VEDI ANCHE Newsletter del 19 gennaio 2024

[doc. web n. 9966628]

Parere sullo schema di decreto recante disposizioni concernenti le modalità di trasmissione telematica dei contenuti informativi relativi a dichiarazione di consenso all’utilizzo del proprio corpo e dei tessuti post mortem, ai fini di studio, di formazione e di ricerca scientifica, e sul relativo disciplinare tecnico - 30 novembre 2023

Registro dei provvedimenti
n. 555 del 30 novembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”) di seguito “Codice”);

VISTA la legge 10 febbraio 2020, n. 10, recante “Norme in materia di disposizione del proprio corpo e dei tessuti post mortem a fini di studio, di formazione e di ricerca scientifica” e in particolare l’art. 3 secondo cui “L'atto di disposizione del proprio corpo o dei tessuti post mortem avviene mediante una dichiarazione di consenso all'utilizzo dei medesimi [...]. La dichiarazione è consegnata all'azienda sanitaria di appartenenza cui spetta l'obbligo di conservarla e di trasmetterne telematicamente i contenuti informativi alla banca dati di cui al comma 418 dell'articolo 1 della legge 27 dicembre 2017, n. 219”;

VISTA la legge 27 dicembre 2017, n. 219 recante “Norme in materia di consenso informato e di disposizioni anticipate di trattamento” e, in particolare, l’articolo 1, comma 418 che istituisce la banca dati destinata alla registrazione delle disposizioni anticipate di trattamento (di seguito “banca dati DAT”);

VISTO il d.P.R. 10 febbraio 2023, n. 47 Regolamento recante “Norme in materia di disposizione del proprio corpo e dei tessuti post mortem a fini di studio, di formazione e di ricerca scientifica”, adottato con decreto del Presidente della Repubblica 10 febbraio 2023, n. 47;

VISTE le note con le quali il Ministero della salute ha chiesto al Garante di esprimere il parere di competenza sullo schema di decreto recante “disposizioni concernenti le modalità di trasmissione telematica dei contenuti informativi relativi a dichiarazione di consenso all’utilizzo del proprio corpo e dei tessuti post mortem, ai fini di studio, di formazione e di ricerca scientifica, e sul relativo disciplinare tecnico”, in attuazione dell’art. 3 della legge 10 febbraio 2020, n. 10 (nota del 8 novembre 2023, prot. n. 31945-DGSISS-MDS-P e del 15 novembre 2023, prot, n. DGSISS.03/F.7.c/2023/301);

TENUTO CONTO che la richiamata legge n. 10 del 2020 è stata adottata senza la preventiva consultazione dell’Autorità, ai sensi dell’art. 36, par. 4 del Regolamento; 

TENUTO CONTO che anche il d.P.R. 10 febbraio 2023, n. 47 non è stato sottoposto al preventivo parere del Garante, atteso che esso non reca profili rilevanti in ordine alla disciplina in materia di protezione dei dati personali;

PRESO ATTO che il Ministero della salute ha inteso deferire allo schema di decreto in esame l’indicazione degli elementi propri della base giuridica dei trattamenti di dati personali svolti in esecuzione di un compito di interesse pubblico, ai sensi dell’art. 6, par.3, lett. b) del Regolamento nonché gli elementi necessari ai sensi dell’art. 2-sexies del Codice;

CONSIDERATO che lo schema di decreto si compone di numero n. 9 articoli, relativi rispettivamente a:

- Definizioni (art.1);

- Finalità e oggetto (art. 2);

- Soggetti alimentanti e contenuti informativi (art. 3);

- Accesso ai dati (art. 4);

- Particolari modalità di espressione delle dichiarazioni di consenso all’utilizzo del proprio corpo e dei tessuti post mortem a fini di studio, di formazione e di ricerca scientifica (art. 5);

- Trattamento dei dati e misure di riservatezza e sicurezza (art. 6);

- Periodo di conservazione dei dati e diritti dell’interessato (art. 7);

- Variazioni del disciplinare tecnico (art. 8);

- Oneri (art. 9);

CONSIDERATO che in base allo schema di decreto è previsto che presso la banca dati denominata DAT è istituita una distinta sezione deputata alla raccolta dei contenuti informativi relativi agli atti di disposizione del proprio corpo e dei tessuti post mortem a fini di studio, di formazione e di ricerca scientifica (di seguito “Banca dati”) (art. 3, comma 1);

CONSIDERATO che lo schema di decreto disciplina le modalità di trasmissione alla Banca dati dei contenuti informativi relativi a:

a) “dichiarazione di consenso [...], e revoca del consenso da parte del disponente;

b) dichiarazione di consenso da parte di entrambi gli esercenti la responsabilità genitoriale, ovvero dei tutori, o dei soggetti affidatari ai sensi della legge 4 maggio 1983, n. 184, all’utilizzo del corpo e dei tessuti post mortem del donatore minore di età, [...], e revoca del consenso espressa anche da uno dei soggetti indicati;

c) nomina e revoca del fiduciario e del sostituto indicati dal disponente;

d) accettazione e revoca dell’accettazione della nomina da parte del fiduciario e del sostituto” (artt. 2 e 3);

CONSIDERATO che le predette dichiarazioni devono essere redatte per atto pubblico o per scrittura privata autenticata, ovvero per scrittura privata consegnata personalmente dal disponente all’ufficiale dello stato civile o alla struttura sanitaria, ai sensi dell’articolo 4, comma 6 della legge 22 dicembre 2017, n. 219, o attraverso videoregistrazione o dispositivi che permettano alla persona con disabilità di comunicare (artt. 3 e 5);

CONSIDERATO che spetta all’Azienda sanitaria di appartenenza del disponente trasmettere, senza indugio, i contenuti informativi della dichiarazione di consenso alla Banca dati, secondo le modalità di cui al disciplinare tecnico allegato allo schema di decreto, dando tempestiva conferma della ricezione degli stessi (art. 3);

CONSIDERATO che il Ministero della salute è indicato quale titolare del trattamento dei dati personali raccolti nella Banca dati, ai sensi degli artt. 4, n. 7 e 24 del Regolamento, che può diffonderli solo in forma anonimizzata e aggregata, mentre le Aziende sanitarie di appartenenza del disponente sono titolari del trattamento dei dati personali conservati ai sensi dell'art. 3, comma 1, della legge 10 febbraio 2020, n. 10 (art. 6);

CONSIDERATO che lo schema di decreto prevede che l’integrità e la riservatezza dei dati personali raccolti nella Banca dati vengano garantite mediante misure tecniche e organizzative stabilite anche sulla base del rischio per i diritti e le libertà delle persone fisiche e i cui obiettivi di protezione sono descritti nel disciplinare tecnico di cui all’allegato 1 dello schema di decreto, nonché dalle procedure di sicurezza relative al software e ai servizi telematici, in conformità alle linee guida contenenti le regole tecniche adottate ai sensi dell'articolo 71 del Codice dell'Amministrazione Digitale (art. 6, comma 3);

CONSIDERATO che i dati personali raccolti dalle Aziende sanitarie e quelli trasmessi alla Banca dati, sono cancellati trascorsi dieci anni dal decesso dell’interessato;

CONSIDERATO che in relazione ai diritti degli interessati lo schema di decreto prevede che “I dati relativi al consenso all’utilizzo post mortem del corpo o dei tessuti, espresso dai soggetti di cui all’articolo 3, comma 6, della legge 10 febbraio 2020, n. 10, per il minore di età, sono cancellati al compimento della maggiore età dello stesso” e che “L’interessato può esercitare i diritti previsti dagli articoli da 15 a 18 e dall’articolo 21 del Regolamento, secondo le modalità indicate nell’ambito delle informazioni a cura della Azienda sanitaria che raccoglie la dichiarazione, ai sensi dell’articolo 13 del Regolamento medesimo” (art. 7);

RILEVATO che lo schema di decreto trasmesso tiene conto delle osservazioni formulate dall’Ufficio del Garante nel corso di numerose interlocuzioni, anche informali, che hanno riguardato, in particolare:

- la mancata indicazione nei visti dello schema di decreto dei presupposti normativi relativi al trattamento delle particolari categorie di dati personali contenute nella Banca dati, a norma della disciplina in materia di protezione dei dati personali e in particolare dell’art. 2-sexies, comma 2, lett. cc) del Codice, relativo al motivo di interesse pubblico correlato al trattamento dei dati personali per scopi di ricerca scientifica;

- la corretta indicazione dei contenuti informativi e dei soggetti tenuti alla trasmissione alla Banca dati degli stessi, in conformità a quanto previsto all’art. 3, comma 1 della legge n.10 del 2010 (art. 2, commi 2 e 3);

- la corretta attribuzione al Ministero della salute e alle Aziende sanitarie di appartenenza del disponente della titolarità del trattamento, ciascuno per i profili di relativa competenza (art. 6);

- la corretta indicazione del periodo di conservazione dei dati, in analogia a quanto previsto per la banca dati delle DAT, da parte dei diversi titolari del trattamento (art. 7);

- la corretta indicazione dei diritti spettanti agli interessati (artt. 15-18 e 21 del Regolamento) e delle modalità di adempimento degli obblighi informativi correlati ai trattamenti di dati personali in esame, facendo riferimento solo all’art. 13 del Regolamento e non anche all’art. 14 dello stesso, essendo i dati raccolti direttamente presso gli interessati (art.7);

- l’esplicita indicazione che eventuali modiche sostanziali al Disciplinare tecnico che incidano sui tipi di dati trattati e sulle operazioni eseguibili, potranno essere effettuate solo con decreto del Ministero della salute previo parere del Garante (art. 8);

RILEVATO che anche il disciplinare tecnico allegato allo schema di decreto tiene conto delle osservazioni formulate dal competente Ufficio del Garante in fase istruttoria, che hanno riguardato, in particolare:

- la necessità di indicare espressamente che per le due partizioni della banca dati (DAT e quella in esame), i profili di autorizzazione sono distinti, pur condividendosi il medesimo sistema di autenticazione;

- la necessità di indicare che, per tutti gli utenti diversi dai cittadini si può ammettere l’utilizzo di identità SPID ad uso personale nelle more della definizione del quadro di garanzie e regole delle identità SPID ad uso professionale con la limitazione dell’uso di dati personali attinenti alla sfera privata (es. email e numero di cellulare personali, domicilio privato) forniti ai Service Provider;

- la necessità che il mittente e contenuti informativi relativi alla notifica a mezzo email dell’avvenuta registrazione nella banca dati ai disponenti e/o ai fiduciari che ne abbiano fatto richiesta siano tali da escludere ogni riferimento diretto alla dichiarazione stessa;

RITENUTO, alla luce delle modifiche apportate in sede istruttoria, di non doversi formulare osservazioni sullo schema di decreto trasmesso e sul relativo disciplinare tecnico, atteso il complesso delle misure di garanzia ivi contenute, ritenute appropriate per tutelare i diritti fondamentali e gli interessi delle persone fisiche correlate ai trattamenti dei dati personali;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore la prof.ssa Ginevra Cerrina Feroni;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 58, par. 3, lett. c), del Regolamento, esprime al Ministro della salute, parere favorevole sullo schema di decreto recante disposizioni concernenti le modalità di trasmissione telematica dei contenuti informativi relativi a dichiarazione di consenso all’utilizzo del proprio corpo e dei tessuti post mortem, ai fini di studio, di formazione e di ricerca scientifica, e sul relativo disciplinare tecnico.

Roma, 30 novembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei