Audizione sul DEF 2019

Grazie allo sviluppo dell’economia e soprattutto delle tecnologie, oggi, quantità strabilianti di dati circolano da un Paese all’altro.
Questo è stato uno dei motivi che hanno spinto l’Unione europea ad aggiornare i contenuti della Direttiva 95/46/CE sulla protezione dei dati. La circolazione sicura del dato all’interno dei Paesi Ue, ma anche in Paesi extra Ue è uno degli obiettivi del GDPR, fondamentale per consentire l’operatività del mercato e delle tecnologie.
Si pensi, ad esempio, alle seguenti ipotesi: un fornitore di cloud con server extra Ue; un fornitore di un bene che ha sede sociale extra Ue, ma che per produrre un certo bene ha bisogno dei dati dell’utilizzatore finale (un manufatto protesico per esempio); una applicazione web di un fornitore che salva dati in un Paese diverso dall’Unione europea.

In tutti questi casi: come fare per trasferire il dato rispettando il GDPR?
La regola generale, prevista anche dalla Direttiva 95/46/CE, è che il trasferimento transfrontaliero di dati personali è vietato (art. 44).
Tale regola è, ovviamente, mitigata da alcune circostanze al ricorrere delle quali il trasferimento diventa lecito.
Il trasferimento, infatti, è ammesso solo nei seguenti casi:
- la Commissione europea abbia deciso che il Paese terzo o l’organizzazione internazionale in questione garantiscono un livello di protezione adeguato (art.45);
- il titolare o il responsabile del trattamento possono effettuare il trasferimento in presenza di garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi (art.46);
- come ultimo criterio, che trova applicazione in mancanza di una decisione di adeguatezza della Commissione o della predisposizione di garanzie adeguate, l’art. 49 GDPR prevede una serie di deroghe e condizioni che, a prescindere dal livello di protezione dei dati personali apprestato, consentono il trasferimento extra Ue di dati persona.

Negli scorsi giorni è stato pubblicato in Gazzetta ufficiale (n. 66 del 20.03.2018) il Decreto ministeriale 27 febbraio 2018 che istituisce il Sistema nazionale delle Linee guida (SNLG) nell’ambito dell’applicazione della legge n. 24/ 2017 recante “Disposizioni in materia di sicurezza delle cure e della persona assistita, nonché in materia di responsabilità professionale degli esercenti le professioni sanitarie”.

Il nuovo regolamento europeo in materia di protezione dei dati personali diventerà pienamente operativo il prossimo 25 maggio e per quella data le strutture sanitarie private iscritte all'Aiop saranno pronte. Ad assicurarlo è il direttore generale dell'Associazione Italiana Ospedalità Privata, Filippo Leonardi, presente all'evento organizzato a Roma da Scudomed e Area Medici dal titolo "La privacy nella sanità: il sistema sanzionatorio e l'attività ispettiva".