Privacy: ecco le regole per l'informazione giuridica

Regole più chiare per la pubblicazione di sentenze e provvedimenti giurisdizionali su riviste giuridiche, cd rom, siti istituzionali; questo è il contenuto delle linee guida emanate dall'autorità garante della privacy.

Le nuove norme impattano sull'attività di informazione giuridica intesa come:

attività di riproduzione e diffusione di sentenze o altri provvedimenti giurisdizionali in qualsiasi forma, per finalità di informazione giuridica, ovvero di documentazione, studio e ricerca in campo giuridico, su riviste giuridiche, supporti elettronici o mediante reti di comunicazione elettronica, compresi i sistemi informativi e i siti istituzionali dell'Autorità giudiziaria

Risultano invece esclusi i trattamenti di dati personali compiuti per ragioni di giustizia , nonchè quelli compiuti nell'esercizio dell' attività giornalistica .

Nei limiti sopra precisati, gli orientamenti formulati si applicano indifferentemente a qualsiasi soggetto, pubblico o privato, compresi gli editori di riviste giuridiche specializzate, che svolge attività di " riproduzione di sentenze e altri provvedimenti giurisdizionali, su supporti cartacei e informatici, nonché mediante reti di comunicazione elettronica".

Il riferimento esplicito alle reti di comunicazione elettronica (es. Internet) quali mezzi per la riproduzione o la diffusione di sentenze ed altri provvedimenti giurisdizionali, implica la conseguente assoggettabilità di siti web, blog ed altre risorse come, ad esempio, le reti sociali, alle regole poste a tutela dei diritti degli interessati.

Queste regole consistono nel rendere anonimi i dati personali degli interessati (es. parte di un processo civile o imputato di un processo penale) e degli altri soggetti (es. testimone, consulente) che sarebbero identificabili mediante la sentenza od il provvedimento. Differenti sono però le modalità attraverso le quali il processo di "anonimizzazione" dei dati può essere attivato (art. 52 T.U Privacy, D.Lgs. 196/03).

Anonimato su richiesta di parte

L'interessato deve presentare una apposita istanza all'ufficio giudiziario dinanzi al quale si svolge il procedimento, prima che quest'ultimo venga definito con sentenza.
L'istanza deve contenere l'esplicita richiesta di riportare, a cura della cancelleria o segreteria, una annotazione che specifichi che, in caso di riproduzione della sentenza o del provvedimento, non può essere riportata l'indicazione delle generalità e di ogni altro dato idoneo ad identificare direttamente il richiedente (l'inibizione riguarda solo il richiedente e non può essere estesa ad altri soggetti).
L'istanza deve essere supportata da motivi legittimi, quali la delicatezza della vicenda o la particolare natura sensibile dei dati, e viene decisa direttamente dall'autorità giudiziaria.

Anonimato disposto dall'autorità giudiziaria

E' interamente devoluto alla competenza dell'autorità giudiziaria, cui spetta l'onere di valutare attentamente se, nel caso sottoposto al suo vaglio, assumano rilevanza dati personali "dotati di particolare significatività che, se indiscriminatamente diffusi, possono determinare negative conseguenze sui vari aspetti della vita sociale e di relazione dell'interessato (ad esempio, in ambito familiare o lavorativo)", a prescindere da una richiesta specifica dell'interessato.

Obbligo generale di anonimato

Esiste un obbligo generale di diffusione dei dati dei minori e delle parti nei procedimenti giudiziari in materia di rapporti di famiglia e stato delle persone, anche se attinenti a rapporti patrimoniali od economici; trattandosi di divieto assoluto, esso non può essere superato neppure con l'eventuale consenso dell'interessato.

La disposizione riguarda soltanto le parti processuali e non gli eventuali altri soggetti (es. testimone) che, in caso di interesse all'oscuramento dei propri dati, possono richiederlo mediante istanza separata.

La tutela offerta in questo caso è più ampia perchè riguarda non soltanto le generalità e gli altri dati identificativi dei soggetti tutelati, ma "anche gli altri dati anche relativi a terzi dai quali può desumersi anche indirettamente l'identità di tali soggetti".
In questo caso il Garante ritiene opportuno, anche se non previsto espressamente, che l'autorità giudiziaria provveda d'ufficio all'annotazione dell'obbligo di anonimato, per evitare dubbi o confusioni di ogni genere.

Va infine evidenziato che non è l'ufficio giudiziario, ma chi riceve copia dei provvedimenti con l'annotazione che dispone l'oscuramento, che deve provvedere in tal senso, ove intenda riprodurli o diffonderli, anche sotto forma di massima, per finalità di informazione giuridica.

Privacy e referti medici online: le linee guida

L'autorità garante della privacy ha reso note le proprie Linee guida in tema di referti online pubblicate sulla G.U. n. 288 dell'11 dicembre 2009.

Si tratta di un provvedimento il cui ambito applicativo è circoscritto alla refertazione online, cioè al servizio che offre ad un assistito la possibilità di accedere, con modalità informatiche e telematiche, alla relazione (cd. referto) che il medico rilascia a seguito di un esame di natura clinica o strumentale.

L'obiettivo di queste linee guida, articolate in più punti, è quello di prevedere delle specifiche garanzie a protezione dei dati personali dei cittadini, relativamente alle più comuni modalità con le quali le strutture sanitarie rendono disponibili online i referti medici.

Facoltatività del servizio

L'interessato deve essere libero di scegliere se avvalersi o meno del servizio di refertazione online, senza che questo pregiudichi la facoltà di usufruire delle prestazioni mediche o di continuare a ritirare i referti cartacei presso la struttura che ha erogato la prestazione.

Inoltre, l'interessato che abbia scelto di avvalersi del servizio rimane, comunque, titolare di alcune facoltà, come :

• il diritto di manifestare, in occasione di ogni esame, una volontà diretta ad escludere il singolo referto dal servizio online prescelto;
• la possibilità di confermare, in occasione di successivi accertamenti clinici, l'indirizzo di posta elettronica presso il quale ricevere la comunicazione del referto;
• la possibilità di acconsentire alla comunicazione dei risultati diagnostici al proprio medico curante, al medico di medicina generale oppure al pediatra;

Nel caso di avvisi tramite la rete cellulare (SMS), i messaggi devono limitarsi a dare la notizia della disponibilità del referto e non possono indicare nè la tipologia dell'accertamento effettuato, nè il suo esito, nè le credenziali di autenticazione eventualmente assegnate all'interessato per l'accesso online.

Informativa e consenso

Il titolare del trattamento deve rendere all'interessato una informativa sulle caratteristiche del servizio di refertazione online, compresa in particolare la sua natura facoltativa, per consentirgli di esprimere una scelta informata e consapevole.

L'informativa, come di consueto, deve contenere le indicazioni richieste dall'art. 13 del d.lgs. 196/03 e può essere fornita contestualmente, purchè separatamente, da quella relativa al trattamento dei dati per finalità di cura.

A seguito dell'informativa il titolare deve acquisire il consenso specifico dell'interessato al trattamento dei propri dati attraverso le particolari modalità del servizio.

Archiviazione online dei referti

Nel caso in cui venga offerta anche la possibilità di archiviare e consultare online tutti i referti degli esami eseguiti presso i laboratori della stessa struttura sanitaria, il titolare deve rendere all'interessato una ulteriore informativa specifica ed acquisire un autonomo consenso.

In questo caso specifico l'autorità ritiene che tali archivi possano ricadere nella definizione di dossier sanitario, di cui si occupano le Linee guida in tema di Fascicolo Sanitario Elettronico (FSE) e di dossier sanitario e, quindi, siano soggetti alle speciali misure di sicurezza identificate in tale provvedimento.

Comunicazioni dei dati

L'abilitazione di accesso ai sistemi di refertazione online deve essere assoggettata alla cautele previste dalla disciplina vigente, anche per quanto riguarda l'intermediazione richiesta dall'art. 84 del d.lgs. 196/93 per la comunicazione dei dati concernenti lo stato di salute (provvedimento 9 novembre 2005).

Inoltre i titolari dei dati che offrono il servizio online devono tenere conto delle disposizioni che prevedono una attività di consulenza specifica da parte del personale medico in relazione alla comunicazione dei referti ed all'illustrazione del loro significato diagnostico.

Misure di sicurezza

Particolarmente corposa è la parte del provevdimento concernente le prescrizioni di sicurezza; infatti, la natura particolare dei dati e delle modalità di trattamento richiede l'individuazione e l'applicazione di misure di sicurezza idonee, ai sensi dell'art. 31 del d.lgs. 196/03, oltre a quelle minime previste dagli art. 33 e ss.

Il provvedimento individua comunque alcune misure minime, differenziandole in base a due scenari ipotizzabili in relazione alle modalità più comuni di accesso e consultazione dei referti:

1. consultazione tramite sito web:
   • protocolli di comunicazione basati su standard crittografici, con certificazione digitale dell'identità dei sistemi che erogano il servizio (SSL o Secure Socket Layer);
   • utilizzo di tecniche per evitare l'acquisizione delle informazioni contenute nel file elettronico in caso di una sua memorizzazione in sistemi di caching, locali o centralizzati, a seguito della sua consultazione online;
   • sistemi di autenticazione dell'interessato, preferibilmente tramite strong authentication;
   • disponibilità del referto online limitata ad un periodo massimo di 45 giorni;
   • possibilità per l'utente di evitare la visibilità online o di cancellare, in modo completo o selettivo, i referti che lo riguardano;
2. invio tramite posta elettronica:
   • spedizione del referto come allegato e non come testo accluso al corpo del messaggio (quindi, no alla modalità inline);
   • protezione del file contenente il referto tramite password di apertura o chiave crittografica, rese note attraverso canali di comunicazione differenti da quelli utilizzati per la spedizione dei referti. Questa cautela particolare può essere evitata soltanto quando l'interessato ne faccia richiesta espressa e consapevole;
   • convalida degli indirizzi di posta elettronica attraverso verifiche da compiere online per evitare la spedizione dei documenti riservati a soggetti diversi dal richiedente;

In aggiunta a queste misure che riguardano più direttamente le modalità di erogazione del servizio di refertazione, agli utenti devono essere fornite garanzie su:

• disponibilità di sistemi di autenticazione ed autorizzazione degli incaricati, in funzione dei ruoli e delle esigenze di accesso e trattamento, con l'obbligo del ricorso all'autenticazione forte basata su biometria nel caso di dati idonei a rivelare l'identità genetica di un individuo;
• separazione fisica e logica dei dati idonei a rivelare lo stato di salute e la vita sessuale dagli altri dati trattati per finalità amministrativo-contabili;

Per non mettere a repentaglio la riservatezza dei dati vanno, infine, predisposte delle procedure per interrompere l'invio tramite posta elettronica o rendere indisponibili online i referti relativi ad un interessato che abbia comunicato il furto o lo smarrimento delle proprie credenziali di autenticazione o altre condizioni di rischio.

Il trattamento dei dati personali nelle controversie transfrontaliere

Le informazioni hanno assunto, da tempo, il ruolo di supporto decisionale fondamentale non soltanto nel business, ma anche nella risoluzione delle controversie che rappresentano ormai un evento, tutt'altro che remoto, nel contesto di rapporti negoziali e commerciali sempre più complessi, articolati e, spesso, estesi al di là dei tradizionali confini geografici.

Grazie all'utilizzo diffuso delle nuove tecnologie, le informazioni sono oggi generate, per la quasi totalità, in forma digitale e una parte consistente di esse non è neppure riprodotta su supporti fisici.

Inoltre, una quota, più o meno consistente, di questo immenso flusso informativo elettronico è probabilmente rappresentata dai dati personali oggetto, come è noto, delle particolari tutele previste dalla direttiva 95/46/CE.

Allo stato attuale permane una situazione di conflitto, abbastanza reale, tra l'ambito geografico di applicazione delle leggi europee sulla protezione dei dati personali e la natura multinazionale delle numerose società che, pur avendo sede in uno degli stati membri UE, fanno, in realtà, parte di gruppi societari esteri.

Esiste, infatti, la possibilità che la risoluzione delle controversie, nelle quali queste entità siano eventualmente coinvolte, sia devoluta a giurisdizioni diverse da quelle dei paesi membri UE, il che pone, in relazione alla normativa europea, alcune questioni, di non facile soluzione, concernenti la conservazione preventiva dei documenti - cosiddetto freezing - e la discovery, cioè il processo volto a garantire che tutte le parti possano utilizzare le informazioni rilevanti ai fini della controversia incluse, ovviamente, quelle memorizzate in forma elettronica.

A complicare ulteriormente il quadro, il fatto che lo scopo, le norme e le procedure che regolamentano la discovery differiscono, anche sensibilmente, tra gli ordinamenti di common law (U.S, UK) e quelli di civil law (paesi UE): ad esempio, negli Stati Uniti le parti devono rispettare gli obblighi imposti dalle procedure e sono indotte a scambiarsi, prima della prova, non solo le informazioni pertinenti, ma anche quelle che potrebbero portare alla divulgazione di altri aspetti rilevanti ai fini della risoluzione della controversia.

Peraltro, queste informazioni non sono affatto circoscritte ai soli dati personali, ma possono comprendere anche dati sensibili, come quelli sanitari, le e-mail ed i dati di terze parti (dipendenti o clienti), generando preoccupazioni per il rispetto della segretezza delle comunicazioni e il trattamento dei dati personali secondo le normative europee.

Nella maggior parte degli ordinamenti di civil law, invece, l'approccio è più restrittivo, limitando la divulgazione a ciò che è strettamente necessario ai fini della prova e lasciando alle singole parti l'onere, ma non l'obbligo, di offrire elementi a sostegno della loro causa. In alcuni ordinamenti, addirittura, sono state introdotte leggi che impediscono la divulgazione di informazioni a giurisdizioni straniere.

Proprio per garantire un corretto bilanciamento tra gli obblighi di protezione di matrice europea e le esigenze delle giurisdizioni straniere, il Gruppo di lavoro dell'art. 29 della direttiva 95/46/CE ha rilasciato un documento nel quale chiarisce quali siano i presupposti e le condizioni da rispettare per poter ritenere legittimo il trattamento dei dati personali nell'ambito delle controversie di natura transfrontaliera ed in considerazione delle varie fasi del contenzioso, compresi il mantenimento, la divulgazione, il trasferimento e l'utilizzo per finalità secondarie.

Photo credit: ilco

Agcom: integrazione linee guida a tutela dei consumatori

Il comma 3 dell'art. 1 della legge 40/07 prevede, a tutela di coloro che stipulano contratti per adesione con operatori di telefonia, di reti televisive e di comunicazioni elettroniche, il diritto di recedere dal contratto senza vincoli temporali o ritardi non giustificati, senza spese non giustificate da costi dell'operatore e senza un obbligo di preavviso superiore ai 30 giorni.

A seguito di una serie di richieste, l'autorità per le garanzie nelle comunicazioni ha ritenuto che tale forma di tutela debba trovare applicazione pure nei confronti degli utenti business come, ad esempio, i liberi professionisti o le imprese, poichè anche tale categoria di utenti non gode di un effettivo potere negoziale, limitandosi nella maggior parte dei casi a sottoscrivere le clausole predisposte dal contraente forte.

Alla luce di questo importante chiarimento interpretativo è stata pertanto predisposta una integrazione del punto 3 delle linee guida della Direzione Tutela dei Consumatori esplicative per l'attività di vigilanza da effettuare ai sensi dell'art.1, comma 4, della Legge n. 40/2007.

Sperimentazioni cliniche di medicinali:le linee guida

La sperimentazione clinica di medicinali riveste un ruolo cruciale ai fini della verifica degli effetti sulla salute umana e della efficacia dei nuovi medicinali nel combattere particolari stati patologici.

L'importanza di questi studi ai fini del progresso medico e la particolare natura sensibile delle informazioni, oggetto di trattamento durante la fase di sperimentazione, richiedono un approccio orientato ad un equo contemperamento tra le esigenze operative e quelle di protezione dei dati stessi.

In mancanza di misure ed accorgimenti idonei, la riservatezza di questi dati può essere infatti messa a repentaglio, anche a causa del numero elevato di soggetti che, normalmente, risultano coinvolti nella sperimentazione e che, in alcuni casi, possono risiedere al di fuori del territorio nazionale, in paesi che non offrono un adeguato livello di protezione dei dati personali.

Un ulteriore aspetto da non sottovalutare è poi quello relativo al lungo tempo di conservazione di questi dati a seguito della chiusura della sperimentazione stessa.

Per questi motivi, l'autorità garante della privacy, ha emanato delle linee guida rivolte a individuare gli accorgimenti e le misure necessari ed opportuni riguardo al trattamento dei dati personali dei partecipanti a sperimentazioni cliniche da parte dei promotori degli studi.

Misure ed accorgimenti che devono essere, comunque, applicate da tutti gli altri titolari di trattamenti di dati personali effettuati a fini di sperimentazione clinica, quali promotori diversi dalle società farmaceutiche, organizzazioni di ricerca a contratto e centri di sperimentazione.

Fonte: Linee guida per i trattamenti di dati personali nell'ambito delle sperimentazioni cliniche di medicinali