La risposta alla domanda è no, nel senso che il consenso è una tra le altre condizioni di liceità del trattamento di categorie particolari di dati.
Il consenso quando è richiesto dal medico al paziente, deve essere prestato da quest’ultimo in forma esplicita (non necessariamente scritta) per una o più finalità specifiche ed essendo una manifestazione libera di volontà come tale, in linea generale, è sempre revocabile. Tale revoca non pregiudica la liceità del trattamento eseguito prima della revoca stessa. Quando il medico ha valutato che per la specifica finalità, il trattamento dei dati particolari del paziente debba basarsi sul consenso del paziente, è sul professionista stesso che grava l’onere di dimostrare che l’interessato ha prestato il proprio consenso.
Se lo studio intende utilizzare i dati per finalità diverse e ulteriori rispetto a quelle di cura (ad esempio: per pubblicare i dati del paziente su riviste scientifiche o a congressi oppure per inviare newsletter periodiche informative) sono necessari ulteriori e differenziati consensi.
Il Regolamento prevede ulteriori condizioni di liceità quali la necessità di tutelare un interesse vitale dell’interessato o di altro persona fisica qualora l’interessato si trovi nella incapacità fisica o giuridica di prestare il proprio consenso.
Inoltre, stabilisce che se il trattamento di dati relativi alla salute è necessario per motivi di interesse pubblico rilevante, il trattamento non necessiti di consenso esplicito dell’interessato anche se, tale trattamento, deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali degli interessati.
Il Codice Privacy, novellato, prevede che si consideri rilevante, l’interesse pubblico relativo ai trattamenti effettuati da soggetti che svolgono compiti di interesse pubblico o connessi all’esercizio di pubblici poteri, quali i: “compiti del servizio sanitario nazionale e dei soggetti operanti in ambito sanitario, nonché compiti di igiene e sicurezza sui luoghi di lavoro e sicurezza e salute della popolazione, protezione civile, salvaguardia della vita e incolumità fisica”. Sul punto rimane quindi nodale la valutazione, da parte del sanitario, sulla base giuridica su cui si fondi il trattamento dei dati dei propri pazienti.
Così come espressamente il Regolamento non prevede la necessità del consenso per il trattamento dei dati per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell’Unione o degli Stati membri o conformemente al contratto con un professionista della sanità.
Fondamentale per la professione medica è il rimando che il Regolamento fa al segreto professionale e al trattamento di dati particolari, quando tali dati sono trattati sotto la responsabilità di un professionista soggetto al segreto professionale, conformemente alle norme statali o a quelle stabilite dagli organismi nazionali competenti (rimarcando per i professionisti i doveri posti dal proprio Codice Deontologico). Fa riflettere la formula del giuramento di Ippocrate Deliberato da FNOMCeO il 23 marzo 2007 che così recita « giuro di osservare il segreto professionale e di tutelare la riservatezza su tutto ciò che mi è confidato, che vedo o che ho veduto, inteso o intuito nell’esercizio della mia professione o in ragione del mio stato».
Il Regolamento, però, lascia agli Stati membri la possibilità di “mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute” (cosiddetta “riserva”). In tal senso il legislatore italiano ha previsto, con il Codice Privacy novellato l’emanazione di misure di garanzia, fissate dall’autorità di controllo nazionale (Garante della Privacy) e riviste a cadenza biennale. Quindi, il Garante dovrà adottare delle misure di garanzia, sentito il Consiglio superiore di sanità e tenendo conto delle linee guida, delle raccomandazioni e delle buone prassi del Garante Europeo, in particolare con riferimento alle cautele relative alle “modalità per la comunicazione diretta all’interessato delle diagnosi e dei dati relativi alla propria salute, alla prescrizione di medicinali e ai profili organizzativi e gestionali in ambito sanitario. Le misure di garanzia individueranno le misure di sicurezza, ivi comprese tecniche di cifratura e di pseudonimizzazione, misure di minimizzazione, specifiche modalità di accesso selettivo ai dati e per rendere le informazioni agli interessati, nonché eventuali altre misure necessarie a garantire i diritti degli interessati.”
Momento fondamentale per tutto il settore sanitario sarà quindi l’emanazione e la discussione delle misure di garanzie del Garante italiano che dovranno previamente essere sottoposte a consultazione pubblica per un tempo non inferiore a 60 giorni.
Inoltre l’autorità di controllo dovrà farsi promotrice anche delle regole deontologiche per il trattamento dei dati relativi alla salute.
