Trattamento di dati idonei a rivelare lo stato di salute
(dal § 20 della relazione per l'anno 2002 del Garante della privacy)

L’assetto normativo delineato dal legislatore delegato nel 1999 per la disciplina del trattamento dei dati idonei a rivelare lo stato di salute da parte degli organismi sanitari pubblici, nonché degli organismi sanitari e degli esercenti le professioni sanitarie operanti in regime di convenzione o di accreditamento con il Servizio sanitario nazionale, non ha ancora trovato integrale definizione in ragione della mancata adozione del regolamento del Ministro della salute con il quale dovevano essere previste modalità semplificate per le informative di cui all’art. 10 della l. n. 675/1996 e per la prestazione del consenso (art. 2, comma 1, d.lg. 30 luglio 1999, n. 282).
Tale ritardo determina difficoltà nell’applicazione della normativa -soprattutto da parte degli organismi sanitari pubblici- anche in ragione del fatto che al suddetto regolamento è stato affidato il compito di provvedere alla ricognizione di tutti i trattamenti dei dati sulla salute effettuati nell’ambito del Servizio sanitario nazionale e, quindi, alla specificazione dei tipi di dati trattabili e di operazioni eseguibili in relazione alle finalità perseguite (artt. 22, comma 3-bis e 23, comma 1-ter, l. n. 675/1996).
Con riferimento alle modalità di applicazione dell’ a rt. 23 della legge n. 675/1996, in diverse occasioni l’ Autorità ha segnalato a titolari del trattamento la necessità di conformare le comunicazioni dei dati personali relativi allo stato di salute degli interessati al principio di cui al comma 2 del medesimo articolo, secondo cui “i dati personali idonei a rive l a re lo stato di salute possono essere resi noti all’ i n t e ressato solo per il tramite di un medico designato dall’interessato o dal titolare” (v. da ultimo Provv. t i 19 e 27 febbraio 2002, in Bollettino n. 25, p. 10 e 12; Provv. 20 marzo 2002, in Bollettino, n. 26, p. 5 e 7).
Il Garante ha poi nuovamente affrontato la questione del trattamento dei dati personali di natura sensibile dei portatori di handicap intervenendo in merito alla divulgazione su un sito Internet dei nominativi di alcuni alunni con l’indicazione della relativa patologia sofferta. In tal caso è stato disposto il blocco del trattamento dei dati idonei a rivelare lo stato di salute
degli interessati e l’accertamento ispettivo presso il titolare del trattamento (Provv. 10 aprile 2002).
In un caso in cui si ipotizzava una diffusione di dati inerenti alla salute, l’Autorità ha applicato la prevista sanzione amministrativa nei confronti di una Asl che non aveva risposto alla richiesta di informazioni volta a verificare che la stessa non avesse -come segnalato- invitato ad una visita per l’accertamento dell’invalidità una persona con foglio privo di busta dal quale si evidenziava il motivo della convocazione. L’Autorità ha contestato alla Asl la violazione delle
disposizioni della legge 675/1996 riguardanti la mancata risposta alla richiesta di informazioni o esibizioni di documenti (art. 39, comma 1).
Nell’ambito delle diverse iniziative dell’Autorità sul tema dei trattamenti di dati sanitari sono inoltre da ricordare:
- le indicazioni fornite in merito alle modalità di spedizione di alcuni prodotti per l’incontinenza. E’ stato precisato che la menzione del contenuto della spedizione sulla parte esterna del pacco postale è idonea a rivelare a terzi -in talune circostanze- le condizioni di salute del destinatario del prodotto. A seguito dell’intervento dell’Autorità, la società
mittente si è impegnata a variare gli impianti di stampa, al fine di eliminare dal nastro adesivo l’indicazione della natura del contenuto del pacco postale (22 agosto 2002 e 28 ottobre 2002);
- le indicazioni fornite ad alcuni datori di lavoro circa la possibilità di prevedere l’inserimento nei giustificativi di assenza per malattia non solo della prognosi, ma anche della diagnosi della patologia sofferta dal lavoratore. In merito, è stato rilevato che, dal momento che non esiste più l’obbligo dell’invio al datore di lavoro della diagnosi della malattia del lavoratore, il medico che effettua la visita di controllo deve fornire al datore di lavoro solo certificati dai quali risulti la sussistenza e la durata dello stato di incapacità del lavoratore, senza alcuna indicazione diagnostica. La diagnosi non va quindi indicata neanche nei certificati medici che il dipendente deve inviare al datore di lavoro per documentare l’assenza per malattia;
- le indicazioni fornite ad una amministrazione pubblica in merito alla legittimità della trasmissione al Ministero dell’economia e delle finanze dei verbali relativi agli invalidi civili iscritti nelle liste speciali di collocamento obbligatorio. E’ stato precisato che la comunicazione potrebbe essere giustificata solo qualora detti verbali si riferiscano a soggetti
assunti al lavoro ai sensi della legge n. 482/1968 che abbiano omesso di presentare la dichiarazione di responsabilità relativa alla sussistenza dei requisiti previsti per tale assunzione. Solo in tal caso, infatti, è previsto uno specifico potere di accertamento in capo al Ministero (Provv. 16 ottobre 2002);
- il parere in merito alla legittimità della richiesta effettuata da una Asl ai medici curanti di inviare trimestralmente i diari clinici tenuti presso il domicilio dei pazienti beneficiari del servizio di assistenza domiciliare programmata. In tal caso, dopo aver ricostruito il quadro normativo di riferimento, è stata ritenuta illegittima la richiesta della Asl di una comunicazione sistematica di tali dati sensibili. Per lo svolgimento del controllo dell’erogazione dei servizi di assistenza domiciliare è sufficiente che l’azienda sanitaria richieda la trasmissione dei soli fogli firmati dai medici in occasione delle visite domiciliari, senza alcuna indicazione della patologia riscontrata (5 febbraio 2003);
- la nota del 31 maggio 2002 con la quale non è stata rinvenuta la base giuridica affinché una struttura ospedaliera possa trasmettere ad un Vicariato, al fine di consentire ai parroci di assistere spiritualmente i parrocchiani malati, l’elenco dei degenti ricoverati presso la stessa struttura;
- la nota del 13 febbraio 2002 con la quale, su segnalazione di un medico, è stato esaminato il decreto del Ministero della sanità del 11 febbraio 1997, il quale prevede, fra l’altro, che ai fini dell’importazione in Italia di un farmaco, autorizzato in un paese estero, ma non ammesso alla commercializzazione nel territorio nazionale, il sanitario
richiedente comunichi al Ministero (Ufficio di sanità marittima ed aerea) e all’Ufficio doganale i dati identificativi del paziente. In tal caso si è rilevato che tale decreto, precedente all’entrata in vigore della legge n. 675/1996, non dispone della necessaria forza giuridica richiesta dall’art. 22, commi 3 e 3-bis della legge. E’ stata, pertanto, segnalata la questione al Ministero della salute (Direzione generale della programmazione sanitaria-Gruppo di lavoro per la stesura del regolamento di cui all’ art. 23, comma 1-bis, l. n. 675/1996), affinché ne tenga conto nella redazione dell’emanando regolamento ministeriale. In particolare, è stato ricordato che le operazioni su tali categorie di informazioni devono essere effettuate nel rispetto dei princìpi di cui agli artt. 3 e 4 del d.lg. n. 135/1999, fra i quali assume un rilievo precipuo la verifica dell’essenzialità e della indispensabilità dei dati rispetto al perseguimento delle finalità indicate dalle legge;
- la decisione, nell’ambito di un ricorso, con la quale l’Autorità, accogliendo il ricorso di un paziente che segnalava un riscontro inadeguato da parte dell’azienda ospedaliera cui si era rivolto per ottenere la comunicazione in forma intelligibile dei dati personali contenuti nella sua cartella clinica, ha stabilito che se la cartella clinica è illeggibile per la
grafia di chi l’ha redatta, deve essere trascritta in modo che le informazioni in essa contenute risultino chiare per il malato (Provv. 30 settembre 2002).