Il Garante ha dettato le regole per tutelare i malati nelle strutture
(Provv. Garante Privacy 9 novembre 2005 – sito web 22. 11.2005)
Il Garante per la protezione dei dati personali ha ricevuto reclami e segnalazioni
circa casi di mancato
rispetto della tutela della dignità e riservatezza della persona all’interno di
strutture sanitarie. Per questo ha deciso di emanare un provvedimento generale,
datato 9 novembre 2005 (pubblicato sul sito web dell’Autority
il 22 novembre 2005), che prescrive regole di condotta per tutti gli organismi
sanitari, sia pubblici (ad esempio le aziende sanitarie territoriali, le
aziende ospedaliere, ecc.), sia privati (ad esempio le case di cura), oltre che
per i servizi e le strutture di soggetti pubblici operanti in ambito sanitario
od aventi competenza in materia di prevenzione e sicurezza del lavoro (ad
esempio gli osservatori epidemiologici regionali ed i servizi di prevenzione e
sicurezza sul lavoro). Poiché tali regole, che si ispirano ai principi generali
del Codice in materia di protezione dei dati personali, riguardano
l’organizzazione delle strutture, l’Autority precisa
che non debbono obbligatoriamente essere rispettate da medici di medicina
generale, pediatri di libera scelta e medici specialisti operanti in studi
medici privati. Comunque, il Garante ribadisce che questi professionisti sono
tenuti ad “ottemperare ai principi cui si ispirano le disposizioni in esame,
predisponendo in ogni caso misure idonee a garantire il rispetto dei diritti e
delle libertà fondamentali e della dignità degli interessati, nonché del
segreto professionale, secondo modalità adeguate a garantire un rapporto
personale e fiduciario con gli assistiti”. Ecco, per sommi capi, quali sono i
criteri che si devono tenere presenti nell’organizzazione delle strutture
sanitarie. Innanzi tutto la tutela della dignità
individuale, che deve essere sempre garantita, soprattutto se si tratta di
minori, anziani, disabili o pazienti sottoposti a trattamenti medici invasivi,
come ad esempio l’interruzione di gravidanza. A questo
proposito il Garante precisa che nei reparti di rianimazione la privacy
deve essere garantita, benché il paziente si trovi in camere con almeno una
parete vetrata, attraverso l’uso ad esempio di paraventi, che limitino, per
quanto possibile, la visuale dell’interno del locale per circoscriverla solo
alle persone in visita a quel determinato degente. Un altro punto contenuto nel
Provvedimento riguarda le chiamate nella sale d’attesa, che non devono essere
mai nominali, ma effettuate attribuendo, al momento
della prenotazione o dell’accettazione ad esempio un codice alfanumerico o
recandosi a colloquio diretto con il paziente, se si tratta di persona in
qualche modo disabile. A questa regola è correlata quella delle informazioni
circa la presenza di degenti nei vari reparti, le quali debbono essere fornite
solamente a “terzi legittimati”, cioè familiari, conoscenti e personale
volontario, fermo restando che il paziente può, all’atto del suo ricovero,
decidere chi deve essere informato della sua condizione o del reparto presso cui si trova. Circa le notizie del passaggio o della
presenza di una persona in pronto soccorso, il Garante
precisa che l’organismo sanitario può darne notizia, anche per telefono,
ma soltanto a parenti, conviventi od a familiari, raccogliendo a questo
proposito la volontà del paziente, se cosciente e capace, di chi informare. Il
regolamento stabilisce, inoltre, che le informazioni sullo stato di salute di
un paziente possano essere date a persone diverse
dall’interessato solo nel caso che quest’ultimo abbia manifestato uno specifico
consenso in proposito, se in grado di farlo, oppure che ad esprimerlo sia stato
un suo familiare od una persona legittimata a farlo (convivente o soggetto in
stretta relazione con il malato). I volontari che operano presso le strutture
sanitarie devono sapere informazioni su prestazioni e cure dei pazienti
assistiti secondo le medesime regole e garanzie previste per il personale in
servizio. Tutte le strutture sanitarie in questione, poi, devono garantire
soluzioni architettoniche o divisori spaziali per mettere in atto il sistema
della “distanza di cortesia” per tutte le operazioni amministrative effettuate
allo sportello (come le prenotazioni ed il pagamento dei ticket), oppure al
momento dell'acquisizione di informazioni sullo stato di salute,
sensibilizzando in proposito gli utenti con inviti espressi con cartelli e
segnali evidenti. La massima privacy deve inoltre essere rigorosamente
garantita in situazioni di forzata promiscuità, al momento della prescrizione
di medicinali, od al rilascio di qualsiasi certificato, referto clinico,
prescrizione o cartella clinica. In particolare riguardo al ritiro delle analisi, il Garante precisa che esso può essere
effettuato anche da persone diverse dall’interessato solo in busta chiusa,
purché munite di delega scritta. Infine, il Provvedimento sottolinea che non si
possono affiggere in locali pubblici aperti liste di pazienti in attesa di intervento, anche se privi della patologia
sofferta, così come è vietato esporre alla pubblica visione le cartelle
cliniche o qualsiasi documento che riguardi un degente (ad esempio accanto al
letto del malato). Il Garante, in calce al Provvedimento, dichiara di aver
avviato una consultazione con organismi sanitari, associazioni e comitati
interessati circa le modalità di applicazione delle norme sulla privacy al
settore sanitario. (25 novembre 2005)
___________________________________________________________________
IL GARANTE PER
Prescrizioni del Garante [art. 154, 1 c) del Codice] - 09 novembre 2005
NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Giovanni Buttarelli, segretario generale;
Vista la normativa internazionale e comunitaria in materia di protezione dei dati personali (direttiva n. 95/46/CE [1]), anche in relazione agli articoli 2, 10, 11 e 32 della Costituzione [2];
Visto il Codice in materia di protezione dei dati personali (d.lg. 30giugno 2003, n. 196 [3]);
Vista la documentazione in atti;
Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 [4];
Relatore il prof. Francesco Pizzetti;
CONSIDERATO:
1. Premessa
Sono pervenuti a questa Autorità reclami e segnalazioni con i quali si rappresenta che alcune strutture sanitarie, nell'erogare prestazioni e servizi per finalità di prevenzione, diagnosi, cura e riabilitazione, non rispetterebbero le garanzie previste dalla legge a tutela, in particolare, della dignità e della riservatezza delle persone interessate.
In materia di trattamento dei dati personali in ambito sanitario, il Codice prevede che gli organismi sanitari pubblici e privati adottino misure ed accorgimenti di carattere supplementare rispetto a quelle già previste per il trattamento dei dati sensibili e per il rispetto delle misure di sicurezza. In particolare, l'art. 83 [5] individua alcune specifiche prescrizioni che devono tradursi anche in adeguate misure organizzative, ferma restando la necessità di adottare comunque tutti gli ulteriori accorgimenti che si rendessero opportuni per garantire il più ampio rispetto dei diritti e delle libertà fondamentali e della dignità degli interessati, nonché del segreto professionale.
Con il presente provvedimento, il Garante intende richiamare l'attenzione dei soggetti che operano in ambito sanitario in ordine alla necessità di adeguare il funzionamento e l'organizzazione delle strutture sanitarie alle previsioni stabilite dal Codice in materia di protezione di dati personali (art. 83). I medesimi soggetti sono altresì invitati ad adottare tutte le misure ritenute necessarie ed opportune, conformemente ai principi generali, per garantire il rispetto della dignità della persona e il massimo livello di tutela degli interessati in ambito sanitario.
2. Ambito di applicazione delle misure per il rispetto dei diritti degli interessati
Le misure organizzative in esame devono essere adottate per espresso obbligo di legge da tutti gli organismi sanitari, sia pubblici (es. aziende sanitarie territoriali, aziende ospedaliere), sia privati (es. case di cura).
Sono tenuti alla loro adozione anche i servizi e le strutture di soggetti pubblici operanti in ambito sanitario o aventi competenza in materia di prevenzione e sicurezza del lavoro (es. osservatori epidemiologici regionali, servizi di prevenzione e sicurezza sul lavoro).
I medici di medicina generale e i pediatri di libera scelta, nonché, deve ritenersi, anche i medici specialisti operanti in studi medici privati, non sono invece destinatari dell'obbligo di adottare dette misure, che riguardano l'organizzazione di strutture. I medesimi soggetti devono comunque ottemperare ai principi cui si ispirano le disposizioni in esame, predisponendo in ogni caso misure idonee a garantire il rispetto dei diritti e delle libertà fondamentali e della dignità degli interessati, nonché del segreto professionale, secondo modalità adeguate a garantire un rapporto personale e fiduciario con gli assistiti (art. 83, comma 2-bis, del Codice).
3. Garanzie per l'interessato
Gli organismi sanitari pubblici e privati, in qualità di titolari del trattamento dei dati personali, devono garantire, in particolare, il rispetto dei seguenti principi:
a) dignità dell'interessato (art. 83, comma 2, lett. e) del Codice)
La prestazione medica e ogni operazione di trattamento dei dati personali deve avvenire nel pieno rispetto della dignità dell'interessato (artt. 2e 83 del Codice [6]).
La tutela della dignità personale deve essere garantita nei confronti di tutti i soggetti cui viene erogata una prestazione sanitaria, con particolare riguardo a fasce deboli quali i disabili, fisici e psichici, i minori, gli anziani e i soggetti che versano in condizioni di disagio o bisogno.
Particolare riguardo deve essere prestato nel rispettare la dignità di pazienti sottoposti a trattamenti medici invasivi o nei cui confronti è comunque doverosa una particolare attenzione anche per effetto di specifici obblighi di legge o di regolamento o della normativa comunitaria (ad es., in riferimento a sieropositivi o affetti da infezione da Hiv –l. 5 giugno 1990, n. 135[7]-, all'interruzione di gravidanza –l. 22 maggio 1978, n. 194 [8]- o a persone offese da atti di violenza sessuale -art. 734-bis del codicepenale [9]-).
Nei reparti di rianimazione dove si possono visitare i degenti solo attraverso vetrate o videoterminali devono essere adottati accorgimenti, anche provvisori (ad es., mediante paraventi), che delimitino la visibilità dell'interessato durante l'orario di visita ai soli familiari e conoscenti.
La necessità di rispettare la dignità è stata rappresentata a questa Autorità anche in relazione alle modalità di visita e di intervento sanitario effettuati nelle aziende ospedaliero-universitarie alla presenza di studenti autorizzati. Le strutture che intendono avvalersi di questa modalità devono indicare nell'informativa da fornire al paziente che (art. 13 del Codice [10]), in occasione di alcune prestazioni sanitarie, si perseguono anche finalità didattiche, oltre che di cura e prevenzione (cfr. d.lg. n. 517/1999[11]). Durante tali prestazioni devono essere adottate specifiche cautele volte a limitare l'eventuale disagio dei pazienti, anche in relazione al grado di invasività del trattamento circoscrivendo, ad esempio, il numero degli studenti presenti e rispettando eventuali legittime volontà contrarie.
b) riservatezza nei colloqui e nelle prestazioni sanitarie (art. 83, comma 2, lett. c) e d))
É doveroso adottare idonee cautele in relazione allo svolgimento di colloqui, specie con il personale sanitario (ad es. in occasione di prescrizioni o di certificazioni mediche), per evitare che in tali occasioni le informazioni sulla salute dell'interessato possano essere conosciute da terzi. Le medesime cautele vanno adottate nei casi di raccolta della documentazione di anamnesi, qualora avvenga in situazioni di promiscuità derivanti dai locali o dalle modalità utilizzate.
Il rispetto di questa garanzia non ostacola la possibilità di utilizzare determinate aree per più prestazioni contemporanee, quando tale modalità risponde all'esigenza terapeutica di diminuire l'impatto psicologico dell'intervento medico (ad es., alcuni trattamenti sanitari effettuati nei confronti di minori).
c) notizie su prestazioni di pronto soccorso (art. 83, comma 2, lett. f))
L'organismo sanitario può dare notizia, anche per via telefonica, circa una prestazione di pronto soccorso, ovvero darne conferma a seguito di richiesta anche per via telefonica.
La notizia o la conferma devono essere però fornite correttamente ai soli terzi legittimati, quali possono essere familiari, parenti o conviventi, valutate le diverse circostanze del caso.
Questo genere di informazioni riguarda solo la circostanza che è in atto o si è svolta una prestazione di pronto soccorso, e non attiene ad informazioni più dettagliate sullo stato di salute.
L'interessato -se cosciente e capace- deve essere preventivamente informato dall'organismo sanitario (ad es. in fase di accettazione), e posto in condizione di fornire indicazioni circa i soggetti che possono essere informati della prestazione di pronto soccorso. Occorre altresì rispettare eventuali sue indicazioni specifiche o contrarie.
Il personale incaricato deve accertare l'identità dei terzi legittimati a ricevere la predetta notizia o conferma, avvalendosi anche di elementi desunti dall'interessato.
d) dislocazione dei pazienti nei reparti (art. 83, comma 2, lett. g))
Il Codice incentiva le strutture sanitarie a prevedere, in conformità agli ordinamenti interni, le modalità per fornire informazioni ai terzi legittimati circa la dislocazione dei degenti nei reparti, allorché si debba ad esempio rispondere a richieste di familiari e parenti, conoscenti e personale del volontariato.
L'interessato cosciente e capace deve essere, anche in questo caso, informato e posto in condizione (ad es. all'atto del ricovero) di fornire indicazioni circa i soggetti che possono venire a conoscenza del ricovero e del reparto di degenza. Occorre altresì rispettare l'eventuale sua richiesta che la presenza nella struttura sanitaria non sia resa nota neanche ai terzi legittimati (cfr. Carta dei servizi pubblici sanitari, dPCM 19 maggio 1995 [12]).
Come per le prestazioni di pronto soccorso, questo genere di informazioni riguarda la sola presenza nel reparto e non anche informazioni sullo stato di salute.
Possono essere fornite informazioni sullo stato di salute a soggetti diversi dall'interessato quando sia stato manifestato un consenso specifico e distinto al riguardo, consenso che può essere anche manifestato da parte di un altro soggetto legittimato, in caso di impossibilità fisica, incapacità di agire o incapacità di intendere o di volere dell'interessato (art. 82 [13]).
e) distanza di cortesia (art. 83, comma 2, lett. b))
Le strutture sanitarie devono predisporre apposite distanze di cortesia in tutti i casi in cui si effettua il trattamento di dati sanitari (es. operazioni di sportello, acquisizione di informazioni sullo stato di salute), nel rispetto dei canoni di confidenzialità e della riservatezza dell'interessato.
Vanno in questa prospettiva prefigurate appropriate soluzioni, sensibilizzando gli utenti con idonei inviti, segnali o cartelli.
f) ordine di precedenza e di chiamata (art. 83, comma 2, lett. a))
All'interno dei locali di strutture sanitarie, nell'erogare prestazioni sanitarie o espletando adempimenti amministrativi che richiedono un periodo di attesa (ad es., in caso di analisi cliniche), devono essere adottate soluzioni che prevedano un ordine di precedenza e di chiamata degli interessati che prescinda dalla loro individuazione nominativa (ad es., attribuendo loro un codice numerico o alfanumerico fornito al momento della prenotazione o dell'accettazione). Ovviamente, tale misura non deve essere applicata durante i colloqui tra l'interessato e il personale medico o amministrativo.
Quando la prestazione medica può essere pregiudicata in termini di tempestività o efficacia dalla chiamata non nominativa dell'interessato (ad es. in funzione di particolari caratteristiche del paziente anche legate ad uno stato di disabilità), possono essere utilizzati altri accorgimenti adeguati ed equivalenti (ad es., con un contatto diretto con il paziente).
Non risulta giustificata l'affissione di liste di pazienti nei locali destinati all'attesa o comunque aperti al pubblico, con o senza la descrizione del tipo di patologia sofferta o di intervento effettuato o ancora da erogare (es. liste di degenti che devono subire un intervento operatorio). Non devono essere, parimenti, resi facilmente visibili da terzi non legittimati i documenti riepilogativi di condizioni cliniche dell'interessato (es. cartelle infermieristiche poste in prossimità del letto di degenza) (artt. 22, comma8, e 26, comma 5, del Codice [14]).
g) correlazione fra paziente e reparto o struttura (art. 83, comma 2, lett. h))
Gli organismi sanitari devono mettere in atto specifiche procedure, anche di formazione del personale, per prevenire che soggetti estranei possano evincere in modo esplicito l'esistenza di uno stato di salute del paziente attraverso la semplice correlazione tra la sua identità e l'indicazione della struttura o del reparto presso cui si è recato o è stato ricoverato.
Tali cautele devono essere orientate anche alle eventuali certificazioni richieste per fini amministrativi non correlati a quelli di cura (ad es., per giustificare un'assenza dal lavoro o l'impossibilità di presentarsi ad una procedura concorsuale).
Analoghe garanzie devono essere adottate da tutti i titolari del trattamento, ivi comprese le farmacie, affinché nella spedizione di prodotti non siano indicati, sulla parte esterna del plico postale, informazioni idonee a rivelare l'esistenza di uno stato di salute dell'interessato (ad es., indicazione della tipologia del contenuto del plico o del reparto dell'organismo sanitario mittente).
h) regole di condotta per gli incaricati (art. 83, comma 2, lett. i)).
Il titolare del trattamento deve designare quali incaricati o, eventualmente, responsabili del trattamento i soggetti che possono accedere ai dati personali trattati nell'erogazione delle prestazioni e dei servizi per svolgere le attività di prevenzione, diagnosi, cura e riabilitazione, nonché quelle amministrative correlate (artt. 30 e 29 del Codice [15]).
Fermi restando, in quanto applicabili, gli obblighi in materia di segreto d'ufficio, deve essere previsto che, al pari del personale medico ed infermieristico, già tenuto al segreto professionale (art. 9 del codice dideontologia medica del 3 ottobre 1998 [16]; art. 4 del codicedeontologico per gli infermieri del maggio del 1999 [17]), gli altri soggetti che non sono tenuti per legge al segreto professionale (ad es., personale tecnico e ausiliario) siano sottoposti a regole di condotta analoghe (cfr. anche art. 10 del codice di deontologia medica [18]).
A tal fine, anche avvalendosi di iniziative di formazione del personale designato, occorre mettere in luce gli obblighi previsti dalla disciplina in materia di protezione dei dati personali con particolare riferimento all'adozione delle predette misure organizzative (artt. 30 e 35 del Codice epunto 19.6 del disciplinare tecnico allegato B) al Codice [19]), evidenziando i rischi, soprattutto di accesso non autorizzato, che incombono sui dati idonei a rivelare lo stato di salute e le misure disponibili per prevenire effetti dannosi.
4. Comunicazione di dati all'interessato
Gli esercenti le professioni sanitarie e gli organismi sanitari possono comunicare all'interessato informazioni sul suo stato di salute solo per il tramite di un medico (individuato dallo stesso interessato, oppure dal titolare del trattamento) o di un altro esercente le professioni sanitarie che, nello svolgimento dei propri compiti, intrattenga rapporti diretti con il paziente (ad es., un infermiere designato quale incaricato del trattamento ed autorizzato per iscritto dal titolare).
La necessità di rispettare queste modalità andrebbe menzionata nelle istruzioni impartite agli incaricati del trattamento (art. 84, comma 2, delCodice [20]). Nel caso in cui l'interessato riceva una comunicazione dalla struttura sanitaria che documenti gli esiti di esami clinici effettuati, l'intermediazione può essere soddisfatta accompagnando un giudizio scritto con la disponibilità del medico a fornire ulteriori indicazioni a richiesta.
Il personale designato deve essere istruito debitamente anche in ordine alle modalità di consegna a terzi dei documenti contenenti dati idonei a rivelare lo stato di salute dell'interessato (es. referti diagnostici). In riferimento alle numerose segnalazioni pervenute, va rilevato che le certificazioni rilasciate dai laboratori di analisi o dagli altri organismi sanitari possono essere ritirate anche da persone diverse dai diretti interessati, purché sulla base di una delega scritta e mediante la consegna delle stesse in busta chiusa.
5. Altri adempimenti da rispettare
I titolari del trattamento in ambito sanitario devono infine rispettare gli obblighi che attengono:
a) alla notificazione al Garante, dovuta nei soli casi di cui all'art. 37 del Codice (cfr. anche provvedimento del Garante n. 1/2004 del 31 marzo 2004 recante i casi da sottrarre all'obbligo di notificazione, pubblicato sulla G. U. n. 81 del 6 aprile 2004 e disponibile sul sito dell'Autorità www.garanteprivacy.it (doc. web n. 852561));
b) alla predisposizione dell'informativa da fornire agli interessati (art. 13 del Codice);
c) all'acquisizione del consenso per i trattamenti di dati personali connessi all'erogazione delle prestazioni e dei servizi per svolgere attività di prevenzione, diagnosi, cura e riabilitazione (artt. 22, 26 e 76 del Codice[21]);
d) per gli organismi sanitari pubblici, al rispetto delle disposizioni contenute nel regolamento per il trattamento dei dati sensibili per finalità amministrative correlate a quelle di prevenzione, diagnosi, cura e riabilitazione adottato ai sensi dell'art. 20 del Codice (cfr. Provv. del 30giugno 2005 [22]);
e) al rispetto delle autorizzazioni generali rilasciate dal Garante ed, in particolare, dell'autorizzazione generale al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale (artt. 26 e 76 del Codice);
f) alle misure di sicurezza (artt. 31-36 del Codice e allegato B) alCodice [23]).
TUTTO CIÒ PREMESSO, IL GARANTE:
prescrive a tutti i titolari del trattamento di dati personali interessati in ambito sanitario, ai sensi dell'art. 154, comma 1, lett. c), del Codice[24] di adottare, ove già non attuate, le misure necessarie od opportune al fine di rendere il trattamento dei medesimi dati conforme alle disposizioni vigenti, sulla base dei principi richiamati nel presente provvedimento e dei primi chiarimenti con esso forniti;
prescrive ai medesimi titolari, ai sensi dell'art. 154, comma 1, lett. c), del Codice di adottare comunque tutte le ulteriori misure per garantire, in materia di trattamento dei dati personali nell'ambito sanitario, il massimo rispetto del principio di dignità;
avvia una consultazione allo scopo di acquisire elementi di informazione e documentazione da parte di organismi sanitari, nonché di soggetti, portatori di interessi pubblici e privati e portatori di interessi diffusi, costituiti in associazioni e comitati, in ordine alle modalità di attuazione adottate ed alle problematiche riscontrate.
Roma, 9 novembre 2005
Il Presidente
__________________________________
NOTE
[1]
[2] Gli articoli 2, 10, 11 e 32 della Costituzione
stabiliscono ciascuno quanto segue: "Articolo 2.
[3] Il d.lg. 30 giugno
2003, n. 196, reca "Codice in materia di protezione dei dati
personali" Vigenza 27 febbraio 2004 - Consolidato con la legge 26 febbraio
2004, n. 45 di conversione con modifiche dell'art. 3 del d.l. 24 dicembre 2003,
n. 354.
[4] L’articolo 15 del Regolamento n. 1/2000
sull'organizzazione e il funzionamento dell'ufficio del Garante per la
protezione dei dati personali stabilisce quanto segue: "Articolo 15.
Relatore - 1. Per gli atti per i quali si provvede con deliberazione del
Garante, la competente unità organizzativa verifica la completezza della
documentazione utile, predispone lo schema dell'atto o provvedimento e delle
osservazioni e li sottopone al segretario generale entro il sesto giorno
antecedente la riunione, affinché formuli, ove necessario, le osservazioni. Lo
schema, le osservazioni e la documentazione sono formati e posti a disposizione
del presidente e dei componenti, anche mediante strumenti informatici e telematici, senza ritardo e comunque entro il terzo giorno
antecedente la riunione. Sono posti a disposizione senza ritardo anche gli
eventuali aggiornamenti necessari. 2. Il presidente designa il relatore tra i
componenti o svolge personalmente tale funzione. 3. Sulla base del materiale di
cui al comma 1, il relatore introduce la discussione e formula le proprie
conclusioni. 4. Quando la natura del procedimento lo richiede, il relatore può
essere designato anche prima del terzo giorno antecedente alla riunione,
affinché possa seguire la trattazione. 5. Per lo svolgimento dei propri
compiti, il presidente e i componenti possono chiedere alla competente
struttura di fornire la documentazione utile e avvalersi della consultazione
diretta di atti e documenti del protocollo e dell'archivio.".
[5] L’articolo 83 del Codice in materia di
protezione dei dati personali stabilisce quanto segue:"(Altre misure per
il rispetto dei diritti degli interessati) 1. I soggetti di cui agli articoli
78, 79 e 80 adottano idonee misure per garantire, nell'organizzazione delle
prestazioni e dei servizi, il rispetto dei diritti, delle libertà fondamentali
e della dignità degli interessati, nonché del segreto professionale, fermo
restando quanto previsto dalle leggi e dai regolamenti in materia di modalità
di trattamento dei dati sensibili e di misure minime di sicurezza. 2. Le misure
di cui al comma 1 comprendono, in particolare: a) soluzioni volte a rispettare,
in relazione a prestazioni sanitarie o ad adempimenti
amministrativi preceduti da un periodo di attesa all'interno di strutture, un
ordine di precedenza e di chiamata degli interessati prescindendo dalla loro
individuazione nominativa; b) l'istituzione di appropriate distanze di
cortesia, tenendo conto dell'eventuale uso di apparati vocali o di barriere; c)
soluzioni tali da prevenire, durante colloqui, l'indebita conoscenza da parte
di terzi di informazioni idonee a rivelare lo stato di salute; d) cautele volte
ad evitare che le prestazioni sanitarie, ivi compresa l'eventuale
documentazione di anamnesi, avvenga in situazioni di promiscuità derivanti
dalle modalità o dai locali prescelti; e) il rispetto della dignità
dell'interessato in occasione della prestazione medica e in ogni operazione di
trattamento dei dati; f) la previsione di opportuni accorgimenti volti ad
assicurare che, ove necessario, possa essere data correttamente notizia o
conferma anche telefonica, ai soli terzi legittimati, di una prestazione di
pronto soccorso; g) la formale previsione, in conformità agli ordinamenti
interni delle strutture ospedaliere e territoriali, di adeguate modalità per
informare i terzi legittimati in occasione di visite sulla dislocazione degli
interessati nell'ambito dei reparti, informandone previamente gli interessati e
rispettando eventuali loro contrarie manifestazioni legittime di volontà; h) la
messa in atto di procedure, anche di formazione del personale, dirette a
prevenire nei confronti di estranei un'esplicita correlazione tra l'interessato
e reparti o strutture, indicativa dell'esistenza di un particolare stato di
salute; i) la sottoposizione degli incaricati che non sono tenuti per legge al
segreto professionale a regole di condotta analoghe al segreto professionale.
2-bis. Le misure di cui al comma 2 non si applicano ai soggetti di cui
all'articolo 78, che ottemperano alle disposizioni di cui al comma 1 secondo
modalità adeguate a garantire un rapporto professionale e fiduciario con gli
assistiti, nel rispetto del codice di deontologia sottoscritto ai sensi
dell'articolo 12.".
[6] L’articolo 2 del citato Codice del Garante
Privacy prevede quanto segue: "(Finalità) 1. Il presente testo unico, di
seguito denominato "codice", garantisce che il trattamento dei dati
personali si svolga nel rispetto dei diritti e delle
libertà fondamentali, nonché della dignità dell'interessato, con particolare
riferimento alla riservatezza, all'identità personale e al diritto alla
protezione dei dati personali. 2. Il trattamento dei dati personali è
disciplinato assicurando un elevato livello di tutela dei diritti e delle
libertà di cui al comma 1 nel rispetto dei principi di semplificazione,
armonizzazione ed efficacia delle modalità previste per il loro esercizio da
parte degli interessati, nonché per l'adempimento degli obblighi da parte dei
titolari del trattamento.".
[7]
[8]
[9] L’articolo. 734-bis del codice penale prevede
quanto segue: "(Divulgazione delle generalità o dell'immagine di persona
offesa da atti di violenza sessuale) Chiunque, nei casi di delitti previsti
dagli articoli 609bis, 609ter, 609quater, 609quinquies e 609octies, divulghi,
anche attraverso mezzi di comunicazione di massa, le generalità o l'immagine
della persona offesa senza il suo consenso, è punito con l'arresto da tre a sei
mesi. Articolo aggiunto dall'art. 12, Legge 15 febbraio 1996, n. 66.".
[10] L’articolo 13 del citato Codice del Garante
Privacy stabilisce quanto segue: "(Informativa)
[11] Il Decreto Legislativo 21 dicembre 1999, n.
517, reca "Disciplina dei rapporti fra Servizio sanitario nazionale e
università, a norma dell'articolo 6 della legge 30 novembre 1998, n. 419"
ed è stato pubblicato nel S.O. n. 10/L alla G.U. n. 8 del 12 gennaio 2000.
[12] Il Decreto del Presidente del Consiglio dei
Ministri del 19 maggio 1995 (G.U. del 31 maggio 1995, Supplemento Ordinario n.
65) reca "Schema generale di riferimento della carta dei servizi pubblici
sanitari".
[13] L’articolo 82 del citato Codice del Garante
Privacy prevede quanto segue: "Emergenze e tutela della salute e
dell'incolumità fisica"
[14] Gli articoli 22, comma 8, e 26, comma 5, del
citato Codice del Garante Privacy stabiliscono quanto segue: "Articolo 22.
(Principi applicabili al trattamento di dati sensibili
e giudiziari) 8. I dati idonei a rivelare lo stato di salute non possono essere
diffusi." "Articolo 26. (Garanzie
per i dati sensibili) 5. I dati idonei a rivelare lo stato di salute non
possono essere diffusi.".
[15] Gli articoli 30 e 29 del citato Codice del
Garante Privacy prevedono quanto segue: "Articolo 30. Incaricati del
trattamento - 1. Le operazioni di trattamento possono essere effettuate solo da
incaricati che operano sotto la diretta autorità del titolare o del
responsabile, attenendosi alle istruzioni impartite. 2. La designazione è
effettuata per iscritto e individua puntualmente l'ambito del trattamento
consentito. Si considera tale anche la documentata preposizione della persona
fisica ad una unità per la quale è individuato, per
iscritto, l'ambito del trattamento consentito agli addetti all'unità medesima.
Articolo 29. Responsabile del trattamento - 1. Il responsabile è designato dal
titolare facoltativamente. 2. Se designato, il responsabile è individuato tra
soggetti che per esperienza, capacità ed affidabilità forniscano idonea
garanzia del pieno rispetto delle vigenti disposizioni in materia di
trattamento, ivi compreso il profilo relativo alla sicurezza. 3. Ove necessario
per esigenze organizzative, possono essere designati responsabili più soggetti,
anche mediante suddivisione di compiti. 4. I compiti affidati al responsabile
sono analiticamente specificati per iscritto dal titolare. 5. Il responsabile
effettua il trattamento attenendosi alle istruzioni impartite dal titolare il
quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza
delle disposizioni di cui al comma 2 e delle proprie istruzioni.".
[16] L’articolo 9 del codice di deontologia medica
del 3 ottobre 1998 prevede quanto segue: "Articolo 9 - Segreto
professionale - Il medico deve mantenere il segreto su tutto ciò che gli è
confidato o che può conoscere in ragione della sua professione; deve, altresì,
conservare il massimo riserbo sulle prestazioni professionali effettuate o
programmate, nel rispetto dei principi che garantiscano la tutela della
riservatezza. La rivelazione assume particolare gravità
quando ne derivi profitto, proprio o altrui, o nocumento della persona o
di altri. Costituiscono giusta causa di rivelazione, oltre alle inderogabili
ottemperanze a specifiche norme legislative (referti, denunce, notifiche e
certificazioni obbligatorie): la richiesta o l’autorizzazione da parte della
persona assistita o del suo legale rappresentante, previa specifica
informazione sulle conseguenze o sull’opportunità o meno della rivelazione
stessa; l’urgenza di salvaguardare la vita o la salute dell’interessato o di
terzi, nel caso in cui l’interessato stesso non sia in
grado di prestare il proprio consenso per impossibilità fisica, per incapacità
di agire o per incapacità di intendere e di volere; l’urgenza di salvaguardare
la vita o la salute di terzi, anche nel caso di diniego dell’interessato, ma
previa autorizzazione del garante per la protezione dei dati personali. La
morte del paziente non esime il medico dall’obbligo del segreto. Il medico non
deve rendere al giudice testimonianza su ciò che gli è stato confidato o è
pervenuto a sua conoscenza nell’esercizio della professione. La cancellazione
dall’albo non esime moralmente il medico dagli obblighi del presente
articolo.".
[17] L’articolo 4 del codice deontologico per gli
infermieri del maggio del 1999 stabilisce quanto segue: "Rapporti con la
persona assistita - 4.1. L’infermiere promuove, attraverso l’educazione, stili
di vita sani e la diffusione di una cultura della salute; a tal fine attiva e
mantiene la rete di rapporti tra servizi e operatori. 4.2. L’infermiere
ascolta, informa, coinvolge la persona e valuta con la stessa i bisogni
assistenziali, anche al fine di esplicitare il livello di assistenza garantito
e consentire all’assistito di esprimere le proprie scelte. 4.3. L’infermiere,
rispettando le indicazioni espresse dall’assistito, ne facilita i rapporti con
la comunità e le persone per lui significative, che coinvolge nel piano di
cura. 4.4. L’infermiere ha il dovere di essere informato sul progetto
diagnostico terapeutico, per le influenze che questo ha sul piano di assistenza
e la relazione con la persona. 4.5. L’infermiere, nell’aiutare e sostenere la
persona nelle scelte terapeutiche, garantisce le informazioni relative al piano
di assistenza ed adegua il livello di comunicazione alla capacità del paziente
di comprendere. Si adopera affinché la persona disponga di informazioni globali
e non solo cliniche e ne riconosce il diritto alla scelta di non essere
informato. 4.6. L’infermiere assicura e tutela la riservatezza delle
informazioni relative alla persona. Nella raccolta, nella gestione e nel
passaggio di dati, si limita a ciò che è pertinente all'assistenza. 4.7.
L’infermiere garantisce la continuità assistenziale anche attraverso l'efficace
gestione degli strumenti informativi. 4.8. L’infermiere rispetta il segreto
professionale non solo per obbligo giuridico, ma per intima convinzione e come
risposta concreta alla fiducia che l’assistito ripone in lui. 4.9. L‘infermiere
promuove in ogni contesto assistenziale le migliori condizioni possibili di
sicurezza psicofisica dell'assistito e dei familiari. 4.10. L’infermiere si
adopera affinché il ricorso alla contenzione fisica e farmacologica
sia evento straordinario e motivato, e non metodica abituale di accudimento. Considera la contenzione una scelta condivisibile quando vi si configuri l'interesse della
persona e inaccettabile quando sia una implicita risposta alle necessità
istituzionali. 4.11 L’infermiere si adopera affinché sia presa in
considerazione l'opinione del minore rispetto alle scelte terapeutiche, in
relazione all'età ed al suo grado di maturità. 4.12. L’infermiere si impegna a
promuovere la tutela delle persone in condizioni che ne limitano lo sviluppo o
l'espressione di sé, quando la famiglia e il contesto non siano adeguati ai
loro bisogni. 4.13. L’infermiere che rilevi maltrattamenti o privazioni a
carico della persona, deve mettere in opera tutti i
mezzi per proteggerla ed allertare, ove necessario,
l'autorità competente. 4.14. L’infermiere si attiva per alleviare i sintomi, in
particolare quelli prevenibili. Si impegna a ricorrere all'uso di placebo solo
per casi attentamente valutati e su specifica indicazione medica. 4.15.
L’infermiere assiste la persona, qualunque sia la sua condizione clinica e fino
al termine della vita, riconoscendo l'importanza del conforto ambientale,
fisico, psicologico, relazionale, spirituale. L’infermiere tutela il diritto a
porre dei limiti ad eccessi diagnostici e terapeutici non coerenti con la
concezione di qualità della vita dell'assistito. 4.16. L’infermiere sostiene i
familiari dell'assistito, in particolare nel momento della perdita e nella
elaborazione del lutto. 4.17. L’infermiere non partecipa a trattamenti
finalizzati a provocare la morte dell'assistito, sia che la richiesta provenga dall'interessato, dai familiari o da altri. 4.18.
L’infermiere considera la donazione di sangue, tessuti ed
organi un'espressione di solidarietà. Si adopera per favorire
informazione e sostegno alle persone coinvolte nel donare e nel
ricevere.".
[18] L’articolo 10 del citato codice di deontologia
medica stabilisce quanto segue: "Articolo 10 - Documentazione e tutela dei
dati - Il medico deve tutelare la riservatezza dei dati personali e della
documentazione in suo possesso riguardante le persone anche se affidata a
codici o sistemi informatici. Il medico deve informare i suoi collaboratori
dell’obbligo del segreto professionale e deve vigilare affinché essi vi si
conformino. Nelle pubblicazioni scientifiche di dati clinici o di osservazioni
relative a singole persone, il medico deve assicurare la non identificabilità delle stesse. Analogamente il medico non deve
diffondere, attraverso la stampa o altri mezzi di informazione, notizie che possano consentire l’identificazione del soggetto cui si
riferiscono.".
[19] L’articolo 35 del Codice prevede quanto segue:
"Trattamenti senza l'ausilio di strumenti elettronici - 1. Il trattamento
di dati personali effettuato senza l'ausilio di strumenti elettronici è
consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico
contenuto nell'allegato B), le seguenti misure minime: a) aggiornamento
periodico dell'individuazione dell'ambito del trattamento consentito ai singoli
incaricati o alle unità organizzative; b) previsione di procedure per un'idonea
custodia di atti e documenti affidati agli incaricati per lo svolgimento dei
relativi compiti; c) previsione di procedure per la conservazione di
determinati atti in archivi ad accesso selezionato e disciplina delle modalità
di accesso finalizzata all'identificazione degli incaricati."
Il punto 19.6 del disciplinare tecnico allegato B) al Codice prevede quanto
segue: "19. Entro il 31 marzo di ogni anno, il titolare di un trattamento
di dati sensibili o di dati giudiziari redige anche attraverso il responsabile,
se designato, un documento programmatico sulla sicurezza contenente idonee
informazioni riguardo: 19.6. la previsione di interventi formativi degli
incaricati del trattamento, per renderli edotti dei rischi che incombono sui
dati, delle misure disponibili per prevenire eventi dannosi, dei profili della
disciplina sulla protezione dei dati personali più rilevanti in rapporto alle
relative attività, delle responsabilità che ne derivano e delle modalità per
aggiornarsi sulle misure minime adottate dal titolare. La formazione è
programmata già al momento dell'ingresso in servizio, nonché in occasione di
cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti,
rilevanti rispetto al trattamento di dati personali.".
[20] L’articolo 84, comma 2, del citato Codice del
Garante Privacy stabilisce quanto segue: "Compiti del Servizio sanitario
nazionale - 2. Il comma 1 non si applica ai trattamenti di dati idonei a
rivelare lo stato di salute effettuati da esercenti le professioni sanitarie o
da organismi sanitari pubblici per finalità di tutela della salute o
dell'incolumità fisica dell'interessato, di un terzo o della collettività, per
i quali si osservano le disposizioni relative al consenso dell'interessato o
all'autorizzazione del Garante ai sensi dell'articolo 76.".
[21] Gli articoli 22, 26 e 76 del Codice
stabiliscono quanto segue: "Articolo 22. Principi applicabili al
trattamento di dati sensibili e giudiziari - 1. I soggetti pubblici conformano
il trattamento dei dati sensibili e giudiziari secondo modalità volte a
prevenire violazioni dei diritti, delle libertà fondamentali e della dignità
dell'interessato. 2. Nel fornire l'informativa di cui all'articolo 13 soggetti
pubblici fanno espresso riferimento alla normativa che prevede gli obblighi o i
compiti in base alla quale è effettuato il trattamento dei dati sensibili e
giudiziari. 3. I soggetti pubblici possono trattare solo i dati sensibili e
giudiziari indispensabili per svolgere attività istituzionali che non possono
essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di
dati personali di natura diversa. 4. I dati sensibili e giudiziari sono
raccolti, di regola, presso l'interessato.
[22] Il Provvedimento del Garante Privacy del 30
giugno 2005 reca "Trattamento dei dati sensibili nella pubblica
amministrazione" ed è stato pubblicato nella G.U. n. 170 del 23 luglio 2005.
[23] Gli articoli da 31-36 del citato Codice del
Garante Privacy prevedono quanto segue: "Articolo 31. Obblighi di
sicurezza - 1. I dati personali oggetto di trattamento
sono custoditi e controllati, anche in relazione alle conoscenze acquisite in
base al progresso tecnico, alla natura dei dati e alle specifiche
caratteristiche del trattamento, in modo da ridurre al minimo, mediante
l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione
o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di
trattamento non consentito o non conforme alle finalità della raccolta.
Articolo 32. Particolari titolari - 1. Il fornitore di un servizio di
comunicazione elettronica accessibile al pubblico adotta ai sensi dell'articolo
31 idonee misure tecniche e organizzative adeguate al rischio esistente, per
salvaguardare la sicurezza dei suoi servizi, l'integrità dei dati relativi al
traffico, dei dati relativi all'ubicazione e delle comunicazioni elettroniche
rispetto ad ogni forma di utilizzazione o cognizione non consentita. 2. Quando
la sicurezza del servizio o dei dati personali richiede anche l'adozione di
misure che riguardano la rete, il fornitore del servizio di comunicazione
elettronica accessibile al pubblico adotta tali misure congiuntamente con il
fornitore della rete pubblica di comunicazioni. In caso di mancato accordo, su richiesta di uno dei fornitori, la controversia è
definita dall'Autorità per le garanzie nelle comunicazioni secondo le modalità
previste dalla normati vavigente.
3. Il fornitore di un servizio di comunicazione elettronica accessibile al
pubblico informa gli abbonati e, ove possibile, gli utenti, se sussiste un
particolare rischio di violazione della sicurezza della rete, indicando, quando
il rischio è al di fuori dell'ambito di applicazione delle misure che il
fornitore stesso è tenuto ad adottare ai sensi dei
commi 1 e 2, tutti i possibili rimedi e i relativi costi presumibili. Analoga
informativa è resa al Garante e all'Autorità per le garanzie nelle
comunicazioni. Articolo 33. Misure minime - 1. Nel quadro dei più generali
obblighi di sicurezza di cui all'articolo 31, o previsti da speciali
disposizioni, i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo o
ai sensi dell'articolo 58, comma 3, volte ad assicurare un livello minimo di
protezione dei dati personali. Articolo 34. Trattamenti con strumenti
elettronici - 1. Il trattamento di dati personali effettuato
con strumenti elettronici è consentito solo se sono adottate, nei modi previsti
dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime:
a) autenticazione informatica; b) adozione di procedure di gestione delle
credenziali di autenticazione; c) utilizzazione di un sistema di
autorizzazione; d) aggiornamento periodico dell'individuazione dell'ambito del
trattamento consentito ai singoli incaricati e addetti alla gestione o alla
manutenzione degli strumenti elettronici; e) protezione degli strumenti
elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non
consentiti e a determinati programmi informatici; f) adozione di procedure per
la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e
dei sistemi; g) tenuta di un aggiornato documento programmatico sulla
sicurezza; h) adozione di tecniche di cifratura o di
codici identificativi per determinati trattamenti di dati idonei a rivelare lo
stato di salute o la vita sessuale effettuati da organismi sanitari.
Articolo 35. Trattamenti senza l'ausilio di strumenti elettronici - 1. Il trattamento di dati personali effettuato senza l'ausilio di
strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal
disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime: a)
aggiornamento periodico dell'individuazione dell'ambito del trattamento
consentito ai singoli incaricati o alle unità organizzative; b) previsione di
procedure per un'idonea custodia di atti e documenti affidati agli incaricati
per lo svolgimento dei relativi compiti; c) previsione di procedure per la
conservazione di determinati atti in archivi ad accesso selezionato e
disciplina delle modalità di accesso finalizzata all'identificazione degli
incaricati. Articolo 36. Adeguamento - 1. Il disciplinare tecnico di cui
all'allegato B), relativo alle misure minime di cui al presente capo, è
aggiornato periodicamente con decreto del Ministro della giustizia di concerto
con il Ministro per le innovazioni e le tecnologie, in relazione all'evoluzione
tecnica e all'esperienza maturata nel settore.". L’allegato B) al citato
Codice stabilisce, invece, quanto segue: "DISCIPLINARE TECNICO IN MATERIA
DI MISURE MINIME DI SICUREZZA (Artt. da
[24] L’articolo 154, comma 1, lett. c), del citato
Codice del Garante Privacy prevede quanto segue: "Compiti - 1. Oltre a
quanto previsto da specifiche disposizioni, il Garante, anche avvalendosi
dell'Ufficio e in conformità al presente codice, ha il compito di: c)
prescrivere anche d'ufficio ai titolari del trattamento le misure necessarie o
opportune al fine di rendere il trattamento conforme alle disposizioni vigenti,
ai sensi dell'articolo 143.".