Osservazioni del Presidente del Garante per la protezione dei dati personali, Antonello Soro - A. C. 491 “disposizioni in materia di trasparenza dei rapporti tra le imprese produttrici, i soggetti che operano nel settore della salute e le organizzazioni sanitarie”

presso la Commissione 12a Affari sociali della Camera dei Deputati (5 novembre 2018)

Profili generali

La proposta di legge disciplina un tema di particolare complessità, quale quello della trasparenza dei vincoli di interesse tra le imprese produttrici di beni e servizi sanitari, i professionisti operanti nel settore della salute e le organizzazioni che erogano prestazioni sanitarie.

In linea generale, non può che apprezzarsi la finalità -sottesa al progetto di legge-di contrastare fenomeni corruttivi in campo sanitario, promuovendo la trasparenza delle relazioni intercorrenti tra i principali operatori del settore.

Vanno, tuttavia, adeguatamente ponderate le modalità mediante le quali perseguire tale obbiettivo, coniugando l’esigenza di trasparenza delle relazioni intercorrenti tra gli operatori del campo sanitario e il diritto alla protezione dei dati personali- sancito come fondamentale diritto di libertà dall’art. 8 della Carta di Nizza e dall’art. 16 del TFUE- inevitabilmente compresso da una forma di pubblicità così invasiva quale la divulgazione in internet.

In ottemperanza a quanto richiesto dalla Corte di giustizia europea con la sentenza Schecke del 2010, va dunque tracciato il limite oltre il quale la pubblicità delle relazioni di interesse intercorrenti tra  imprese e professionisti del settore sanitario leda il nucleo essenziale-incomprimibile ai sensi dell’art. 52 della Carta di Nizza- del diritto alla protezione dei dati delle persone fisiche coinvolte.

Gli obblighi di pubblicità da introdurre dovranno in particolare garantire il rispetto dei principi di proporzionalità, correttezza e minimizzazione, nonché di limitazione della permanenza online delle informazioni, di cui al Regolamento generale sulla protezione dei dati (UE) 2016/679.

La stessa disciplina nazionale dell’accesso a documenti, detenuti da soggetti pubblici per l'esecuzione di compiti di pubblico interesse, deve – secondo il Regolamento europeo - conciliare le esigenze di conoscibilità da parte della collettività con il diritto alla protezione dei dati personali  (cfr. art. 86 e considerando 154.)

Al fine di garantire il rispetto di tali principi e, in particolare, del canone di proporzionalità, andrebbero quindi tenuti in adeguata considerazione, anzitutto, gli obblighi informativi già esistenti e le norme di comportamento (anche di carattere deontologico) vigenti così da non duplicare gli adempimenti previsti.

Si pensi, in particolare, al regime di comunicazione obbligatoria e di pubblica conoscibilità degli incarichi esterni ricoperti da dipendenti pubblici (compresi quindi i medici e i professionisti del SSN), agli obblighi di segnalazione gravanti sugli operatori sanitari riguardo alla partecipazione a convegni e a eventi formativi, nonché, più in generale, al sistema di rilevazione telematica dei dati sulle prestazioni sanitarie (prescritte ed erogate) che consente di monitorare la spesa tramite il collegamento in rete di medici e strutture pubbliche e private convenzionate con il SSN.

Inoltre, nel valutare l’opportunità di introdurre nuovi obblighi di trasparenza andrebbe tenuto conto delle vigenti limitazioni riguardanti la pubblicità dei medicinali, della procedura di comunicazione preventiva all’AIFA prevista per i convegni organizzati da imprese farmaceutiche, nonché dei vincoli relativi alla consegna di campioni gratuiti di medicinali da parte di informatori scientifici.

I nuovi adempimenti andrebbero quindi graduati in funzione di criteri pertinenti, quali il grado di rischio di comportamenti fraudolenti da parte dell’operatore, il contesto in cui questi opera, l’entità, la frequenza e la tipologia della transazione finanziaria o della relazione di interesse, sulla base di una ragionevole valutazione della funzionalità del dato da pubblicare rispetto alle effettive esigenze di conoscibilità della collettività.

Né va dimenticato che una certa interazione tra interessi pubblici e privati, articolata in relazioni tra imprese produttrici, professionisti e organizzazioni sanitarie è in qualche modo connaturata a questo settore. Di conseguenza, può essere difficoltoso per la collettività distinguere tra iniziative suscettibili di influenzare impropriamente le pratiche degli operatori del settore dalle legittime relazioni utili a stimolare l’innovazione, la formazione, il miglioramento della pratica clinica e l’avanzamento della ricerca. 

In tale contesto, un’indiscriminata pubblicità di tali informazioni potrebbe determinare degli effetti distorsivi sul comportamento degli stessi professionisti, i quali potrebbero essere indotti ad adottare eccessive precauzioni per prevenire anche solo l’apparenza di conflitti di interesse, limitando i propri rapporti con le imprese produttrici a scapito, ad esempio, del loro aggiornamento sulle nuove tecnologie o della loro partecipazione a ricerche cliniche.

1. La disciplina proposta, le criticità e le indicazioni del Garante.

In questa prospettiva, si forniscono di seguito alcune indicazioni in merito alle singole previsioni della proposta di legge, al fine di conformarle ai requisiti previsti dal Regolamento UE 2016/679 e dalla disciplina nazionale di adeguamento (d. lgs. n. 101 del 2018).

1.1. Soggetti destinatari degli obblighi di pubblicità.

Innanzitutto, vanno precisate le definizioni che individuano i soggetti destinatari degli obblighi di pubblicità sul web. L'ambito di applicazione soggettivo appare, infatti, delineato con formule ampie e, a tratti, indeterminate. Anche al fine di garantire il necessario rispetto del principio di proporzionalità, è opportuno circoscrivere in modo puntuale l’ambito di applicazione degli oneri di pubblicazione, selezionando adeguatamente all’interno dell’articolato settore sanitario gli enti e i soggetti per i quali il rischio di abusi, pratiche scorrette e conflitti di interesse sia effettivamente tale da rendere essenziale un controllo diffuso da parte della collettività e, quindi, da giustificare una limitazione della riservatezza degli interessati.

1.2. Contenuto degli obblighi di comunicazione al Ministero della salute.

Analoghe considerazioni vanno formulate con riferimento alla definizione del contenuto degli obblighi di comunicazione al Ministero della salute e, quindi, di pubblicità, anche in considerazione delle sanzioni previste in caso di inosservanza (peraltro anch’esse oggetto di diffusione online, in un’apposita sezione del Registro telematico). In questo senso, sempre alla luce del principio di proporzionalità, andrebbe opportunamente riconsiderata la soglia dell’erogazione oltre la quale scatta l'obbligo di pubblicazione sul web, al fine di evitare di sovraccaricare il Registro con informazioni poco significative che rischierebbero di occultare, per eccesso, altre ben più rilevanti, così frustrando la perseguita finalità di trasparenza.

A tal fine può essere utile considerare, ad esempio, che il Codice di comportamento dei dipendenti pubblici (D.P.R. n. 62 del 2013) qualifica di «modico valore» i regali e le altre utilità̀ inferiori a 150 euro, se effettuati occasionalmente e nell'ambito delle normali relazioni di cortesia.

Inoltre, andrebbero attentamente rivalutate le disposizioni che estendono l’obbligo di comunicare al Ministero della salute le partecipazioni azionarie, i titoli obbligazionari e i proventi derivanti da diritti di proprietà industriale o intellettuale dei quali siano titolari il coniuge, il convivente o i parenti «fino al secondo grado» dei «soggetti che operano nel settore della salute». 

Vi è il concreto rischio che tali previsioni si rivelino di difficile applicazione, considerando che i destinatari dei predetti obblighi potrebbero non essere a conoscenza di trovarsi nelle condizioni previste dalla norma, ad esempio qualora non intrattengano alcun rapporto con i propri parenti (peraltro fino al secondo grado, ossia anche fratelli, nonni e nipoti).

1.3. La nozione di “relazione di interesse diretta o indiretta”.

Ancora sotto il profilo della proporzionalità, andrebbe delimitata puntualmente la nozione di «relazione di interesse diretta o indiretta». Al riguardo, si valuti l´opportunità di escludere da tale nozione le partecipazioni «a titolo gratuito od onorifico» a convegni ed eventi formativi, in rapporto all’effettiva rilevanza di tali situazioni in termini di possibili pratiche scorrette, nonché al rischio che i professionisti che intendano aggiornarsi vi possano rinunciare per evitare che questi aspetti della propria vita professionale diventino liberamente consultabili online. Si valuti, del resto, se non sia più adeguato apportare le modifiche necessarie alle vigenti disposizioni, che prescrivono alle Regioni di disciplinare le modalità con cui gli operatori del SSN sono obbligati a rendere nota la loro partecipazione a iniziative promosse o finanziate da aziende farmaceutiche e da aziende fornitrici di dispositivi medici (art. 48, d.l. n. 269/2003), al fine di rendere tale meccanismo più efficiente ed evitare di gravare il settore con ulteriori adempimenti.

Per impedire che un eccesso di informazioni poco rilevanti occulti quelle più significative, si potrebbe prevedere che solo talune tipologie di erogazioni e relazioni di interesse - che presentano un rischio più elevato in termini di abusi, in funzione del contesto e della loro frequenza ed entità - siano inserite nel Registro pubblico telematico, a fronte di altre - di rilevanza più limitata - che potrebbero essere oggetto di semplici obblighi di comunicazione al Ministero, senza comportare alcuna diffusione online. Al riguardo, si potrebbe valutare di demandare al decreto attuativo che il Ministero è tenuto ad adottare, sentito il Garante, il compito di operare un’opportuna graduazione delle modalità di pubblicità.

1.4. Dati da pubblicare nel Registro.

Riguardo al dettaglio dei dati da pubblicare nel registro, in ottemperanza al principio di minimizzazione, appare eccedente la pubblicazione del codice fiscale e della partita iva del beneficiario dell’erogazione o della controparte della relazione di interesse, considerato che è in ogni caso prevista la pubblicazione del domicilio professionale dell’interessato.

Andrebbe anche chiarito in cosa differisca la natura dell’erogazione o della relazione d’interesse, rispetto alla causa della stessa.

1.5. I diritti degli interessati e le misure di garanzia a loro tutela.

Necessitano di essere perfezionate, in maniera conforme al quadro normativo europeo in materia di protezione dei dati personali, le disposizioni che legittimano gli interessati a richiedere al Ministero della salute la rettifica o la cancellazione dei dati che li riguardano contenuti nel Registro telematico. Non pare in linea con gli articoli 15 e seguenti del Regolamento la limitazione della possibilità di esercizio di tali diritti ai soli casi di ritenuta erroneità dei dati pubblicati o dell’identificazione del soggetto cui i dati si riferiscano. La disciplina europea legittima, infatti, l’interessato all’esercizio di diritti ulteriori rispetto a quelli di ottenere la rettifica e la cancellazione, quali, ad esempio, l’integrazione dei propri dati qualora risultino incompleti, la limitazione del trattamento o la  cancellazione dei dati rivelatisi eccedenti, raccolti illecitamente o non rimossi dal web alla scadenza del termine di pubblicazione indicato dalla legge.

E’ quindi opportuno che le disposizioni siano modificate con l’espresso riferimento agli articoli 15 e seguenti del Regolamento europeo UE 2016/679.

Vanno altresì perfezionate le disposizioni volte a legittimare gli interessati ad adire l'autorità giudiziaria ordinaria, ai sensi dell’articolo 152 del Codice in materia di protezione dei dati personali, qualora le loro istanze siano rigettate o comunque alla scadenza del termine di trenta giorni dalla richiesta.

Al riguardo, va tenuto presente innanzitutto che tale previsione è applicabile soltanto alle persone fisiche e non anche alle persone giuridiche (e, quindi, dalle organizzazioni sanitarie), alle quali la disciplina di protezione dati non accorda tutela se non nel settore delle comunicazioni elettroniche.

Inoltre, all’interessato devono essere riconosciute entrambe le forme di tutela, di natura giurisdizionale e amministrativa (dinanzi al Garante), previste dalla disciplina europea.

Se l’interessato ritenga che i diritti riconosciutigli dalla normativa in materia di protezione dei dati personali siano stati violati, ha, infatti, diritto di proporre reclamo al Garante, oltre al diritto di adire l'autorità giudiziaria ordinaria.

In ordine alle specifiche misure a tutela degli interessati, la proposta di legge andrebbe integrata chiarendo che le imprese produttrici sono tenute a fornire una specifica informativa agli operatori del settore della salute, nei confronti dei quali effettuano erogazioni o intrattengono relazioni di interesse. Questo, con particolare riguardo alla circostanza che tali informazioni saranno oggetto di pubblicazione online sul sito del Ministero della salute, in modo da mettere in condizione gli interessati di regolare consapevolmente i loro comportamenti.

Tra le misure di garanzia a tutela degli interessati, andrebbe previsto che i dati pubblicati nel Registro pubblico telematico possono essere riutilizzati solo alle condizioni previste dalla normativa di matrice europea sul riuso dei dati pubblici (dir. 2003/98/CE, recepita nel nostro ordinamento con ild.lgs. n. 36 del 2006) e in ogni caso, ove si tratti di informazioni riferite a persone fisiche, in termini compatibili con gli scopi originari per i quali le stesse sono state raccolte dal Ministero.

In ragione dell’indiscriminata reperibilità in rete delle informazioni contenute nel Registro, suscettibile di determinare conseguenze negative per gli interessati, andrebbe altresì espressamente esclusa l’indicizzazione dei dati personali pubblicati sul sito del Ministero da parte di motori di ricerca generalisti (consentendo però la ricerca mediante quelli interni al sito) per evitare la decontestualizzazione dei dati stessi.

E’ altresì opportuno demandare al decreto attuativo anche la definizione di misure tecniche idonee a prevenire il rischio di riproduzione, cancellazione, o alterazione dei dati resi pubblici tramite il Registro telematico.

1.6. Termini di pubblicazione.

Il termine di pubblicazione obbligatoria dei dati nel Registro dovrebbe essere strettamente commisurato alle finalità perseguite. In tal senso, è opportuno indicare un termine per la pubblicazione su Internet di durata più ridotta rispetto ai cinque anni previsti, allo scadere del quale i dati debbano essere cancellati.

In questo caso, decorso il termine (più breve) della loro permanenza online, si potrebbe valutare la possibilità di memorizzarli in un archivio interno del Ministero della salute, ove potrebbero essere conservati per un periodo tempo più lungo. In tale quadro, può essere utile rilevare che il codice di condotta della Federazione europea delle industrie e delle associazioni farmaceutiche prevede che le informazioni relative ai trasferimenti di valore tra industrie farmaceutiche, operatori e organizzazioni sanitarie vengano diffuse sui siti aziendali delle prime per un arco temporale di tre anni.

Roma, 5 novembre 2018