Parere del Garante n. 661 del 13/11/2024

Parere sullo schema di regolamento del Registro tumori della Regione autonoma Friuli Venezia Giulia

Il Garante per la protezione dei dati personali ha esaminato lo schema di regolamento regionale recante le norme di funzionamento del Registro tumori della Regione autonoma Friuli Venezia Giulia, adottato in via preliminare dalla Giunta regionale. Il parere è reso ai sensi dell’articolo 57, paragrafo 1, lettera c), del GDPR e dell’articolo 154, comma 5, del Codice privacy. L’esito è favorevole, ma subordinato a numerose condizioni e integrazioni volte ad assicurare la piena conformità del testo alla disciplina in materia di protezione dei dati personali.

Contesto normativo di riferimento

Lo schema dà attuazione all’articolo 36 della legge regionale n. 19 del 2006, istitutivo dei registri di patologia, e si inserisce nel quadro dell’articolo 12, comma 12, del d.l. 179/2012, convertito dalla legge 221/2012, che consente a Regioni e Province autonome di istituire con legge regionale registri di tumori e altre patologie. Il Garante richiama inoltre il d.P.C.M. 3 marzo 2017, che demanda alle Regioni l’adozione dei regolamenti sui sistemi di sorveglianza e registri, e il D.M. 1° agosto 2023, che disciplina la realizzazione dei Registri tumori di rilevanza regionale. La disciplina è ricondotta alle finalità di rilevante interesse pubblico di cui all’articolo 2-sexies del Codice privacy.

Contenuto dello schema di regolamento

Il regolamento definisce il Registro tumori regionale come sistema attivo di raccolta sistematica di dati personali anagrafici e sanitari relativi ai casi di tumore insorti nei residenti in Friuli Venezia Giulia. Le finalità dichiarate riguardano studio, ricerca scientifica in campo medico, biomedico ed epidemiologico e supporto alla programmazione, gestione, controllo e valutazione dell’assistenza sanitaria. Il titolare del trattamento è individuato nell’IRCCS Centro di riferimento oncologico di Aviano, presso cui è istituito il Centro di riferimento del Registro; responsabile del trattamento è INSIEL S.p.A. Lo schema disciplina inoltre categorie di dati trattati, fonti informative, comunicazioni con altri registri, diffusione, autorizzazioni interne, misure di sicurezza, informativa, gestione dei data breach e tempi di conservazione.

Valutazioni del Garante su finalità e basi giuridiche

Il Garante ritiene necessario integrare la definizione delle finalità del Registro con gli ulteriori scopi previsti dalla normativa statale e regionale, in particolare con quelli richiamati dal d.P.C.M. 3 marzo 2017 e dal D.M. 1° agosto 2023. Segnala inoltre che lo schema richiama tra le finalità di rilevante interesse pubblico anche le attività amministrative e certificatorie correlate a diagnosi, assistenza o terapia sanitaria o sociale, ma tali finalità non trovano un sufficiente riscontro nell’articolato e devono quindi essere meglio valorizzate.

Un ulteriore rilievo riguarda la coerenza tra l’articolo 3, comma 1, lettera d), che parla di produzione di dati anonimi e aggregati, e l’articolo 4, comma 2, che prevede la messa a disposizione della Regione tramite un sistema di codifica che non consente l’identificazione diretta degli interessati. Il Garante chiarisce che, poiché i dati individuali possono essere trattati solo mediante codifica, il testo va modificato per precisare che il Registro produce dati in forma pseudonimizzata, successivamente aggregabili e anonimizzabili.

Dati trattati, fonti informative e correzioni tecniche

Il Garante osserva che la rubrica dell’articolo 5 è impropria nella parte in cui parla di "dati sensibili", nozione ormai superata dal GDPR, e chiede di aggiornarla alla terminologia delle categorie particolari di dati di cui all’articolo 9 del Regolamento. Inoltre, per quanto riguarda i referti anatomo-patologici, il testo deve essere integrato con l’indicazione della sede, morfologia, grado di differenziazione e comportamento biologico, comprese le indagini biomolecolari atte a definire la prognosi della neoplasia e le tecniche di dimissione diagnostica.

Anche l’articolo 6 va integrato per ricomprendere tra le fonti informative gli archivi delle protesi di interesse oncologico e l’archivio delle vaccinazioni di interesse oncologico, coerentemente con il D.M. 1° agosto 2023. Il Garante richiama inoltre le regole generali del GDPR sugli obblighi di sicurezza, necessità, pertinenza e non eccedenza.

Comunicazione dei dati, studi scientifici e garanzie aggiuntive

Per l’articolo 7, relativo alla comunicazione dei dati ai titolari di registri di altre regioni, il Garante chiede di sostituire il richiamo all’articolo 2-ter del Codice con quello all’articolo 2-sexies, che costituisce la norma di raccordo per i trattamenti di rilevante interesse pubblico. Segnala inoltre che il rinvio al provvedimento del Garante n. 393 del 2 luglio 2015 è utile ma non sufficiente: il testo deve chiarire le misure tecniche e organizzative ulteriori adottate dal titolare, tenendo conto dei rischi, dello stato dell’arte e dei costi di attuazione, in linea con gli articoli 25 e 32 del GDPR.

Quanto agli studi medico-scientifici svolti anche in collaborazione con università, enti, istituti di ricerca e società scientifiche, il Garante chiede di integrare la disposizione con l’obbligo di adottare preventivamente misure di pseudonimizzazione e di svolgere e pubblicare la valutazione di impatto ai sensi degli articoli 35 e 36 del GDPR, secondo quanto previsto dall’articolo 110 del Codice. Va inoltre richiamato non più il vecchio Codice di deontologia e di buona condotta, ma le regole deontologiche per trattamenti a fini statistici o di ricerca scientifica approvate dal Garante il 19 dicembre 2018.

Diffusione, informativa, data breach e conservazione

Sul tema della diffusione, l’articolo 8 deve essere corretto eliminando il riferimento ai dati "anonimi": la diffusione è ammessa solo in forma anonimizzata e in modalità che impediscano l’identificazione degli interessati.

L’articolo 12, dedicato all’informativa, va riformulato. Il Garante ricorda che, quando i dati non sono raccolti presso gli interessati, l’articolo 14, paragrafo 5, del GDPR esclude l’obbligo di informativa in alcune ipotesi, tra cui l’impossibilità o sproporzione della comunicazione, soprattutto per trattamenti a fini di ricerca scientifica, e i casi in cui la legge prevede misure appropriate di tutela. Resta invece inderogabile l’informativa quando i dati sono raccolti direttamente presso gli interessati; per i trattamenti di ricerca scientifica, le informazioni devono essere rese anche tramite il sito internet del titolare.

Quanto al data breach, il Garante non formula rilievi sostanziali, ma lo schema richiama correttamente gli articoli 33 e 34 del GDPR per notifica e comunicazione delle violazioni.

Infine, sull’articolo 15, il termine di cancellazione fissato in 120 anni dal decesso deve essere integrato con una previsione conforme al D.M. 1° agosto 2023: se il decesso non è tracciato nel Registro nazionale tumori, i dati devono comunque essere cancellati dopo 150 anni dall’inserimento nel Registro. Le modifiche richieste devono riflettersi anche nel Disciplinare tecnico allegato.

Conclusioni

Il Garante esprime parere favorevole sullo schema di regolamento, ma con una serie di condizioni puntuali. Le correzioni richieste riguardano finalità, basi giuridiche, categorie di dati, fonti informative, garanzie per comunicazioni e studi scientifici, informativa, diffusione e conservazione, con l’obiettivo di allineare integralmente il regolamento regionale al GDPR, al Codice privacy e alla normativa settoriale sui registri tumori.