giovedì 25 giugno 2020 3264

La protezione dei dati personali nel rapporto di lavoro privato e pubblico

Relazione annuale 2019

Francesca Gardini, Ufficio giuridico

Il Garante per la protezione dei dati personali, in data 23 giugno u.s., ha pubblicato sul sito istituzionale - al seguente link - la Relazione sull’attività dallo stesso svolta nel corso del 2019 in merito alla quale segnaliamo, come di particolare interesse per il nostro settore, i capitoli nn. 5 e 13, rispettivamente dedicati a sanità e ricerca, nonché alla protezione dei dati personali nel rapporto di lavoro privato e pubblico.

In tema di sanità il Garante, in primo luogo, ha riportato nella citata Relazione una sintesi delle violazioni dei dati personali comunicate dalle aziende e strutture sanitarie che, nella maggior parte dei casi, sono consistite in un’erronea comunicazione della documentazione clinica a un soggetto diverso dall’interessato; a questa, inoltre, si aggiunge l’utilizzo improprio delle email nell’invio di comunicazioni contenenti dati sulla salute.

Il Garante, in secondo luogo, ha segnalato tra le questioni sollevate in maniera ricorrente la richiesta di cancellazione, da parte degli interessati, di dati personali contenuti nelle cartelle cliniche, in merito alla quale è stato, tra l’altro, chiarito che gli obblighi legali connessi alla tenuta della cartella clinica configurano un caso di esclusione del diritto di cancellazione, essendo, tuttavia, consentito all’interessato ottenere l’aggiornamento, la rettifica, oppure, per motivi legittimi ed oggettivi, l’integrazione dei dati.

Talune attività istruttorie avviate dal Garante nel corso del 2019, inoltre, hanno avuto ad oggetto l’utilizzo di app all’interno dei dipartimenti di emergenza e urgenza di aziende sanitarie e ospedali (pronto soccorso); altre, invece, hanno rilevato una scarsa considerazione delle buone pratiche di anonimizzazione dei dati (relazioni di professionisti sanitari a convegni scientifici) ed un utilizzo improprio dei dati idonei a rilevare la salute degli interessati (documentazione presentata per la partecipazione a concorsi pubblici).

Il Garante nel corso del 2019 è, altresì, intervenuto in tema di (a) Fascicolo sanitario elettronico (Fse) rilevando l’ammissibilità, alla luce del nuovo quadro giuridico in tema di protezione dei dati personali, di una eventuale modifica normativa che preveda l’abolizione della necessità di acquisire il consenso dell’interessato alla relativa alimentazione, ferma restando, invece, la necessità del consenso per la consultazione da parte del personale sanitario coinvolto nel percorso di cura, e (b) dossier sanitario richiamando l’attenzione dei titolari nell’individuazione dei profili autorizzativi e nella formazione dei soggetti abilitati, in modo tale che il relativo accesso sia limitato al solo personale sanitario che interviene nel processo di cura del paziente, adottando opportune modalità tecniche di autenticazione (cfr. Informaiop n. 341).

Interessante segnalare che il Garante, atteso il significativo impatto che il GDPR ha avuto sulla disciplina relativa al trattamento dei dati sulla salute, ha fornito, nel corso del 2019, importanti chiarimenti ai soggetti operanti nel nostro settore di seguito riportati sinteticamente:

a) applicazione dell’eccezione di cui all’art. 9, par. 2, lett. h), del GDPR, ricollegabile ai trattamenti necessari per “finalità di cura”, in merito alla quale è stato precisato che detti trattamenti sono quelli effettuati da (o sotto la responsabilità di) un professionista sanitario soggetto al segreto professionale o da altra persona anch’essa tenuta all’obbligo di segretezza. Il che porta con sé la possibilità per tali figure professionali, sia che operino come liberi professionisti presso uno studio medico sia all’interno di una struttura sanitaria pubblica o privata, di non richiedere – come nel passato – il consenso per i trattamenti di dati necessari alla prestazione sanitaria richiesta, escludendo, pertanto, i trattamenti non strettamente necessari per le finalità cura come nel caso delle app mediche che non riguardino la telemedicina, della fidelizzazione della clientela e della promozione, commercializzazione, e rimanendo, in ogni caso, la necessità di acquisire il consenso per la consultazione dei referti online e per il trattamento dei dati relativo al Fse;
b) individuazione delle informazioni che devono essere rese agli interessati in attuazione del principio di trasparenza, invitando ad adottare informative in forma concisa, trasparente, intellegibile e facilmente accessibile per gli interessati, utilizzando un linguaggio semplice e chiaro, e suggerendo, altresì, per i titolari del trattamento che effettuato più operazioni caratterizzate da particolare complessità (es. aziende sanitarie) di fornire le informazioni in modo progressivo, rendendo gli elementi informativi relativi a particolari attività di trattamento in fasi successive, solo a pazienti effettivamente interessati;
c) obbligo di designazione del Responsabile della protezione dei dati (Rpd) da parte di tutti gli organismi pubblici e gli operatori privati che effettuano trattamenti sanitari “su larga scala”, quali le case di cura, gli ospedali privati e le residenze sanitarie assistenziali (Rsa);
d) obbligo di tenuta per tutti gli operatori sanitari del Registri delle attività di trattamento.

Il Garante, infine, chiude la Relazione dell’attività svolta nel corso del 2019, in ambito sanitario, rappresentando che sono stati forniti chiarimenti in merito alle procedure da seguire in caso di esercizio dei diritti aventi ad oggetto dai relativi alla salute, nell’ambito delle quali si è rilevata una prevalenza di richieste di accesso ai dati ed una difficoltà dei titolari nel riscontrare adeguatamente le istanze conoscitive degli interessati più che veri e propri atteggiamenti omissivi, ed indicazioni in merito alle valutazioni di impatto per le quali alcune aziende sanitarie avevano avanzato una richiesta di consultazione preventiva.

In tema di trattamento dei dati personali nel rapporto di lavoro privato, invece, il Garante, dopo aver analizzato la normativa con riferimento al trattamento dei dati biometrici, ora sottoposto ad una disciplina più rigorosa rispetto al passato, ed aver rivelato l’avvio dei lavori per la predisposizione del provvedimento che individui le misure di garanzia relativamente al trattamento dei detti dati e dei dati relativi allo stato della salute, ha affrontato, tra l’altro, le questioni di seguito riportate sinteticamente, fermi restando, in ogni caso, gli obblighi previsti dalla normativa che stabilisce divieti o limiti più restrittivi in materia di trattamento dei dati personali (artt. 8 e 15 legge 300/1970, art. 10 d.lgs. 276/2003, art. 6 legge 135/1990).

1) trattamento dei dati particolari contenuti nei curricula dei canditati effettuabile esclusivamente in presenza del consenso esplicito dell’interessato;
2) trattamento di categorie particolari di dati per finalità di tutela dei propri diritti in giudizio consentito ove si tratti di contenziosi in atto o situazioni precontenziose;
3) trattamento dei dati che rilevano opinioni politiche in merito al quale è stato chiarito che in caso di partecipazione di dipendenti ad operazioni elettorali in qualità di rappresentanti di lista, in applicazione del principio di necessità, il datore di lavoro non deve trattare, nell’ambito della documentazione da presentare al fine del riconoscimento di benefici di legge, dati che ne rivelino le opinioni politiche, precisando, altresì, le modalità del trattamento di tale categoria di dati (trasmissione plico chiuso e trasmissione delle sole informazioni necessarie allo svolgimento della funzione del destinatario);
4) comunicazione, da parte del datore di lavoro, dei dati personali dei dipendenti al fine di consentire agli ordini professionali l’esercizio delle funzioni disciplinari nei confronti di figure professionali per le quali sia richiesta l’iscrizione ad uno specifico albo, in merito alla quale, atteso l’assetto normativo in tema di comunicazione dei dati tra titolari che effettuano trattamento dei dati, è stata rilevata la mancanza delle condizioni necessarie per legittimare la preventiva e massiva comunicazione all’ordine, da parte delle aziende sanitarie datori di lavoro, dei dati personali relativi a tutto il personale infermieristico impiegato.

Nell’ambito della gestione di reclami, inoltre, il Garante ha avuto modo di trattare il tema di controlli sulla posta elettronica aziendale successivamente alla cessazione del rapporto di lavoro in merito ai quali, nella gestione di un reclamo avanzato da un lavoratore, si è chiarita la necessità di rimuovere gli account di posta elettronica aziendale riconducibili a persone identificate o identificabili dopo la cessazione del rapporto di lavoro, previa disattivazione degli stessi e contestuale adozione di sistemi automatici volti ad informare i terzi ed a fornire a questi ultimi indirizzi alternativi riferiti all’attività professionale del titolare del trattamento, provvedendo, altresì, ad adottare misure idonee ad impedire la visualizzazione di messaggi in arrivo durante il periodo in cui tale sistema automatico è in funzione. È stato, altresì, affrontato il tema della liceità del trattamento posto in essere da un datore di lavoro avente ad oggetto i dati (riferiti a soggetto diverso da quello sottoposto ad investigazione), tratti dati dispositivi informatici e mobili assegnati ad una propria dipendente contenuti in una relazione investigativa commissionata al fine di acquisire elementi di prova dell’uso improprio dei dispositivi stessi da parte di quest’ultima, in merito al quale è stata ribadita la “necessità” del trattamento ed il rispetto del c.d. principio del pari rango. È stato affrontata, infine, la questione dell’istanza di accesso presentata da un lavoratore successivamente alla conclusione di un procedimento disciplinare, in fase precontenziosa, in merito al quale è stata ritenuta applicabile la limitazione del diritto di cui all’art. 2-undecies del Codice della privacy.

Il Garante, infine, conclude la Relazione dell’attività svolta nel corso del 2019, in tale ambito, riportando la risposta a due quesiti formulati dal Ministero del lavoro e delle politiche sociali e dalla Società italiana di medicina del lavoro (Siml), rispettivamente in tema di mancato riscontro, da parte dell’Ispettorato nazionale del lavoro, ad una richiesta di autorizzazione amministrativa all’installazione ed utilizzo di impianti audiovisivi o altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, per la quale non può considerarsi sussistere la formazione del silenzio assenso, e di trattamento dei dati da parte del medico competente ai sensi della normativa in materia di igiene e sicurezza sul luogo di lavoro, in merito al quale si è precisato che il medico competente è l’unico unico soggetto legittimato a trattare i dati sanitari dei lavoratori per le finalità indicate dalla disciplina di settore.

Alla luce di quanto ivi sopra riportato sinteticamente si raccomanda un’attenta lettura della Relazione, allegata alla presente, al fine di avere una panoramica completa dei numerosi temi affrontati dal Garante nel corso del 2019 e conoscere tutti gli aspetti di dettaglio degli argomenti qui riportati.

Notizie dalla Liguria

#Lasanitàchevorrei

Snodi cruciali in sanità. La salute tra Diritto ed Economia

Executive Master in Management delle Aziende Sanitarie e Socio-Assistenziali

Notizie Aiop Nazionale

La protezione dei dati personali nel rapporto di lavoro privato e pubblico

Relazione annuale 2019

Please login or register to post comments.

Rassegna Stampa Regionale

Rassegna Stampa Nazionale

Link Istituzionali

AIOP

SITI AIOP REGIONALI

NELLA RETE

CONTATTACI