Parere - 14/01/2021 - n. 9535354 Articolo unico

Inquadramento

L'Autorità Garante per la protezione dei dati personali (di seguito anche solo “GPDP”), con il provv. 14 gennaio 2021, n. 7, [doc. web n. 9535354] ha approvato il Codice di condotta per l'utilizzo di dati sulla salute a fini didattici e di pubblicazione scientifica (di seguito anche solo “Codice”). Il progetto del Codice de quo è stato presentato al Garante privacy, il 14 luglio 2020, dall'Azienda Sanitaria ULSS 9 Scagliera unitamente alla Regione Veneto previa consultazione di Organismi di categoria rappresentativi e portatori di interessi ossia: il Tribunale dei diritti del Malato e dell'Anziano (rappresentativi degli interessati) e l'Ordine dei Medici Chirurghi e Odontoiatri (rappresentativi dei professionisti sanitari tenuti al segreto professionale). Il progetto del Codice, poi approvato, è stato presentato dai citati Enti a causa delle difficoltà interpretative e applicative del Reg. UE 679/2016 (GDPR) emerse nell'ambito dell'utilizzo dei dati dei pazienti per fini didattici e di pubblicazione scientifica da parte dei professionisti sanitari. Le difficoltà citate sono emerse, in particolare, a seguito dell'apertura di un procedimento del GPDP che ha visto coinvolto un medico appartenente alla medesima Azienda Sanitaria ULSS 9 Scagliera promotrice del Codice.

Nel corso dell'istruttoria il GPDP ha rilevato che un medico aveva acquisito documenti relativi ad un paziente tenuto in cura presso la ULSS 9 Scagliera dove prestava servizio, per presentare una relazione in un congresso medico e per partecipare al concorso Premio “Migliore caso clinico 2017”, patrocinato dalla Società triveneta di chirurgia. Il Medico, pur essendo legittimato ad accedere ai dati del paziente acquisiti per finalità di cura, non aveva tuttavia richiesto al paziente medesimo alcun consenso al trattamento dei dati per finalità ulteriori come quelle di divulgazione scientifica e/o didattica. La questione non era stata sottoposta a permesso della ULSS 9 Scagliera, presso cui il paziente era stato in cura, ed infine i dati del paziente non erano stati neppure anonimizzati prima del loro utilizzo per la relazione scientifica poi pubblicata dalla Società triveneta di chirurgia sul proprio sito internet.

La pubblicazione e diffusione della relazione attraverso il sito internet della Società triveneta di chirurgia, ha consentito al paziente/interessato di segnalare al GPDP il presunto illecito trattamento dei suoi dati personali.

Chiusa dunque l'istruttoria il GPDP ha emesso tre provvedimenti sanzionatori distinti di cui uno (cfr. provv. n. 144 del 15 aprile 2021 [doc. web n. 9587637]) a carico del medico, sanzionato per € 5.000,00, altro (cfr. provv. n. 145 del 15 aprile 2021 [doc. web n. 9587089]) a carico della Società triveneta di chirurgia sanzionata per € 2.000,00, ed un ultimo (cfr. provv. n. 142 del 15 aprile 2021 [doc. web n. 9587071] a carico della ULSS 9 Scagliera che ha ricevuto solo un ammonimento, considerato che l'episodio è stato gestito in materia tempestiva e, proprio per regolamentare la questione in maniera conforme ai dettami del GDPR, la ULSS 9 Scagliera aveva avviato, nelle more, la promozione del Codice oggi in commento. Il Codice rappresenta il primo Codice di condotta approvato dal GPDP sui trattamenti di dati sulla salute in ambito sanitario al fine di disciplinare, conformemente al dettato del GDPR, l'utilizzo dei dati per finalità didattiche e di pubblicazione scientifica da parte dei professionisti sanitari, stabilendo, conseguentemente, le regole per il trattamento ulteriore dei dati originariamente raccolti a fini diagnostici, terapeutici, di prevenzione e cura. Il Codice mira a garantire l'applicazione coerente ed omogenea del GDPR con l'individuazione di regole specifiche per un corretto bilanciamento degli interessi coinvolti, consentendo dunque agli aderenti, conformemente al principio di accountability, di utilizzare il Codice quale strumento per dimostrare la conformità al GDPR. In particolare, il Codice prescrive che l'utilizzo dei dati personali per fini didattici e di pubblicazione scientifica possa attuarsi solo a seguito dell'adozione di misure di anonimizzazione e ove non possibile di pseudonimizzazione per tutelare i diritti e le libertà degli interessati. A tal riguardo il Codice contiene un allegato, il numero 1, che descrive in maniera dettagliata le tecniche di anonimizzazione e pseudonimizzazione applicabili ed aderenti al Parere 5/2014 del gruppo di lavoro 29 (WP29). Come noto il Considerando 26 al GDPR pone una distinzione a seconda che i dati siano pseudonimizzati, ossia quei dati che mediante l'utilizzo di ulteriori informazioni seppur in maniera indiretta potrebbero condurre alla identificabilità di una persona fisica, o anonimizzati ossia quei dati che non consentono nemmeno indirettamente e pur se associati ad altri l'identificabilità di una persona fisica.

Nel primo caso, dunque ai dati pseudonimizzati, troverà applicazione il GDPR, nel secondo caso, ai dati anonimizzati il GDPR non trova applicazione: “I principi di protezione dei dati non dovrebbero pertanto applicarsi a informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a dati personali resi sufficientemente anonimi da impedire o da non consentire più l'identificazione dell'interessato” (cfr. considerando 26 al GDPR).

Il citato allegato 1 al Codice tra le principali tecniche di anonimizzazione ne indica due tipologie distinte: la randomizzazione, ossia “la modifica della veridicità dei dati al fine di eliminare la forte correlazione che esiste tra essi e la persona, pur non compromettendo le proprietà informative di distribuzione statistica proprie del dataset”; la generalizzazione che “consiste nel generalizzare gli attributi delle persone interessate modificando la rispettiva scala o ordine di grandezza (diluendo il livello di dettaglio) e presuppone approcci quantitativi specifici per contenere i rischi di correlabilità”. Tra le tecniche di pseudonimizzazione il codice propone un elenco delle più utilizzate tra cui: la crittografia con chiave segreta; la funzione hash; la funzione hash cifrata con chiave memorizzata; la crittografia deterministica o funzione hash cifrata con cancellazione della chiave; la tokenizzazione. Per un approfondimento e descrizione delle citate tecniche si rimanda all'allegato 1 del Codice. Ad ogni buon conto, tali tecniche sebbene elencate per consentirne l'implementazione dai professionisti sanitari per le finalità di cui al Codice, rappresentano un punto di riferimento utile per tutti i titolari del trattamento che intendessero adottarle al fine di minimizzare i rischi per la tutela dei diritti e le libertà degli interessati. Il Codice prescrive che ogni Direzione aziendale debba dotarsi di un Centro Elaborazione Data Set (CEDS) che, previa anonimizzazione o adozione delle tecniche di anonimizzazione e ove non possibile di pseudonimizzazione meglio descritte nel citato Allegato 1, renderà disponibili i dati con un codice di identificazione univoco. Al Codice sono allegati anche il modello di richiesta di autorizzazione che il professionista sanitario deve rivolgere al titolare del trattamento per poter utilizzare i dati per scopi didattici e di pubblicazione scientifica (Allegato 3); il modello di informativa da rendere agli interessati (Allegato 4); il modello di consenso (Allegato 5). Il Codice individua meccanismi che consentono di svolgere un efficace controllo sul rispetto dello stesso da parte degli aderenti che si impegnano ad applicarlo (art. 40, par. 2, del RGPD).

Bibliografia

Bolognini, Pelino, Tutte le novità del d.lgs. 101/2018, Milano 2018; Bolognini, Pelino,Bistolfi, Il regolamento privacy europeo, Commentario alla nuova disciplina sulla protezione dei dati personali, Milano 2016; Bolognini, Pelino, Codice della disciplina privacy, Milano 2019.