Parere del Garante n. 282 del 21/05/2025

Parere sul trattamento dei dati personali in materia di sanità penitenziaria della Regione autonoma Friuli-Venezia Giulia

Il Garante per la protezione dei dati personali ha espresso parere favorevole, con condizioni, su un disegno di legge regionale e sul relativo regolamento attuativo predisposti dalla Regione autonoma Friuli-Venezia Giulia per disciplinare il trattamento dei dati personali, anche appartenenti alle categorie particolari di cui agli articoli 9 e 10 del GDPR, nell’ambito delle attività istituzionali in materia di sanità penitenziaria. Il parere è reso ai sensi dell’articolo 57, paragrafo 1, lettera c), del GDPR e dell’articolo 154, comma 5, del Codice privacy.

Quadro normativo e contesto istituzionale

Il Garante ricostruisce il contesto normativo della sanità penitenziaria, richiamando il d.lgs. 22 giugno 1999, n. 230, che ha avviato il riordino della medicina penitenziaria e attribuito alle Regioni compiti di organizzazione e programmazione dei servizi sanitari negli istituti penitenziari, nonché il d.P.C.M. 1° aprile 2008, che ha disciplinato il trasferimento al Servizio sanitario nazionale delle funzioni sanitarie svolte dall’amministrazione penitenziaria.

Vengono richiamati anche:

• l’Accordo in Conferenza Unificata del 22 gennaio 2015, sulle linee guida per l’assistenza sanitaria negli istituti penitenziari per adulti e sulla rete sanitaria interpenitenziaria;
• il d.lgs. 23 dicembre 2010, n. 274, quale normativa di attuazione dello Statuto speciale della Regione Friuli-Venezia Giulia in materia di sanità penitenziaria;
• la legge regionale 17 dicembre 2018, n. 27, che definisce l’assetto istituzionale e organizzativo del Servizio sanitario regionale.

Contenuto del disegno di legge e del regolamento

Il disegno di legge è composto da un unico articolo: demanda a un regolamento regionale la disciplina delle modalità di trattamento dei dati personali da parte della Direzione centrale competente in materia di salute e consente la comunicazione dei dati alle amministrazioni pubbliche individuate dal regolamento stesso.

Lo schema di regolamento disciplina il trattamento da parte dell’Amministrazione regionale, per il tramite della Direzione centrale salute, nell’esercizio di compiti di interesse pubblico o connessi all’esercizio di pubblici poteri, richiamando le basi giuridiche di cui agli articoli 6, paragrafo 1, lettera e), e 9, paragrafo 2, lettera g), del GDPR.

Il testo individua:

• il titolare del trattamento nell’Amministrazione regionale;
• la possibilità di delegare specifici compiti e funzioni a persone fisiche autorizzate ai sensi dell’articolo 2-quaterdecies del Codice;
• Insiel S.p.A. quale responsabile del trattamento;
• gli interessati nei cittadini detenuti o internati in istituti penitenziari del territorio regionale;
• i dati trattati, inclusi dati anagrafici, dati sulla salute e dati relativi a condanne penali e reati, limitatamente alla condizione di detenzione.

Sono inoltre disciplinate la raccolta dei dati tramite PEC e applicativo informatico, l’informativa agli interessati, l’accesso ai dati da parte di dipendenti e collaboratori autorizzati, la trasmissione con modalità informatiche e telematiche, i limiti alla comunicazione, le misure di sicurezza e i tempi di conservazione.

Valutazione del Garante sulla necessità del trattamento

Il Garante ritiene che il trattamento sia necessario per il coordinamento della rete regionale di sanità penitenziaria e per l’esercizio delle funzioni attribuite alla Direzione competente. In particolare, la valutazione preventiva prevista dall’Accordo del 22 gennaio 2015 è considerata funzionale a decidere eventuali trasferimenti di detenuti per motivi di salute, soprattutto per evitare incertezze dovute a omonimie e per garantire prestazioni terapeutiche adeguate in sicurezza.

Condizioni e modifiche richieste

Pur esprimendo parere favorevole, il Garante chiede modifiche puntuali per assicurare la conformità alla disciplina privacy.

Richiamo espresso all’articolo 2-septies del Codice

Il disegno di legge, e conseguentemente il regolamento, devono essere integrati con il richiamo all’articolo 2-septies del Codice, quale ulteriore parametro per il trattamento dei dati di cui all’articolo 9 GDPR.

Limitazione dei soggetti che effettuano la valutazione preventiva

Per i commi 22 e 23 dell’articolo 1 del regolamento, il Garante richiede che la valutazione preventiva ai fini del trasferimento sia svolta solo da professionisti sanitari:

• tenuti al segreto professionale;
• appositamente autorizzati ai sensi dell’articolo 2-quaterdecies del Codice.

L’accesso alla documentazione sanitaria va limitato alle sole attestazioni delle Aziende sanitarie circa l’impossibilità di garantire, nel territorio di riferimento, le prestazioni necessarie.

Coordinamento dell’articolo 3

L’articolo 3 deve essere conseguentemente coordinato con la disciplina delle persone autorizzate al trattamento, incluse quelle che trattano dati particolari dei detenuti.

Principio di minimizzazione dei dati

L’articolo 4 deve essere precisato per chiarire che il trattamento riguarda solo i dati relativi alla salute strettamente necessari alle valutazioni della Regione, per il tramite della Direzione centrale competente, sulla base dell’Accordo del 22 gennaio 2015 o per l’organizzazione e il coordinamento della rete sanitaria regionale.

Pseudonimizzazione e misure di sicurezza

L’articolo 8 va integrato con indicazioni più dettagliate sulle logiche e tecniche di pseudonimizzazione. Il Garante richiama le Guidelines 01/2025 on Pseudonymisation del Comitato europeo per la protezione dei dati personali del 16 gennaio 2025 e chiede di specificare:

• gli attributi soggetti a pseudonimizzazione;
• i soggetti che la effettuano;
• i rischi di re-identificazione dei quasi-identificatori;
• le misure di sicurezza applicate all’informazione aggiuntiva.

Conservazione dei dati

L’articolo 9, che prevede la conservazione fino a trent’anni dalla raccolta, deve essere modificato. Il Garante ritiene più conforme al principio di limitazione della conservazione, di cui all’articolo 5, paragrafo 1, lettera e), del GDPR, un termine collegato alla durata della pena o, per gli internati, della misura di sicurezza concretamente irrogata, con possibilità di conservazione ulteriore per esigenze di tutela giurisdizionale in caso di contenzioso.

Conclusione

Il Garante esprime parere favorevole sul disegno di legge e sul regolamento attuativo della Regione autonoma Friuli-Venezia Giulia, ma condiziona tale favore all’inserimento dei correttivi indicati in materia di base giuridica, autorizzazioni, minimizzazione, pseudonimizzazione e conservazione dei dati.