto di tracciabilit e quello di anonimato presenti nella proposta. Raccomanda, a questo proposito, specifiche modifiche di carattere linguistico in alcune parti della proposta (considerando 16, articolo 10, paragrafo 2 e articolo 17) allo scopo di evitare le ambiguit ed esprimere in modo esplicito che i dati non sono anonimi, ma dovrebbero essere trattati secondo norme rigorose di riservatezza e sicurezza. 48. Raccomanda inoltre di porre pi enfasi sulla necessit di adottare rigorose misure di sicurezza a livello nazionale. Si potrebbe a tal fine aggiungere un secondo paragrafo all'articolo 16, che illustri i principi basilari intesi a garantire la sicurezza a livello di Stati membri e li precisi ulteriormente nell'ambito delle misure di applicazione previste all'articolo 25, paragrafo 1. Tra i principi di sicurezza proposti figurano: a) l'adozione di una politica di sicurezza dell'informazione per garantire la riservatezza, l'integrit, l'attendibilit e la disponibilit dei dati personali dei donatori e dei riceventi; b) la definizione di un'apposita politica di riservatezza e controllo dell'accesso unitamente a garanzie di riservatezza dei dati per le persone che intervengono nel trattamento; c) l'esame dei meccanismi di sicurezza delle banche dati nazionali, che siano basati sul principio della tutela della vita privata fin dalla fase di progettazione; d) l'istituzione di procedure per tutelare il diritto di donatori e riceventi alla protezione dei dati, specie i diritti di accesso e rettifica nonch il diritto all'informazione, prestando particolare attenzione ai casi dei donatori che intendono revocare il proprio consenso o non sono accettati come donatori; e) l'adozione di misure per garantire l'integrit e l'ininterrotta disponibilit dei dati; f) la garanzia di controllo sistematico e verifiche indipendenti delle politiche di sicurezza in atto. 49. In merito allo scambio transfrontaliero di organi il GEPD raccomanda che nel considerando 17 della proposta si menzioni la necessit di armonizzare le politiche di sicurezza dell'informazione tra gli Stati membri. Si dovrebbe inoltre prestare particolare attenzione alle possibilit di pseudonimizzazione di cui avvalersi per identificare donatori e riceventi e al mantenimento dell'interoperabilit con il sistema di identificazione dei tessuti e delle cellule. Il GEPD raccomanda di introdurre un riferimento specifico al riguardo nell'articolo 25, paragrafo 1, lettera b) della proposta. 50. Quanto agli scambi di organi con paesi terzi, il GEPD raccomanda di precisare all'articolo 21 o nel corrispondente considerando 15 della proposta che l'autorit competente si consulti con l'autorit nazionale preposta alla protezione dei dati onde mettere a punto la struttura necessaria per un trasferimento sicuro, ma anche rapido ed efficace, dei dati relativi agli organi verso e da paesi terzi. 51. Infine, il GEPD raccomanda che in tutti i casi in cui vengano prese in considerazione misure di applicazione che pregiudicano la protezione e la sicurezza dei dati siano consultate tutte le parti interessate, compreso il GEPD stesso e il Gruppo dell'articolo 29. Fatto a Bruxelles, il 5 marzo 2009. Peter HUSTINX Garante europeo della protezione dei dati
NOTE (1) COM(2008) 818 definitivo. (2) Tale quadro legislativo comprende le direttive 2002/98/CE, 2004/33/CE, 2005/61/CE e 2005/62/CE per il sangue e gli emoprodotti e le direttive 2004/23/CE, 2006/17/CE e 2006/86/CE per i tessuti e le cellule umani. (3 ) Si veda anche la proposta di direttiva del Parlamento europeo e del Consiglio concernente l'applicazione dei diritti dei pazienti relativi all'assistenza sanitaria transfrontaliera, COM(2008) 414 definitivo. (4) Parere del GEPD del 2 dicembre 2008 sulla proposta di direttiva concernente l'applicazione dei diritti dei pazienti relativi all'assistenza sanitaria transfrontaliera. (5) Gruppo dell'articolo 29 (per la tutela delle persone con riguardo al trattamento dei dati personali), parere 4/2007 sul concetto di dati personali, pag. 9. (6) Raccomandazione Rec(2006) 4 del Comitato dei ministri del Consiglio d'Europa agli Stati membri relativa alla ricerca sul materiale biologico di origine umana. (7) Articolo 3, punto i) della raccomandazione Rec(2006) 4. (8) Gruppo dell'articolo 29 (per la tutela delle persone con riguardo al trattamento dei dati personali), parere 4/2007, pag. 18. (9) Articolo 3, punto ii) della raccomandazione Rec(2006) 4. (10) Poich i donatori di organi sono spesso donatori di tessuti, necessario rintracciare e segnalare qualsiasi reazione avversa imprevista anche nel sistema di vigilanza sui tessuti ed quindi richiesta l'interoperabilit con il metodo di identificazione indiretta usato in tale sistema. Cfr. direttiva 2004/23/CE del Parlamento europeo e del Consiglio del 31 marzo 2004 sulla definizione di norme di qualit e di sicurezza per la donazione, l'approvvigionamento, il controllo, la lavorazione, la conservazione, lo stoccaggio e la distribuzione di tessuti e cellule umani, GU L 102/48 del 7.4.2004 e direttiva 2006/86/CE della Commissione del 24 ottobre 2006 che attua la direttiva 2004/23/CE del Parlamento europeo e del Consiglio per quanto riguarda le prescrizioni in tema di rintracciabilit, la notifica di reazioni ed eventi avversi gravi e determinate prescrizioni tecniche per la codifica, la lavorazione, la conservazione, lo stoccaggio e la distribuzione di tessuti e cellule umani, GU L294/32 del 25.10.2006. (11) Questo codice contiene un numero di identificazione unico per ciascuna donazione che, assieme all'istituto dei tessuti e all'identificazione del prodotto, consente di risalire ai donatori e ai riceventi. In particolare, ai sensi dell'articolo 10 della direttiva 2006/86/CE, un codice unico europeo didentificazione viene attribuito a tutti i materiali donati allistituto dei tessuti, al fine di garantire unadeguata identificazione del donatore e la rintracciabilit di tutti i materiali donati, nonch di fornire informazioni sulle caratteristiche e propriet fondamentali dei tessuti e cellule. Come indicato nell'allegato VII di tale direttiva, il codice consta di due parti: a) identificazione della donazione, con un numero unico didentificazione della donazione e dell'istituto dei tessuti e b) identificazione del prodotto, che comprende il codice del prodotto, il numero specifico della sottopartita e la data di scadenza. (12) La stessa osservazione anche stata fatta dal GEPD nei suoi commenti del 19 settembre 2006 relativi alla consultazione pubblica sulle future azioni dell'UE nel settore della donazione e del trapianto di organi. (13) Le sottolineature non figurano nell'originale. (14) Assicurare che l'informazione sia accessibile solo a coloro che sono autorizzati ad accedervi (definizione ISO, http://www.wikipedia.org). (15) Il termine anonimizzazione, a seconda del contesto in cui applicato, talvolta riferito a dati indirettamente identificabili, come avviene per le statistiche. Ci non tuttavia corretto dal punto di vista della protezione dei dati, come il GEPD ha spiegato nei suoi pareri sulla proposta di regolamento del Parlamento europeo e del Consiglio relativo alle statistiche comunitarie della sanit pubblica e della salute e sicurezza sul luogo di lavoro [COM(2007) 46 definitivo] e sulla proposta di regolamento del Parlamento europeo e del Consiglio relativo alle statistiche europee [COM(2007) 625 definitivo]. (16) Consiglio d'Europa, Protocollo addizionale alla Convenzione sui diritti dell'uomo e la biomedicina relativo al trapianto di organi e di tessuti di origine umana, Strasburgo, 24 gennaio 2002, cfr. http:// conventions.coe.int/Treaty/ITA/v3DefaultITA.asp per il documento di ratifica. Si veda anche Consiglio d'Europa, Convenzione per la protezione dei diritti dell'uomo e della dignit dell'essere umano riguardo all'applicazione della biologia e della medicina: Convenzione sui diritti dell'uomo e sulla biomedicina, Oviedo, 4 aprile 1997, cfr.http://conventions.coe.int/Treaty/ITA/v3DefaultITA.asp per il documento di ratifica. (17) Il fatto di garantire che i dati siano integri o completi: condizione in cui i dati restano identici nelle varie operazioni (quali trasferimento, stoccaggio o estrazione), conservazione dei dati per il fine cui sono destinati o, relativamente alle operazioni specificate, aspettativa a priori della qualit dei dati. Pi semplicemente, l'integrit dei dati la garanzia che i dati siano coerenti e corretti (fonte: http:// www.wikipedia.org); il fatto di garantire che le informazioni possano essere accessibili o modificabili solo da parte delle persone autorizzate (fonte: http://searchdatacenter.techtarget.com). (18) Responsabilit di rispondere delle proprie azioni; non disconoscibilit: il fatto di garantire che i dati siano stati inviati e ricevuti dalle parti che sostengono di averli inviati e ricevuti; garanzia che una parte di una controversia non possa disconoscere o contestare la validit di una dichiarazione (fonte: http://www.wikipedia.org). (19) Il grado di accessibilit immediata dei dati (fonte: http://www.pcmag. com). (20) Occorre rilevare che il semplice fatto che un organo sia trapiantato in un ricevente costituisce un dato personale sensibile riguardante la salute della persona in questione. (21) Donatori potenziali che non sono candidati donatori ideali, ma potrebbero essere presi in considerazione in particolari circostanze, ad es. per riceventi anziani. Cfr.: documento di lavoro dei servizi della Commissione che accompagna la proposta di direttiva del Parlamento europeo e del Consiglio relativa alle norme di qualit e sicurezza degli organi umani destinati ai trapianti e la comunicazione della Commissione Piano di azione per la donazione e il trapianto di organi (2009-2015): rafforzare la cooperazione tra gli Stati membri, valutazione di impatto, 8.12.2008. (22) Equivalente elettronico di una carta d'identit che autentica l'autore di una firma digitale (fonte: http://www.ffiec.gov/ffiecinfobase/booklets/e_banking/ebanking_04_appx_b_glossary.html). (23) Un'infrastruttura di certificazione a chiave pubblica (PKI) un insieme di hardware, software, persone, politiche e procedure necessario per creare, gestire, conservare, distribuire e revocare certificati digitali (fonte: http://www.wikipedia.org). (24) Parere del GEPD del 2 dicembre 2008 sulla proposta di direttiva concernente l'applicazione dei diritti dei pazienti relativi all'assistenza sanitaria transfrontaliera. (25) Cfr. parere n. 4/2007 del Gruppo dell'articolo 29, pag. 18, sui dati pseudonimizzati e codificati.
|