Lead: Rilevanza pubblica e perimetro della tutela
La gestione delle informazioni biologiche e delle categorie particolari di dati personali rappresenta uno dei nodi più critici per la tutela della riservatezza e dell’autodeterminazione individuale. La circolazione incontrollata di profili genetici, cartelle cliniche e informazioni sulla sfera intima espone i cittadini a rischi sistemici di discriminazione, profilazione occulta e violazione della dignità personale.
Nel contesto dell’adeguamento dell’ordinamento nazionale agli standard comunitari, l’individuazione di prescrizioni puntuali per i datori di lavoro, gli enti di ricerca e le strutture sanitarie costituisce una barriera necessaria contro gli abusi. Comprendere l’architettura di questi limiti operativi consente di valutare il bilanciamento tra esigenze scientifiche, prerogative datoriali e diritti fondamentali inviolabili.
Contesto storico e normativo: Il passaggio al regime armonizzato
Il quadro normativo italiano ha subito una profonda trasformazione a seguito dell’entrata in vigore del Regolamento (UE) 2016/679 e della successiva emanazione del decreto legislativo n. 101/2018. Questo passaggio ha richiesto una revisione complessiva del Codice in materia di protezione dei dati personali, imponendo una verifica della compatibilità delle previgenti autorizzazioni generali con il nuovo assetto europeo.
La transizione ha reso indispensabile mantenere prescrizioni vincolanti per ambiti ad altissimo impatto, tra cui i rapporti di lavoro, la ricerca scientifica e l’elaborazione dei dati genetici. Il regime delle autorizzazioni generali storiche, come la n. 1/2016 per l’occupazione, la n. 8/2016 per la genetica e la n. 9/2016 per l’indagine scientifica, è stato così raccordato con i requisiti introdotti dall’articolo 2-septies del Codice novellato.
In questo scenario, la determinazione delle garanzie minime risponde all’esigenza di evitare vuoti di tutela in settori dove la disparità contrattuale o la natura dei dati trattati rende il consenso da solo insufficiente a garantire una reale protezione dell’interessato. Il legislatore e l’autorità di controllo hanno dovuto quindi definire standard uniformi su scala nazionale.
La complessità dell’armonizzazione si riflette in particolare nel settore biomedico, dove il confine tra progresso scientifico e salvaguardia dell’integrità individuale richiede una costante delimitazione dei poteri di acquisizione, conservazione e trasferimento dei campioni biologici e dei risultati diagnostici.
Attori coinvolti e ruoli istituzionali
La definizione del quadro prescrittivo vede come protagonisti le figure di vertice dell’autorità di vigilanza collegiale, incaricate di deliberare e formalizzare i vincoli applicativi per i titolari del trattamento pubblici e privati.
La componente istituzionale di vertice
Tra i soggetti formalmente responsabili dell’adozione dell’atto figurano il presidente Soro, la relatrice Iannini e il segretario generale Busia. La loro attività di indirizzo e verbalizzazione ha garantito la continuità operativa delle tutele minime e l’allineamento con le prescrizioni del d.lgs. n. 101/2018 e del Regolamento europeo.
I soggetti destinatari delle prescrizioni
Sul versante operativo, i destinatari delle misure si suddividono in tre macro-categorie: i datori di lavoro e intermediari nell’ambito dell’autorizzazione generale n. 1/2016; gli organismi sanitari ed esercenti le professioni sanitarie per i dati genetici di cui all’autorizzazione generale n. 8/2016; gli istituti di ricerca, università e sperimentatori di cui all’autorizzazione generale n. 9/2016.
Accanto ai titolari figurano i responsabili del trattamento nominati ai sensi dell’articolo 28 del Regolamento (UE) 2016/679, nonché il personale sanitario autorizzato per iscritto alla comunicazione dei dati genetici e i soggetti terzi a cui si applica la disciplina dei diritti di accesso amministrativo.
Analisi critica delle evidenze e nodi procedurali
L’esame analitico delle disposizioni mette in luce una serie di vincoli stringenti ma evidenzia anche rilevanti aree di complessità applicativa, in particolare per quanto riguarda la trasparenza informativa, l’intermediazione medica e la gestione dei campioni biologici.
Il regime informativo e le deroghe ammesse
L’impianto delle regole ribadisce l’obbligo generale di fornire all’interessato l’informativa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679. Tuttavia, nel caso in cui i dati non siano stati raccolti direttamente presso l’interessato, viene introdotta una clausola di salvaguardia qualora la comunicazione rischi di rendere impossibile o di pregiudicare gravemente le finalità del trattamento.
Deve essere fornita all’interessato l’informativa di cui agli articoli 13 e 14 del Regolamento (UE) 2016/679, salvo, nel caso in cui i dati personali non siano stati ottenuti presso l’interessato, che questa rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento.
Tale deroga, pur coerente con i principi generali della ricerca retrospettiva, lascia aperta la questione dei criteri oggettivi necessari a dimostrare il grave pregiudizio, spostando sul titolare la responsabilità di documentare l’impossibilità oggettiva di raggiungere gli individui coinvolti.
La mediazione qualificata sui dati genetici
Uno dei punti cardine del sistema di protezione riguarda l’accesso ai dati genetici. La norma impone una rigorosa intermediazione professionale per la restituzione degli esiti diagnostici e analitici all’interessato o ai soggetti individuati dall’articolo 82, comma 2, lettera a) del Codice.
Fatta eccezione per i dati personali forniti in precedenza dal medesimo interessato, i dati genetici devono essere resi noti all’interessato o ai soggetti di cui all’articolo 82, comma 2, lettera a), del Codice da parte di esercenti le professioni sanitarie ed organismi sanitari solo per il tramite di un medico designato dall’interessato o dal titolare.
L’atto consente al titolare o al responsabile del trattamento di autorizzare per iscritto esercenti le professioni sanitarie diversi dai medici, a condizione che intrattengano rapporti diretti con i pazienti e siano formalmente designati al trattamento dei campioni e delle informazioni biologiche. Questa previsione formalizza una delega strutturata ma impone stringenti requisiti di vigilanza organizzativa.
Divieti assoluti di diffusione e tutela della sfera intima
Un limite inderogabile emerge in relazione alle categorie più delicate della vita privata: l’ordinamento vieta in modo assoluto la diffusione di informazioni che rivelino le preferenze intime o i comportamenti personali.
Fermo restando quanto previsto dall’art. 2-septies, comma 8, del Codice, i dati relativi alla vita sessuale o all’orientamento sessuale non possono essere diffusi.
Questo divieto categorico esclude qualsiasi forma di divulgazione indiscriminata, sia nell’ambito dei registri amministrativi che nelle pubblicazioni scientifiche o nei rapporti aziendali, operando come presidio assoluto non soggetto a deroghe pattizie o consensi generici.
Progettazione della ricerca e sicurezza dei campioni
Per quanto attiene alla ricerca scientifica, il provvedimento impone la redazione preventiva di un progetto dettagliato che specifichi non solo le basi giuridiche, ma anche le misure materiali di custodia e sicurezza fisica e informatica dei dati e dei campioni biologici.
Il progetto specifica le misure da adottare nel trattamento dei dati personali per garantire il rispetto del presente provvedimento, nonché della normativa sulla protezione dei dati personali, anche per i profili riguardanti la custodia e la sicurezza dei dati e dei campioni biologici, e individua gli eventuali responsabili del trattamento (art. 28 Regolamento UE 2016/679).
La norma subordina inoltre il trattamento per specifici motivi all’acquisizione del consenso delle persone indicate nell’articolo 82, comma 2, lettera a) del Codice novellato, vincolando la validità scientifica dell’indagine alla tracciabilità del percorso autorizzativo.
Rapporti con il diritto di accesso amministrativo
Le prescrizioni regolano anche il delicato confine tra trasparenza pubblica e riservatezza. È stabilito che il trattamento può essere effettuato per l’esercizio del diritto di accesso ai dati e ai documenti amministrativi entro i limiti di legge, fatto salvo quanto espressamente previsto dall’articolo 60 del Codice novellato dal d.lgs. n. 101/2018 per i dati idonei a rivelare lo stato di salute o la vita sessuale.
Trasparenza e base giuridica
L’atto da cui traggono origine i fatti esaminati è il provvedimento collegiale deliberato a Roma il 5 giugno 2019, recante le prescrizioni relative al trattamento di categorie particolari di dati, dati genetici e ricerca scientifica, pubblicato nel registro dei provvedimenti dell’autorità di controllo nazionale.
La documentazione ufficiale è accessibile al pubblico attraverso il portale istituzionale all’indirizzo garanteprivacy.it/home/docweb/-/docweb-display/docweb/9124510.
Ai sensi dell’articolo 5 della legge 22 aprile 1941 n. 633, i testi degli atti ufficiali dello Stato e delle amministrazioni pubbliche sono esclusi dalla tutela del diritto d’autore e appartengono al pubblico dominio, garantendo la libera consultazione e analisi a fini di informazione e controllo civico.