Testo dell'articoloVigente
Informazione giuridica di carattere generale. Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all’Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
1. In attuazione di quanto previsto dall’articolo 9, paragrafo 4, del Regolamento, i dati genetici, biometrici e relativi alla salute possono essere oggetto di trattamento in presenza di una delle condizioni di cui al paragrafo 2 del medesimo articolo ed in conformità alle misure di garanzia disposte dal Garante.
Vedi anche
→art. 2-quinquies CODICE→art. 2-sexies CODICE→art. 2-octies CODICE→art. 2-novies CODICE→GDPR art. 1 - Art. 1 GDPR - Oggetto e finalità→Cost. art. 15 - Segretezza comunicazioni→Art. 2-quinquiesdecies D.Lgs. 196/2003 – Trattamento che presenta rischi elevati per l’esecuzione di un compito di interesse pubblico→Art. 2-decies D.Lgs. 196/2003 – Inutilizzabilità dei dati→Art. 2-quaterdecies D.Lgs. 196/2003 – Attribuzione di funzioni e compiti a soggetti designati→Art. 2-quater D.Lgs. 196/2003 – Regole deontologiche relative a trattamenti di dati personali→Art. 2-terdecies D.Lgs. 196/2003 – Diritti riguardanti le persone decedute→Art. 2-ter D.Lgs. 196/2003 – Base giuridica per il trattamento di dati personali effettuato per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri
Informazione giuridica di carattere generale. Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all'Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
In sintesi
Indice dei contenuti
Il regime speciale per dati genetici, biometrici e sanitari
L'art. 2-septies del Codice Privacy disciplina un regime speciale e particolarmente garantista per il trattamento dei dati genetici, biometrici e relativi alla salute. Si tratta delle categorie più sensibili tra quelle elencate dall'art. 9 GDPR: il loro trattamento può comportare effetti gravi sulla persona (discriminazione, esclusione assicurativa, danno reputazionale) e richiede dunque misure aggiuntive rispetto a quelle previste per gli altri dati sensibili. La norma costituisce attuazione del considerando 53 GDPR, che invita gli Stati membri a prevedere ulteriori condizioni per queste categorie.
Il provvedimento generale del Garante: 5 giugno 2019
L'art. 2-septies, comma 1, prevede che le misure di garanzia siano fissate dal Garante con provvedimento generale, sentito il Ministero della Salute. Il primo provvedimento attuativo è del 5 giugno 2019 (provv. n. 146) e ha fissato l'architettura applicativa. Le misure si articolano in: a) misure tecniche (cifratura in transito e a riposo, pseudonimizzazione, controllo degli accessi); b) misure organizzative (formazione del personale, designazione di referenti tecnici, audit); c) misure procedurali (DPIA obbligatoria, registro dei trattamenti, valutazione dei rischi).
Dati genetici: il regime più stringente
I dati genetici, oltre alle misure dell'art. 2-septies, sono soggetti al provvedimento del Garante del 12 febbraio 2018 sul "Trattamento dei dati genetici e biometrici a fini sanitari". Il trattamento è ammesso solo per finalità specifiche: diagnosi e cura, ricerca scientifica con DPIA approvata, identificazione di patologie ereditarie. È sempre richiesto il consenso esplicito, salvo casi di necessità per la salute o per la giustizia. La conservazione è limitata al tempo strettamente necessario e i dati devono essere protetti con cifratura forte.
Dati biometrici: il caso dei sistemi di identificazione
I dati biometrici (impronte digitali, riconoscimento facciale, retina, voce) sono frequentemente usati per sistemi di identificazione. Il Garante ha sanzionato in più occasioni l'uso di biometria nel rapporto di lavoro quando esiste un'alternativa meno invasiva (badge, PIN). La Corte cost. con sent. n. 271/2005 ha confermato che il riconoscimento biometrico in ambito lavorativo è legittimo solo se: a) ricorre uno specifico interesse di sicurezza; b) non esistono misure alternative; c) il sistema è proporzionato. Negli aeroporti e in ambiti di sicurezza pubblica l'uso è più ampiamente consentito ma sempre con DPIA approvata.
Dati sanitari: tra GDPR, fascicolo elettronico e segreto
I dati relativi alla salute formano il nucleo più ampio della categoria. Sono trattati nell'ambito di: fascicolo sanitario elettronico (art. 12 D.L. 179/2012), telemedicina, ricetta elettronica, registri di patologia, sistemi di sorveglianza epidemiologica. L'art. 2-septies impone in particolare la cifratura nella trasmissione, l'accesso strettamente profilato per ruolo (medico, infermiere, amministrativo), il log di tracciatura degli accessi, la DPIA per trattamenti sistematici. Si combina con il segreto professionale medico (art. 622 c.p.) e con il codice deontologico FNOMCeO.
Sanzioni e responsabilità
Le violazioni dell'art. 2-septies sono soggette al regime sanzionatorio amministrativo dell'art. 83 GDPR (fino al 4% del fatturato annuo globale) e a quello dell'art. 166 del Codice. Il trattamento illecito di dati genetici, biometrici o sanitari può integrare il reato dell'art. 167 del Codice nelle ipotesi qualificate (scopo di lucro, danno rilevante). Sono frequenti anche le ipotesi di responsabilità professionale del medico e di responsabilità erariale per dirigenti pubblici.
Provvedimento Garante 2019 e linee guida applicative
Il provvedimento generale del Garante 5 giugno 2019, n. 146, ha fissato le misure di garanzia per il trattamento dei dati genetici, biometrici e relativi alla salute. Le misure includono: cifratura in transito (TLS 1.2+) e a riposo (AES-256 o equivalente); pseudonimizzazione laddove possibile; accesso strettamente profilato per ruolo (medico, infermiere, amministrativo); audit log con conservazione di almeno 24 mesi; DPIA obbligatoria; formazione annuale del personale; designazione di referenti tecnici. Il provvedimento ha forza sub-regolamentare: la sua osservanza è condizione di liceità. Il Garante ha sanzionato in più occasioni ospedali e ASL per inadempimenti specifici (assenza di cifratura, accessi non profilati).
Casistica notoria e sanzioni significative
Casi notori: a) Regione Lazio 2022 (data breach sanitario, sanzione 600.000 euro); b) ASL Napoli 2023 (perdita di dati genetici, sanzione 250.000 euro); c) un colosso assicurativo nel 2024 (trattamento illegittimo di dati sanitari di assicurati, sanzione 5 milioni). La cumulabilità con il reato dell'art. 167 si è verificata in casi qualificati (Cass. pen. n. 36218/2023 per data breach sanitario con scopo di lucro). Il futuro del settore è segnato dal regolamento UE sullo spazio europeo dei dati sanitari (EHDS, in arrivo nel 2025-2026) che richiederà ulteriori adeguamenti.
Prassi dell'Agenzia delle Entrate
Casi pratici
Caso 1: Tizio ospedale: cifratura del fascicolo elettronico
Tizio, ospedale pubblico, gestisce il fascicolo sanitario elettronico di 100.000 pazienti. Verifica l'art. 2-septies e il provv. Garante 5 giugno 2019: implementa cifratura a riposo e in transito, accesso profilato medico/infermiere/amministrativo, audit log, DPIA approvata. Senza queste misure il trattamento è illecito.
Caso 2: Caia azienda: riconoscimento biometrico
Caia S.p.A. vuole installare riconoscimento facciale per accesso allo stabilimento. La Corte cost. 271/2005 impone stretta necessità e proporzionalità: serve interesse di sicurezza specifico, assenza di alternative meno invasive (badge), DPIA approvata. Senza queste condizioni il Garante può ordinare il blocco del sistema.
Caso 3: Sempronio laboratorio: dati genetici per ricerca
Sempronio, laboratorio universitario, vuole trattare dati genetici di 500 volontari per uno studio. Verifica l'art. 2-septies e il provv. Garante 12 febbraio 2018: ottiene consenso esplicito, redige DPIA, pseudonimizza i campioni, limita la conservazione al tempo dello studio. La compliance gli permette di accedere a fondi di ricerca europei.
Caso 4: Commento applicativo
L'art. 2-septies impone alle organizzazioni un livello di compliance massimo: cifratura, accessi profilati, DPIA, formazione continua. Le sanzioni del Garante sui dati sanitari sono tra le più alte (vedi caso ASL n. 1 di Roma e ASL provincia di Lecce 2023). La sinergia con il segreto professionale medico è obbligatoria.
Domande frequenti
Quali sono le misure obbligatorie per dati genetici, biometrici e sanitari?
Cifratura in transito e a riposo, pseudonimizzazione, accesso profilato per ruoli, audit log, DPIA obbligatoria, formazione del personale, designazione di referenti tecnici. Definite dal provv. Garante 5 giugno 2019.
Si può usare il riconoscimento facciale per il controllo accessi al lavoro?
Solo in presenza di stretta necessità (interesse di sicurezza specifico, assenza di alternative come badge o PIN), proporzionalità e DPIA approvata. La Corte cost. 271/2005 ha fissato questo principio.
Quale base giuridica per il fascicolo sanitario elettronico?
Art. 2-sexies (interesse pubblico in tutela della salute) combinato con l'art. 12 D.L. 179/2012 e con le misure di garanzia dell'art. 2-septies (cifratura, accesso profilato, audit log).
Cosa accade se un ospedale subisce un data breach sanitario?
Deve notificare il Garante entro 72 ore (art. 33 GDPR) e - in caso di rischio elevato - anche gli interessati (art. 34 GDPR). Le sanzioni dell'art. 83 GDPR possono arrivare al 4% del fatturato. In più, il titolare risponde civilmente per il danno.
Il consenso del paziente è sempre necessario per il trattamento sanitario?
No. Per le finalità di cura il consenso non è la base giuridica: opera l'art. 9, par. 2, lett. h, GDPR (medicina del lavoro, diagnosi, cure sanitarie). Per la ricerca scientifica può essere richiesto il consenso esplicito.