Decreto legislativo 30 giugno 2003 n. 196 
(G.U. 29 luglio 2003, n. 174 - Supplemento ordinario n. 123/L)

• Codice in materia di protezione dei dati personali 

• Allegato B. Disciplinare tecnico in materia di misure minime di sicurezza

• Tavola di corrispondenza dei riferimenti previgenti

                                              scarica il testo integrale  (PDF  2.914 K)                           

Il Codice della privacy

Entra in vigore il 1 gennaio 2004 il decreto legislativo n.196 del 30 giugno 2003, denominato “Codice in materia di protezione dei dati personali”. Il Codice, che  rappresenta il primo tentativo al mondo di comporre in maniera organica le innumerevoli disposizioni relative, anche in via indiretta, alla privacy, riunisce in unico contesto la legge 675/1996 e gli altri decreti legislativi, regolamenti e codici deontologici che si sono succeduti in questi anni, e contiene anche importanti innovazioni tenendo conto della “giurisprudenza” del Garante e della direttiva Ue 2000/58 sulla riservatezza nelle comunicazioni elettroniche.

Il Testo unico è ispirato all’ introduzione di nuove garanzie per i cittadini,  alla razionalizzazione delle norme esistenti e alla semplificazione degli adempimenti e sostituirà la legge “madre” sulla protezione dei dati, la n. 675 del 1996.

Il Codice è diviso in tre parti:

• la prima è dedicata alle disposizioni generali, riordinate in modo tale da trattare tutti gli adempimenti e le regole del trattamento con riferimento ai settori pubblico e privato;

• la seconda è la parte speciale dedicata a specifici settori. Questa sezione, oltre a disciplinare aspetti in parte inediti (informazione giuridica, notificazioni di atti giudiziari, dati sui comportamenti debitori),  completa anche la disciplina attesa da tempo per il settore degli organismi sanitari e quella dei controlli sui lavoratori;

• la terza affronta la materia delle tutele amministrative e giurisdizionali con il consolidamento delle sanzioni amministrative e penali e con le disposizioni relative all’Ufficio del Garante.

Ecco, in sintesi,  alcuni dei punti rilevanti del testo, che in molte parti recepisce e codifica le numerose pronunce emanate e i pareri forniti in questi anni dal Garante.

Sanità
In ambito sanitario si semplifica l’informativa da rilasciare agli interessati e si consente di manifestare il necessario consenso al trattamento dei dati con un’unica dichiarazione resa al medico di famiglia o all’organismo sanitario (il consenso vale anche  per la pluralità di trattamenti a fini di salute erogati da distinti reparti e unità dello stesso organismo, nonché da più strutture ospedaliere e territoriali).   vedi art.78 (informativa) e vedi art.81 (consenso)

Per il settore sanitario vengono inoltre codificate misure per il rispetto dei diritti del paziente: distanze di cortesia, modalità per appelli in sale di attesa, certezze e cautele nelle informazioni telefoniche e nelle informazioni sui ricoverati, estensione delle esigenze di riservatezza anche agli operatori sanitari non tenuti al segreto professionali. vedi art.83

Vengono introdotte (a partire dal 1 gennaio 2005) le cosiddette ricette impersonali, la possibilità cioè di non rendere sempre e in ogni caso immediatamente identificabili in farmacia gli intestatari di ricette attraverso un tagliando predisposto su carta copiativa che, oscurando il nome e l’indirizzo dell’assistito, consente comunque la visione di tali dati da parte del farmacista nei casi in cui sia necessario. vedi art.87 , art.88 e art.89

Per i dati genetici viene previsto il rilascio di un’apposita autorizzazione da parte del Garante, sentito il Ministro della salute.
vedi art.90

Per quanto riguarda le cartelle cliniche sono previste particolari misure per distinguere i dati relativi al paziente  da quelli eventualmente riguardanti altri interessati (comprese le informazioni relative ai nascituri), ma anche specifiche cautele per il rilascio delle cartelle cliniche a persone diverse dall'interessato. 

Lavoro
Viene confermata l’elaborazione di un codice di deontologia e buona condotta che dovrà fissare regole per l’informativa ed il consenso anche degli annunci per finalità di occupazione (selezione del personale) e della ricezione dei curricula.
Il Codice affronta anche la questione dei controlli a distanza con la riaffermazione di quanto sancito dall’articolo 4 dello Statuto dei lavoratori (legge 300/1970).Il lavoratore domestico è tenuto a mantenere la necessaria riservatezza per tutto quanto si riferisce alla vita familiare.

Trattamento dati personali in ambito giudiziario
Vengono meglio garantiti i diritti della personalità delle parti. Il Codice prevede anche che l’interessato possa chiedere, nel processo, di apporre sulla sentenza un’annotazione con la quale si avvisa che, in caso di pubblicazione del verdetto su riviste giuridiche o su supporti elettronici o di diffusione telematica, devono essere omessi i dati dell’interessato. La versione della sentenza così pubblicata va sempre “criptata” quando si tratta di minori.
Con disposizione espressa si attribuisce maggiore tutela ai minori  non solo nel processo penale, ma anche nei procedimenti civili e amministrativi.

Pubblica amministrazione
Il Codice innova anche, raccogliendo indicazioni del Garante,  nella materia della notificazione degli atti giudiziari e degli atti amministrativi e impone la regola della busta chiusa per i casi di notifica effettuata a persona diversa dal destinatario.
Viene sancita espressamente la necessità per gli enti pubblici di approvare regolamenti per i trattamenti dei dati sensibili, ma solo con il parere conforme del Garante.

Liste elettorali
Le liste elettorali non possono essere più usate per promozione commerciale, ma solo per scopi collegati alla disciplina elettorale e per finalità di studio ricerca statistica, scientifica o storica o a carattere socio assistenziale.

Telecomunicazioni
I cittadini potranno meglio scegliere se essere inseriti nell’elenco telefonico o le modalità con le quali comparire sull’elenco: potranno decidere, in particolare, se far usare i loro numeri telefonici e indirizzi anche per informazioni commerciali o solo per comunicazioni interpersonali.
Vengono previste misure per combattere il fenomeno delle chiamate di disturbo.
Confermato il diritto a ricevere, su richiesta, fatture dettagliate (con le ultime tre cifre “in chiaro”) in caso di contestazione.

Spamming
L'invio di messaggi attraverso sistemi automatizzati (Sms, Mms, fax, posta elettronica) richiede il consenso degli interessati. Il cliente deve essere informato della possibilità di opporsi a "messaggi indesiderati".

  Internet, videosorveglianza, direct marketing, “centrali rischi” private
Per settori così delicati il codice conferma la previsione di appositi codici deontologici che fissano regole specifiche.

Sanzioni
Sanzioni pecuniarie e penali aumentate per chi viola la privacy, in particolare per l’uso dei dati senza consenso degli interessati, per il mancato adempimento nei confronti di un provvedimento del Garante, per la mancata informativa agli interessati sull’uso che si intende fare dei dati che li riguardano.

Misure di sicurezza
Vengono rafforzate, in un quadro di evoluzione tecnologica, le misure di sicurezza contro i rischi di distruzione, intrusione o uso improprio. Alle precauzioni già previste nella normativa precedente (password, codici identificativi, antivirus etc.) che entrano in vigore il 1 gennaio 2004, se ne aggiungono altre che devono essere adottate entro il 30 giugno 2004 (password di non meno di otto caratteri, autenticazione informatica, sistemi di cifratura, procedure per il ripristino dei dati,  documento programmatico etc). vedi Allegato B

Notificazione
Semplificata la notificazione, ovvero dell’atto con cui l’impresa, il professionista o la pubblica amministrazione segnala all’Autorità i trattamenti di dati che  intende effettuare. La notifica dovrà essere effettuata solo in particolari casi di trattamento di dati sensibili (specie se sanitari) con determinate modalità d’uso, ma anche per trattamenti particolarmente a rischio, effettuati con strumenti elettronici, nel campo della profilazione dei consumatori, oppure in relazione a procedure di selezione del personale e ricerche di marketing, nonché in ipotesi di utilizzo di informazioni commerciali e relative alla solvibilità Diminuiscono le ipotesi di notifica obbligatoria, e vengono snellite anche le modalità della stessa: solo per via telematica, seguendo le indicazioni del Garante quanto all’utilizzo della firma digitale.

Consenso
Il codice della privacy sviluppa il principio del bilanciamento degli interessi con uno snellimento degli adempimenti a carico delle aziende. Resta sostanzialmente confermata la necessità del consenso, ma si prevedono alcune altre ipotesi di esonero con riferimento a settori specifici.

Informativa
Rimane fermo l’adempimento dell’informativa agli interessati preventiva al trattamento dei dati.
Il Garante può, comunque, individuare modalità semplificate in particolare per i servizi telefonici di assistenza e informazione al pubblico (call center).

Art. 78  (Informativa del medico di medicina generale o del pediatra)

1. Il medico di medicina generale o il pediatra di libera scelta informano l’interessato relativamente al trattamento dei dati personali, in forma chiara e tale da rendere agevolmente comprensibili gli elementi indicati nell’art.3, comma 1.

2. L’informativa può essere fornita per il complessivo trattamento dei dati personali necessario per attività di prevenzione, diagnosi, cura e riabilitazione, svolte dal medico o dal pediatra a tutela della salute o dell’incolumità fisica dell’interessato, su richiesta dello stesso o di cui questi è informato in quanto effettuate nel suo interesse.

3. L’informativa può riguardare, altresì, dati personali eventualmente raccolti presso terzi, ed è fornita preferibilmente per iscritto, anche attraverso carte tascabili con eventuali allegati pieghevoli, includendo almeno gli elementi indicati dal Garante ai sensi dell’articolo 13, comma 3, eventualmente integrati anche oralmente in relazione a particolari caratteristiche del trattamento.

4. L’informativa, se non è diversamente specificato dal medico o dal pediatra, riguarda anche il trattamento di dati correlato a quello effettuato dal medico di medicina generale o dal pediatra di libera scelta, effettuato da un professionista o da altro soggetto, parimenti individuabile in base alla prestazione richiesta, che:

a) sostituisce temporaneamente il medico o il pediatra;
b) fornisce una prestazione specialistica su richiesta del medico e del pediatra;
c) può trattare lecitamente i dati nell’ambito di un’attività professionale prestata in forma associata;
d) fornisce farmaci prescritti;
e) comunica dati personali al medico o pediatra in conformità alla disciplina applicabile.  

5. L’informativa resa ai sensi del presente articolo evidenzia analiticamente eventuali trattamenti di dati personali che presentano rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dell’interessato, in particolare in caso di trattamenti effettuati:

a) per scopi scientifici, anche di ricerca scientifica e di sperimentazione clinica controllata di medicinali, in conformità alle leggi e ai regolamenti, ponendo in particolare evidenza che il consenso, ove richiesto, è manifestato liberamente;
b) nell’ambito della teleassistenza o telemedicina;
c) per fornire altri beni o servizi all’interessato attraverso una rete di comunicazione elettronica.                           torna  

Art. 81  (Prestazione del consenso)

1. Il consenso al trattamento dei dati idonei a rivelare lo stato di salute, nei casi in cui è necessario ai sensi del presente codice o di altra disposizione di legge, può essere manifestato con un'unica dichiarazione, anche oralmente. In tal caso il consenso è documentato, anziché con atto scritto dell’interessato, con annotazione dell’esercente la professione sanitaria o dell’organismo sanitario pubblico, riferita al trattamento di dati effettuato da uno o più soggetti e all’informativa all’interessato, nei modi indicati negli articoli 78, 79 e 80.

2. Quando il medico o il pediatra fornisce l’informativa per conto di più professionisti ai sensi dell’articolo 78, comma 4, oltre quanto previsto dal comma 1, il consenso è reso conoscibile ai medesimi professionisti con adeguate modalità, anche attraverso menzione, annotazione o apposizione di un bollino o tagliando su una carta elettronica o sulla tessera sanitaria, contenente un richiamo al medesimo articolo 78, comma 4, e alle eventuali diverse specificazioni apposte all’informativa ai sensi del medesimo comma.                         torna

Art. 83 (Altre misure per il rispetto dei diritti degli interessati)

1. I soggetti di cui agli articoli 78, 79 e 80 adottano idonee misure per garantire, nell’organizzazione delle prestazioni e dei servizi, il rispetto dei diritti, delle libertà fondamentali e della dignità degli interessati, nonché del segreto professionale, fermo restando quanto previsto dalle leggi e dai regolamenti in materia di modalità di trattamento dei dati sensibili e di misure minime di sicurezza.

2. Le misure di cui al comma 1 comprendono, in particolare:

a) soluzioni volte a rispettare, in relazione a prestazioni sanitarie o ad adempimenti amministrativi preceduti da un periodo di attesa all’interno di strutture, un ordine di precedenza e di chiamata degli interessati prescindendo dalla loro individuazione nominativa;

b) l’istituzione di appropriate distanze di cortesia, tenendo conto dell’eventuale uso di apparati vocali o di barriere;

c) soluzioni tali da prevenire, durante colloqui, l’indebita conoscenza da parte di terzi di informazioni idonee a rivelare lo stato di salute;

d) cautele volte ad evitare che le prestazioni sanitarie, ivi compresa l’eventuale documentazione di anamnesi, avvenga in situazioni di promiscuità derivanti dalle modalità o dai locali prescelti;

e) il rispetto della dignità dell’interessato in occasione della prestazione medica e in ogni operazione di trattamento dei dati; 

f) la previsione di opportuni accorgimenti volti ad assicurare che, ove necessario, possa essere data correttamente notizia o conferma anche telefonica, ai soli terzi legittimati, di una prestazione di pronto soccorso;

g) la formale previsione, in conformità agli ordinamenti interni delle strutture ospedaliere e territoriali, di adeguate modalità per informare i terzi legittimati in occasione di visite sulla dislocazione degli interessati nell’ambito dei reparti, informandone previamente gli interessati e rispettando eventuali loro contrarie manifestazioni legittime di volontà;

h) la messa in atto di procedure, anche di formazione del personale, dirette a prevenire nei confronti di estranei un’esplicita correlazione tra l’interessato e reparti o strutture, indicativa dell’esistenza di un particolare stato di salute;
i) la sottoposizione degli incaricati che non sono tenuti per legge al segreto professionale a regole di condotta analoghe al segreto professionale.                                                                                                                                    torna

Art. 87 (Medicinali a carico del Servizio sanitario nazionale)

1. Le ricette relative a prescrizioni di medicinali a carico, anche parziale, del Servizio sanitario nazionale sono redatte secondo il modello di cui al comma 2, conformato in modo da permettere di risalire all'identità dell'interessato solo in caso di necessità connesse al controllo della correttezza della prescrizione, ovvero a fini di verifiche amministrative o per scopi epidemiologici e di ricerca, nel rispetto delle norme deontologiche applicabili.

2. Il modello cartaceo per le ricette di medicinali relative a prescrizioni di medicinali a carico, anche parziale, del Servizio sanitario nazionale, di cui agli allegati 1, 3, 5 e 6 del decreto del Ministro della sanità 11 luglio 1988, n. 350, e al capitolo 2, paragrafo 2.2.2. del relativo disciplinare tecnico, è integrato da un tagliando predisposto su carta o con tecnica di tipo copiativo e unito ai bordi delle zone indicate nel comma 3.

3. Il tagliando di cui al comma 2 è apposto sulle zone del modello predisposte per l’indicazione delle generalità e dell’indirizzo dell’assistito, in modo da consentirne la visione solo per effetto di una momentanea separazione del tagliando medesimo che risulti necessaria ai sensi dei commi 4 e 5.

4. Il tagliando può essere momentaneamente separato dal modello di ricetta, e successivamente riunito allo stesso, quando il farmacista lo ritiene indispensabile, mediante sottoscrizione apposta sul tagliando, per una effettiva necessità connessa al controllo della correttezza della prescrizione, anche per quanto riguarda la corretta fornitura del farmaco.

5. Il tagliando può essere momentaneamente separato nei modi di cui al comma 3 anche presso i competenti organi per fini di verifica amministrativa sulla correttezza della prescrizione, o da parte di soggetti legittimati a svolgere indagini epidemiologiche o di ricerca in conformità alla legge, quando è indispensabile per il perseguimento delle rispettive finalità.

6. Con decreto del Ministro della salute, sentito il Garante, può essere individuata una ulteriore soluzione tecnica diversa da quella indicata nel comma 1, basata sull’uso di una fascetta adesiva o su altra tecnica equipollente relativa anche a modelli non cartacei. torna

Art. 88  (Medicinali non a carico del Servizio sanitario nazionale)

1. Nelle prescrizioni cartacee di medicinali soggetti a prescrizione ripetibile non a carico, anche parziale, del Servizio sanitario nazionale, le generalità dell’interessato non sono indicate.

2. Nei casi di cui al comma 1 il medico può indicare le generalità dell’interessato solo se ritiene indispensabile permettere di risalire alla sua identità, per un’effettiva necessità derivante dalle particolari condizioni del medesimo interessato o da una speciale modalità di preparazione o di utilizzazione.   torna

Art. 89 (Casi particolari)                 

1. Le disposizioni del presente capo non precludono l’applicazione di disposizioni normative che prevedono il rilascio di ricette che non identificano l’interessato o recanti particolari annotazioni, contenute anche nel decreto-legge 17 febbraio 1998, n. 23, convertito, con modificazioni, dalla legge 8 aprile 1998, n. 94.

2. Nei casi in cui deve essere accertata l’identità dell’interessato ai sensi del testo unico delle leggi in materia di disciplina degli stupefacenti e sostanze psicotrope, prevenzione, cura e riabilitazione dei relativi stati di tossicodipendenza, approvato con decreto del Presidente della Repubblica 9 ottobre 1990, n. 309, e successive modificazioni, le ricette sono conservate separatamente da ogni altro documento che non ne richiede l’utilizzo.   torna

Art. 90 (Trattamento dei dati genetici e donatori di midollo osseo)

1. Il trattamento dei dati genetici da chiunque effettuato è consentito nei soli casi previsti da apposita autorizzazione rilasciata dal Garante sentito il Ministro della salute, che acquisisce, a tal fine, il parere del Consiglio superiore di sanità.

2. L’autorizzazione di cui al comma 1 individua anche gli ulteriori elementi da includere nell’informativa ai sensi dell’articolo 13, con particolare riguardo alla specificazione delle finalità perseguite e dei risultati conseguibili anche in relazione alle notizie inattese che possono essere conosciute per effetto del trattamento dei dati e al diritto di opporsi al medesimo trattamento per motivi legittimi.

3. Il donatore di midollo osseo, ai sensi della legge 6 marzo 2001, n. 52, ha il diritto e il dovere di mantenere l’anonimato sia nei confronti del ricevente sia nei confronti di terzi.   torna

ALLEGATO B -  DISCIPLINARE TECNICO
IN MATERIA DI MISURE MINIME DI SICUREZZA
(Artt. da 33 a 36 del codice)

Trattamenti con strumenti elettronici

Modalità tecniche da adottare a cura del titolare, del responsabile ove designato e dell’incaricato, in caso di trattamento con strumenti elettronici:

Sistema di autenticazione informatica

............... omissis .................

5. La parola chiave, quando è prevista dal sistema di autenticazione, è composta da almeno otto caratteri oppure, nel caso in cui lo strumento elettronico non lo permetta, da un numero di caratteri pari al massimo consentito; essa non contiene riferimenti agevolmente riconducibili all’incaricato ed è modificata da quest’ultimo al primo utilizzo e, successivamente, almeno ogni sei mesi. 

In caso di trattamento di dati sensibili e di dati giudiziari la parola chiave è modificata almeno ogni tre mesi. torna