I dati personali, anche relativi alla salute, di circa dieci milioni di italiani sono trattati dai fondi sanitari, pilastro della sanità integrativa nazionale.
Tale numero è verosimilmente in aumento, stando alle informazioni rese note dal Ministero della Salute nel primo Report System sull’assistenza integrativa, di recente pubblicazione, nel quale si evidenzia l’andamento crescente degli iscritti ai fondi sanitari: da 7.493.824 nel 2015 a 10.616.405 nel 2017.
Ma cosa sono i fondi sanitari?
I fondi sanitari sono enti non lucrativi che perseguono finalità assistenziali, generalmente erogando in favore dei propri iscritti e aderenti prestazioni di natura sanitaria e socio-sanitaria.
Operano in forma diretta, anche mediante rimborso della spesa sostenuta, oppure facendo ricorso al mercato assicurativo.
Nell’alveo dei fondi sanitari rientrano due macro categorie:
- i fondi sanitari integrativi in senso stretto, ossia i fondi sanitari integrativi del Servizio sanitario nazionale, istituiti o adeguati ai sensi dell’art. 9 del decreto legislativo 30 dicembre 1992, n. 502 e successive modificazioni;
- gli enti, casse e società di mutuo soccorso aventi esclusivamente fine assistenziale, di cui all’art. 51, comma 2, lettera a), del decreto del Presidente della Repubblica 22 dicembre 1986, n. 917 (“T.U.I.R.”), e successive modificazioni.
Si possono però distinguere numerose altre tipologie di fondi sanitari, in base per esempio a:
- forma giuridica dell’ente (es. associazione riconosciuta, associazione non riconosciuta, società di mutuo soccorso);
- fonte istitutiva (accordi collettivi, regolamenti di enti territoriali, atti assunti da altri soggetti pubblici o privati etc);
- tipologie di prestazioni erogate; modalità di erogazione delle prestazioni e di gestione del rischio sanitario; categorie di assistiti.
Le caratteristiche del singolo fondo sanitario devono essere tutte prese in considerazione, singolarmente e nel loro complesso, per poter assicurare, sin dalla prima ricezione del dato personale dell’assistito, un trattamento conforme alla normativa vigente.
Fondi sanitari: il trattamento dei dati relativi alla salute quale elemento ricorrente
A prescindere dalle singole peculiarità che possono contraddistinguere ciascun fondo sanitario dagli altri, però, tutti i fondi sanitari sono accomunati dalla necessità di trattare dati personali.
Questo include i dati personali relativi alla salute, riferibili ai propri assistiti, con il conseguente obbligo di osservare la normativa sulla protezione dei dati personali ed in particolare il Regolamento (UE) 2016/679 (“GDPR”), il Decreto Legislativo 30 giugno 2003, n. 196 (“Codice privacy”) nonché, limitatamente ai trattamenti di dei dati particolari – categoria nella quale rientrano i dati relativi alla salute – le ulteriori prescrizioni contenute nell’autorizzazione generale n. 3/2016 individuate dal Garante con Provvedimento n. 146 del 5 giugno 2019.
Il fondo sanitario, dunque, raccoglierà dati personali riferibili ai propri assistiti e li tratterà nella misura in cui ciò si renda necessario ad erogare le prestazioni, in linea con le proprie regole statutarie.
Ne individuerà l’idonea base giuridica a seconda della categoria e del trattamento che si intende realizzare e metterà in atto le ulteriori azioni necessarie per garantire la tutela degli assistiti con riguardo al trattamento dei loro dati personali, nonché la libera circolazione degli stessi.
Un complesso ambito di operatività
Apparentemente tutto semplice e lineare.
La prassi che contraddistingue il funzionamento dei fondi sanitari vede, infatti, l’avvicendarsi di numerosi altri soggetti coinvolti a vario titolo, e in differenti fasi, nel processo di erogazione delle prestazioni sanitarie (e quindi del relativo trattamento di dati personali), quali a titolo esemplificativo. A
ziende che iscrivono i propri dipendenti al fondo sanitario; società terze alle quali il fondo sanitario esternalizza, anche solo parzialmente, la gestione delle iscrizioni e delle prestazioni; intermediari assicurativi incaricati di ricercare sul mercato il miglior “prodotto” idoneo a soddisfare le esigenze degli assistiti del fondo sanitario; compagnie di assicurazione a cui il fondo sanitario affida l’erogazione di determinate prestazioni. E la lista potrebbe proseguire.
La presenza di tali soggetti, combinata alla semplicità della struttura organizzativa che talvolta caratterizza il fondo sanitario, può contribuire a rendere di non facile realizzazione, o quantomeno di non facile attuazione, il “modello privacy” dell’ente.
In particolare, la corretta individuazione e formalizzazione dei ruoli e delle responsabilità degli attori coinvolti relativamente ai trattamenti dei dati personali può risultare tanto importante quanto complessa.
Ciò vale, per esempio, con riferimento alla comunicazione annuale di dati personali all’Anagrafe tributaria.
L’invio dei dati all’Agenzia delle Entrate
Una peculiare tipologia di trattamento in capo ai fondi sanitari è rappresentata, infatti, dalla comunicazione annuale, all’anagrafe tributaria, dei dati relativi alle spese sanitarie rimborsate e ai contributi versati.
Più precisamente, l’articolo 78, comma 25-bis, della legge 30 dicembre 1991, n. 413, prevede che, al ricorrere di determinate circostanze sia formali sia sostanziali, “gli enti, le casse e le società di mutuo soccorso aventi esclusivamente fine assistenziale e i fondi integrativi del Servizio sanitario nazionale […] trasmettono all’Agenzia delle entrate, per tutti i soggetti del rapporto, una comunicazione contenente i dati relativi alle spese sanitarie rimborsate per effetto dei contributi versati […] nonché i dati relativi alle spese sanitarie rimborsate […]”. Modalità, termini e contenuto della predetta comunicazione sono stabiliti con il Provvedimento dell’Agenzia delle Entrate 19/02/2016 Prot. 27020, in relazione al quale è stato consultato il Garante per la protezione dei dati personali, e successive modificazioni.
È bene sottolineare che l’invio di tali comunicazioni spetta sempre al fondo sanitario, che al più potrà avvalersi, a tal fine, di società di servizio o imprese di assicurazione.
Esse, nel caso in cui venga loro affidata tale incombenza, dovranno essere appositamente delegate e agiranno su istruzione del fondo sanitario, che dunque resta il soggetto principale su cui grava l’obbligo di comunicazione all’anagrafe tributaria.
Va da sé che, laddove il fondo sanitario abbia affidato l’erogazione delle prestazioni ad una o più imprese di assicurazione, potrà chiedere e ottenere da queste ultime i dati necessari per adempiere all’obbligo di comunicazione all’anagrafe tributaria sopra descritto.
L’impatto sulla sfera privata
Tali comunicazioni, in quanto finalizzate all’elaborazione della dichiarazione dei redditi da parte dell’Agenzia delle Entrate e a consentire i controlli sugli oneri deducibili e sugli oneri detraibili, possono avere un rilevante impatto sulla sfera privata delle persone a cui si riferiscono.
In particolare sui loro diritti e libertà, il cui rischio è indicato dall’art. 32 del GDPR quale parametro per l’individuazione e l’attuazione di misure tecniche e organizzative adeguate per garantire un livello di sicurezza dei dati personali adeguato.
Da qui l’importanza che i dati trasmessi all’Agenzia delle Entrate siano esatti e aggiornati e più in generale che, ove siano coinvolti diversi soggetti nell’erogazione delle prestazioni sanitarie, vengano puntualmente disciplinati i rispettivi ruoli e responsabilità, anche e soprattutto con riguardo ai trattamenti di dati personali svolti.
Articolo di Giovanni Ferorelli, avvocato, consulente in materia di protezione dei dati personali