Condizionare il vaccino all’accettazione del trattamento dei dati sensibili è contrario ai principi costituzionali

Un pasticciaccio colossale quello del trattamento di milioni di dati personali “sensibili” dei cittadini italiani che in queste settimane hanno deciso di sottoporsi alla somministrazione del vaccino anti-Covid19. Mentre alcune regioni non sembrano aver fornito tutte le informazioni necessarie sul titolare responsabile del trattamento e sulle modalità con cui i dati sensibili sono informatizzati ed eventualmente trasferiti a istituzioni pubbliche e soggetti privati terzi, altre regioni, Sicilia in testa, richiedono il consenso su un modulo palesemente illegittimo e profondamente lesivo di fondamentali diritti costituzionalmente protetti. Ne abbiamo parlato ieri (vedi: http://antoniomazzeoblog.blogspot.com/2021/03/invitalia-il-grande-fratello-dei-vaccini.html) rilevando inoltre un’altra gravissima anomalia, quella relativa al “responsabile del trattamento dati” espressamente indicato dalla Regione Sicilia (ma ciò vale anche per Abruzzo e Calabria), INVITALIA SpA”, cioè l’Agenzia nazionale per l’attrazione degli investimenti e lo sviluppo d’impresa, società partecipata al 100% dal Ministero dell’Economia e delle Finanze.

In serata l’Ufficio stampa di INVITALIA ci ha inviato una nota che smentisce le informazioni rese dalle istituzioni regionali preposte alle vaccinazioni. “INVITALIA mai è stata individuata quale Responsabile del trattamento ai sensi DEL Reg. UE 679/2016”, spiega l’Ufficio stampa della società a capitale pubblico. “Infatti, ad ogni Regione che intendesse aderire al sistema di piattaforma nazionale centrale per l’anagrafe dei vaccinati (gestita da Poste Italiane ai sensi del D.L. 2/2021) è stato perfettamente delineato che il Titolare del Trattamento fosse la Regione aderente ed il Responsabile il Commissario Straordinario (con nomina di Poste Italiane a Sub Responsabile). In ogni caso, a seguito della nomina del nuovo Commissario del 2 marzo 2021, la responsabilità del trattamento è traslata a quest’ultimo. Ringraziandola per la segnalazione, procederemo a comunicare alla Regione Sicilia la questione, invitandola a rettificare il Modulo in quanto non coerente con le disposizioni di legge citate".

Sarebbe dunque il generale di corpo d’armata Francesco Paolo Figliuolo, neocommissario straordinario per l’emergenza Covid, il titolare del trattamento degli innumerevoli dati “sensibili” carpiti a coloro che intendono vaccinarsi con un modulo che la stessa INVITALIA definisce “non coerente alle disposizioni di legge” e che però continua ad essere somministrato come conditio sine qua non per poter ottenere il vaccino. Sulle assai discutibili modalità con cui vengono assunti e trattati i dati personali sensibili di coloro che si stanno vaccinando in Italia ne abbiamo parlato con l’avvocato Giancarlo Cipolla del foro di Milano, esperto di diritto internazionale e che dall’inizio della pandemia ha più volte denunciato pubblicamente anomalie e inefficienze nella gestione dell’emergenza.

Avvocato Cipolla, alle persone chiamate a vaccinarsi in queste settimane contro il Covid19 è stato richiesto di firmare, tra l’altro, un modulo (A) per il consenso al trattamento dati personali e una scheda anamnestica con un lungo questionario (C). Abbiamo accertato che il modulo A è stato somministrato perlomeno in Abruzzo, Sicilia e Calabria, mentre la scheda/questionario C è la stessa in quasi tutte le Regioni d’Italia. Ci ha colpito in particolare che al punto 3 del modulo di consenso venga riportato che “il conferimento dei dati è OBBLIGATORIO per registrare l’avvenuta somministrazione del vaccino Anti-Covid19 verso il Sistema Sanitario Nazionale e che l’eventuale rifiuto di fornire tali dati comporterebbe la mancata prosecuzione del rapporto”. Ci sembra di capire che nel caso in cui si rifiutasse di firmare il consenso al trattamento dei dati o – secondo quanto contemplato dal Regolamento (UE) 2016/679 (DGPR) – si richiedesse la revoca al trattamento, per esempio tra la prima e la seconda dose del vaccino, la sua somministrazione potrebbe essere negata. Abbiamo compreso bene e ciò rispetta le normative vigenti?

La obbligatorietà del consenso sembra portare alle conclusioni da lei paventate. Nel prevedere che l’eventuale rifiuto al trattamento dei dati comporta la “mancata prosecuzione del rapporto”, il punto 3 del modulo sembrerebbe effettivamente precludere l’esecuzione della prestazione sanitaria laddove il consenso non venga espresso. Se così fosse, tale previsione si porrebbe certamente in contrasto con il Regolamento (UE) 2016/679 (GDPR), peraltro richiamato nello stesso modulo. Secondo l’art. 6 del GDPR, infatti, il consenso rappresenta una delle condizioni di liceità per il trattamento dei dati personali a patto che sia libero e l’art. 7 stabilisce che, al fine di valutare detta libertà, si deve tenere nella massima considerazione l’eventualità che l’esecuzione di un contratto sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all’esecuzione di tale contratto. In altre parole, come ulteriormente specificato dall’art. 42 del GDPR, il consenso non può ritersi libero se chi lo presta non è in grado di operare una scelta autenticamente libera o si trova nell’impossibilità di rifiutare o revocare il consenso senza subire pregiudizio.

Nel caso di specie, il pregiudizio c’è ed è evidente, posto che il rifiuto al trattamento dei dati personali equivale alla mancata somministrazione del vaccino e, dunque, al rischio di contrarre una patologia potenzialmente letale. Inoltre, nelle Linee Guida sul consenso ai sensi del GDPR, approvate anche dall’European Data Board, si legge che “il consenso può costituire la base legittima appropriata solo se all’interessato vengono offerti il controllo e l’effettiva possibilità di scegliere se accettare o meno i termini proposti o rifiutarli senza subire pregiudizio”. Dette linee guida precisano quindi che qualsiasi forma di condizionamento del consenso, azione di pressione o influenza inappropriata sull’esercizio della volontà dell’interessato, compresa anche l’eventualità che il consenso sia parte non negoziabile delle condizioni generali di contratto/servizio, rende il consenso invalido.

 

L’interruzione della prestazione del servizio di vaccinazione, non comporta comunque una grave lesione di un diritto fondamentale, quello alla difesa e promozione della salute della persona?

Ritengo di sì.

La somministrazione vaccinale ad oggi costituisce la via principale per sconfiggere la diffusione del Covid-19 e dunque per salvaguardare la vita e la salute di tutti i cittadini.

Condizionare una prestazione vitale per il cittadino alla previa accettazione del trattamento dei suoi dati rappresenta uno strumento di pressione lesivo dell’autodeterminazione del soggetto e contrario ai principi costituzionali e dell’ordinamento europeo.

 

Al punto 4 del modulo del consenso si riporta che “i dati potranno essere/saranno comunicati al Servizio Sanitario Nazionale e al Ministero della Salute. Il trattamento riguarderà anche dati personali rientranti nel novero dei dati sensibili, vale a dire dati idonei a rivelare lo stato di salute del soggetto vaccinato. I dati sanitari potranno essere trattati da centri medici specializzati nel valutare l’idoneità alla vaccinazione”. Come possiamo interpretare l’inedita formula del “potranno essere/saranno”? Ci si aspetterebbe che proprio i dati “sensibili” sullo stato di salute dovrebbero essere a disposizione automaticamente del Sistema Sanitario…

La formula “potranno essere/saranno comunicati” lascerebbe intendere la sussistenza di un potere discrezionale da parte del soggetto al quale i dati personali vengono forniti, ma è solo un’ipotesi.

Quanto al fatto che i dati sensibili relativi allo stato di salute siano automaticamente a disposizione del SSN, occorre considerare che alcune domande del questionario C fanno riferimento a condizioni/informazioni delle quali non necessariamente il Sistema Sanitario è in possesso.

 

Non sarebbe stato doveroso o perlomeno opportuno specificare a quali “centri medici specializzati” potranno essere trasferiti i dati personali “sensibili”, la modalità di tale trasferimento e l’eventuale successiva trattazione dei medesimi da parte di questi soggetti terzi?

Sarebbe stato opportuno e, a mio parere, anche doveroso.

Soprattutto in considerazione della mole e della natura dei dati sensibili forniti mediante la compilazione del questionario C. Tra questi, infatti, figurano non solo informazioni relative alle condizioni di salute odierne e le eventuali malattie pregresse, ma anche dati strettamente personali che esulano dalla condizione sanitaria del soggetto, quali – ad esempio – informazioni in ordine ai soggetti conviventi o l’intenzione di programmare una gravidanza nel mese successivo alla somministrazione del vaccino.

 

Sulla base dei moduli sottoscritti dai vaccinati, quali dati “sensibili” sanitari si può supporre che verranno trattati ed eventualmente trasferiti a soggetti terzi? È ipotizzabile che anche le informazioni, innumerevoli e delicate, del modulo C possono essere utilizzati informatizzati dal soggetto responsabile del trattamento?

Prestando il consenso, tutti i dati forniti sono potenzialmente suscettibili di essere trattati e trasferiti ai soggetti terzi indicati nel modulo.

 

Come può il singolo cittadino tutelare i propri diritti costituzionali e legittimi (privacy, ecc.) di fronte a richieste e comportamenti in essere come quelli sopra riportati? E quale dovrebbe essere il ruolo del Garante nazionale per la protezione dei dati personali?

I dubbi di legittimità manifestati possono essere sottoposti tanto al vaglio del Garante della Privacy che del Giudice Ordinario. Non escluderei il ricorso alla Corte di Giustizia dell’Unione europea stante la supposta violazione dell’Ordinamento dell’Unione Europea.