[doc. web n. 1797075]
vedi anche
Linee guida in tema di referti on-line
Documenti contenenti dati personali idonei a rivelare lo stato di salute: la consegna
deve avvenire in busta chiusa - 24 febbraio 2011
Registro dei provvedimenti
n. 071 del 24 febbraio 2011
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe
Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del
dott. Daniele De Paoli, segretario generale;
VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito
"Codice");
VISTA la segnalazione del Gruppo consiliare Unione Progresso Dormellettese, nella persona del Sig.
Michele Davide Guglielmetti in data 28 aprile 2010, con la quale lo stesso lamenta "l’anomalia di una
consegna, da parte di un consigliere comunale, di un referto clinico non contenuto in busta chiusa e
sigillata" da parte dell’Azienda sanitaria locale "NO" di Novara, di seguito "Azienda sanitaria";
VISTA la nota di riscontro del 25 giugno 2010 della Azienda sanitaria trasmessa a seguito di specifica
richiesta di informazioni dell’Ufficio del Garante, nella quale è stato dichiarato che "il laboratorio
analisi, su richiesta di alcuni comuni (e previa convenzione con essi) riceve referti ematici e liquidi
biologici "prelevati" da personale sanitario in "Centri prelievi" organizzati presso i Comuni" e che "i
relativi referti vengono trasmessi, dalla Asl No al Comune interessato, che provvede - tramite propri
incaricati- alla consegna in loco";
CONSIDERATO che, con la citata nota di riscontro del 25 giugno 2010, l’Azienda sanitaria ha:
- precisato che la cartellina contenente i referti, "essendo pinzata sul solo lato sinistro….può considerarsi
una "confezionatura aperta"";
- dichiarato di aver ritenuto che l’indicazione "di consegnare il referto in busta chiusa (…)
non sia vincolante quando l’interessato acconsenta esplicitamente a che il referto sia
consegnato "aperto", a proprio delegato", precisando di "voler attribuire valore primario
alla volontà dell’interessato informando quest’ultimo che il referto viene consegnato
"aperto" e richiedendo all’interessato di autorizzare tale modalità di consegna;
l’autorizzazione viene acquisita tramite sottoscrizione della delega sul documento chiamato
"Certificato di consegna"";
CONSIDERATO che tale documento denominato "certificato di consegna", utilizzato dalla Azienda
sanitaria, prevede che la scelta dell’utente di utilizzare i Centri prelievo "costituisce autorizzazione a che
l’Asl NO consegni il referto – in cartellina aperta – a Incaricati del Comune, i quali consegneranno il
referto all’Interessato o al Delegato di quest’ultimo";
CONSIDERATO che l’Azienda sanitaria, nella medesima nota, ha altresì evidenziato che "il referto (la
cui redazione è automatizzata) viene inserito manualmente nella predetta cartellina. Tale inserimento
richiede pochissimo tempo ai Dipendenti addetti a tale operazione. Ben più lunga sarebbe l’operazione
di imbustamento; che richiederebbe, oltre all’inserimento, la scrittura sulla busta dei dati identificativi
dell’Interessato per consentire la consegna del referto", specificando inoltre che "la carenza di
personale, dovuta ai reiterati "blocchi delle assunzioni", impedisce di eseguire l’operazione di
imbustamento (sopraipotizzata); ciò, stante il rilevante numero di referti giornalmente consegnati" (nota
del 25 giugno 2010);
VISTE le specifiche disposizioni del Codice che disciplinano la comunicazione dei dati idonei a rivelare
lo stato di salute, prevedendo che tali dati possono essere resi noti all’interessato da parte di esercenti le
professioni sanitarie ed organismi sanitari solo per il tramite di un medico designato dall’interessato o dal
titolare (art. 84, comma 1);
VISTO che le medesime disposizioni consentono che i dati idonei a rivelare lo stato di salute siano resi
noti all’interessato anche da parte di esercenti le professioni sanitarie diversi dai medici, che nell’esercizio
dei propri compiti intrattengono rapporti diretti con i pazienti e sono altresì incaricati di trattare dati
personali idonei a rivelare lo stato di salute nonché autorizzati per iscritto dal titolare o dal responsabile,
prevedendo che l’atto di incarico individui appropriate modalità e cautele rapportate al contesto nel quale
è effettuato il trattamento dei dati (art. 84, comma 2, del Codice);
VISTO il provvedimento generale del Garante secondo il quale "nel caso in cui l’interessato riceva una
comunicazione dalla struttura sanitaria che documenti gli esiti di esami clinici effettuati,
l’intermediazione può essere soddisfatta accompagnando un giudizio scritto con la disponibilità del
medico a fornire ulteriori indicazioni a richiesta" (punto 4 del provvedimento generale del Garante del 9
novembre 2005, disponibile sul sito www.garanteprivacy.it [doc. web n. 1191411]; cfr. altresì punto 2
della nota del Garante del 30 giugno 1997 [doc. web n. 39320]);
VISTE, altresì, le specifiche prescrizioni contenute nel medesimo provvedimento generale del 2005,
relative alla possibilità che "le certificazioni rilasciate dai laboratori di analisi o dagli altri organismi
sanitari possono essere ritirate anche da persone diverse dai diretti interessati, purché sulla base di una
delega scritta e mediante la consegna delle stesse in busta chiusa" (punto 4 del citato provvedimento
generale del 9 novembre 2005);
CONSIDERATO che gli organismi sanitari e i laboratori di analisi possono effettuare in busta aperta la
consegna della certificazione contenente dati sanitari, soltanto se la stessa è eseguita nelle mani
dell’interessato, da parte di un medico designato dall’interessato, ovvero a cura di esercenti le professioni
sanitarie diversi dai medici, che nell’esercizio dei propri compiti intrattengono rapporti diretti con i
pazienti e sono altresì incaricati di trattare dati personali idonei a rivelare lo stato di salute nonché
autorizzati per iscritto dal titolare o dal responsabile;
CONSIDERATO che gli organismi sanitari e i laboratori di analisi devono consegnare detta certificazione
sanitaria in busta chiusa in tutte le altre ipotesi -diverse da quella rappresentata- riguardanti la consegna
effettuata:
a) a soggetti delegati dall’interessato;
b) all’interessato, da parte del personale non esercente le professioni sanitarie (personale
amministrativo o addetto ad attività di sportello);
RILEVATO che l’Azienda sanitaria, nel documento denominato "certificato di consegna", ha previsto
che "per le sole attività dei Centri prelievo, organizzati dai comuni convenzionati per tale attività, la
scelta dell’utente di utilizzare tali centri costituisce autorizzazione a che l’Asl No consegni il referto – in
cartellina aperta – a Incaricati del Comune, i quali consegneranno il referto all’interessato o a Delegato
di quest’ultimo";
RITENUTO che la sottoscrizione di tale autorizzazione non soddisfa i requisiti individuati dal legislatore,
secondo i quali "il consenso è validamente prestato solo se è espresso liberamente e specificamente in
riferimento ad un trattamento chiaramente individuato" (art. 23, comma 3, del Codice), in quanto, nel
caso di specie, non può definirsi "libero" il consenso che l’interessato "è tenuto" a prestare, ma necessitato
quale conseguenza dell’aver scelto di utilizzare i Centri prelievo organizzati dal Comune e non essendo
previste modalità alternative di consegna della certificazione rispetto a quella in "confezionatura aperta";
VERIFICATO inoltre che, secondo quanto riportato nella formulazione del "certificato di consegna"
predisposto dall’Azienda sanitaria, la sottoscrizione della citata autorizzazione comprende la possibilità
per l’Azienda stessa di consegnare la certificazione in "confezionatura aperta" anche agli incaricati del
Comune, affinché questi ultimi possano renderla successivamente disponibile anche a soggetti delegati al
ritiro da parte dell’interessato;
CONSIDERATO altresì che le richiamate prescrizioni in materia di consegna delle certificazioni
rilasciate dagli organismi sanitari o dai laboratori di analisi, contenute nel provvedimento del Garante del
2005, costituiscono misure necessarie a garantire il rispetto della dignità della persona e il massimo
livello di tutela degli interessati in ambito sanitario e che non possono, pertanto, essere derogate da parte
dell’Azienda sanitaria;
CONSIDERATE le specifiche garanzie per i cittadini individuate dal Garante in relazione ai servizi di
refertazione on-line offerti da talune strutture sanitarie, con particolare riferimento all’indicazione di
specifici accorgimenti tecnici da adottare per assicurare idonei livelli di sicurezza ai sensi dell’art. 31 del
Codice, fermo restando quanto previsto dall’art. 84 del Codice (cfr. Provvedimento del 19 novembre 2009
recante "Linee guida in tema di referti on-line" consultabile sul sito www.garanteprivacy.it [doc. web
n. 1679033]);
CONSIDERATO, inoltre, che recenti disposizioni legislative hanno attribuito alle farmacie pubbliche e
private operanti in convenzione con il Servizio sanitario nazionale nuovi servizi, tra i quali quello di
consentire agli assistititi di prenotare, nelle medesime farmacie, prestazioni di assistenza specialistica
ambulatoriale presso le strutture pubbliche e private accreditate, di provvedere al pagamento delle relative
quote di partecipazione alla spesa, nonché di ritirare i relativi referti, delegando ad un decreto di natura
regolamentare, in corso di adozione, la definizione di modalità, regole tecniche e misure di sicurezza (art.
1, comma 1, lett. f) d.lg. 3 ottobre 2009, n. 153);
CONSIDERATO che su tale schema di decreto il Garante, nell’esprimere il previsto parere, ha fornito
specifiche indicazioni, richiedendo, in particolare, la previsione che gli operatori della farmacia,
individuati quali incaricati del trattamento dei dati nell’ambito del sistema CUP (Centro Unificato di
Prenotazione), non tenuti per legge al segreto professionale, siano sottoposti a regole di condotta analoghe
al segreto professionale, in analogia a quanto previsto in ambito sanitario (artt. 30 e 83, comma 2, lett. i)
del Codice)(parere del 19 gennaio 2011);
CONSIDERATO, inoltre, che "il personale designato deve essere istruito debitamente anche in ordine
alle modalità di consegna a terzi dei documenti contenenti dati idonei a rivelare lo stato di salute
dell’interessato (es. referti diagnostici)" (punto 4 del citato provvedimento generale del 9 novembre
2005);
CONSIDERATO, pertanto, che il trattamento posto in essere dall’Azienda sanitaria risulta illecito in
quanto configura una comunicazione di dati personali idonei a rivelare lo stato di salute degli interessati
che si rivolgono ai Centri prelievo organizzati presso i Comuni, effettuata mediante la consegna della
certificazione sanitaria in "confezionatura aperta", da parte di soggetti non esercenti le professioni
sanitarie;
CONSIDERATO che il Garante, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del
Codice, ha il compito di prescrivere anche d’ufficio le misure necessarie o opportune al fine di rendere il
trattamento conforme alle disposizioni vigenti;
RILEVATA la necessità di prescrivere all’Azienda sanitaria, ai sensi degli artt. 143, comma 1, lett. b) e
154, comma 1, lett. c) del Codice, di effettuare, nel caso di specie, la comunicazione dei dati personali
idonei a rivelare lo stato di salute degli interessati che si rivolgono ai Centri prelievo organizzati presso i
Comuni, mediante la consegna della relativa certificazione sanitaria in busta chiusa;
RITENUTO necessario che tale prescrizione sia eseguita dall’Azienda sanitaria al più presto e,
comunque, entro un mese dalla notifica del presente provvedimento, e che ne sia data conferma a questa
Autorità, entro il medesimo termine;
TENUTO CONTO che, ai sensi dell’art. 162, comma 2-ter del Codice, in caso di inosservanza del
presente provvedimento, è applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di
una somma da trentamila a centottantamila euro;
CONSIDERATO che resta impregiudicata la facoltà per gli interessati di far valere i propri diritti in sede
civile in relazione alla condotta illecita accertata, ove ne ricorrono i presupposti, con specifico riguardo
agli eventuali profili di danno (art. 15 del Codice);
VISTA la documentazione in atti;
VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento
del Garante, n. 1/2000 del 28 giugno 2000;
RELATORE il dott. Mauro Paissan;
TUTTO CIÒ PREMESSO IL GARANTE:
ritenuta l’illiceità del trattamento, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del
Codice, prescrive alla Azienda sanitaria locale "NO" di Novara di effettuare al più presto e, comunque,
entro un mese dalla notifica del presente provvedimento, la comunicazione dei dati personali idonei a
rivelare lo stato di salute degli interessati che si rivolgono ai Centri prelievo organizzati presso i Comuni,
mediante la consegna della certificazione sanitaria in busta chiusa, dandone conferma a questa Autorità,
entro il medesimo termine.
Roma, 24 febbraio 2011
IL PRESIDENTE
Pizzetti
IL RELATORE
Paissan
IL SEGRETARIO GENERALE
De Paoli
