Nel quadrimestre di riferimento, il Garante per il trattamento dei dati personali ha approvato nello stesso giorno due delibere di proroga dell’efficacia di precedenti atti normativi.
In primo luogo, con deliberazione n. 52 del 22 dicembre 2009 (Ulteriore differimento dell’efficacia dell’autorizzazione al trattamento dei dati genetici rilasciata il 22 febbraio 2007), in G.U. n. 11 del 15 gennaio 2010, il Garante ha prorogato l’efficacia dell’autorizzazione richiamata nel titolo, e già prorogata una prima volta con delibera n. 75 del 19 dicembre 2009. L’autorizzazione generale, come noto, è un tipo di atto normativo creato dal Garante e successivamente accolta all’art. 40 del Codice in materia di trattamento dei dati personali (d.lgs. 196/2003), al fine di ovviare alla moltiplicazioni di singole ma identiche autorizzazioni che il Codice medesimo prescrive siano rilasciate annualmente per alcune categorie di trattamenti. Le autorizzazioni per il trattamento dei dati genetici sono previste all’art. 90 del Codice, laddove si stabilisce che esse debbano essere emanate dopo aver udito il Ministro della salute, il quale a sua volta acquisisce il parere del Consiglio superiore della sanità. La proroga si è resa necessaria proprio per il ritardo intervenuto nello svolgimento della procedura consultiva appena esposta, necessaria al rinnovo dell’autorizzazione.
Nello stesso giorno, il Garante ha approvato la Proroga dell’efficacia del provvedimento del 12 marzo 2009, recante prescrizioni ai titolari di banche dati costituite sulla base di elenchi telefonici formati dal primo agosto 2005, in G.U. n. 11 del 15 gennaio 2010. Il provvedimento è stato reso necessario per adeguare le prescrizione del Garante alla legge. Difatti, il decreto-legge n. 207/2008, convertito nella legge n. 14/2009, ha prorogato le regole relative alle chiamate promozionali e pubblicitarie contenute nel decreto cd. milleproroghe del 2008, a loro volta attuate appunto dalla delibera del Garante n. 66 del 12 marzo 2009. La competenza attuativa rispetto alle disposizioni di legge proviene dall’art. 143, art. 1, lett. b) del codice per il trattamento dei dati personali, secondo cui il Garante è competente a “prescrivere al titolare le misure opportune o necessarie per rendere il trattamento conforme alle disposizioni vigenti”.
Una deliberazione frutto invece di una iniziativa d’ufficio del Garante è la n. 35 del 12 novembre 2009, relativa alle Prescrizioni concernenti la raccolta d’informazioni sullo stato della sieropositività dei pazienti da parte degli esercenti le professioni sanitarie, in G.U. n. 289 del 12 dicembre 2009. Difatti, l’adozione del provvedimento è stata motivata da un reclamo ricevuto dal Garante in merito alla raccolta di informazioni sulla sieropositività dei pazienti da parte di uno studio odontoiatrico. Il Garante ha ritenuto opportuno estendere le prescrizioni formulate in un provvedimento di natura contenziosa a tutti gli esercenti le professioni sanitarie, motivando tale opportunità con la delicatezza dei dati in questione, e basando la competenza sull’art. 154, comma 1, lett. c), secondo cui, in via generale, il Garante ha facoltà di “prescrivere anche d’ufficio ai titolari del trattamento le misure necessarie o opportune al fine di rendere il trattamento conforme alle disposizioni vigenti, ai sensi dell'articolo 143”.
Dopo aver approvato le Linee guida in tema di Fascicolo sanitario elettronico (Fse) e di dossier sanitario, in G.U. n. 149 del 30 giugno 2009 (segnalate nella precedente rubrica), il Garante è ritornato ad approvare nuove linee guida in materia sanitaria, con la deliberazione n. 36 del 19 novembre 2009, Linee guida in tema di referti on-line, in G.U. n. 288 del 11 dicembre 2009.
Come nel caso delle Linee guida in tema di Fse e di dossier sanitario, il Garante ha ritenuto necessario il suo intervento stante l’assenza di una normativa sul punto, svolgendo dunque un ruolo di “supplenza” del legislatore ordinario, come dichiarato nel comunicato stampa del Garante del 21 dicembre. Le linee guida, allegate alla delibera in oggetto, sono state adottate previa consultazione pubblica, ai sensi della delibera n. 21 del 25 giugno. Ai risultati delle consultazioni, invero, si accenna soltanto, senza darne puntualmente conto, nel preambolo. Benché non si presentino, anche da un punto di vista formale, come un vero e proprio atto normativo (sono divise ad esempio in parti, piuttosto che in articoli), il loro carattere integrativo e interpretativo, l’essere state precedute da una consultazione pubblica e, volendo, la pubblicazione in Gazzetta Ufficiale, sembrano dotarle di un valore vincolante.
Un ultimo atto normativo che merita di essere segnalato è il provvedimento del 10 settembre 2009, recante Misure relative alle comunicazioni fra intermediari finanziari appartenenti al medesimo gruppo in materia di antiriciclaggio, in G.U. n. 267 del 16 novembre 2009. L’atto è stato adottato in conseguenza di un quesito formulato al Garante, di cui si dà ampia notizia nel preambolo, in ordine alle condizioni di liceità della comunicazione, fra intermediari finanziari appartenenti ad un medesimo gruppo, di dati personali relativi alle segnalazioni di operazioni considerate “sospette” ai sensi della normativa antiriciclaggio. Tale comunicazione è infatti autorizzata dall’art. 46, comma 4, del decreto legislativo n. 231/2007, di recepimento della direttiva 2005/60/CE in materia di antiriciclaggio. Il quesito sottoposto al Garante riguardava dunque l’applicabilità dell’art. 24, comma 1, lettera g), del Codice in materia di trattamento dei dati personali, che consente la deroga alla richiesta di consenso per il trattamento dei dati alle comunicazioni fra intermediari finanziari dello stesso gruppo in materia di antiriciclaggio, che sono appunto già autorizzate dalla legge sull’antiriciclaggio. Nel preambolo del provvedimento, che chiarisce l’estensione delle condizioni di esonero dal consenso ex art. 24 al caso previsto, il Garante pone una serie di limiti e condizioni affinché il trattamento possa risultare comunque lecito.