Parere del Garante n. 555 del 30/11/2023

Parere sullo schema di decreto per la trasmissione telematica dei contenuti informativi relativi al consenso all’utilizzo del corpo e dei tessuti post mortem

Il Garante per la protezione dei dati personali esamina lo schema di decreto del Ministero della salute recante le disposizioni sulle modalità di trasmissione telematica dei contenuti informativi relativi alle dichiarazioni di consenso all’utilizzo del proprio corpo e dei tessuti post mortem per fini di studio, formazione e ricerca scientifica, nonché il relativo disciplinare tecnico. Il parere è reso ai sensi dell’art. 58, par. 3, lett. c), del Regolamento (UE) 2016/679, in attuazione dell’art. 3 della legge 10 febbraio 2020, n. 10.

Contesto normativo e precedente disciplina

Il provvedimento si colloca nel quadro della legge n. 10 del 2020, che disciplina l’atto di disposizione del proprio corpo o dei tessuti post mortem mediante dichiarazione di consenso consegnata all’azienda sanitaria di appartenenza, alla quale spetta la conservazione e la trasmissione telematica dei contenuti informativi alla banca dati prevista dalla legge 27 dicembre 2017, n. 219, art. 1, comma 418, relativa alle DAT. È richiamato anche il d.P.R. 10 febbraio 2023, n. 47, regolamento attuativo della legge n. 10 del 2020. Il Garante segnala che la legge n. 10 del 2020 è stata adottata senza preventiva consultazione ai sensi dell’art. 36, par. 4, GDPR, mentre il d.P.R. n. 47 del 2023 non ha presentato profili rilevanti di protezione dati tali da richiederne il previo parere.

Contenuto dello schema di decreto

Lo schema è articolato in 9 articoli e disciplina:

• definizioni;
• finalità e oggetto;
• soggetti alimentanti e contenuti informativi;
• accesso ai dati;
• modalità particolari di espressione delle dichiarazioni di consenso;
• trattamento dei dati e misure di riservatezza e sicurezza;
• periodo di conservazione dei dati e diritti dell’interessato;
• variazioni del disciplinare tecnico;
• oneri.

È prevista l’istituzione, presso la banca dati denominata DAT, di una sezione distinta dedicata ai contenuti informativi degli atti di disposizione del proprio corpo e dei tessuti post mortem a fini di studio, formazione e ricerca scientifica.

Contenuti informativi, soggetti obbligati e modalità di formazione delle dichiarazioni

Lo schema disciplina la trasmissione alla banca dati dei contenuti relativi a:

• dichiarazione di consenso e revoca del consenso da parte del disponente;
• dichiarazione di consenso, per i minori, da parte di entrambi gli esercenti la responsabilità genitoriale, dei tutori o dei soggetti affidatari, e relativa revoca;
• nomina e revoca del fiduciario e del sostituto;
• accettazione e revoca dell’accettazione della nomina da parte del fiduciario e del sostituto.

Le dichiarazioni possono essere rese mediante atto pubblico, scrittura privata autenticata, scrittura privata consegnata personalmente all’ufficiale dello stato civile o alla struttura sanitaria, nonché mediante videoregistrazione o strumenti idonei a consentire la comunicazione alle persone con disabilità, in coerenza con la disciplina richiamata.

Spetta all’azienda sanitaria di appartenenza del disponente trasmettere senza indugio i contenuti informativi alla banca dati, secondo il disciplinare tecnico, con conferma tempestiva della ricezione.

Titolari del trattamento, diffusione e misure di sicurezza

Lo schema individua il Ministero della salute quale titolare del trattamento dei dati personali raccolti nella banca dati, ai sensi degli artt. 4, n. 7, e 24 GDPR; il Ministero può diffondere i dati solo in forma anonimizzata e aggregata. Le aziende sanitarie di appartenenza del disponente sono titolari del trattamento dei dati conservati ai sensi dell’art. 3, comma 1, della legge n. 10 del 2020.

La tutela dell’integrità e della riservatezza è affidata a misure tecniche e organizzative parametrate al rischio per i diritti e le libertà delle persone fisiche, descritte nel disciplinare tecnico allegato, oltre che a procedure di sicurezza del software e dei servizi telematici conformi alle regole tecniche adottate ai sensi dell’art. 71 del Codice dell’amministrazione digitale.

Conservazione dei dati e diritti degli interessati

Il Garante prende atto che i dati personali raccolti dalle aziende sanitarie e quelli trasmessi alla banca dati sono cancellati decorsi dieci anni dal decesso dell’interessato. Per i dati relativi al consenso espresso dai soggetti legittimati per il minore, la cancellazione avviene al raggiungimento della maggiore età del minore stesso.

Quanto ai diritti degli interessati, lo schema prevede l’esercizio dei diritti di cui agli artt. 15, 16, 17, 18 e 21 GDPR, secondo le modalità indicate nell’informativa resa dall’azienda sanitaria che raccoglie la dichiarazione ai sensi dell’art. 13 GDPR. Il Garante evidenzia che l’informativa non deve fare riferimento all’art. 14 GDPR, poiché i dati sono raccolti direttamente presso gli interessati.

Esito dell’istruttoria e osservazioni recepite

Il Garante rileva che il testo trasmesso tiene conto delle osservazioni formulate dall’Ufficio nel corso di numerose interlocuzioni, anche informali. In particolare, risultano recepiti:

• il richiamo ai presupposti normativi del trattamento delle categorie particolari di dati, con specifico riferimento all’art. 2-sexies, comma 2, lett. cc), del Codice privacy;
• l’esatta individuazione dei contenuti informativi e dei soggetti tenuti alla trasmissione, in conformità all’art. 3, comma 1, della legge n. 10 del 2020;
• la corretta attribuzione della titolarità del trattamento al Ministero della salute e alle aziende sanitarie, per i rispettivi ambiti;
• la disciplina del periodo di conservazione, in analogia con la banca dati DAT;
• la corretta indicazione dei diritti degli interessati e dell’informativa ex art. 13 GDPR;
• la previsione che eventuali modifiche sostanziali al disciplinare tecnico, incidenti sui tipi di dati trattati e sulle operazioni eseguibili, siano adottate solo con decreto del Ministero della salute previo parere del Garante.

Disciplinare tecnico: garanzie specifiche

Anche il disciplinare tecnico è ritenuto adeguato perché recepisce ulteriori indicazioni istruttorie, tra cui:

• la necessità di distinguere i profili autorizzativi delle due partizioni della banca dati, pur condividendo il medesimo sistema di autenticazione;
• la possibilità, per gli utenti diversi dai cittadini, di utilizzare temporaneamente l’identità SPID ad uso personale nelle more della definizione del quadro di garanzie per lo SPID ad uso professionale, limitando l’uso dei dati personali della sfera privata forniti ai service provider;
• la previsione che le notifiche via email dell’avvenuta registrazione alla banca dati per disponenti e/o fiduciari non contengano riferimenti diretti alla dichiarazione.

Conclusione

Alla luce delle modifiche apportate in sede istruttoria e del complesso delle misure di garanzia previste, il Garante ritiene di non dover formulare osservazioni sullo schema di decreto e sul relativo disciplinare tecnico. Il parere reso al Ministro della salute è pertanto favorevole.