L’applicazione del Regolamento 679/2016 in ambito sanitario configura una delicata contemperazione di diritti ed interessi il cui equilibrio è tutt’altro che scontato, in considerazione della progressiva evoluzione tecnologica della Società cd dell’informazione e della necessità di formare ed implementare una cultura della sicurezza dei trattamenti di dati personali “sanitari”.

Per dati sanitari devono intendersi quelle categorie di dati personali afferenti allo stato di salute dell’interessato e che rivelino informazioni connesse allo stato di salute fisica o mentale passata, presente o futura dello stesso.

Il considerando 35 del Regolamento chiarisce a tal proposito che tali dati comprendono informazioni sulla persona fisica raccolte nel corso della sua registrazione al fine di ricevere servizi di assistenza sanitaria o della relativa prestazione di cui alla direttiva 2011/24/UE del Parlamento europeo e del Consiglio; un numero, un simbolo o un elemento specifico attribuito a una persona fisica per identificarla in modo univoco a fini sanitari; le informazioni risultanti da esami e controlli effettuati su una parte del corpo o una sostanza organica, compresi i dati genetici e i campioni biologici; e qualsiasi informazione riguardante, ad esempio, una malattia, una disabilità, il rischio di malattie, l’anamnesi medica, i trattamenti clinici o lo stato fisiologico o biomedico dell’interessato, indipendentemente dalla fonte, quale, ad esempio, un medico o altro operatore sanitario, un ospedale, un dispositivo medico o un test diagnostico in vitro.

Più esplicitamente, tra le definizioni fornite dall’art. 4 n. 15 del Regolamento, si legge che i “dati relativi alla salute” sono dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute.

Dunque i dati sanitari, come espressamente previsto dall’art. 9 del Regolamento, sono qualificati come dati particolarmente sensibili e degni di una specifica protezione (rafforzata secondo la Giurisprudenza di legittimità) al fine di prevenire potenziali minacce di violazione dei diritti, delle libertà fondamentali e della dignità della persona.

Tuttavia, il generale divieto di trattamento dei dati personali di cui all’art. 9 del Regolamento non opera per il settore sanitario in una serie di casi che sono comunque riconducibili all’erogazione della prestazione sanitaria complessivamente intesa, da intendersi quale base giuridica legittimante il trattamento.

Si pensi ad esempio ai casi in cui, sempre ai sensi dell’art. 9 del Regolamento, il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell’Unione o degli Stati membri, ovvero al caso in cui il trattamento sia necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici.

Appare dunque imprescindibile che anche in ambito sanitario il Titolare del trattamento adotti, nell’ambito del generale principio di accountability introdotto dal Regolamento, misure di sicurezza tecniche ed organizzative dirette ad assicurare (in concreto ed in modo dimostrabile dal Titolare) un’adeguata protezione dei dati, con tecniche di pseudonimizzazione, anonimizzazione o cifratura.

La gestione della sicurezza del trattamento, nell’ambito degli innovativi concetti di privacy by design e privacy by default, si rivela particolarmente significativa in relazione al sempre più progressivo sviluppo della c.d. “sanità elettronica o digitale” che, a tendere consentirà di rendere sempre più efficiente e di qualità le prestazioni del moderno Servizio Sanitario Nazionale.

Le misure di sicurezza previste dall’art. 32 del Regolamento dovranno necessariamente valutarsi avuto riguardo al sempre più crescente flusso di dati sanitari generati dall’uso delle nuove tecnologie.

Sarà quindi sempre più auspicabile uno sviluppo progressivo dell’economia digitale pur contemperato da un sistema efficiente ed efficace di garanzie che assicuri certezza alla protezione dei dati personali e della dignità della persona.