Recentemente il Garante per la protezione dei dati è intervenuto con il provvedimento n. 55 del 7 marzo 2019, per fornire alcuni chiarimenti sull’applicazione della disciplina della protezione dei dati in ambito sanitario, sulla base delle novità introdotte dal Regolamento (UE) 679/2016 – GDPR.
Le deroghe al divieto generale di trattare le “categorie particolari di dati” sono stabilite dall’art. 9 del GDPR (in combinato disposto con le relative disposizioni di adeguamento del D.Lgs. 196/2003, cd. Codice Privacy) che elenca una serie di ipotesi che rendono lecito il trattamento dei dati, riconducibili, in ambito sanitario, alle seguenti categorie:
1) motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri (art. 9, par. 2, lett. g) del GDPR), individuati dall’art. 2-sexies del Codice privacy;
2) finalità di medicina preventiva, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali (di seguito “finalità di cura”) sulla base del diritto dell’Unione o degli Stati membri, o conformemente al contratto con un professionista sanitario, (art. 9, par. 2, lett. h e par. 3 e considerando n. 53 del GDPR; art. 75 del Codice privacy) effettuati da (o sotto la responsabilità di) un professionista sanitario soggetto al segreto professionale o da altra persona anch’essa soggetta all’obbligo di segretezza;
3) motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell’Unione o degli Stati membri che preveda misure appropriate e specifiche per tutelare i diritti e le libertà dell’interessato, in particolare il segreto professionale (art. 9, par. 2, lett. i e considerando n. 54 del GDPR) (es. emergenze sanitarie conseguenti a sismi e sicurezza alimentare);
La novità risiede nel fatto che diversamente dal passato, il professionista sanitario non deve più richiedere il consenso al paziente per il trattamento dei dati personali[1] qualora sia necessario per eseguire la prestazione sanitaria richiesta dall’interessato e ciò indipendentemente dalla circostanza che il professionista operi presso uno studio medico oppure all’interno di una struttura sanitaria pubblica o privata.
È invece richiesto il consenso quando tali trattamenti non siano strettamente necessari per le finalità di cura, specialmente ove non siano effettuati da professionisti della sanità, quali ad esempio:
a) trattamenti connessi all’utilizzo di App mediche attraverso le quali autonomi titolari raccolgono dati, anche sanitari dell’interessato, per finalità diverse dalla telemedicina;
b) trattamenti preordinati alla fidelizzazione della clientela, effettuati dalle farmacie attraverso programmi di accumulo punti, al fine di fruire di servizi o prestazioni accessorie, attinenti al settore farmaceutico-sanitario;
c) trattamenti effettuati in campo sanitario da persone giuridiche private per finalità promozionali o commerciali (es. promozioni su programmi di screening, contratto di fornitura di servizi ammnistrativi, come quelli alberghieri di degenza);
d) trattamenti effettuati da professionisti sanitari per finalità commerciali o elettorali;
e) trattamenti effettuati attraverso il Fascicolo sanitario elettronico[2].
Il Garante ha poi reso noto di aver avviato la redazione dei provvedimenti, previsti dall’art. 2-septies del Codice privacy (introdotto dal D.lgs. 101/2018) che stabiliscono le misure di garanzia, per arrivare, quanto prima, alla completa definizione del quadro regolatorio.
Si segnala infine la pubblicazione, da parte dell’Autorità, di un’interessante infografica che riassume il trattamento dei dati in ambito sanitario.
[1] Il consenso al trattamento dei dati personali è diverso dal “consenso informato” presente all’art. 1 della legge 219/17
https://www.gazzettaufficiale.it/eli/id/2018/1/16/18G00006/sg
[2] Con riferimento ai trattamenti effettuati attraverso il Fascicolo sanitario elettronico, è utile il richiamo all’art. 12 del D.L. n. 179/2012 che prevede due diverse fattispecie di consenso per l’utilizzo dei dati, distinguendo il consenso all’alimentazione del fascicolo sanitario elettronico (in mancanza del quale il FSE rimane vuoto e, quindi, non accessibile né per finalità di cura, né per finalità di ricerca e di governo) e il consenso alla consultazione dello stesso per finalità di cura, che presuppone la prestazione del consenso all´alimentazione (in mancanza di tale consenso, i dati presenti nel FSE, potranno essere utilizzati solo per le finalità di ricerca e di governo, purché privati dei dati identificativi diretti dell’assistito e nel rispetto dei principi di indispensabilità, necessità, pertinenza e non eccedenza in relazione alle suddette finalità ).