Protezione dei dati personali e Gdpr, al debutto in Veneto il primo Codice di condotta per il sistema sanitario

Il Regolamento europeo 679 del 2016 o Gdpr ha profondamente modificato le norme che gli Enti devono osservare per proteggere i dati personali, chiedendo loro un approccio proattivo e capace di dimostrare le misure che hanno adottato effettivamente per dar seguito alla legge.
L’articolo 40 del Gdpr disciplina i codici di condotta, strumenti di autoregolazione che individuano misure di protezione dei dati per specifiche categorie di enti e imprese, la cui elaborazione può contribuire alla corretta applicazione delle norme di legge in funzione delle particolarità dei vari settori di trattamento, precisando e calibrandone gli obblighi.
I codici di condotta sono elaborati su base volontaria, seguendo le indicazioni delle apposite Linee guida n. 1/2019 del Comitato Europeo per la protezione dei dati.
Essi contribuiscono alla corretta applicazione del Regolamento in funzione delle specificità dei diversi ambiti di trattamento dei dati personali, indicando il dettaglio dei comportamenti più appropriati, e sono strumento utile per la responsabilizzazione degli Enti.
L'adesione al Codice di condotta è infatti elemento di valutazione per la conformità al GDPR in caso di verifiche, visto che l'irrogazione di sanzioni da parte dell’Autorità viene valutata tenendo anche conto dell'eventuale adesione a tali strumenti.
Il Garante Privacy ha inserito nel suo sito web una pagina apposita, dove sono consultabili due codici di condotta, già approvati nel 2019 in materia di informazioni commerciali e di crediti al consumo, oltre che il provvedimento del 2020 con cui ha individuato i requisiti per l'accreditamento degli Organismi di monitoraggio dei codici di condotta del settore privato.
Ai primi Codici si aggiunge adesso quello approvato lo scorso 14 gennaio 2021, che è il primo Codice di Condotta di interesse della Pubblica Amministrazione e in particolare del Sistema sanitario.
Questo Codice, presentato dalla Regione Veneto e dall’Azienda sanitaria “ULSS 9 Scaligera”, disciplina le modalità attraverso le quali i dati personali e di salute possono essere utilizzati per fini didattici e di redazione di pubblicazione scientifica da parte dei professionisti sanitari che operano nelle aziende sanitarie della Regione Veneto.
Il relativo progetto, elaborato dalla sottoscritta su iniziativa di Pietro Girardi e Franco Margonari, rispettivamente Direttore Generale e RPD della ULSS 9 Scaligera nonché di Franco Botteon, Direttore Avvocatura della Regione Veneto, è stato avviato nel gennaio del 2020.
Lo stesso, dopo una serie di interlocuzioni con l’Ufficio del Garante e consultazioni con le rappresentanze regionali Veneta degli Ordini dei Medici Chirurghi e degli Odontoiatri e Cittadinanzattiva-Tribunale del Malato, è stato oggetto di un apposito Provvedimento di autorizzazione dell’Autorità, con il quale ne è stata evidenziata la conformità alla normativa di settore e la validità nazionale.
Il Codice, che sarà presentato con una Conferenza venerdì 5 febbraio, avendo tra i relatori anche componenti dell’autorità Garante Privacy e della Commissione Europea, individua le modalità di elaborazione, mediante tecniche di anonimizzazione e di pseudonimizzazione, di documenti a fini didattici o di pubblicazione scientifica da parte di professionisti sanitari per tesi di laurea, presentazioni a convegni, convention, seminari, position paper, poster scientifici, case-study per finalità didattiche e discussione di casi clinici.
Il Codice di condotta così approvato, che sarà pubblicato dal Garante Privacy sul sito https://www.garanteprivacy.it/codici-di-condotta , è in sintesi uno strumento strategico nella gestione della compliance, e rappresenta una "autoregolamentazione" fondamentale per rispettare gli obblighi della normativa privacy, e può essere applicato anche da altri Enti ulteriori rispetto a quelli del sistema sanitario veneto, formulando apposita richiesta alla Regione. Questa opportunità consente sia ai professionisti sanitari di migliorare costantemente le competenze e la qualità dei servizi, rispettando al contempo, attraverso apposite misure di sicurezza, la riservatezza dei pazienti, che alle aziende sanitarie di dimostrare, nel loro processo interno di accountability, la conformità alla disciplina sulla protezione dei dati personali.

* Esperta e Consulente in protezione dei dati personali