Sanità/Salute

  • GPDP, Docweb 9555987, 25.2.2021 (1)

    Massima (1) – Il trattamento di dati personali effettuato da parte del Ministero della salute nell’ambito del Sistema di allerta Covid-19 mediante l’App “Immuni” presenta una valutazione d’impatto, modificata secondo le indicazioni del Garante, contenente la previsione di misure adeguate a garantire il rispetto dei diritti e delle libertà degli interessati, che attenuano i rischi che potrebbero derivare dal trattamento, e un nuovo meccanismo per consentire in autonomia, a un soggetto risultato positivo, di caricare le TEK (Temporary Exposure Key) nel backend di Immuni e dunque di interagire direttamente con il sistema di allerta Covid-19 per comunicare l’esito positivo del referto, consentendo una maggior efficienza complessiva del sistema medesimo.

  • Autorizzazione al trattamento dei dati personali effettuato attraverso l’App Immuni (sistema di allerta Covid-19) da parte del Ministero della Salute

    GPDP, Docweb n. 9555987 del 25 febbraio 2021 | Massime e Commento di Elena Guerri

  • Sviluppo di metodologie predittive e trattamento di dati da parte di Regioni e Province autonome nell’ambito dell’attività di collaborazione istituzionale con il Ministero della Salute

    GPDP, Docweb nn. 9752177, 9752221, 9752260, 9752410, 9752299, 9752433, 9752490 e 9752524 del 24 febbraio 2022 | Massime e Commento di Cristina Moser

  • GPDP, Docweb 9544504, 27.1.2021 (3)

    Massima (3) – La condotta dell’interessata non rileva ai fini della valutazione dell’illiceità del trattamento in relazione alla violazione dei dati personali, là dove la violazione sia comunque imputabile all’inadeguatezza delle misure tecniche e organizzative implementate, a prescindere dalla supposta incidenza causale della condotta dell’interessato medesimo sugli eventi. Né rileva, ai fini della valutazione dell’illecito, la circostanza che il terzo, a cui siano stati comunicati illecitamente i dati relativi alla salute dell’interessata (causa del ricovero ospedaliero), sia un prossimo congiunto che li abbia comunque appresi in altro modo.

  • GPDP, Docweb 9544505, 27.1.2021 (2)

    Massima (2) – Nell’ambito della gestione dei dati personali dei pazienti, con particolare attenzione a quelli particolari, la cui indebita comunicazione o diffusione sarebbe in grado di incidere significativamente sui diritti e le libertà degli interessati, l’Azienda sanitaria è tenuta a mettere in atto misure tecniche ed organizzative adeguate a garantire un livello di sicurezza adeguato al rischio. In questo senso, la mera specificazione, nel documento di attribuzione del ruolo di incaricato del trattamento, prima, e autorizzato del trattamento, poi, conferito all’infermiera di una struttura sanitaria, si è da ritenersi insufficiente a garantire l’effettività dei principi inerenti al trattamento dei dati personali, in particolare di correttezza e trasparenza, se non corroborata da ulteriori adeguate misure tecniche e/o organizzative – richieste dall’art. 5, par. 1, lett. f) e dall’art. 32 GDPR – che tengano nella dovuta considerazione il particolare contesto ospedaliero in cui siffatti trattamenti di dati personali, anche estremamente delicati, hanno luogo (la circostanza che un’infermiera di un reparto di ginecologia si trovi a doversi destreggiare contemporaneamente tra due o più pazienti non rappresenta infatti un evento imprevedibile, tale da giustificare la comunicazione dei dati dell’interessata, relativi all’interruzione volontaria della gravidanza, al di lei marito, in presenza di un diniego espresso dalla paziente).

  • GPDP, Docweb 9544504, 27.1.2021 (1)

    Massima (1) – La disciplina in materia di protezione dei dati personali (considerando n. 35 e art. 9 GDPR, nonché art. 83 d.lgs. 196/2003, in combinato disposto con l’art. 22, co. 11, d.lgs. 101/ 2018) prevede, in ambito sanitario, che le informazioni sullo stato di salute possano essere riferite solo all’interessato e possano essere comunicate a terzi solo sulla base di un idoneo presupposto giuridico o su specifica indicazione dell’interessato stesso, previa delega scritta di quest’ultimo.

  • Illecita comunicazione di dati relativi all’interruzione volontaria della gravidanza da parte di una struttura sanitaria al marito della paziente

    GPDP, Docweb n. 9544504 del 27 gennaio 2021 | Massime e Commento di Luca Petrone

  • GPDP, Docweb 9727220, 13.12.2021 (3)

    Massima (3) – Le diverse verifiche – quella relativa all’obbligo vaccinale e quella relativa al possesso della certificazione verde (green pass) – devono, nel rispetto sia dei principi di protezione dei dati che del quadro normativo di settore, essere effettuate con una diversa cadenza. Diversamente dalle verifiche relative al possesso di una valida certificazione verde, non può ritenersi giustificata l’esecuzione di verifiche relative all’assolvimento dell’obbligo vaccinale con cadenza ravvicinata (quotidiana o, comunque, frequente), assicurando in ogni caso il trattamento di dati esatti e aggiornati, ai sensi dell’art. 5, par. 1, lett. d), GDPR.

  • GPDP, Docweb 9727220, 13.12.2021 (2)

    Massima (2) – I trattamenti effettuati per la verifica dell’obbligo vaccinale, nei casi previsti dalla legge, devono essere tenuti separati da quelli effettuati per la verifica quotidiana del possesso della certificazione verde Covid-19 per l’accesso alle sedi di lavoro, nel rispetto delle condizioni e dei limiti previsti da norme distinte che, in modo diverso, concorrono al contenimento dell’epidemia da Covid-19 e allo svolgimento in sicurezza delle attività lavorative, economiche e sociali.

  • GPDP, Docweb 9727220, 13.12.2021 (1)

    Massima (1) – I trattamenti di dati personali finalizzati alla verifica del rispetto dell’obbligo vaccinale e del possesso della c.d. certificazione verde per l’accesso ai luoghi di lavoro devono necessariamente svolgersi in maniera distinta al fine di assicurare un trattamento lecito, corretto e trasparente, limitato alle finalità determinate, esplicite e legittime, ex art. 5 GDPR.

Open Access