Il decreto-legge in esame reca la disciplina dello svolgimento di un'indagine di sieroprevalenza, epidemiologica e statistica, condotta dal Ministero della salute e dall'ISTAT, concernente la diffusione nella popolazione italiana del virus SARS-COV-2 (noto anche come COVID-19). L'indagine si basa sull'esecuzione di analisi sierologiche, intese a rilevare la presenza di anticorpi specifici negli individui compresi nei campioni.
Le finalità dell'indagine, come risulta dalla relazione illustrativa del disegno di legge di conversione del presente decreto, consistono: nell'acquisizione di un quadro di dati sullo "stato immunitario" della popolazione e sulla diffusione del virus, superando le difficoltà di valutazione relative alla quota di soggetti che abbiano contratto l'infezione senza sintomi o con scarsi sintomi; nella conseguente acquisizione di informazioni sulle caratteristiche epidemiologiche, cliniche e sierologiche del virus (ivi compreso il tasso di letalità); nella possibilità di adeguare, sulla base di tali cognizioni, le misure di profilassi e di contenimento e le decisioni strategiche nel settore sanitario e socio-sanitario.
Si segnala peraltro, che l’articolo 13 del Decreto-legge n. 34 del 2020 (c.d. Decreto Rilancio) autorizza l’Istituto nazionale di statistica (ISTAT), fino al termine dello stato di emergenza dichiarato con delibera del Consiglio dei Ministri del 31 gennaio 2020 e per i dodici mesi successivi, a trattare dati personali, anche inerenti alle particolari categorie di dati e relativi a condanne penali e reati, per effettuare rilevazioni, anche longitudinali, elaborazioni e analisi statistiche anche presso gli interessati sul territorio nazionale, volte alla comprensione della situazione economica, sociale ed epidemiologica italiana.
Il decreto legge prevede specifiche disposizioni concernenti la protezione della riservatezza dei dati personali, l'organizzazione di una piattaforma tecnologica presso il Ministero della salute, la definizione di uno o più campioni di individui e la relativa effettuazione delle analisi sierologiche, la conservazione dei campioni raccolti, gli studi relativi a questi ultimi e ad altri dati connessi, l'acquisizione di beni e servizi (anche informatici), il conferimento di incarichi di lavoro autonomo da parte dell'ISTAT, le norme finanziarie.
Si segnala che su di una prima bozza di decreto legge, il Garante per la protezione dei dati personali, in data 4 maggio ha reso un parere (richiesto in data 29 aprile dal Ministero della Salute), nell’ambito del quale erano state rilevate diverse criticità delle disposizioni rispetto alla disciplina di protezione dati. Sul sito istituzionale del Garante, è pubblicato il seguente comunicato “A seguito della trasmissione del parere al Ministero richiedente, già a partire dal 5 maggio sono state avviate intense e proficue interlocuzioni tra gli uffici del predetto Ministero, dell’Istat, della Protezione civile e dell’Autorità che hanno consentito di riformulare la disposizione in modo da superare le criticità originariamente rilevate e, il giorno 6 maggio, l’Autorità ha potuto dare conferma del fatto che il nuovo testo proposto dal Ministero era idoneo a superare i rilievi inizialmente evidenziati”.
In particolare, il comma 1 autorizza, nell’ambito della predetta indagine di sieroprevalenza, il trattamento di dati personali anche genetici e relativi alla salute, per fini statistici e di studi scientifici svolti nell'interesse pubblico nel settore della sanità pubblica, nel rispetto:
• delle norme del Regolamento (UE) 2016/679 2016 sulla protezione dei dati personali relative al trattamento di particolari categorie di dati - tra i quali quelli genetici e relativi alla salute- per fini statistici e per motivi di interesse pubblico rilevante;
Il Regolamento europeo generale sulla protezione dei dati (Regolamento 2016/679/UE del Parlamento europeo e del Consiglio, del 27 aprile 2016) all’art. 9, par. 1, vieta (tra gli altri) il trattamento di dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica e dei dati relativi alla salute. Tuttavia il medesimo art. 9, par. 2, individua i presupposti in presenza dei quali tali dati possono essere legittimamente trattati. Nello specifico, il trattamento è consentito se trova fondamento nel consenso esplicito dell’interessato ovvero nella necessità del trattamento stesso per una serie di motivi tassativamente elencati. In particolare le lettere g) e j), consentono: il trattamento dei dati personali per motivi di interesse pubblico rilevante sulla base del diritto dell'Unione o degli Stati membri; il trattamento necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o a fini statistici. In ogni caso il trattamento deve essere proporzionato alla finalità perseguita, rispettare l'essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato. Ai sensi dell’Art. 89,par. 1, del medesimo Regolamento il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici deve essere soggetto a garanzie adeguate per i diritti e le libertà dell'interessato. Tali garanzie assicurano che siano state predisposte misure tecniche e organizzative, in particolare al fine di garantire il rispetto del principio della minimizzazione dei dati. Tali misure possono includere la pseudonimizzazione, purché le finalità in questione possano essere conseguite in tal modo. Qualora possano essere conseguite attraverso il trattamento ulteriore che non consenta o non consenta più di identificare l'interessato, tali finalità devono essere conseguite in tal modo.
• delle disposizioni del Codice della protezione dei dati personali (D. lgs. n. 196 del 2003, e successive modificazioni) relative al trattamento delle categorie particolari di dati personali necessario per motivi di interesse pubblico rilevante.
Per dare attuazione alle sopra descritte disposizioni europee sul trattamento delle particolari categorie di dati (c.d. dati sensibili) il D.lgs. n. 196 del 2003 così come novellato dal D.lgs. n. 101 del 2018 (Codice della privacy) all’articolo 2-sexies, disciplina il trattamento delle categorie particolari di dati personali necessario per motivi di interesse pubblico rilevante, consentendolo solo se previsto dal diritto dell’Unione europea ovvero, nell’ordinamento interno, da disposizioni di legge o, nei casi previsti dalla legge, di regolamento, che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante. Al riguardo il comma 2 elenca le ipotesi in cui l’interesse pubblico può considerarsi rilevante ai fini della possibilità di eseguire il trattamento dei dati particolari. La lettera cc), considera rilevante l'interesse pubblico relativo ad alcuni trattamenti, tra cui quelli effettuati per fini di ricerca scientifica da soggetti che svolgono compiti di interesse pubblico o connessi all'esercizio di pubblici poteri, e i trattamenti effettuati per fini statistici da parte di soggetti che fanno parte del Sistema statistico nazionale (Sistan).
Lo svolgimento dell’indagine è demandato - per i profili di rispettiva competenza - ai competenti uffici del Ministero della salute e dall'Istituto nazionale di statistica (ISTAT), i quali vengono qualificati come i soggetti titolari del trattamento, agli effetti della disciplina sulla protezione dei dati personali, secondo la quale il titolare del trattamento, singolarmente o insieme con altri, determina le finalità e i mezzi del trattamento di dati personali.
L’articolo 4, primo comma, numero 7), del Regolamento 2016/679/UE, fornisce la definizione di «titolare del trattamento» consistente nella persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell'Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell'Unione o degli Stati membri; nonché di «responsabile del trattamento»: la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento.
L'indagine è svolta secondo le modalità individuate:
· dall’articolo in esame;
· dal protocollo approvato dal Comitato tecnico-scientifico (istituito ai sensi dell'articolo 2 dell'ordinanza n. 630 del 3 febbraio 2020 del Capo del Dipartimento della protezione civile);
· nel rispetto delle pertinenti regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale inserite (Allegato A) nel più volte citato Codice in materia di protezione dei dati personali.
Le "Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale" (oggetto della delibere del Garante per la protezione dei dati personali n. 514 e 515 del 19 dicembre 2018 ed inserite nel suddetto allegato A con D.M. 15 marzo 2019) e le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati fuori dall’ambito del Sistema statistico nazionale(oggetto della delibere del Garante per la protezione dei dati personali n. 514 e 515 del 19 dicembre 2018 ed inserite nel suddetto allegato A con D.M. 15 marzo 2019)
Il rispetto delle disposizioni contenute nelle regole deontologiche costituisce condizione essenziale per la liceità e correttezza del trattamento dei dati personali e il mancato rispetto delle stesse comporta l’applicazione della sanzione di cui all’art. 83, paragrafo 5 del Regolamento (artt. 2-quater, comma 4, e 166, comma 2, del Codice), ossia l’applicazione della sanzione amministrativa pecuniaria fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
Il comma 2 prevede l'istituzione, presso il Ministero della salute, di un’apposita piattaforma tecnologica, destinata in via esclusiva allo svolgimento dell’indagine in oggetto, e specifica che quest’ultima si basa sull’esecuzione di analisi sierologiche per la ricerca di anticorpi specifici nei confronti del virus SARS-COV-2, con riferimento agli individui rientranti nei campioni di cui al comma 3.
Ai sensi del comma 3, l’ISTAT, in accordo con il suddetto Comitato tecnico-scientifico, individua, tramite i propri registri statistici (in particolare sono i seguenti registri: individui, unità economiche, luoghi, registro tematico del lavoro) uno o più campioni casuali di individui, anche longitudinali, rilevati anche su base regionale, per classi di età, genere e settore di attività economica, i quali saranno invitati a sottoporsi alle analisi sierologiche in oggetto. Con la locuzione "anche longitudinali" si fa riferimento alla possibilità che gli stessi soggetti siano sottoposti, sempre su base volontaria, a diverse analisi nel corso del tempo.
Sul sito istituzionale dell’ISTAT è specificato che il disegno del campione prevede l’osservazione di 150.000 individui sull’intero territorio italiano.
Si ricorda che al Parlamento è trasmessa con cadenza annuale (ai sensi dell’articolo 24 del decreto legislativo n. 322 del 1989) una relazione sull'attività dell'ISTAT, sulla raccolta, trattamento e diffusione dei dati statistici della pubblica amministrazione, nonché sullo stato di attuazione del programma statistico nazionale in vigore.
L’edizione 2019 della Relazione illustra le principali caratteristiche del Sistema statistico nazionale, definite attraverso la Rilevazione sugli elementi identificativi, risorse e attività degli uffici di statistica del Sistan (Eup).
La prima parte è dedicata al Sistema statistico nazionale, la seconda fornisce informazioni sul livello di realizzazione dei lavori previsti nel 2018 all’interno del Programma statistico nazionale (Psn).
Si valuti l’opportunità di specificare che, nell’ambito della Relazione annuale trasmessa al Parlamento ai sensi dell’art. 24 del d. lgs. n. 322 del 1989, sono ricomprese le attività svolte ai sensi del decreto-legge in esame.
In base al comma 4, l’ISTAT trasmette, con modalità sicure, alla piattaforma summenzionata i dati anagrafici e il codice fiscale degli individui rientranti nei campioni, nonché degli esercenti la responsabilità genitoriale o del tutore o dell’affidatario dei minori d’età (rientranti nei medesimi campioni); i competenti uffici del Ministero della salute richiedono, ai fini dell'indagine in esame, ai fornitori dei servizi telefonici - i quali sono tenuti a dare riscontro con modalità sicure - le utenze di telefonia dei loro clienti che appartengano ai campioni o che siano responsabili dei minori summenzionati.
Andrebbe valutata l’opportunità di specificare quali siano i fornitori di servizi telefonici cui sono richieste le utenze di telefonia e in base a quali parametri le modalità di riscontro dei fornitori stessi possano essere considerate sicure.
In base ai dati così acquisiti, le regioni e le province autonome, al fine di favorire l'adesione all'indagine, comunicano con modalità sicure ai medici di medicina generale e ai pediatri di libera scelta i nominativi dei relativi assistiti rientranti nei campioni, affinché questi ultimi siano informati (dai suddetti professionisti) dell’indagine in corso.
L’Associazione della Croce Rossa italiana:
· verifica telefonicamente la disponibilità dei singoli all’effettuazione delle analisi sierologiche;
· fissa gli appuntamenti per il prelievo;
· rivolge un questionario, predisposto dall’ISTAT in accordo con il Comitato tecnico-scientifico, al soggetto che si sottopone alle analisi;
· fornisce, in maniera sintetica, le informazioni da fornire all’interessato ai sensi della disciplina europea sul trattamento dei dati personali.
Gli articoli 13 e 14 del Regolamento 2016/679/UE, disciplinano le informazioni da fornire all'interessato, rispettivamente, nel caso in cui la raccolta dei dati personali avvenga presso l'interessato e nel caso in cui i dati non siano stati ottenuti presso lo stesso.
In particolare, l’articolo 13 elenca le informazioni, relative al titolare del trattamento, da fornire quando i dati personali sono raccolti presso l’interessato. Inoltre, il titolare del trattamento è tenuto a fornire all’interessato anche le seguenti informazioni: periodo di conservazione dei dati; esistenza di un processo decisionale automatizzato, compresa la profilazione; modalità di esercizio dei diritti di accesso, rettifica, cancellazione, opposizione e portabilità dei dati, se non sussistono specifiche limitazioni; modalità di esercizio del diritto di revocare il consenso e del diritto di reclamo.
Quando i dati non sono stati ottenuti presso l’interessato, in base all’articolo 14 del Regolamento UE, il titolare del trattamento deve comunque fornire all’interessato informazioni analoghe a quelle previste dall’articolo 13 oltre ad informazioni sulla fonte da cui hanno origine i dati personali.. Le disposizioni dell’articolo 14 non si applicano, peraltro, se l’interessato dispone già delle informazioni, se la comunicazione implica uno sforzo sproporzionato, quando l’informativa rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di archiviazione nel pubblico interesse, quando l’ottenimento o la comunicazione sono espressamente previsti dal diritto UE o dello Stato membro, che garantiscono misure appropriate per tutelare gli interessi legittimi dell’interessato, quando i dati personali debbano rimanere riservati conformemente a un obbligo di segreto professionale.
Le citate Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica, di cui agli All A3 e A4 del Codice per la protezione dei dati personali, prevedono specificamente che nella raccolta di dati per uno scopo statistico, nell´ambito delle informazioni di cui all´art. 13 del Regolamento deve essere rappresentata all´interessato l´eventualità che i dati personali possono essere conservati e trattati per altri scopi statistici o scientifici, per quanto noto adeguatamente specificati anche con riguardo alle categorie di soggetti ai quali i dati potranno essere comunicati. Quando i dati sono raccolti presso terzi, ovvero il trattamento effettuato per scopi statistici o scientifici riguarda dati raccolti per altri scopi, e l´informativa comporta uno sforzo sproporzionato rispetto al diritto tutelato, il titolare adotta idonee forme di pubblicità.
Le informazioni agli interessati sono pubblicate in maniera completa e sono consultabili sui siti internet istituzionali del Ministero della salute e dell’ISTAT. Si valuti l’opportunità di specificare, anche ai fini della conformità con le suddette norme europee, che nell’informativa di sintesi si indichi dove siano reperibili le informazioni integrali.
In ogni caso, il successivo comma 6 specifica che le informazioni agli interessati concernono (in maniera adeguata) anche i progetti di ricerca che si basino sui dati raccolti.
I campioni raccolti presso gli appositi punti di prelievo vengono analizzati e refertati dai laboratori individuati dalle regioni e dalle province autonome (comma 6); i risultati delle analisi sono comunicati all’interessato e, per il tramite della piattaforma summenzionata, al Ministero della salute ed all’ISTAT. Si valuti l’opportunità di chiarire se gli adempimenti relativi alle comunicazioni in esame siano poste in capo ai laboratori o alle regioni e province autonome.
Si valuti inoltre l’opportunità di chiarire, nel caso in cui il risultato delle analisi del soggetto interessato evidenzi la presenza di anticorpi specifici, quali siano gli ulteriori passaggi od accertamenti da attivare.
Il comma 6 specifica inoltre che i campioni raccolti sono consegnati, a cura della Croce Rossa italiana, alla banca biologica dell'Istituto nazionale per le malattie infettive-IRCCS "Lazzaro Spallanzani".
La banca biologica dell'Istituto nazionale per le malattie infettive-IRCCS "Lazzaro Spallanzani" è stata istituita con la delibera del direttore generale n. 320 del 20 luglio 2009 nel rispetto delle Linee guida per l’istituzione e l’accreditamento delle biobanche, prodotte il 19 aprile 2006 dal Comitato Nazionale per la Bio-sicurezza e le Biotecnologie della Presidenza del Consiglio dei Ministri.
Ai sensi del medesimo comma, il trattamento dei campioni e dei relativi dati è effettuato per esclusive finalità di ricerca scientifica sul SARS-COV-2, individuate dal protocollo di cui al comma 1, nel rispetto delle prescrizioni del Garante per la protezione dei dati personali individuate nel Provvedimento del 5 giugno 2019, e successive modificazioni, il quale reca, tra le altre, prescrizioni relative al trattamento di particolari categorie di dati personali effettuato per scopi di ricerca scientifica.
Il Provvedimento del Garante per la protezione dei dati personali, del 5 giugno 2019 (pubblicato nella Gazzetta ufficiale del 31 luglio 2019) contiene gli obblighi che devono essere rispettati da un numero elevato di soggetti, pubblici e privati, in diversi settori per poter trattare particolari categorie di dati personali, come quelli legati alla salute, alle opinioni politiche, all'etnia, all'orientamento sessuale. Specifiche prescrizioni concernono peraltro il trattamento dei dati genetici e il trattamento effettuato per scopi di ricerca scientifica. Con riguardo a questi ultimi si ricorda che:
· con riferimento alle modalità di trattamento, ove la ricerca non possa raggiungere i suoi scopi senza l'identificazione, anche temporanea, degli interessati, nel trattamento successivo alla raccolta retrospettiva dei dati, sono adottate tecniche di cifratura o di pseudonimizzazione oppure altre soluzioni che, considerato il volume dei dati trattati, la natura, l'oggetto, il contesto e le finalità del trattamento, li rendono non direttamente riconducibili agli interessati, permettendo di identificare questi ultimi solo in caso di necessità. In questi casi, i codici utilizzati non sono desumibili dai dati personali identificativi degli interessati, salvo che ciò risulti impossibile in ragione delle particolari caratteristiche del trattamento o richieda un impiego di mezzi manifestamente sproporzionato e sia motivato, altresì, per iscritto, nel progetto di ricerca. L'abbinamento al materiale di ricerca dei dati identificativi dell'interessato, sempre che sia temporaneo ed essenziale per il risultato della ricerca, è motivato, inoltre, per iscritto. In applicazione del principio di minimizzazione, il trattamento di dati personali per scopi di ricerca scientifica in campo medico, biomedico o epidemiologico può riguardare i dati relativi alla salute degli interessati e, solo ove indispensabili per il raggiungimento delle finalità della ricerca, congiuntamente anche i dati relativi alla vita sessuale o all'orientamento sessuale, nonché all'origine razziale ed etnica..
· con riguardo ai profili relativi alla custodia e sicurezza, fermo restando l'obbligo di adottare le misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio, sono impiegati dal/i titolare/i del trattamento, ciascuno per la parte di propria competenza in relazione al ruolo ricoperto nel trattamento dei dati e alle conseguenti responsabilità, specifiche misure e accorgimenti tecnici per incrementare il livello di sicurezza dei dati trattati per l'esecuzione dello studio. Ciò sia nella fase di memorizzazione o archiviazione dei dati (e, eventualmente, di raccolta e conservazione dei campioni biologici), sia nella fase successiva di elaborazione delle medesime informazioni, nonché nella successiva fase di trasmissione dei dati al promotore o ai soggetti esterni che collaborano con il primo per l'esecuzione dello studio.
Il titolare del trattamento dei dati raccolti nella banca biologica è il Ministero della salute e l’accesso ai dati da parte di altri soggetti, per le suddette finalità di ricerca, è consentito esclusivamente nell’ambito di progetti di ricerca congiunti con il medesimo Ministero. Come accennato, si dispone che gli interessati siano adeguatamente informati dei progetti di ricerca.
Il comma 6 prevede inoltre che i campioni siano conservati (presso la suddetta banca biologica) per un periodo non superiore a cinque anni.
Con riguardo alla conservazione dei dati e dei campioni, il citato Provvedimento del Garante per la protezione dei dati personali del 5 giugno 2019, prevede che nell’ambito di trattamenti effettuati per finalità scientifiche di rilevante interesse pubblico, i dati e i campioni biologici utilizzati per l'esecuzione della ricerca sono conservati mediante tecniche di cifratura o l'utilizzazione di codici identificativi oppure di altre soluzioni che, considerato il numero dei dati e dei campioni conservati, non li rendono direttamente riconducibili agli interessati, per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati. A tal fine, è indicato nel progetto di ricerca il periodo di conservazione, successivo alla conclusione dello studio, al termine del quale i predetti dati e campioni sono anonimizzati.
Il comma 7 consente che i dati in esame siano comunicati, purché privi di identificativi diretti, ai ricercatori rientranti nelle ipotesi di cui all'articolo 5-ter, comma 1, del D.Lgs. 14 marzo 2013, n. 33, e successive modificazioni, e a ulteriori soggetti, individuati con decreto di natura non regolamentare del Ministro della salute, d’intesa con il Presidente dell’ISTAT, sentito il Garante per la protezione dei dati personali.
Il citato articolo 5-ter del D.Lgs. n. 33 del 2013, e successive modificazioni, reca la disciplina dell'accesso (da parte di altri soggetti) per fini scientifici ai dati elementari (privi di ogni riferimento che permetta l'identificazione diretta delle unità statistiche), raccolti nell'ambito di trattamenti statistici da parte degli enti ed uffici del Sistema statistico nazionale.
Il citato Provvedimento del Garante per la protezione dei dati personali del 5 giugno 2019, prevede che con riguardo alla comunicazione e diffusione dei dati, i soggetti che agiscono in qualità di titolari del trattamento per le finalità in esame, anche unitamente ad altri titolari, possono comunicare tra loro i dati personali oggetto della presente autorizzazione nella misura in cui rivestano il ruolo di promotore, di centro coordinatore o di centro partecipante e l'operazione di comunicazione sia indispensabile per la conduzione dello studio.
Tali comunicazioni sono ammesse nel rispetto della disciplina di cui al suddetto articolo 5-ter e previa stipula di appositi protocolli di ricerca da parte dei soggetti di cui al comma 1. Si valuti l'opportunità di chiarire se si faccia riferimento alla stipulazione di protocolli, in forma congiunta, da parte del Ministero della salute, dell'ISTAT e del summenzionato Comitato tecnico-scientifico.
Il comma 7, inoltre, consente che l'Istituto superiore di sanità tratti per finalità di ricerca scientifica i dati raccolti nell’ambito dell’indagine in esame.
Il comma 8 prevede che l’ISTAT e il Ministero della salute, in quanto titolari dei trattamenti dati nell’ambito dell’indagine si avvalgano, per lo svolgimento della stessa, di alcuni specifici soggetti qualificati come responsabili del trattamento ai sensi della disciplina europea della protezione dei dati personali. Si tratta: della Associazione della Croce Rossa italiana, regioni e province autonome, laboratori individuati dai suddetti enti territoriali, medici di medicina generale e pediatri di libera scelta Si valuti l'opportunità di specificare se anche i soggetti che cooperino ai progetti di ricerca (di cui al precedente comma 6) e l'Istituto superiore di sanità (di cui al comma 7) siano da considerare, ai sensi della suddetta disciplina generale, inclusi nella categoria dei soggetti responsabili del trattamento.
In base al primo comma, numero 8), del citato articolo 4 del Regolamento 2016/679/UE, è un soggetto responsabile del trattamento una persona fisica o giuridica, un'autorità pubblica, un servizio o un altro organismo che tratti dati personali per conto del titolare del trattamento.
Ai sensi dell'articolo 28 del Regolamento (UE) 2016/679, Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest'ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell'interessato.
Il medesimo comma 8 consente che le regioni e le province autonome, ove risulti necessario per finalità di analisi e programmazione nell’ambito dell’emergenza epidemiologica in corso, abbiano accesso ai dati in esame dei propri assistiti, in forma individuale ma priva di ogni riferimento che ne permetta il collegamento diretto con gli interessati e comunque con modalità che, pur assicurando il collegamento nel tempo delle informazioni riferite ai medesimi individui, rendano questi ultimi non identificabili. Per quanto riguarda i dati relativi agli assistiti delle altre regioni e province autonome, l'accesso, da parte degli enti territoriali in esame, è consentito in forma anonima e aggregata, a soli fini comparativi.
In via generale, lo stesso comma 8 specifica che la diffusione dei dati in esame sia possibile solo in forma anonima e aggregata.
Il comma 9 prevede che, ai fini dello svolgimento dell'indagine in oggetto, possano essere acquisiti dati personali (relativi ai soggetti rientranti nei campioni) presenti nel Nuovo sistema informativo sanitario del Ministero della salute, secondo le modalità poste dal regolamento di cui al D.M. 7 dicembre 2016, n. 262, nonché quelli presenti nell’Anagrafe nazionale vaccini, di cui al D.M. 17 settembre 2018 (nel rispetto delle garanzie ivi previste).
Il D.M. 7 dicembre 2016, n. 262 reca il regolamento recante procedure per l'interconnessione a livello nazionale dei sistemi informativi su base individuale del Servizio sanitario nazionale, anche quando gestiti da diverse amministrazioni dello Stato".
Riguardo alla conservazione dei dati personali, il successivo comma 10 dispone che:
· il Ministero della salute e l'ISTAT li cancellino trascorsi quarant'anni dalla raccolta, mentre
· gli altri soggetti utilizzatori possano conservarli solo per il tempo strettamente necessario alle finalità in oggetto.
Con riguardo ai profili concernenti la conservazione dei dati, si ricorda che le citate Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica, che sono parte integrante (All. A3 e 4) del Codice per la protezione dei dati personali (vedi sopra) prevedono che i dati personali possano essere conservati per scopi statistici o scientifici anche oltre il periodo necessario per il raggiungimento degli scopi per i quali sono stati raccolti o successivamente trattati, in conformità all’art. 5, § 1 lett. e) del Regolamento. Tale disposizione generale prevede che i dati vadano conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all'articolo 89, paragrafo 1 (vedi sopra), fatta salva l'attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell'interessato («limitazione della conservazione»).
Il comma 11 specifica che i dati personali raccolti ai sensi dell’articolo in esame, vengono trattati esclusivamente per il perseguimento delle finalità individuate dal medesimo, nel rispetto dei principi generali sul trattamento dei dati personali, di cui all’articolo 5 del citato Regolamento 2016/679/UE, e nei limiti in cui sia necessario per lo svolgimento delle funzioni affidate a ciascuno dei soggetti coinvolti.
L’articolo 5 del Regolamento 2016/679/UE detta i principi generali sul trattamento dei dati personali stabilendo che gli stessi debbano essere: trattati in modo lecito, corretto e trasparente nei confronti dell'interessato («liceità, correttezza e trasparenza»); raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all'articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»); adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»); esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati («esattezza»); trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»). Con riguardo al principio attinente ai limiti alla conservazione dei dati, si rinvia a quanto detto a proposito del comma 10 dell’articolo in esame. Il par. 2 dell’articolo 5 prevede che il titolare del trattamento sia competente per il rispetto dei suddetti principi e in grado di comprovarlo («responsabilizzazione»).
Ai sensi del comma 12, il Commissario straordinario per l'attuazione e il coordinamento delle misure occorrenti per il contenimento e contrasto dell'emergenza epidemiologica da CO-VID-19 provvede all'acquisto dei dispositivi idonei alla somministrazione delle analisi sierologiche in esame nonché di ogni bene necessario alla conservazione presso la suddetta banca biologica dei campioni raccolti.
Si tratta del Commissario nominato ai sensi dell’articolo 122 del D.L. 17 marzo 2020, n. 18, convertito, con modificazioni, dalla L. 24 aprile 2020, n. 27.
Il comma 13 prevede che, in ragione dell'urgenza, i soggetti deputati possano provvedere all’acquisizione di beni e servizi (anche informatici) strettamente connessi alle attività di cui all’articolo in esame, mediante ricorso alle forme di procedura negoziata prive di pubblicazione di un bando di gara, con la selezione, ove possibile, di almeno cinque operatori economici da consultare.
Si ricorda che, nella disciplina degli appalti pubblici di lavori, forniture e servizi, il ricorso a forme di procedura negoziata senza previa pubblicazione di un bando di gara è ammesso in alcune fattispecie, tra cui i casi di estrema urgenza (derivante da eventi imprevedibili da parte dell'amministrazione aggiudicatrice) per i quali i termini per le procedure aperte o per le procedure ristrette o per le procedure competitive con negoziazione non possano essere rispettati Cfr. gli articoli 36 e 63 del codice dei contratti pubblici, di cui al D.Lgs. 18 aprile 2016, n. 50, e successive modificazioni, e in particolare il comma 2, lettera c), del medesimo articolo 63.
In tale procedura, le amministrazioni aggiudicatrici selezionano almeno cinque operatori economici da consultare, se sussistono in tale numero soggetti idonei.
Riguardo alle verifiche circa il possesso (da parte degli operatori economici) dei requisiti, il presente comma 13 richiama le modalità poste dall'articolo 163, comma 7, del codice dei contratti pubblici, di cui al D.Lgs. 18 aprile 2016, n. 50, e successive modificazioni, modalità che si applicano ai casi di estrema urgenza suddetti, qualora vi sia l'esigenza impellente di assicurare la tempestiva esecuzione del contratto.
Il medesimo comma 13 fa salve le previsioni, relative al suddetto Commissario straordinario, di cui all’articolo 122, comma 2, del D.L. 17 marzo 2020, n. 18, convertito, con modifica-zioni, dalla L. 24 aprile 2020, n. 27.
In base a tali disposizioni, il Commissario straordinario, nello svolgimento delle sue funzioni, collabora con le regioni e le supporta nell'esercizio delle relative competenze in materia di salute e, anche su richiesta delle regioni, può adottare in via d'urgenza i provvedimenti necessari a fronteggiare ogni situazione eccezionale. Tali provvedimenti, di natura non normativa, sono immediatamente comunicati alla Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome e alle singole regioni su cui il provvedimento incide, che possono chiederne il riesame. I provvedimenti possono essere adottati in deroga a ogni disposizione vigente, nel rispetto della Costituzione, dei princìpi generali dell'ordinamento giuridico e delle norme dell'Unione europea. Le misure adottate devono essere in ogni caso adeguatamente proporzionate alle finalità perseguite.
Il comma 14 consente che, per le finalità di cui al presente articolo, l'ISTAT conferisca incarichi di lavoro autonomo (anche in forma di collaborazione coordinata e continuativa), in numero non superiore a dieci, della durata di sei mesi. La facoltà è concessa in deroga alle norme limitative ivi richiamate ed è esercitabile a valere sulle risorse finanziarie del medesimo ISTAT; in ogni caso, la spesa non può superare il limite di 385.000 euro.
Riguardo alle norme limitative richiamate, di cui all'articolo 7 del D.Lgs. 30 marzo 2001, n. 165, e successive modificazioni, e all'articolo 6 del D.L. 31 maggio 2010, n. 78, convertito, con modificazioni, dalla L. 30 luglio 2010, n. 122, e successive modificazioni, si valuti l’opportunità di indicare in termini più specifici le disposizioni interessate, considerato che i suddetti articoli pongono anche princìpi generali e altre norme che non appaiono oggetto della presente deroga. Quest'ultima sembra concernere: il divieto, per le pubbliche amministrazioni, di stipulazione di contratti di collaborazione che si concretino in prestazioni di lavoro esclusivamente personali, continuative e le cui modalità di esecuzione siano organizzate dal committente anche con riferimento ai tempi e al luogo di lavoro, i limiti, con riferimento alle pubbliche amministrazioni e agli altri soggetti ivi individuati, del livello della spesa per emolumenti o gettoni o altre utilità, comunque denominate, per i titolari di incarichi di qualsiasi tipo.
Il medesimo comma 14, ai fini del completamento - in termini di fabbisogno di cassa e di indebitamento netto delle pubbliche amministrazioni - della compensazione degli oneri ivi previsti, provvede a ridurre nella misura di 199.000 euro per il 2020 la dotazione del Fondo per la compensazione degli effetti finanziari non previsti a legislazione vigente conseguenti all'attualizzazione di contributi pluriennali.
Il comma 15 reca alcune autorizzazioni di spesa e provvede alle relative coperture finanziarie.
Le autorizzazioni concernono le seguenti spese:
- 220.000 euro, per il 2020, per la realizzazione della piattaforma tecnologica summenzio-nata;
- 1.700.000 euro per l'attività svolta dalla Croce Rossa italiana ai sensi del presente articolo;
- 700.000 euro per la conservazione dei campioni raccolti presso la suddetta banca biologica;
- 1.500.000 euro per l’acquisto dei dispositivi idonei alla somministrazione delle analisi sierologiche.
Alla copertura della prima delle autorizzazioni di spesa suddette, si provvede mediante corrispondente riduzione (pari, quindi, a 220.000 euro per il 2020) del Fondo iscritto nello stato di previsione del Ministero della salute e alimentato dall'eventuale reiscrizione di somme corrispondenti ai residui passivi perenti eliminati. Alla copertura delle altre autorizzazioni, si provvede mediante quota delle risorse assegnate (a valere sul Fondo per le emergenze nazionali) al suddetto Commissario straordinario.
@SR_Studi
@CD_giustizia
@CD_sociale