Eccoci giunti al giro di boa, questo è il terzo di cinque articoli di approfondimento al D.L. 73 convertito con modificazioni con la legge 119/2017.
In questo articolo tratteremo il parere del Garante privacy al Ministero della Salute sulla corretta applicazione della Legge Lorenzin nel rispetto del D.Lgs. 196/2003 ed il Regolamento UE 2016/679.
Molteplici sono le segnalazioni che giungono alle associazioni che si interessano di tutelare i diritti fondamentali dei cittadini, non soltanto afferenti alla mancata applicazione della Legge Lorenzin ma, altresì gravi violazioni del Codice in materia di protezione dei dati personali, gravità accentuata dal fatto che si tratta di dati particolari (sanitari) riferiti a minori.
L’art. 3-bis della legge Lorenzin scandisce tempi e modi di scambio dei dati sulla situazione vaccinale dei bambini tra la scuola e la ASL. Le indicazioni del Garante in merito vengono spesso disattese nella pratica, infatti i dirigenti scolastici intrattengono uno scambio di dati in modalità e tempistiche non previste dalla legge, arrivando anche a prendere indicazioni telefoniche dal personale dell’ufficio di igiene sulla necessità di escludere questo o quel bambino, e quant’altro (il caso più grave si verificò in una materna in Puglia che affisse l’elenco dei “bambini non vaccinati” sulla bacheca). Accade anche che i presidi e il personale scolastico chiamino le ASL per chiedere informazioni, addirittura gli insegnanti si permettono di minacciare i genitori di sospendere il figlio da scuola se non adempirà all’obbligo vaccinale, o inviano una missiva ai genitori sollecitando di regolarizzare il figlio, nella quale viene scritto che “il minore sarà riammesso solo se viene presentata alla scuola l’avvenuta vaccinazione obbligatoria”.
Il braccio di ferro spesso instaurato dalle scuole verso le famiglie e la minaccia di esclusione dalla frequenza se non si procede a vaccinare, testimonia l’ignoranza sul dettato della Legge da parte dei dirigenti e del sistema scolastico in generale: si tratterebbe semplicemente di applicare correttamente un unico, chiarissimo articolo del D.L. 73/2017 (art. 3 bis), reso ancor più nitido dalle Circolari congiunte MIUR – Ministero della Salute del 16/08/2017 e 05/07/2018, contenenti anche le prescrizioni del Garante Privacy sulla corretta applicazione della Legge Lorenzin nel rispetto della normativa sulla privacy.
Il ruolo della scuola, e quindi del Dirigente Scolastico, è stato definito con molta cautela dal Garante per evitare che la scuola diventasse un “ufficio vaccinale” o che trattasse dati sanitari in modo eccessivo o inappropriato.
Il D.Lgs. 196/2003 ed il Regolamento UE 2016/679 attualmente in vigore prevedono che, in assenza di espresso consenso dei soggetti interessati, i dati sanitari possano essere gestiti, trattati e trasmessi da pubbliche amministrazioni solo ove ciò sia espressamente previsto da una disposizione di legge. Ciò implica, che tali dati non possono essere scambiati tra diverse P.A. (quali sono le ASL e le Istituzioni Scolastiche) al di fuori di modalità e procedure espressamente previste dalla legge. Tali modalità sono definite dall’art.3-bis del Decreto-Legge 73/2017 convertito con modificazioni dalla L. 31 luglio 2017, n. 119. A questa disciplina si aggiunge l’Allegato A alla circolare congiunta MIUR Salute del 27/02/2018, avallato dal provvedimento n.117 del 22/02/2018 del Garante privacy, i quali prescrivono che al di fuori di tale specifica procedura non possa sussistere alcuno scambio di informazioni circa lo stato vaccinale dei minori tra ASL ed Istituzioni Scolastiche.
Il Garante per la protezione dei dati personali, in data 20/10/2017 con nota istituzionale n.7037400, ha risposto all’Assessore regionale Stefania Saccardi e aveva chiarito che “le informazioni oggetto della comunicazione da parte delle ASL, devono essere qualificate sensibili in quanto idonee a rivelare lo stato di salute dei minori, poiché tra i soggetti non in regola potrebbero ad esempio essere ricompresi minori rientranti nei casi di esonero, omissione o differimento connesse a situazioni di morbilità, pregresse o attuali, temporanee o permanenti.”
Pertanto, i dati che trattano le Amministrazioni sono da considerarsi certamente sensibili, perché anche la semplice dicitura “non in regola” è sufficiente a rivelare lo stato di salute del minore.
Ricordiamo che il Garante privacy ha facoltà di sanzionare le Istituzioni che non rispettano i dettami previsti dalla legge, ed infatti ha sanzionato una scuola materna di Otranto (LE) che aveva affisso l’elenco dei bimbi “non in regola con le vaccinazioni”.
Il Regolamento UE 2016/679, norma anche l’eventuale erronea segnalazione dei nominativi dei minori o di indicazioni imprecise da parte delle aziende sanitarie locali, e qualora dovessero procedere a comunicare informazioni relative allo stato vaccinale dei minori con modalità e tempistiche differenti rispetto a quelle previste dalla procedura di cui alle norme sopra richiamate, tali informazioni e dati dovrebbero essere immediatamente cancellati, dandone contestuale notizia al Titolare del Trattamento dei Dati della ASL che li avesse trasmessi (art. 17, Reg.to Ue 2016/679), poiché un loro eventuale, prolungato trattamento costituirebbe esso stesso un trattamento illecito, contrario ai principi di liceità, correttezza, integrità, riservatezza, minimizzazione e responsabilità previsti dall’art. 5 dello stesso Regolamento (GDPR).
In ragione della natura riservata dei dati da trattare, è diritto della famiglia pretendere che siano rispettate tutte le prescrizioni previste dalle norme in materia di protezione dei dati personali e sanitari, pertanto il genitore può fare reclamo al Garante Privacy segnalando la scuola e il dirigente scolastico, qualora ravvisi una violazione nella procedura prevista dello scambio dei dati particolari del minore tra la scuola e ASL.
Francesco Paolo Cinquemani
*avvocato
