IL GARANTE PER LA PROTEZIONE
DEI DATI PERSONALI
Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stazione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;
Visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, «Regolamento generale sulla protezione dei dati» (di seguito «regolamento»);
Visto il decreto legislativo 30 giugno 2003, n. 196, recante «Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE» (di seguito «codice»);
Visto il decreto legislativo 10 agosto 2018, n. 101, recante «Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE»;
Visto il regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all'esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4 aprile 2019, pubblicato nella Gazzetta Ufficiale della Repubblica italiana n. 106 dell'8 maggio 2019 e in www.gpdp.it - doc. web n. 9107633 (di seguito «regolamento del Garante n. 1/2019»);
Visto il decreto-legge 7 giugno 2017, n. 73, convertito in legge, con modificazioni, dall'art. 1, comma 1, legge 31 luglio 2017, n. 119, recante «Disposizioni urgenti in materia di prevenzione vaccinale, di malattie infettive e di controversie relative alla somministrazione di farmaci»;
Vista la documentazione in atti;
Viste le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 sull'organizzazione e il funzionamento dell'ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;
Relatore il prof. Pasquale Stazione;
Premesso:
Con la legge regionale della Regione Puglia n. 22 del 2024 e' stato inserito l'«art. 4-bis (Programma di vaccinazione anti-papilloma virus umano)», nella legge della Regione Puglia del 16 febbraio 2024, n. 1, secondo il quale «Per rendere capillare il dovere di informazione a carico delle autorita' sanitarie e scolastiche sull'utilita' della vaccinazione anti papilloma virus umano, cosi' da debellare le infezioni e prevenire le relative conseguenze cancerose, nell'esclusivo interesse dei giovani pugliesi a una vita di relazione quanto piu' libera e affidabile, l'iscrizione ai percorsi d'istruzione previsti nella fascia di eta' 11-25 anni, compreso quello universitario, e' subordinata, salvo formale rifiuto di chi esercita la responsabilita' genitoriale oppure, dei soggetti interessati che hanno raggiunto la maggiore eta', alla presentazione di documentazione, gia' in possesso degli interessati, in grado di certificare l'avvenuta vaccinazione anti-HPV, oppure un certificato rilasciato dai centri vaccinali delle Aziende sanitarie locali (ASL) di riferimento, attestante la somministrazione, l'avvio del programma di somministrazione oppure il rifiuto alla somministrazione del vaccino. L'attestazione rilasciata dai centri vaccinali puo' anche limitarsi, su formale richiesta degli esercenti la responsabilita' genitoriale o, ricorrendone i presupposti di legge, dagli stessi interessati, al mero riferimento sull'avvenuto espletamento del colloquio informativo sui benefici della vaccinazione. I dati raccolti nell'applicazione della disposizione di cui al comma 1, rientrano nella gamma dei dati sensibili in materia di salute e per questo sono protetti con le garanzie e le tutele previste dalla legge».
A seguito di richiesta di informazioni da parte dell'Autorita', con nota del 27 maggio 2024, prot. n. 0063854, il segretario generale della Presidenza della Regione Puglia ha trasmesso, al fine di fornire riscontro alla suddetta richiesta, la relazione illustrativa fornita dal segretario generale del consiglio regionale, nella quale e' stato specificato che:
«nell'intervento di presentazione della proposta emendativa» (alla precedente versione dell'articolo) «il relatore puntualizza (..) che: "Non e' dunque previsto un obbligo vaccinale, ovviamente, ma l'attestazione di una scelta, finalizzata solo ed esclusivamente al diritto di essere informati dei ragazzi. Quale ulteriore prova che si tratti del diritto dei ragazzi (e famiglie) a essere informati, vi e' l'ulteriore previsione di un'attestazione - alternativa alle prime tre ipotesi (somministrazione/avvio programma di somministrazione/rifiuto della somministrazione) - limitata al mero riferimento sull'avvenuto espletamento del colloquio informativo sui benefici della vaccinazione, senza dunque dover costringere gli interessati a prendere implicitamente posizione"»;
«si ritiene ora utile ricordare le finalita' e i presupposti giuridici su cui si fonda l'intero impianto della legge regionale n. 1 del 2024 "Programma di eliminazione del carcinoma del collo dell'utero e delle altre patologie HPV-correlate" all'interno della quale il legislatore ha disposto l'inserimento del sopra descritto art. 1»;
«la Regione Puglia, in ottemperanza agli impegni presi dalle regioni in sede di Conferenza Stato-regioni del 2 agosto 2023 nella quale occasione e' stato approvato il Piano nazionale di prevenzione vaccinale 2023-2025 ed il relativo calendario vaccinale, con la legge regionale n. 1 del 2024 "... si impegna a mettere in campo su tutto il territorio regionale ogni azione utile a raggiungere gli obiettivi di copertura vaccinale contro il papilloma virus in tutti i gruppi di popolazione che abbiano acquisito il diritto alla vaccinazione, nell'interesse prioritario della salute collettiva»; a tal fine, la Regione Puglia «promuove interventi di informazione e sensibilizzazione, in modo particolare all'interno delle scuole secondarie di primo e secondo grado, dei punti di ritrovo per i giovani e giovanissimi, delle strutture sanitarie pubbliche e private, specialmente negli sportelli di informazione al pubblico e nei reparti di pediatria, con particolare riferimento ai consultori femminili" (rif. art. 1, comma 2 e art. 3, primo capoverso)»;
«e' in questo contesto giuridico normativo che la regione, «individuando la vaccinazione quale strumento indispensabile di prevenzione primaria, complementare alle attivita' di screening ai fini dell'eliminazione del carcinoma del collo dell'utero e delle altre patologie HPV-correlate», con la legge regionale n. 22 del 2024 di recente approvazione ha integrato l'impianto normativo con l'approvazione dell'art. 1, oggi art. 4-bis "Programma di vaccinazione anti-papilloma virus umano" della legge regionale n. 1 del 2024».
Peraltro, si rappresenta che il Consiglio dei ministri, su proposta del Ministro per gli affari regionali e le autonomie, «ha deliberato di impugnare la legge Regione Puglia n. 22 del 30/05/2024 "Modifica alla legge regionale 16 febbraio 2024, n. 1 (Programma di eliminazione del carcinoma del collo dell'utero e delle altre patologie HPV-correlate) e misure per l'aumento della copertura della vaccinazione anti papilloma virus umano (HPV) e misure per la prevenzione delle infezioni da Virus respiratorio sinciziale nel neonato (VRS - bronchiolite)", in quanto talune disposizioni in materia di adempimento degli obblighi vaccinali ai fini dell'iscrizione e dell'accesso ai servizi scolastici, ponendosi in contrasto con la normativa statale ed europea, violano gli articoli 3, 34 e 117, primo comma e secondo comma, lettera m) e n), della Costituzione» (comunicato stampa del Consiglio dei ministri n. 89 del 22 luglio 2024).
Osserva:
In via generale, si rappresenta che, in relazione agli adempimenti vaccinali per l'iscrizione ai servizi educativi per l'infanzia, alle istituzioni del sistema nazionale di istruzione, ai centri di formazione professionale regionale e alle scuole private non paritarie, il decreto-legge 7 giugno 2017, n. 73, convertito in legge dall'art. 1, comma 1, della legge 31 luglio 2017, n. 119, individua le vaccinazioni obbligatorie e gratuite e stabilisce che «i dirigenti scolastici delle istituzioni del sistema nazionale di istruzione ed i responsabili dei servizi educativi per l'infanzia, dei centri di formazione professionale regionale e delle scuole private non paritarie sono tenuti, all'atto dell'iscrizione del minore di eta' compresa tra zero e sedici anni e del minore straniero non accompagnato, a richiedere ai genitori esercenti la responsabilita' genitoriale, ai tutori o ai soggetti affidatari la presentazione di idonea documentazione comprovante l'effettuazione delle vaccinazioni obbligatorie indicate all'articolo 1, commi 1 e 1-bis, ovvero l'esonero, l'omissione o il differimento delle stesse in relazione a quanto previsto dall'articolo 1, commi 2 e 3, o la presentazione della formale richiesta di vaccinazione all'azienda sanitaria locale territorialmente competente» (art. 1, commi 1 e 1-bis, art. 3 e cfr. anche il decreto del Ministero della salute del 17 settembre 2018, n. 257).
In tale contesto, si evidenzia che, tra le vaccinazioni elencate per le quali le predette disposizioni normative prevedono un obbligo ai fini dell'iscrizione scolastica, non rientra quella relativa al papilloma virus (HPV).
Pertanto i dirigenti scolastici, in forza della disciplina statale vigente, possono richiedere la certificazione avente ad oggetto l'effettuazione delle vaccinazioni obbligatorie indicate all'art. 1, commi 1 e 1-bis, ovvero l'esonero, l'omissione o il differimento delle stesse o la presentazione della formale richiesta di vaccinazione all'Azienda sanitaria locale territorialmente competente, soltanto per i casi previsti nella disposizione sopra citata. Il decreto-legge 7 giugno 2017, n. 73, non contempla, quindi, che l'iscrizione ai percorsi d'istruzione previsti nella fascia di eta' 11-25 anni, sia subordinata alla presentazione alle autorita' scolastiche di documentazione che attesti l'avvenuta vaccinazione anti-HPV (oppure l'avvio del programma di somministrazione oppure il rifiuto alla somministrazione del vaccino oppure l'avvenuto espletamento del colloquio informativo sui benefici della vaccinazione, su formale richiesta degli esercenti la responsabilita' genitoriale o, ricorrendone i presupposti di legge, dagli stessi interessati); analogamente non risulta la sussistenza di un simile obbligo legato alla vaccinazione anti-HPV per l'iscrizione ai corsi universitari (cfr., al riguardo, articoli 286-bis e 286-sexies del decreto legislativo 9 aprile 2008, n. 81, recante «Attuazione dell'articolo 1 della legge 3 agosto 2007, n. 123, in materia di tutela della salute e della sicurezza nei luoghi di lavoro», che, per le specifiche attivita' di sensibilizzazione relative ai «vantaggi e inconvenienti della vaccinazione o della mancata vaccinazione, sia essa preventiva o in caso di esposizione ad agenti biologici per i quali esistono vaccini efficaci», gli studenti che seguono corsi di formazione sanitaria sono equiparati ai «lavoratori che operano, nei luoghi di lavoro interessati da attivita' sanitarie»; cfr., altresi', art. 1, comma 1, lettera b), del decreto del Presidente della Repubblica 7 novembre 2001, n. 465, recante «Regolamento che stabilisce le condizioni nelle quali e' obbligatoria la vaccinazione antitubercolare, a norma dell'articolo 93, comma 2, della legge 23 dicembre 2000, n. 388», che prevede la vaccinazione antitubercolare obbligatoria per gli studenti in medicina).
La disciplina in materia di protezione dei dati personali prevede che le informazioni personali siano trattate in modo lecito, corretto e trasparente nei confronti dell'interessato («principio di liceita', correttezza e trasparenza», art. 5, par. 1, lettera a) del regolamento). Quale condizione di liceita' del trattamento, la medesima disciplina stabilisce che lo stesso possa essere effettuato se ricorra una delle condizioni elencate nell'art. 6 del regolamento nonche', per quanto attiene al trattamento di dati personali relativi a categorie particolari, inclusi quelli relativi alla salute, che lo stesso sia di regola vietato, salvo che ricorra una delle eccezioni previste dal regolamento e sussista un'idonea base giuridica che possa giustificare lo stesso (v. articoli 5, par. 1, lettera a), 9 del regolamento, nonche' art. 2-sexies del codice).
Alla luce delle considerazioni preliminari sopra riportate, si ritiene, pertanto, che la disposizione di cui all'art. 4-bis della legge della Regione Puglia n. 1/2024 presenti le seguenti criticita':
1. Inidoneita' della base giuridica.
In via preliminare si rileva che, in ordine alla competenza relativa all'introduzione di misure di limitazione dei diritti e delle liberta' fondamentali che implichino il trattamento di dati personali, come piu' volte ribadito dall'Autorita', la predetta competenza appare ricadere nelle materie assoggettate alla riserva di legge statale (articoli 6, par. 2, e 9 del regolamento e articoli 2-ter e 2-sexies del codice; cfr., altresi', audizione informale alla Camera del 6 maggio 2021 del Presidente del Garante; Corte costituzionale, sentenza n. 5/2018 sulle condizioni di legittimita' dell'obbligo vaccinale e sulla riserva di legge statale in materia di vaccinazione, nonche' sulla configurabilita' delle disposizioni in materia di iscrizione e adempimenti scolastici, di cui al decreto-legge n. 73 del 2017, come «norme generali sull'istruzione» (art. 117, secondo comma, lettera n) della Costituzione) che "vengono a definire caratteristiche basilari dell'assetto ordinamentale e organizzativo del sistema scolastico (sentenze n. 284 del 2016, n. 62 del 2013, n. 279 del 2012) e ricadono nella potesta' del legislatore statale.
In tale quadro, per i profili di competenza dell'Autorita', si rileva che, da un lato, l'acquisizione di documentazione, anche sanitaria, da parte delle autorita' scolastiche e, dall'altro, l'onere di produrre la predetta documentazione da parte degli studenti e delle famiglie, non appaiono essere possibili, se non nei limiti in cui cio' sia previsto da una norma uniforme a livello nazionale, nel rispetto del principio di proporzionalita' (art. 6, par. 3, lettera b), del regolamento) e del principio di ragionevolezza (art. 3 della Costituzione).
La previsione di una raccolta di dati personali e sulla salute, sia attestante l'avvenuta vaccinazione anti-HPV, oppure l'avvio del programma di somministrazione oppure il rifiuto alla somministrazione del vaccino oppure l'avvenuto espletamento del colloquio informativo sui benefici della vaccinazione, quale condizione per esercitare diritti e liberta' individuali, come l'iscrizione scolastica, non dovrebbe pertanto poter essere prevista da una legge regionale trattandosi di una materia assoggettata alla riserva di legge statale.
In particolare, la predetta disposizione normativa contenuta nell'art. 4-bis della legge regionale n. 1/2024 della Regione Puglia, nel prevedere una raccolta generalizzata, studente per studente, di informazioni relative all'effettuata vaccinazione anti-HPV, alla scelta del minore e delle famiglie in ordine alla somministrazione della stessa nonche' all'avvenuto adempimento informativo, introduce un trattamento di dati personali, anche relativi alla salute, da parte delle autorita' scolastiche che comporta limitazioni dei diritti e delle liberta' individuali, allo stato non previsti da alcuna disposizione di legge statale (cfr. anche «Decalogo sul trattamento dei dati personali connesso alle iniziative volte a promuovere il completamento della vaccinazione dei soggetti appartenenti alle categorie prioritarie: le regole da rispettare per la chiamata attiva dei soggetti da vaccinare in via prioritaria», adottato con provv. del 22 luglio 2021, doc. web n. 9688966, in ordine al necessario coinvolgimento dei soggetti operanti nell'ambito del servizio sanitario nazionale che hanno in cura l'interessato).
Nello stesso senso il Garante ha recentemente affermato, ancorche' in diverso contesto (v. provv. 11 aprile 2024, n. 235, doc. web n. 10019523), che non sono consentiti livelli differenziati di tutela della protezione dei dati personali - ne' su base territoriale ne' a livello di singola amministrazione - specie quando la materia sia gia' stata oggetto di bilanciamento e regolazione da parte del legislatore con disposizioni uniformi a livello nazionale (nel caso di specie, con riguardo al decreto-legge n. 73/2017, nel preambolo dello stesso e' stata evidenziata la «straordinaria necessita' ed urgenza di emanare disposizioni per garantire in maniera omogenea sul territorio nazionale le attivita' dirette alla prevenzione, al contenimento e alla riduzione dei rischi per la salute pubblica e di assicurare il costante mantenimento di adeguate condizioni di sicurezza epidemiologica in termini di profilassi e di copertura vaccinale»). Inoltre, la base giuridica del trattamento deve essere idonea anche alla luce dell'«ordinamento costituzionale» dello Stato membro, nel rispetto del principio di proporzionalita' (v. cons. 41 del regolamento e la sentenza della Corte costituzionale n. 271/2005, in base alla quale la disciplina di protezione dei dati personali rientra fra la materia di competenza esclusiva statale riferita all'«ordinamento civile»; v., al riguardo, provv. n. 125 del 13 aprile 2023 doc. web 9907846; provvedimento n. 287 del 6 luglio 2023 doc. web 9920145; provvedimento n. 286 del 6 luglio 2023, doc. web n. 9920116).
Alla luce delle considerazioni che precedono, fermo restando che la valutazione della illegittimita' dell'utilizzo della legge regionale nella suddetta materia compete alla Corte costituzionale, dinanzi alla quale e' stata infatti impugnata dal governo la legge n. 1/2024 della Regione Puglia, il Garante evidenzia sin da ora che qualora la Corte dichiarasse la illegittimita' costituzionale della legge pugliese, i trattamenti dei dati personali posti in essere in attuazione dell'art. 4-bis della legge regionale medesima risulterebbe privi di idonea base giuridica in violazione degli articoli 5, 6, 9 del regolamento e 2-ter e 2-sexies del codice.
2. I principi applicabili al trattamento dei dati personali.
Tra i principi che devono governare il trattamento dei dati personali, individuati nel citato art. 5, comma 1, del regolamento, assume particolare rilievo quello relativo alla «minimizzazione dei dati», secondo il quale i dati devono essere «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalita' per le quali sono trattati».
Al riguardo, si rappresenta che il trattamento di dati personali previsto dalla predetta disposizione di legge perseguirebbe, come indicato nel predetto art. 4-bis della legge n. 1/2024 della Regione Puglia, la finalita' di «rendere capillare il dovere di informazione a carico delle autorita' sanitarie e scolastiche sull'utilita' della vaccinazione anti papilloma virus umano, cosi' da debellare le infezioni e prevenire le relative conseguenze cancerose, nell'esclusivo interesse dei giovani pugliesi a una vita di relazione quanto piu' libera e affidabile».
In relazione al perseguimento della predetta finalita' appare che la disposizione in esame presenti profili di criticita' anche in relazione al rispetto del citato principio di minimizzazione nonche' di proporzionalita', richiesto dall'art. 6, parr. 3 e 4 del regolamento (cfr. anche sentenza della Corte costituzionale n. 20/2019, nella parte in cui evidenzia che «il giudizio di ragionevolezza sulle scelte legislative si avvale del cosiddetto test di proporzionalita', che "richiede di valutare se la norma oggetto di scrutinio, con la misura e le modalita' di applicazione stabilite, sia necessaria e idonea al conseguimento di obiettivi legittimamente perseguiti, in quanto, tra piu' misure appropriate, prescriva quella meno restrittiva dei diritti a confronto e stabilisca oneri non sproporzionati rispetto al perseguimento di detti obiettivi"»; cfr. anche EDPS, «Assessing the necessity of measures that limit the fundamental right to the protection of personal data: a toolkit, 11 aprile 2017»).
Si rappresenta, inoltre, che la raccolta, da parte delle autorita' scolastiche, delle informazioni sopradescritte, relative a tutti i soggetti che intendano iscriversi ai percorsi d'istruzione previsti nella fascia di eta' 11-25 anni, potrebbe creare disparita' tra gli studenti, anche in ragione delle scelte adottate dagli stessi o dalle rispettive famiglie.
Cio' premesso, la soprarichiamata finalita' di promozione di interventi di informazione e sensibilizzazione, in modo particolare dei giovani, sull'utilita' della vaccinazione anti papilloma virus, potrebbe essere utilmente raggiunta attraverso l'individuazione di soluzioni che consentano sia di soddisfare le esigenze sanitarie di prevenzione epidemiologica sia di assicurare, allo stesso tempo, il rispetto delle liberta' di scelta individuali in merito alla vaccinazione e il diritto alla protezione dei dati personali. Tali misure potrebbero concretizzarsi in attivita' di sensibilizzazione, anche all'interno delle scuole, da parte dei soggetti preposti in ambito sanitario, quali, ad esempio, incontri e messa a disposizione di materiale informativo, che non prevedano una raccolta generalizzata di dati personali dei soggetti interessati, considerata, altresi', la particolare delicatezza delle informazioni trattate, sulla salute, e dei soggetti coinvolti, soprattutto minori di eta', anche al fine di prevenire possibili effetti discriminatori per coloro che non possano o non intendano sottoporsi alla vaccinazione.
Ritenuto:
Alla luce delle rilevanti criticita' sopra illustrate, laddove la Corte costituzionale dichiarasse l'illegittimita' della legge della Regione Puglia n. 22 del 30 maggio 2024, i trattamenti di dati personali previsti dalla disposizione dell'art. 4-bis della legge n. 1/2024 della Regione Puglia, non risulterebbero, a far data dal loro avvio stante l'efficacia ex tunc dell'eventuale pronuncia, conformi alla disciplina in materia di protezione dei dati personali perche' privi di un'idonea base giuridica;
Che anche a prescindere dalla predetta eventuale declaratoria di illegittimita' costituzionale della citata legge regionale i trattamenti oggetto del presente provvedimento non appaiono conformi ai principi di necessita' proporzionalita' previsti dalla vigente disciplina europea sulla protezione dei dati personali:
Considerato che il regolamento attribuisce al Garante il potere, tra gli altri, di rivolgere avvertimenti al titolare o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del regolamento (art. 58, par 2, lettera a)) e che ricorre l'esigenza di intervenire tempestivamente al fine di tutelare i diritti e le liberta' degli interessati prima che le richiamate violazioni producano effetti;
Considerato, quindi, che risulta necessario avvertire la Regione Puglia e tutti gli altri soggetti coinvolti del fatto che i trattamenti di dati personali di cui alla disposizione dell'art. 4-bis della legge regionale n. 1/2024 della predetta regione, in assenza di interventi correttivi, possono violare le disposizioni in materia di protezione dei dati personali di cui agli articoli 5, par. 1, lettera a) e c), 6, 9 del regolamento e 2-ter e 2-sexies del codice.
Tutto cio' premesso, il Garante:
a) Ai sensi dell'art. 58, par 2, lettera a), del regolamento avverte la Regione Puglia (C.F. 80017210727) e tutti i soggetti coinvolti che i trattamenti di dati personali effettuati in attuazione della disposizione di cui all'art. 4-bis della legge regionale n. 1/2024, sulla base delle motivazioni espresse in premessa, possono violare le disposizioni in materia di protezione dei dati personali di cui agli articoli 5, lettera a) e c), 6, 9 del regolamento e 2-ter, 2-sexies del codice.
b) Trasmette copia del presente provvedimento al Presidente del Consiglio dei ministri e alla conferenza delle regioni e delle province autonome per le valutazioni di competenza;
c) Ai sensi dell'art. 154-bis, comma 3, del codice, dispone la pubblicazione del presente provvedimento nella Gazzetta Ufficiale della Repubblica italiana.
Roma, 2 agosto 2024
Il presidente e relatore: Stazione
Il segretario generale: Mattei
|