Trattamento di dati sulla salute in ambito sanitario ai sensi del Regolamento (UE) 2016/679: I chiarimenti del Garante della Privacy del 7 Marzo 2019

Il provvedimento con cui lo scorso 7 marzo l’Autorità Garante ha fornito chiarimenti sulla disciplina sul trattamento dei dati relativi alla salute in ambito sanitario mira a fornire un’interpretazione uniforme per i cittadini e gli operatori del settore sanitario, e in particolare alla figure di Responsabili della protezione dei dati personali (RPD – o Data Protection Officer, DPO, nella versione Inglese). 

I RPD infatti oltre a fornire consulenza e informare i Titolari del trattamento sulle modalità per garantire la piena conformità alla normativa, hanno il compito di vigilare sull’operato del Titolare del trattamento.

Il provvedimento in commento dovrà essere necessariamente integrato con altri successivi: è auspicabile infatti un provvedimento sulle misure di garanzia applicabili al trattamento dei dati biometrici, genetici e relativi alla salute, che includa sia i profili organizzativi e gestionali, sia le modalità di comunicazione dei dati personali ai pazienti che le prescrizioni di medicinali.

Gli indentificativi biometrici in particolare, sono dati biologicamente unici per ogni individuo e quindi, se compromessi, comportano un elevato rischio di subire un furto di identità, con conseguenze che potrebbero essere “disastrose” per il malcapitato.

L’autorità per la protezione dei dati francese, il CNIL, sul punto ha già stabilito alcune regole su come le aziende possono utilizzare le informazioni biometriche dei propri dipendenti. Le aziende che desiderano utilizzare sistemi di scansione biometrici come riconoscimento facciale o impronte digitali dovranno in primis giustificare al CNIL la necessità di utilizzare questi sistemi rispetto a un altri meno invasivi (ad es. badge o una password) e disporre di misure di sicurezza molto rigorose per proteggere i dati biometrici, oltre alla necessaria e preventiva valutazione dell’impatto della protezione dei dati GDPR.

In attesa di ulteriori interventi da parte del Garante, si analizzano di seguito i chiarimenti già forniti.

LA NORMATIVA

L’articolo 9 del Regolamento Europeo 679/2016 impone un divieto generale di trattare le cc.dd. “categorie particolari di dati”, tra cui vi rientrano i dati relativi alla salute, a cui segue una serie di deroghe le quali rendono invece il trattamento lecito.

Il trattamento di questa tipologia di dati può avvenire qualora vi sia il consenso esplicito da parte dell’interessato al trattamento, o quando il trattamento è necessario per:

  1. Motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri (sono tali quelli meglio specificati all’art. 2 sexies Codice Privacy)
  2. Motivi di interesse pubblico nel settore della sanità pubblica (ad es. gravi minacce per la salute a carattere transfrontaliero o garantire elevati parametri di sicurezza dell’assistenza sanitaria)
  3. Finalità di medicina preventiva, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali (c.d. “finalità di cura”).

L’ultimo punto merita maggiore attenzione: innanzitutto il Garante chiarisce che tali trattamenti sono quelli effettuati da o sotto la responsabilità di un professionista sanitario soggetto al segreto professionale; per tale trattamento non è più richiesto il Consenso del paziente, come avveniva in passato, purché i trattamenti siano NECESSARI alla prestazione sanitaria richiesta dal paziente, indipendentemente dal fatto che il medico operi in qualità di libero professionista presso uno studio medico o che in una struttura sanitaria, pubblica o privata.

Il Garante inoltre chiarisce che i trattamenti “necessari” alle “finalità di cura” sono quelli da considerarsi essenziali al raggiungimento di una o più finalità determinate ed connesse alla cura della salute.

Altre tipologie di trattamento, che siano invece solo in senso lato necessarie alla cura, dovranno avere una distinta base giuridica, che sia il Consenso o altro presupposto di liceità.

Sono invece soggetti all’esplicito consenso i trattamenti di dati:

– effettuati da APP mediche, quando i dati sono trattati per finalità diverse dalla telemedicina o siano condivisi con soggetti diversi da professionisti tenuti al segreto professionale;

– preordinati alla fidelizzazione della clientela e quindi per prestazioni accessorie a quelle farmaceutiche-sanitarie (ad es. i programmi di accumulo punti da parte di farmacie);

– eseguiti da persone giuridiche private per finalità promozionali e commerciali (si pensi ai programmi di screening);

-effettuati da professionisti per finalità commerciali elettorali;

– trattamenti effettuati attraverso il Fascicolo sanitario elettronico.

L’INFORMATIVA

Circa l’informativa ex artt. 13 e 14 G.D.P.R. da sottoporre all’attenzione dei pazienti l’Autorità Garante suggerisce l’opzione dell’informativa c.d. “stratificata”.

Ciò significa che i Titolari del trattamento operanti in abito sanitario che effettuano più trattamenti dovranno fornire in un primo momento le informazioni relative ai trattamenti che rientrano nell’ordinaria attività di erogazione delle prestazioni sanitare e successivamente ed eventualmente, informative relative a particolari attività di trattamento (ad es. finalità di ricerca),  ai soli pazienti effettivamente interessati a tali servizi.

Tale modus operandi è senza dubbio più coerente con il principio di accountability del Titolare del trattamento e più garantistico nei confronti dell’interessato, in quanto focalizzerebbe l’attenzione su informazioni rilevanti al singolo trattamento, in un’ottica di maggiore consapevolezza dei dati personali.

DESIGNAZIONE DEL RESPONSABILE DELLA PROTEZIONE DEI DATI PERSONALI 

I trattamenti di dati sulla salute effettuati da un’azienda sanitaria appartenente al Sistema Sanitario Nazionale richiedono la nomina della figura del Responsabile della protezione dei dati personali, sia perchè il trattamento è considerato “su larga scala”, sia in virtù della natura di “organismo pubblico” del Titolare. Analoghe osservazioni possono farsi per gli ospedali privati, le case di cura e le R.S.A (residenza sanitaria assistenziale), qualora il trattamento sia da considerarsi su larga scala.

Il Garante chiarisce invece che non rientrano nella definizione di trattamento su larga scala quelli effettuati da liberi professionisti che operano a titolo individuale, farmacie, parafarmacie, aziende ortopediche e sanitarie, e quindi, tali soggetti non sono obbligati alla nomina di un RPD, anche se  tale nomina, non è vietata (semmai sempre raccomandata).

Il 19 Maggio 2019 scadrà il periodo transitorio previsto dall’art. 22 comma 13 del d.lgs. 101/2018, e quindi termineranno gli otto mesi relativi alla fase di “prima applicazione delle disposizioni sanzionatorie”. Tale imminente scadenza per la quale le aziende e i soggetti pubblici dovrebbero essere ben preparati.

Avv. Sara Brogioni

Il disciplinare di produzione del vino e i controlli di conformità

Definizione e contenuto

I disciplinari di produzione sono delle norme dello Stato che regolano la produzione vitivinicola rappresentando gli strumenti attraverso il quale vengono stabiliti i parametri minimi idonei a conferire determinati connotati al prodotto affinché possa venire identificato nella sua fisionomia tradizionale conosciuta. Ogni disciplinare è composto dall’insieme di regole tecniche provenienti dall’autorità pubblica con il contributo dei rappresentati di categoria, di esperti del settore vinicolo e di tutti coloro che sono interessati a sfruttare a livello economico la denominazione e la sua approvazione è demandata alla Commissione UE.

La legislazione richiede una serie di requisiti minimi, che ciascun disciplinare di produzione deve possedere – e che devono essere allegati alla richiesta di protezione – a cui, si  affiancano requisiti facoltativo.

Tra i requisiti obbligatori che il disciplinare deve contenere si riporta, in modo non esaustivo:

  • Zona di produzione
  • Base ampelografica (vitigni ammessi e loro percentuali)
  • Norme per laviticoltura (tra cui lindicazione delle rese per ettaro)
  • Norme per lavinificazione (tra cui lindicazione del titolo alcolometrico)
  • Norme per letichettaturaed il confezionamento
  • Tipologia e caratteristiche dei vini al consumo

Le norme di riferimento sono l’Art. 94 del Regolamento 1308/13 l’Art. 35 del T.U. del vino

Per la produzione dei vini a DOP e IGP devono essere altresì stabiliti:

  1. la denominazione di origine o indicazione geografica
  2. la delimitazione della zona di produzione
  3. la descrizione delle caratteristiche fisico-chimiche e organolettiche del vino o dei vini
  4. la resa massima di uva a ettaro e la relativa resa di trasformazione in vino o la resa massima di vino per ettaro sulla base dei risultati quantitativi e qualitativi del quinquennio precedente. one;
  5. l’indicazione della o delle varieta’ di uve
  6. le condizioni ambientali e di produzione
  7. il nome e l’indirizzo dell’organismo di controllo e le relative attribuzioni.

Controlli di conformità

I disciplinari sono sottoposti ai controlli di conformità, ovvero a procedure dirette ad accertare che il vino che l’operatore vinicolo intende commercializzare, sia conforme al proprio disciplinare di produzione, al fine di garantire l’autenticità dei prodotti che si intende collocare sul mercato e dei quali si intenda sfruttare le qualità.

L’Unione Europea richiede che ogni Stato membro designi un’autorità competente per i controlli ufficiali in materia di alimenti ed in Italia, competente al controllo per l’osservanza delle norme dei Regolamenti OCM  è il Ministero delle politiche agricole alimentari e forestali che si avvale dell’ICQRF (Istituto per il controllo di qualità e repressione frodi).

Tale istituto si occupa di designare i laboratori per l’esecuzione delle analisi ufficiali, mentre alle Regioni spettano i controlli su: vigneti di uve da vino e verifica dei requisiti di legge, autorizzazioni per nuovi impianti e relativa esecuzione, allineamento delle superfici vitate con lo schedario viticolo, idoneità delle rivendicazioni per Dop e Igp.

Tra le più importanti funzioni deputate a ciascun organismo di controllo v’è quella ispettiva, da esercitare su una percentuale di aziende prevista nel piano dei controlli.

In Italia è stato adottato il sistema di controllo sistematico, che prevede una prima fase di prelievo del campione di prodotto presso le varie aziende e il successivo rilascio dell’attestazione di conformità.

Quali debbano essere le ditte da sottoporre ad ispezione è stabilito mediante sorteggio al quale deve presenziare un funzionario dell’ICQRF e della regione competenti per il territorio dove è situata la denominazione d’origine o l’indicazione geografica in questione.

Una volta effettuati i controlli, i dati devono essere tempestivamente trasmessi al SIAN (Sistema Agricolo Informativo Internazionale) affinché possano siano resi consultabili dalle regioni, dai consorzi di tutela e da altri organismi di vigilanza.

Chiunque produce, prepara, detiene o pone in vendita sostanze destinate all’alimentazione, è tenuto a fornire gratuitamente ai funzionari incaricati del controllo, campioni di tali sostanze  e i titolari degli stabilimenti e dei depositi ove sono detenuti i prodotti hanno l’obbligo di esibire la documentazione giustificativa, di dare assistenza agli agenti ed agevolare le operazioni fornendo nei limiti delle normali necessità anche manodopera e mezzi esistenti nell’azienda.

Il semplice prelievo di campioni, fino a quando la specifica indagine tecnico- amministrativa, attraverso l’analisi di laboratorio, non abbia accertato la mancata corrispondenza intrinseca o formale alle prescrizioni di legge, costituisce svolgimento di potestà formalmente e sostanzialmente amministrativa ed è per tale motivo che in questa fase non trova applicazione il diritto di difesa, che sorge solo in caso di esito negativo dell’analisi.

La legge 30 aprile 1962 sugli alimenti non detta alcuna formalità per la procedura dei prelievi dei campioni di merce da controllare, in quanto se ne occupa il reg. di esecuzione 26.5.1980 n. 327 che richiama il Rdl 1 luglio 1926:

Per i vini il campione deve essere di 5 litri diviso in 5 aliquote, di cui uno deve essere lasciato nella disponibilità dell’esercente, mentre le altre quattro sono trasmesse al laboratorio competente per le seguenti finalità:

1) eseguire l’analisi

2) conservazione per almeno 60 giorni dopo la comunicazione dell’esito dell’analisi e da utilizzare eventualmente per la revisione

3) conservazione per eventuali perizie ordinate dall’Autorità Giudiziaria

4) conservazione per almeno 60 giorni a disposizione dell’impresa produttrice nel caso di prodotti confezionati.

Ciascun campione deve essere chiuso in modo da impedire la manomissione e deve essere suggellato preferibilmente con ceralacca col timbro dell’ufficio che procede al prelievo e munito di etichetta con la firma di chi procede al prelievo, con quella del proprietario dello stabilimento o da chi lo rappresenta, indicando natura della merce, data e numero del verbale.

Gli addetti al controllo, quando accertano la violazione di norme, la contestano al trasgressore entro 90 giorni, quando non possono farlo al momento dell’accertamento, o entro 360 giorni se il trasgressore risiede all’estero.
Stante che durante l’attività ispettiva possono emergere indizi di reato gli atti devono svolgersi secondo le norme del codice di rito.

A tale scopo il verbale di contestazione assume rilievo centrale per i fatti narrati che però non possono assumere elementi di prova se non sono state rispettate le garanzie difensive ma possono essere sempre considerati indizi in una successiva indagine penale.

Secondo un costante indirizzo della Cassazione le irregolarità formali compiute durante il prelievo non determinano nullità degli atti, ma il giudice potrà valutare se un prelievo regolare avrebbe potuto determinare un esito diverso dell’analisi; tuttavia il giudice non può limitarsi a dichiarare l’improcedibilità dell’azione penale, ma dovrà ugualmente entrare nel merito della denuncia.

Laddove, poi, l’autorità di controllo rilevi conformità non gravi, sarà tenuta a comunicarle all’interessato e all’ICQRF entro 15 giorni dalla data di accertamento documentale o entro 20 giorni dal momento dell’accertamento. In entrambi i casi si tratta, tuttavia, di termini ordinatori, pertanto, il loro mancato rispetto non influirà sulla regolarità della procedura di contestazione.

Una volta contestate le suddette irregolarità, l’operatore avrà 30 giorni di tempo per proporre ricorso contro la non conformità del proprio prodotto e la decisione sulla fondatezza o meno del ricorso dovrà avvenire entro 45 giorni.

Se, esperite le analisi, i campioni non corrispondono ai requisiti di legge, il Capo del laboratorio trasmette denuncia all’Ufficio giudiziario se il fatto costituisce reato e all’Ufficio competente ad emettere l’ingiunzione, se si tratta di illecito amministrativo unendovi il verbale di prelievo e il certificato di analisi e al contempo comunica il risultato all’esercente presso il quale è stato eseguito il prelievo.

La Corte costituzione (sent. 179/71) ha introdotto l’obbligo di comunicazione dell’esito negativo a tutti i soggetti che, in base agli atti compiuti, risultino coinvolti nella violazione, e quindi anche all’esercente, mentre in precedenza tale adempimento non era obbligatorio.

Un’altra tipologia di non conformità è quella lieve, che si verifica quando le irregolarità possono essere sanate attraverso azioni correttive che non influiscono sul prodotto.

Esse, tuttavia, diventano gravi quando l’interessato non fornisce entro 30 giorni riscontri ai rilievi dell’organismo di controllo.

Revisione delle analisi

Avverso il risultato ottenuto dai controlli di conformità è altresì prevista la possibilità per l’esercente di richiedere la revisione delle analisi.

La richiesta di revisione ha leffetto di sospendere lirrogazione della sanzione fino allesito della revisione e va proposta entro 15 giorni dal ricevimento della comunicazione.

Nella domanda di revisione viene nominato il proprio difensore di fiducia e il consulente tecnico di parte che potrà assistere alle operazioni (art. 15 legge 689/81)  e deve essere corredata dalla ricevuta di versamento alla competente tesoreria dello Stato della somma il cui ammontare è periodicamente aggiornato.

L’analisi, in questo caso, è eseguita da determinati istituti appartenenti all’amministrazione statale: per i vini le analisi sono effettuate dal laboratorio centrale di Roma dell’Ispettorato repressione frodi, mentre per i prelievi compiuti da personale dipendenti dal Min. Salute se ne occupa l’Istituto Superiore di Sanità.

La Corte costituzionale con la sentenza 149/69 ha sancito la natura istruttoria alla revisione: nel momento in cui dalla prima analisi risulta che la sostanza non ha i requisiti, colui al quale viene addebitata la violazione di legge, deve essere messo in grado di difendersi.

E poiché la revisione rappresenta un concreto mezzo di difesa, occorre che anche in questa fase l’interessato venga assistito dalle garanzie che il codice di rito prescrive a pena di nullità per gli atti istruttori: nomina del difensore, nomina del consulente di parte.

Il consulente tecnico, assistendo alle operazioni, potrà interloquire con gli analisti, e formulare  rilievi da riportare nel verbale delle operazioni che potranno essere valutate dal giudice in caso di conferma della prima analisi e quindi nel corso dell’eventuale opposizione all’ingiunzione.

Indipendentemente dall’accertamento analitico, l’interessato ha la possibilità di far pervenire all’autorità che riceve il rapporto scritti difensivi, documenti e la richiesta di essere sentito di persona entro trenta giorni dalla contestazione (art. 18 legge 689/81).

L’ufficio che procede ha l’obbligo, prima di emettere l’ordinanza ingiunzione, di convocare l’interessato e di verbalizzare le sue dichiarazioni, tuttavia, la mancata audizione non comporta un vizio insanabile per l’emissione ordinanza ingiunzione in quanto l’eventuale e successivo giudizio di opposizione ha per oggetto il rapporto del verbalizzante e non l’ordinanza ingiunzione che ne è la conseguenza, e pertanto le difese non svolte con l’audizione personale potranno essere fatte valere in sede giudiziaria.

Avv. Sara Brogioni