GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
DELIBERA 21 novembre 2013
Provvedimento generale rivolto alle aziende sanitarie sulle modalita'
di consegna dei presidi sanitari al domicilio dell'interessato.
(Delibera n. 520/2013). (13A10476)
(GU n.303 del 28-12-2013)
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, in presenza del dott. Antonello Soro,
presidente, della dott.ssa Augusta Iannini, vicepresidente, della
dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano,
componenti e del dott. Giuseppe Busia, segretario generale;
Visto il Codice in materia di protezione dei dati personali
(decreto legislativo 30 giugno 2003, n. 196), di seguito «Codice»;
Visto, in particolare, l'art. 83 del Codice che individua alcune
misure per il rispetto dei diritti degli interessati in ambito
sanitario;
Vista la disciplina rilevante in materia di assistenza sanitaria
integrativa e protesica;
Esaminate le segnalazioni pervenute all'Autorita' in merito alle
modalita' con cui le aziende sanitarie effettuano la consegna dei
presidi sanitari al domicilio degli interessati;
Visto il provvedimento generale circa il rispetto dei diritti,
delle liberta' fondamentali e della dignita' degli interessati
nell'erogazione delle prestazioni da parte delle strutture sanitarie
adottato dal Garante il 9 novembre 2005 (consultabile sul sito
www.gpdp.it, doc. web n. 1191411);
Vista la documentazione in atti;
Viste le osservazioni dell'Ufficio, formulate dal segretario
generale ai sensi dell'art. 15 del regolamento del Garante, n.
1/2000;
Relatore la dott.ssa Giovanna Bianchi Clerici;
Premesso:
1. Questioni prospettate.
Sono pervenute alcune segnalazioni nelle quali si lamenta una
violazione delle disposizioni in materia di protezione dei dati
personali in relazione alle modalita' con cui le aziende sanitarie -
anche per il tramite di ditte esterne - effettuano la consegna dei
presidi sanitari al domicilio degli interessati. In particolare, le
segnalazioni riguardano la consegna di specifici presidi, quali
quelli utilizzati da persone incontinenti o stomizzate (ad es.
cateteri, ausili per evacuazione e per stomia, raccoglitori e
assorbenti per urina). La possibilita' da parte di terzi, quali i
vicini di casa, di venire a conoscenza - anche indirettamente - della
circostanza che l'interessato necessita di specifici presidi sanitari
puo' ledere la dignita' e la riservatezza di quest'ultimo. Cio',
anche in considerazione che, in taluni casi, la conoscenza
dell'utilizzo di alcuni presidi puo' essere idonea a rivelare la
sussistenza di un peculiare stato di salute dell'interessato.
Nelle segnalazioni ricevute i soggetti lamentano di aver ricevuto i
suddetti presidi sanitari in pacchi trasparenti o recanti sulla parte
esterna o sulla bolla di consegna l'indicazione in chiaro della
tipologia del contenuto.
In altre segnalazioni inoltre viene lamentata l'avvenuta consegna
dei presidi sanitari al vicino di casa o al portiere dello stabile
ove risiedono senza aver autorizzato l'azienda sanitaria alla
consegna degli stessi a terzi. In taluni casi, i predetti presidi
sarebbero stati lasciati davanti la porta di ingresso della dimora
dell'interessato.
Il Garante si e' gia' espresso in materia con il provvedimento del
9 novembre 2005 in cui sono state introdotte misure e accorgimenti a
tutela dei diritti degli interessati nell'ambito dell'erogazione
delle prestazioni da parte delle strutture sanitarie. In particolare,
a tali strutture e' stato prescritto di adottare specifiche garanzie
affinche' nella spedizione di prodotti non siano indicati, sulla
parte esterna del plico postale, informazioni idonee a rivelare
l'esistenza di uno stato di salute dell'interessato (ad es.,
indicazione della tipologia del contenuto del plico o del reparto
dell'organismo sanitario mittente) (cfr. punto 3, lettera g)).
Nell'ambito delle attivita' istruttorie svolte dall'Ufficio in
relazione alle numerose segnalazioni pervenute e' emerso che
frequentemente le aziende sanitarie appaltano a societa' esterne la
fornitura e la consegna dei suddetti presidi. All'esito delle
istruttorie preliminari avviate, e' risultato che le aziende
sanitarie interessate hanno regolarmente designato le suddette
societa' quali responsabili esterni del trattamento (art. 29 del
Codice).
2. Quadro normativo di riferimento.
Il Servizio Sanitario Nazionale eroga a tutti i cittadini
attivita', servizi e prestazioni sanitarie riconducibili ai c.d.
Livelli Essenziali di Assistenza (LEA) (legge 23 dicembre 1978, n.
833, d.P.C.M. 29 novembre 2001).
Nei LEA si collocano le attivita' e i servizi erogati al livello
distrettuale (c.d. assistenza distrettuale) tra i quali figurano
l'«assistenza integrativa», consistente nella fornitura di alimenti
dietetici a categorie particolari e di presidi sanitari ai soggetti
affetti da diabete mellito e l'«assistenza protesica» diretta alla
fornitura di protesi, presidi e ausili a favore di disabili fisici,
psichici e sensoriali (allegato I al citato d.P.C.M. 29 novembre
2001).
Tali attivita' e servizi di assistenza sono erogati, su richiesta
dell'interessato, ai pazienti che versano in particolari condizioni
cliniche certificate da medici specialisti appartenenti al Servizio
Sanitario Nazionale.
3. Trattamento dei dati idonei a rivelare lo stato di salute nella
consegna dei presidi sanitari al domicilio degli interessati.
Il trattamento dei dati personali connesso all'erogazione
dell'assistenza sanitaria integrativa e protesica configura un
trattamento di dati idonei a rivelare lo stato di salute di persone
affette da particolari patologie in relazioni alle quali necessitano
dell'utilizzo di specifici presidi sanitari.
Il trattamento di tali informazioni puo' essere effettuato solo se
ricorrono le specifiche garanzie previste dal Codice, il quale
prevede, tra l'altro, che il titolare del trattamento - in questo
caso l'azienda sanitaria competente - fornisca agli interessati
un'informativa in merito alle caratteristiche di tale trattamento,
avendo cura di indicare anche i soggetti o le categorie di soggetti
che possono venire a conoscenza dei dati personali in qualita' di
responsabili o incaricati del trattamento (art. 13 del Codice).
Dopo aver fornito la suddetta informativa, l'azienda sanitaria
competente deve acquisire il consenso degli interessati per il
trattamento dei dati personali effettuato a fini di prevenzione,
diagnosi, cura e riabilitazione (articoli 26 e 75 e ss. del Codice).
Nello svolgimento delle attivita' amministrative correlate alle
predette attivita' di cura, l'azienda sanitaria deve rispettare le
disposizioni contenute nel regolamento per il trattamento dei dati
sensibili e giudiziari adottato dalla regione presso cui opera in
conformita' allo schema tipo aggiornato di regolamento per il
trattamento di dati personali sensibili e giudiziari da effettuarsi
presso le regioni e le province autonome, le aziende sanitarie, gli
enti e agenzie regionali/provinciali, gli enti vigilati dalle regioni
e dalle province autonome, predisposto dalla Conferenza delle regioni
e delle province autonome, sul quale il Garante ha espresso parere
favorevole (articoli 20, e 85 del Codice, cfr., in particolare,
scheda n. 12 dell'allegato B) del citato schema tipo aggiornato di
regolamento sul quale il Garante ha espresso parere favorevole con il
provvedimento del 26 luglio 2012 - doc. web n. 1915390).
Qualora l'azienda sanitaria intenda avvalersi di una societa'
esterna per la distribuzione dei suddetti presidi e' necessario che
designi tale soggetto quale responsabile esterno del trattamento,
avendo cura di specificare analiticamente e per iscritto i compiti
allo stesso affidati, nonche' di vigilare periodicamente sulla
puntuale osservanza delle istruzioni ad esso impartite (art. 29 del
Codice).
In considerazione della particolare delicatezza dei dati trattati e
della necessita' di tutelare la dignita' e la riservatezza delle
persone che richiedono di ricevere i suddetti presidi presso il
proprio domicilio, e' necessario che il titolare fornisca, in
particolare, specifiche istruzioni ai responsabili e agli incaricati
coinvolti nel processo di distribuzione dei presidi.
Con il presente provvedimento il Garante, ad integrazione di quanto
prescritto nel citato provvedimento del 9 novembre 2005, intende,
pertanto, definire un quadro unitario di misure e accorgimenti a cui
le aziende sanitarie - entro 6 mesi dalla data di adozione del
presente provvedimento - si devono adeguare nello svolgimento delle
operazioni di consegna domiciliare dei presidi sanitari.
In particolare, sono di seguito definite le misure che si ritiene
debbano essere rispettate nelle operazioni di consegna dei presidi
sanitari al domicilio degli interessati che ne facciano richiesta.
1. La consegna deve avvenire:
nel luogo individuato dall'interessato rispettando gli orari
scelti da quest'ultimo tra quelli indicati dal titolare o dal
responsabile del trattamento;
preferibilmente nelle mani dell'interessato; il presidio non puo'
essere lasciato incustodito nelle vicinanze del luogo indicato
dall'interessato.
2. Il presidio, laddove le dimensioni e la natura lo consentano,
deve essere, in ogni caso, imballato in un contenitore non
trasparente che non deve contenere nella parte esterna l'indicazione
del contenuto.
3. Il presidio puo' essere consegnato a terzi (ad es., vicino di
casa, parente, portiere) solo su espressa indicazione
dell'interessato.
4. Nel caso in cui l'interessato, o il terzo delegato da questo,
non siano presenti al momento della consegna, il personale a cio'
deputato deve lasciare esclusivamente un avviso che non contenga
l'indicazione della tipologia del presidio.
5. Il personale deputato alla consegna non deve indossare divise
recanti scritte da cui si possa evincere la specifica tipologia dei
presidi in consegna, ne' utilizzare automezzi recanti tali scritte.
L'Azienda sanitaria, in qualita' di titolare del trattamento dei
dati, deve altresi' vigilare affinche' le suddette istruzioni siano
impartite anche al personale designato incaricato del trattamento da
parte dell'eventuale societa' esterna alla quale sia stata appaltata
la fornitura e la consegna dei suddetti presidi (art. 30 del Codice).
Il presente provvedimento sara' pubblicato nella Gazzetta
Ufficiale, sul sito Internet del Garante (www.garanteprivacy.it) e,
considerata la sua valenza generale, sara' inviato anche alle regioni
e province autonome affinche' provvedano a divulgarlo presso le
aziende sanitarie competenti.
Tutto cio' premesso il Garante:
ai sensi dell'art. 154, comma 1, lettera c) del Codice, prescrive
alle aziende sanitarie - ad integrazione e specificazione di quanto
prescritto nel provvedimento del 9 novembre 2005 - di adeguare le
operazioni di consegna domiciliare dei presidi sanitari alle misure
indicate nel presente provvedimento, entro 6 mesi dalla data della
sua pubblicazione nella Gazzetta Ufficiale.
Ai sensi degli articoli 152 del Codice e 10 del decreto legislativo
n. 150/2011, avverso il presente provvedimento puo' essere proposta
opposizione all'Autorita' giudiziaria ordinaria, con ricorso
depositato al tribunale ordinario del luogo ove ha la residenza il
titolare del trattamento dei dati, entro il termine di trenta giorni
dalla data di comunicazione del provvedimento stesso, ovvero di
sessanta giorni se il ricorrente risiede all'estero.
Dispone che copia del presente provvedimento sia trasmessa al
Ministero della giustizia - Ufficio pubblicazione leggi e decreti,
per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica
italiana.
Roma, 21 novembre 2013
Il Presidente
Soro
Il Relatore
Bianchi Clerici
Il Segretario generale
Busia
Nessun commento:
Posta un commento