Garante per la protezione dei dati personali Provvedimento n. 476 del 2 agosto 2024 [10042438]-Vaccinazione anti papilloma virus e trattamento di dati sanitari. La posizione del Garante privacy sull’art. 4-bis della legge della Regione Puglia n. 1/2024

Trattamento di dati sanitari – Base giuridica – Principi di proporzionalità e minimizzazione – Legge nazionale- Necessaria -  Legge regionale – Inidonea

Vaccinazione non obbligatoria – Trattamento dei dati sanitari - Finalità di sensibilizzazione – Principi di minimizzazione e proporzionalità – Non garantiti

Il Garante per la protezione dei dati personali, con il provvedimento n. 476 del 2 agosto 2024, ai sensi dell’art. 58, par 2, lett. a), del Regolamento generale sulla protezione dei dati (c.d. GDPR), ha avvertito la Regione Pug lia e tutti i soggetti coinvolti che i trattamenti di dati personali effettuati in attuazione della disposizione di cui all’art. 4-bis della legge regionale n. 1/2024 possono violare le disposizioni in materia di protezione dei dati personali di cui agli artt. 5, lett. a) e c), 6, 9 del GDPR e 2-ter, 2-sexies del Codice privacy.

Nella legge della Regione Puglia n. 1 del 2024, infatti, è stato introdotto, ad opera della legge regionale n. 22 del 2024, l’art. 4-bis, rubricato “Programma di vaccinazione anti-papilloma virus umano”, secondo cui: «Per rendere capillare il dovere di informazione a carico delle autorità sanitarie e scolastiche sull’utilità della vaccinazione anti papilloma virus umano, così da debellare le infezioni e prevenire le relative conseguenze cancerose, nell’esclusivo interesse dei giovani pugliesi a una vita di relazione quanto più libera e affidabile, l’iscrizione ai percorsi d’istruzione previsti nella fascia di età 11-25 anni, compreso quello universitario, è subordinata, salvo formale rifiuto di chi esercita la responsabilità genitoriale oppure, dei soggetti interessati che hanno raggiunto la maggiore età, alla presentazione di documentazione, già in possesso degli interessati, in grado di certificare l’avvenuta vaccinazione anti-HPV, oppure un certificato rilasciato dai centri vaccinali delle Aziende sanitarie locali (ASL) di riferimento, attestante la somministrazione, l’avvio del programma di somministrazione oppure il rifiuto alla somministrazione del vaccino. L’attestazione rilasciata dai centri vaccinali può anche limitarsi, su formale richiesta degli esercenti la responsabilità genitoriale o, ricorrendone i presupposti di legge, dagli stessi interessati, al mero riferimento sull’avvenuto espletamento del colloquio informativo sui benefici della vaccinazione. I dati raccolti nell’applicazione della disposizione di cui al comma 1, rientrano nella gamma dei dati sensibili in materia di salute e per questo sono protetti con le garanzie e le tutele previste dalla legge».

Peraltro, come si può leggere nel comunicato stampa n. 89 del 22 luglio 2024, il Consiglio dei ministri ha deliberato di impugnare la legge della Regione Puglia n. 22 del 2024 in quanto, a suo avviso, «talune disposizioni in materia di adempimento degli obblighi vaccinali ai fini dell’iscrizione e dell’accesso ai servizi scolastici, ponendosi in contrasto con la normativa statale ed europea, violano gli articoli 3, 34 e 117, primo comma e secondo comma, lettera m) e n), della Costituzione».

Il Garante rammenta come a prevedere gli adempimenti vaccinali per l’iscrizione ai servizi educativi per l’infanzia, alle istituzioni del sistema nazionale di istruzione, ai centri di formazione professionale regionale e alle scuole private non paritarie sia il d.l. n. 73 del 2017. La vaccinazione relativa al papilloma virus (HPV) non rientra tra quelle elencate per cui sia contemplato un obbligo ai fini dell’iscrizione scolastica e i dirigenti scolastici possono richiedere la documentazione solo nei casi previsti. Nemmeno risulta normativamente la sussistenza di un simile obbligo legato alla vaccinazione anti-HPV per l’iscrizione ai corsi universitari.

Secondo il Garante, l’art. 4-bis citato presenta varie criticità con riguardo alla protezione dei dati personali, in ordine all’idoneità della base giuridica per il trattamento e al rispetto dei principi sanciti dal GDPR, segnatamente il principio di proporzionalità e quello di minimizzazione.

Quanto all’inidoneità della base giuridica per il trattamento dei dati personali, viene osservato che la competenza relativa all’introduzione di misure di limitazione dei diritti e delle libertà fondamentali che implichino il trattamento di dati personali ricadrebbe nelle materie assoggettate alla riserva di legge statale, come si può ricavare dagli artt. 6, par. 2, e 9 GDPR e artt. 2-ter e 2-sexies del Codice privacy. L’acquisizione di documentazione, anche sanitaria, da parte delle autorità scolastiche e l’onere di produrre la predetta documentazione da parte degli studenti e delle famiglie non sembrano possibili, se non nei limiti in cui ciò sia previsto da una norma uniforme a livello nazionale, nel rispetto del principio di proporzionalità (art. 6, par. 3, lett. b), GDPR) e del principio di ragionevolezza (art. 3 Cost.). Disposizioni di questo genere perciò non dovrebbero essere previste da una legge regionale, ma da una legge statale. Nell’eventualità che la Corte costituzionale dichiarasse l’illegittimità costituzionale della legge della Regione Puglia, i trattamenti dei dati personali posti in essere in attuazione dell’art. 4-bis di tale legge regionale risulterebbero del tutto sprovvisti di una base giuridica, in violazione degli artt. 5, 6, 9 GDPR e 2-ter e 2-sexies del Codice privacy.

Quanto invece al rispetto dei principi in materia di protezione dei dati, il Garante rileva che, là dove il trattamento di dati personali persegua, come indicato nel predetto art. 4-bis della legge pugliese, la finalità di «rendere capillare il dovere di informazione […] sull’utilità della vaccinazione anti papilloma virus umano», difficilmente possa garantirsi il rispetto del principio di minimizzazione, ex art. 5, comma 1°, GDPR, il quale impone che i dati personali siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Ugualmente si porrebbe un problema con il rispetto del principio di proporzionalità, ex art. 6, parr. 3 e 4, GDPR, valutando se la previsione di cui all’art. 4-bis della legge regionale «sia necessaria e idonea al conseguimento di obiettivi legittimamente perseguiti, in quanto, tra più misure appropriate, prescriva quella meno restrittiva dei diritti a confronto e stabilisca oneri non sproporzionati rispetto al perseguimento di detti obiettivi» (cfr. Corte cost. n. 20/2019).

Come modalità alternative di perseguimento della finalità informativa suddetta il Garante prospetta «attività di sensibilizzazione, anche all’interno delle scuole, da parte dei soggetti preposti in ambito sanitario, quali, ad esempio, incontri e messa a disposizione di materiale informativo, che non prevedano una raccolta generalizzata di dati personali dei soggetti interessati». Si tratterebbe dunque di «soluzioni che consentano sia di soddisfare le esigenze sanitarie di prevenzione epidemiologica sia di assicurare, allo stesso tempo, il rispetto delle libertà di scelta individuali in merito alla vaccinazione e il diritto alla protezione dei dati personali».