Alla luce del forte impatto che la nuova disciplina sul Responsabile della protezione dei dati (Rpd) determina anche nel settore sanitario, l’Ufficio ha ritenuto opportuno fornire alcuni chiarimenti in merito alla proposta pervenuta, da più realtà territoriali, di individuare un unico Rpd per tutte le strutture sanitarie di un’unica regione. Tale scelta non è, in linea di principio, contraria a quanto previsto dal RGPD; cio nonostante, deve essere valutata con grande senso di responsabilità, tenendo in considerazione tutte le implicazioni tecniche, giuridiche e pratiche di tale decisione, nonché la circostanza che quello sanitario rappresenta uno dei settori più complessi del trattamento dei dati sulla salute.

Nella scelta di un unico Rpd devono comunque essere rispettati i requisiti richiesti dal RGPD per la suddetta designazione. Ciò con particolare riferimento alla possibilità che il Rpd agisca in piena indipendenza e autonomia (senza ricevere istruzioni e riferendo direttamente ai vertici) e al requisito della professionalità, che deve essere adeguata alla peculiare complessità del settore sanitario fortemente caratterizzato da un livello più elevato di conoscenze specialistiche. In tali casi deve essere prestata particolare attenzione agli ulteriori compiti e funzioni che il responsabile potrebbe svolgere, per prevenire situazioni di conflitto di interesse oppure inefficienze nell’adempimento delle funzioni proprie di tale figura (cfr., sul punto, par. 2.3. delle “Linee guida sui responsabili della protezione dei dati” del Gruppo Art. 29, adottate il 13 dicembre 2016, versione emendata del 5 aprile 2017 e “Nuove Faq sul Responsabile della protezione dei dati (Rpd) in ambito pubblico”,doc. web n. 7322110). Le scelte del titolare relative alla designazione del Responsabile devono inoltre consentire effettivamente, sia ai titolari che alla moltitudine degli interessati coinvolti, di poter agevolmente contattare il Rpd. Ciò, in particolare, alla luce del rilevante numero di assistiti delle regioni che potrebbero, in qualità di interessati, avere l’esigenza di contattare lo stesso per l’esercizio dei propri diritti.

La delicatezza del settore e la particolare rischiosità dei trattamenti che lo caratterizzano, enfatizzata dal crescente impiego di nuove tecnologie e dal rilievo che assume nel contesto delle attività di cura l’utilizzo dei dati personali anche per finalità ulteriori (quali, ad esempio, quelle connesse alla ricerca scientifica) costituiscono, infatti, elementi che devono indurre a un’attenta riflessione circa l’opportunità della decisione di concentrare in un unico soggetto, la designazione del Rpd.

Dovrà, pertanto, essere fatta un’attenta valutazione da parte delle aziende sanitarie in merito alla necessità di prevedere, sin dalla fase di selezione e designazione, un qualificato e congruo apporto di tale figura (in termini di ore effettive di lavoro) per la gestione delle attività del singolo titolare. La validità della scelta del Rpd unico dipende, infatti, anche dalla quantità di tempo che lo stesso potrà effettivamente dedicare ad ogni titolare, ciò tenendo conto anche dell’impegno straordinario che si richiederà a tale figura nella prima fase di applicazione del RGPD, in relazione allemolteplici attività di adeguamento che le singole aziende devono intraprendere (nota 22 maggio 2018).

In merito al delicato ruolo dei responsabili della protezione dei dati nel settore sanitario e della ricerca, oltre a promuovere iniziative volte a sostenere, in generale, la pubblica amministrazione nel cambiamento in atto (incontri del 15 gennaio a Bari, presso il Teatro Petruzzelli, e il 6 aprile a Roma presso la sala convegni del Cnr, del 24 maggio 2018 a Bologna), l’Ufficio ha svolto tale attività anche attraverso una serie di incontri specifici con i responsabili della protezione dei dati del settore. Tra questi si segnalano nel corso del 2018, in particolare, l’incontro tenutosi il 5 luglio con i Rpd degli enti pubblici di ricerca avvenuto nell’ambito della Consulta dei Presidenti degli Enti pubblici di ricerca nazionali, presso il Cnr; quello del 20 settembre con istituzioni e enti di ricerca presso la Regione Lazio; quello del 6 novembre, presso la sala congressi dell’Ospedale Sant’Eugenio, con un Tavolo di confronto tra Rpd delle Aziende Sanitarie e Ospedaliere della Regione Lazio; infine, quello del 13 dicembre, presso l’Istituto Superiore di Sanità, con i Rpd degli Enti di ricerca.

Fonte: Autorità Garante - Relazione 2018