Contesto nazionale: le prime pronunce del Garante per la Protezione dei Dati Personal

La privacy in relazione al trattamento dei dati genetici si presenta come un tema giuridicamente denso. Esso «nasce dalla necessità di bilanciare, da un lato, le grandi promesse della ricerca genetica prospettate dallo sviluppo dei test genetici; dall'altro l'esigenza di avvalersi di tali benefici in modo da non ledere i diritti fondamentali della persona»35. Infatti, un uso inappropriato dei dati genetici, la loro incontrollata divulgazione, o un accesso indebito da parte di terzi possono danneggiare gravemente il soggetto da cui provengono le informazioni.

La cd. “privacy genetica”, secondo l'espressione in uso nella letteratura giuridica36, pone dunque una duplice necessità: sorvegliare sul potenziale discriminatorio di cui possono essere portatori i dati genetici stessi (si pensi agli ambiti lavorativo ed assicurativo, ed anche alle ricerche scientifiche su popolazioni), tenendo conto del carattere immodificabile e permanente dei dati stessi; trovare un equilibrio fra “diritto alla riservatezza” e “dovere di comunicazione”37.

Come già accennato, in Italia, la normativa di riferimento per i dati genetici è quella sui dati sanitari: già la legge 675 del 1996 sui dati sensibili aveva dedicato al trattamento dei dati sanitari, considerati parte del più ampio genus dei dati sensibili, disposizioni particolari, finalizzate a bilanciare il necessario trattamento di tali dati con l'esigenza di tutela delle persone.

In particolare, con l'Autorizzazione n. 2/199738 il Garante aveva affrontato il problema relativo al trattamento dei dati genetici, considerati come dati sanitari particolarmente sensibili, autorizzando il trattamento degli stessi «limitatamente alle informazioni ed alle operazioni indispensabili per tutelare l'incolumità fisica e la salute dell'interessato, di un terzo o della collettività», dietro consenso scritto dell'interessato (quindi, in mancanza di tale consenso, era prevista apposita autorizzazione del Garante, nel caso in cui il trattamento non fosse finalizzato alla tutela della salute di un terzo o della collettività).

Particolarmente significativa è da ritenersi la pronuncia del 22 maggio 200939. Il caso in oggetto

35 Così Marina Casini, Claudio Sartea, La consulenza genetica in Italia: problemi, regole di consenso informato, trattamento dei dati genetici e privacy, in Med. e Mor., 2009, fasc. 6, pagg. 1121 e ss.

36 Marina Petrone, Trattamento dei dati genetici e tutela della persona, in Fam. e dir., 2007, 8-9, p. 853 ss.; Eleanor Spaventa, Il genetic privacy Act, Riv. Crit. Dir. Priv., 1997, p. 245 ss.

37 L'art. 622 c.p., ovvero il reato di violazione del segreto professionale, indica che può sussistere una “giusta causa” che rende non punibile la rivelazione a terzi dei dati personali appresi nell'ambito del rapporto professionale di cura.

38 Garante per la protezione dei dati personali, Autorizzazione n. 2 del 1997 – Trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale, reperibile sul sito http://www.garanteprivacy.it (doc. web n. 1146933) 39 Garante per la protezione dei dati personali, Dati genetici – Dati inerenti allo stato di salute – 22 maggio 1999,

è quello di una donna affetta da malattia congenita che, volendo avere un figlio, si era sottoposta ad indagini genetiche. I sanitari, per poter formulare il loro giudizio sul rischio che la donna potesse trasmettere la malattia, avevano necessità di acquisire alcuni dati sanitari riportati nella cartella clinica del padre della donna, depositata presso una struttura ospedaliera. A tale acquisizione il padre aveva negato il consenso ed i medici dell'ospedale, presso il quale la cartella era conservata, avevano opposto il segreto professionale, sostenendo che la legge 675/1996 consente di acquisire dati sanitari senza il consenso solo nel caso in cui l'interessato sia incapace di intendere e di volere.

La donna si era pertanto rivolta al Garante, chiedendo di autorizzare l'acquisizione della cartella clinica del padre, anche in presenza del suo dissenso. Esaminando il testo40, il Garante ha innanzitutto osservato che la conoscenza (prima del concepimento o durante la gravidanza) del rischio di insorgenza di patologie, anche di tipo genetico, può certamente contribuire a migliorare le condizioni di benessere psico-fisico della gestante, nel quadro di una piena tutela della salute come diritto fondamentale dell'individuo (art. 32 Costituzione). Nel caso specifico, l'accesso ad alcuni dati sanitari del padre della paziente rappresentava un presupposto essenziale della malattia e soltanto la disponibilità di questi dati poteva consentire una scelta riproduttiva consapevole ed informata.

L’Autorità ha ritenuto, pertanto, che, pur in presenza del rifiuto del padre, l'ospedale poteva acquisire i suoi dati sanitari presso la struttura dove erano custoditi. Gli organismi sanitari pubblici, infatti, possono trattare i dati senza il consenso dell'interessato qualora si debba tutelare la salute o l'incolumità fisica di terzi o della collettività. L'esigenza di tutelare il benessere della gestante, nella circostanza in esame, poteva comportare un ragionevole sacrificio del diritto alla riservatezza dell'interessato.

«[…] Si osserva inoltre che, anche dal punto di vista del segreto professionale, la tutela dell'incolumità psico-fisica di un terzo viene considerata “giusta causa” dall'art. 622 del codice penale, che legittima la rivelazione di informazioni eventualmente coperte da segreto professionale. Lo stesso codice di deontologia medica indica espressamente quale “giusta causa di rivelazione” sia l'urgenza di salvaguardare la vita o la salute dell'interessato o di terzi (nel caso

reperibile sul sito http://www.garanteprivacy.it/garante/doc.jsp?ID=39188. e in Nuova Giur. Civ. Comm., 1999, pagg. 829 ss.

40 In questa operazione contributo essenziale è la sintesi di Carla Faralli, in Dati genetici e tutela dei diritti, in Carla Faralli e Giusella Finocchiaro (a cura di), Diritto e Nuove Tecnologie, Gedit ed. (Bologna), 2005, pag. 251 ss.

in cui questi non sia in grado di prestare il proprio consenso), sia l'urgenza di salvaguardare la vita e la salute di terzi, anche nel caso di rifiuto dell'interessato, ma previa autorizzazione del Garante»41. In conclusione, l'ospedale non incontra ostacoli né nella legge n. 675 del 1996, né nelle norme sul segreto professionale e può legittimamente acquisire i dati sulla base della citata autorizzazione.

L'Autorità ha, comunque, richiamato l'organismo sanitario ad adottare precise cautele a tutela della riservatezza: ha indicato espressamente che i dati sanitari da acquisire siano trasmessi con plico sigillato, in modo da assicurare la segretezza della cartella clinica nei confronti di persone estranee; che il personale dell'ospedale riferisca personalmente alla sola richiedente il risultato dell'indagine genetica con informazioni chiare ed esaustive, senza però comunicarle i dati sanitari relativi al padre, e di non comunicare a quest'ultimo informazioni relative agli accertamenti eseguiti, fuori dei casi di diritto di accesso ai dati che lo riguardano o di necessità di acquisizione di informazioni necessarie per la tutela della sua salute o incolumità fisica. Questa pronuncia è molto significativa perché «mette in luce in un caso reale molti problemi già noti sul piano teorico: i dati genetici hanno la particolare caratteristica di essere condivisibili e trasmissibili, quindi il diritto alla privacy presenta, in questo caso, caratteri di relatività; in alcuni casi (come quello in questione) il diritto alla privacy (del padre) cede in presenza di un diritto di pari rango (quello alla salute psico – fisica della madre)»42.

Sino ad oggi, nel nostro ordinamento, non si era avuta l'emanazione di alcun provvedimento specifico in materia di dati genetici i quali, per lungo tempo, sono stati disciplinati da disposizioni di carattere transitorio, in particolare dall'Autorizzazione 2/2000, dedicata specificamente al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale da parte dei soggetti privati e degli enti pubblici economici, riproposta invariata nel 2002 ed ulteriormente prorogata.43 In tale documento, viene autorizzato il trattamento di questi dati solo

41 Così Carla Faralli, in Dati genetici e tutela dei diritti, op. cit.

42 Così Carla Faralli, nell'op. cit., e conclude la sintesi affermando che «Ovviamente il bilanciamento di interessi può essere fatto in presenza di interessi di pari valore: va sottolineato che lo schema adottato nel caso in oggetto non potrebbe essere adoperato in casi in cui gli interessi in conflitto fossero di natura o di rango costituzionale diverso. Si prenda il caso della richiesta di informazioni genetiche da parte di società di assicurazioni, di istituti di credito o di datori di lavoro: in questi casi la comunicazione può determinare situazioni di discriminazione ai danni di coloro che risultano portatori di malattie genetiche e quindi è in tutti i casi vietata.»

43 L'Autorizzazione qui in esame è l'Autorizzazione al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale, n. 2 del 20 settembre 2000, reperibile sul sito del Garante http://www.garanteprivacy.it (doc. web n. 1151469), essa è stata prorogata ed attualmente vige l'Autorizzazione Generale al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale, n. 2 del 27 dicembre 2013, reperibile sul sito del Garante http:/www.garanteprivacy.it (doc. web n. 2818529)

con il consenso dell'interessato o per finalità volte alla tutela dell'incolumità fisica e della salute del medesimo, di un terzo o della collettività ed in osservanza dei principi enunciati dalla legge 675/1996 sulla tutela della riservatezza. Per quanto riguarda la comunicazione e la diffusione dei dati, a differenza delle altre informazioni idonee a rivelare lo stato di salute, essi sono espressamente esclusi, dalla comunicazione a soggetti pubblici e privati, compresi i fondi e le casse di assistenza sanitaria integrativa, le aziende che svolgono attività strettamente correlata all'esercizio di professioni sanitarie o alla fornitura all'interessato di beni, prestazioni e servizi, gli istituti di credito e le imprese assicurative, le associazioni e le organizzazioni di volontariato, nonché i familiari dell'interessato.

Un più consistente passo in avanti è stato fatto nel 2003 con il D.lgs. 196/2003 (noto come “Codice della privacy”), il cui art. 90 (al capo V “Dati genetici”, ed intitolato “Trattamento dei dati genetici e donatori di midollo osseo”) stabilisce, al primo comma, che «Il trattamento dei dati genetici, da chiunque effettuato, è consentito nei soli casi previsti da apposita autorizzazione rilasciata dal Garante, sentito il Ministro della Salute, che acquisisce, a tal fine, il parere del Consiglio Superiore di Sanità».

Prima di soffermare l'attenzione su questa norma, che costituisce il punto apicale della tutela dei dati genetici insieme alla relativa autorizzazione, devono sinteticamente ricordarsi le disposizioni generali di cui alla Parte I del Codice.

L'art. 3 introduce il principio di necessità nel trattamento dei dati, che impone che i sistemi informatici siano configurati in modo tale da assicurare che i dati personali ed identificativi vengano utilizzati solo se indispensabili al raggiungimento delle finalità perseguite, prediligendosi quindi, ove possibile, l'utilizzo di dati anonimi. L'art. 7 prevede una serie di diritti, spettanti all'interessato, che gli attribuiscono un concreto potere di controllo sulle fasi della raccolta, della circolazione e dell'impiego dei dati che lo riguardano (egli ha diritto, infatti, di ottenere indicazioni ed informazioni sulle modalità di trattamento, l'aggiornamento e l'eventuale cancellazione dei dati, ed ha anche facoltà di opposizione). Alcuni autori sostengono che, «con riferimento ai dati genetici, i poteri e facoltà esplicitati nell'art. 7 sembrano diminuire, considerato che i dati in questione si caratterizzano, come già affermato in precedenza, per la loro immodificabilità, e quindi apparirebbe superfluo un aggiornamento continuo da parte dell'interessato. In realtà, considerando un'altra caratteristica peculiare dei dati genetici, ovvero la condivisione delle informazioni fra persone appartenenti allo stesso gruppo (biologico), potrebbe ritenersi (in astratto) ammissibile un'estensione a terzi del diritto di accesso, in

presenza di interessi prevalenti che lo giustifichino: questo comporterebbe la necessità di uno specifico consenso informato del titolare dei dati»44.

Il Codice ha previsto, in mancanza di consenso, la possibilità di accesso a dati già raccolti da parte di soggetti diversi dal titolare, nei casi in cui ciò sia necessario per tutelare diritti di pari rango rispetto alla riservatezza del titolare dei dati45.

Altre norme della parte generale costituiscono la base sulla quale vanno ad innestarsi le cautele applicabili ai dati genetici. Si tratta, in breve, dell'art. 13, relativo al contenuto minimo dell'informativa da sottoporre all'interessato, e degli artt. 20 e 26, che disciplinano il trattamento dei dati sensibili, prevedendo le regole generali rispettivamente per: le ipotesi di trattamento effettuato da parte di soggetti pubblici (consentito solo se autorizzato da espressa previsione di legge) o da parte di soggetti privati (possibile solo con il consenso scritto dell'interessato e previa autorizzazione del Garante).46

44 Francesca Di Lella, Ambiti di rilevanza e tutela dei dati genetici, in Dir. e Giurispr., 2009

45 Si veda il caso della donna affetta da problema congenito che chiese un parere al Garante nel 1999, cit. 46 Autorità Garante per la protezione dei Dati Personali, Codice per la Protezione dei Dati Personali. Art. 13

Informativa: «1. L'interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa:

a) le finalità e le modalità del trattamento cui sono destinati i dati; b) la natura obbligatoria o facoltativa del conferimento dei dati; c) le conseguenze di un eventuale rifiuto di rispondere;

d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi;

e) i diritti di cui all'articolo 7;

f) gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato ai sensi dell'articolo 5 e del responsabile. Quando il titolare ha designato più responsabili è indicato almeno uno di essi, indicando il sito della rete di comunicazione o le modalità attraverso le quali è conoscibile in modo agevole l'elenco aggiornato dei responsabili. Quando è stato designato un responsabile per il riscontro all'interessato in caso di esercizio dei diritti di cui all'articolo 7, è indicato tale responsabile. 2. L'informativa di cui al comma 1 contiene anche gli elementi previsti da specifiche disposizioni del presente codice e può non comprendere gli elementi già noti alla persona che fornisce i dati o la cui conoscenza può ostacolare in concreto l'espletamento, da parte di un soggetto pubblico, di funzioni ispettive o di controllo svolte per finalità di difesa o sicurezza dello Stato oppure di prevenzione, accertamento o repressione di reati. 3. Il Garante può individuare con proprio provvedimento modalità semplificate per l'informativa fornita in particolare da servizi telefonici di assistenza e informazione al pubblico. 4. Se i dati personali non sono raccolti presso l'interessato, l'informativa di cui al comma 1, comprensiva delle categorie di dati trattati, è data al medesimo interessato all'atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione. 5. La disposizione di cui al comma 4 non si applica quando:

a) i dati sono trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;

b) i dati sono trattati ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento;

c) l'informativa all'interessato comporta un impiego di mezzi che il Garante, prescrivendo eventuali misure appropriate, dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero si riveli, a giudizio del Garante, impossibile. 5-bis. L'informativa di cui al comma 1 non è dovuta in caso di ricezione di curricula spontaneamente trasmessi dagli interessati ai fini dell'eventuale instaurazione di un rapporto di lavoro. Al momento del primo contatto successivo all'invio del curriculum, il titolare è tenuto a fornire all'interessato,

anche oralmente, una informativa breve contenente almeno gli elementi di cui al comma 1, lettere a), d) ed f)»; art. 20. Principi applicabili al trattamento di dati sensibili: «1. Il trattamento dei dati sensibili da parte di soggetti pubblici è consentito solo se autorizzato da espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati e di operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite. 2. Nei casi in cui una disposizione di legge specifica la finalità di rilevante interesse pubblico, ma non i tipi di dati sensibili e di operazioni eseguibili, il trattamento è consentito solo in riferimento ai tipi di dati e di operazioni identificati e resi pubblici a cura dei soggetti che ne effettuano il trattamento, in relazione alle specifiche finalità perseguite nei singoli casi e nel rispetto dei principi di cui all'articolo 22, con atto di natura regolamentare adottato in conformità al parere espresso dal Garante ai sensi dell'articolo 154, comma 1, lettera g), anche su schemi tipo. 3. Se il trattamento non è previsto espressamente da una disposizione di legge i soggetti pubblici possono richiedere al Garante l'individuazione delle attività, tra quelle demandate ai medesimi soggetti dalla legge, che perseguono finalità di rilevante interesse pubblico e per le quali è conseguentemente autorizzato, ai sensi dell'articolo 26, comma 2, il trattamento dei dati sensibili. Il trattamento è consentito solo se il soggetto pubblico provvede altresì a identificare e rendere pubblici i tipi di dati e di operazioni nei modi di cui al comma 2. 4. L'identificazione dei tipi di dati e di operazioni di cui ai commi 2 e 3 è aggiornata e integrata periodicamente»; art. 26. Garanzie per i dati sensibili: «1. I dati sensibili possono essere oggetto di trattamento solo con il consenso scritto dell'interessato e previa autorizzazione del Garante, nell'osservanza dei presupposti e dei limiti stabiliti dal presente codice, nonché dalla legge e dai regolamenti. 2. Il Garante comunica la decisione adottata sulla richiesta di autorizzazione entro quarantacinque giorni, decorsi i quali la mancata pronuncia equivale a rigetto. Con il provvedimento di autorizzazione, ovvero successivamente, anche sulla base di eventuali verifiche, il Garante può prescrivere misure e accorgimenti a garanzia dell'interessato, che il titolare del trattamento è tenuto ad adottare. 3. Il comma 1 non si applica al trattamento:

a) dei dati relativi agli aderenti alle confessioni religiose e ai soggetti che con riferimento a finalità di natura esclusivamente religiosa hanno contatti regolari con le medesime confessioni, effettuato dai relativi organi, ovvero da enti civilmente riconosciuti, sempre che i dati non siano diffusi o comunicati fuori delle medesime confessioni. Queste ultime determinano idonee garanzie relativamente ai trattamenti effettuati, nel rispetto dei principi indicati al riguardo con autorizzazione del Garante;

b) dei dati riguardanti l'adesione di associazioni od organizzazioni a carattere sindacale o di categoria ad altre associazioni, organizzazioni o confederazioni a carattere sindacale o di categoria;

b-bis) dei dati contenuti nei curricula, nei casi di cui all'articolo 13, comma 5-bis. 4. I dati sensibili possono essere oggetto di trattamento anche senza consenso, previa autorizzazione del Garante:

a) quando il trattamento è effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale, ivi compresi partiti e movimenti politici, per il perseguimento di scopi determinati e legittimi individuati dall'atto costitutivo, dallo statuto o dal contratto collettivo, relativamente ai dati personali degli aderenti o dei soggetti che in relazione a tali finalità hanno contatti regolari con l'associazione, ente od organismo, sempre che i dati non siano comunicati all'esterno o diffusi e l'ente, associazione od organismo determini idonee garanzie relativamente ai trattamenti effettuati, prevedendo espressamente le modalità di utilizzo dei dati con determinazione resa nota agli interessati all'atto dell'informativa ai sensi dell'articolo 13;

b) quando il trattamento è necessario per la salvaguardia della vita o dell'incolumità fisica di un terzo. Se la medesima finalità riguarda l'interessato e quest'ultimo non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità di intendere o di volere, il consenso è manifestato da chi esercita legalmente la potestà, ovvero da un prossimo congiunto, da un familiare, da un convivente o, in loro assenza, dal responsabile della struttura presso cui dimora l'interessato. Si applica la disposizione di cui all'articolo 82, comma 2;

c) quando il trattamento è necessario ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere in sede giudiziaria un diritto, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento. Se i dati sono idonei a rivelare lo stato di salute e la vita sessuale, il diritto deve essere di rango pari a quello dell'interessato, ovvero consistente in un diritto della personalità o in un altro diritto o libertà fondamentale e inviolabile;

d) quando è necessario per adempiere a specifici obblighi o compiti previsti dalla legge, da un regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del