Parere del Garante n. 692 del 14/11/2024

Parere sulla proposta di legge della Provincia autonoma di Trento in materia di comunicazione di dati sanitari all’INPS

La Provincia autonoma di Trento ha richiesto il parere del Garante su una proposta di legge destinata a modificare l’art. 17 della l.p. 5 novembre 1991, n. 23, per consentire la comunicazione all’INPS di dati sanitari relativi alla disabilità accertata dalle commissioni mediche provinciali. Il parere è reso ai sensi dell’art. 57, par. 1, lett. c), GDPR e dell’art. 154, comma 5, del Codice privacy.

Contesto istituzionale e disciplina richiamata

Il Garante ricostruisce la cornice di competenze propria della Provincia autonoma di Trento, richiamando lo Statuto speciale e la l.p. n. 16/2010, che attribuiscono alla Provincia funzioni in materia di tutela e promozione della salute, da esercitarsi anche tramite il servizio sanitario provinciale e l’APSS. In questo quadro si collocano le funzioni di valutazione medico-legale degli stati di disabilità svolte dall’APSS tramite le proprie articolazioni.

Il parere richiama inoltre la disciplina statale sugli accertamenti relativi a invalidità civile, cecità civile, sordità civile, handicap e disabilità, evidenziando il ruolo delle ASL e dell’INPS e il fatto che all’INPS spettano gli accertamenti definitivi. Viene ricordato anche il trasferimento all’INPS di funzioni prima svolte dalle Commissioni mediche di verifica del Ministero dell’economia e delle finanze.

Contenuto della proposta di legge

La novella proposta introduce un comma 3-bis all’art. 17 della legge provinciale n. 23/1991. La disposizione autorizzerebbe l’APSS a comunicare all’INPS i dati sanitari inerenti alle condizioni di disabilità accertate dalle commissioni mediche, quando ciò sia necessario per l’assolvimento dei compiti dell’Istituto e per la realizzazione di scopi di rilevante interesse pubblico riconducibili alle finalità di cui all’art. 2-sexies, comma 2, lett. s) e aa), del Codice.

La proposta prevede anche che la comunicazione possa avvenire, se del caso, tramite piattaforme o applicazioni informatiche idonee a garantire riservatezza, integrità e disponibilità dei dati, nel rispetto dei principi di proporzionalità, minimizzazione e sicurezza.

Valutazione del Garante

Il Garante ritiene l’iniziativa condivisibile nella sua finalità, poiché mira a rendere possibile all’INPS l’acquisizione delle informazioni necessarie per verificare i requisiti di accesso alle prestazioni economiche in materia di disabilità e invalidità. Tuttavia, osserva che la formulazione proposta necessita di integrazioni per assicurare la piena conformità al GDPR e al Codice privacy.

In particolare, il Garante evidenzia che la base giuridica della comunicazione deve essere formulata in modo più preciso, collegando il trattamento non solo alla necessità, ma anche a una fonte normativa che attribuisca espressamente all’INPS le finalità di cui all’art. 2-sexies, comma 2, lett. s) e aa), del Codice, anche per i soggetti che rientrano nell’ambito di competenza della Provincia autonoma di Trento. Tale precisazione è ritenuta necessaria per garantire il rispetto dei principi di liceità, correttezza, trasparenza e limitazione della finalità, nonché dei presupposti per il trattamento di categorie particolari di dati personali.

Condizioni poste per il parere favorevole

Il Garante esprime parere favorevole con condizioni, chiedendo che il testo sia integrato almeno nei seguenti aspetti:

• la comunicazione dei dati sanitari provinciali deve essere ammessa solo se il trattamento da parte dell’INPS è necessario e previsto da una fonte normativa che gli attribuisca espressamente le finalità di cui all’art. 2-sexies, comma 2, lett. s) e aa), del Codice;
• devono essere individuate le tipologie di dati personali oggetto di trasmissione, nel rispetto del principio di minimizzazione;
• devono essere disciplinate le modalità del trattamento e le misure tecniche e organizzative idonee ad assicurare un livello adeguato di sicurezza;
• devono essere previste misure atte a garantire l’esattezza dei dati e la tutela dell’interessato;
• la disciplina di dettaglio può essere demandata a una fonte subordinata, purché adottata previo parere del Garante e richiamata dalla legge provinciale.

Conclusione

Il parere è quindi favorevole, ma subordinato alle condizioni indicate dal Garante per rafforzare la base giuridica del trattamento, delimitare l’oggetto della comunicazione e assicurare un adeguato livello di protezione dei dati sanitari trasmessi all’INPS.