L’art. 37, comma 1, lett. b, Codice della Privacy, prescrive che: ” Il titolare notifica al Garante il trattamento di dati personali cui intende procedere, solo se il trattamento riguarda:
- dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria”.
Il comma 1-bis, aggiunge, peraltro:
“La notificazione relativa al trattamento dei dati di cui al comma 1 non è dovuta se relativa all’attività dei medici di famiglia e dei pediatri di libera scelta, in quanto tale funzione è tipica del loro rapporto professionale con il Servizio sanitario nazionale”.
Il comma 2 specifica che:
“Il Garante può individuare altri trattamenti suscettibili di recare pregiudizio ai diritti e alle libertà dell’interessato, in ragione delle relative modalità o della natura dei dati personali, con proprio provvedimento adottato anche ai sensi dell’articolo 17. Con analogo provvedimento pubblicato sulla Gazzetta Ufficiale della Repubblica Italiana il Garante può anche individuare, nell’ambito dei trattamenti di cui al comma 1, eventuali trattamenti non suscettibili di recare detto pregiudizio e pertanto sottratti all’obbligo di notificazione”.
La notificazione al Garante dei dati idonei a rivelare lo stato di salute, trattati a fini di servizi sanitari per via telematica e relativi a banche di dati o alla fornitura di beni, rientra fra quelle indicate specificamente nell’art. 37 del Codice della Privacy.
Detta notifica, generalmente imposta dalla legge per tali dati trattati con tali modalità, può, piuttosto, essere esclusa per effetto di un provvedimento dell’Autorità Garante (nella specie, adottato il 31 marzo 2004, pubblicato sulla Gazzetta Ufficiale 6 aprile 2004, n. 81).
In forza di tale delibera del 31 marzo 2004, rimangono sottratti all’obbligo di notificazione al Garante, con riferimento ai casi di cui al comma 1, lett. b) dell’art. 37, Codice della Privacy,
“i trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale effettuati da esercenti le professioni sanitarie, anche unitamente ad altri esercenti titolari dei medesimi trattamenti: a) a fini di procreazione assistita, di trapianto di organi e tessuti, indagine epidemiologica, rilevazione di malattie mentali, infettive, diffusive o di sieropositività. Ciò sempre che i trattamenti siano effettuati non sistematicamente, rispetto a dati non organizzati in una banca di dati accessibile a terzi per via telematica e limitatamente ai dati e alle operazioni indispensabili per la tutela della salute o dell’incolumità fisica dell’interessato o di un terzo; b) ad esclusivi fini di monitoraggio della spesa sanitaria o di adempimento di obblighi normativi in materia di igiene e sicurezza del lavoro e della popolazione”.
Alla stregua di tale dato normativo, va notificata la prestazione per via telematica di servizi sanitari relativi ad una banca di dati o alla fornitura di beni, effettuata da una struttura sanitaria, pubblica o privata, consistente, indicativamente, nella raccolta di schede o di cartelle cliniche per ogni paziente, accessibile a diversi soggetti e consultabile in rete telematica oppure on-line.
Rimangono sottratti all’obbligo di notificazione i trattamenti di dati sanitari effettuati manualmente mediante archivi cartacei, o eseguiti nell’ambito di servizi di assistenza o consultazione sanitaria per via telefonica, o comunque inseriti in banche dati non collegate a reti telematiche.
Si afferma il seguente principio di diritto:
” Agli effetti dell’art. 37, comma 1, lett. b, del Codice della privacy, va notificato al Garante il trattamento di dati idonei a rivelare lo stato di salute a fini di prestazione per via telematica di servizi sanitari relativi ad una banca di dati o alla fornitura di beni, effettuata da una struttura sanitaria, pubblica o privata, e consistente, indicativamente, nella raccolta di schede o di cartelle cliniche per ogni paziente, accessibile a diversi soggetti e consultabile in rete telematica oppure on line”.
Corte di Cassazione Civile Sent. Sez. 2 Num. 15908 Anno 2016