Registro dei provvedimenti
n. 194 del 27 aprile 2016

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito "Codice");

VISTA la nota del 13 maggio 2015, con la quale il Ministero della Salute ha sottoposto al Garante un quesito in materia di trattamento di dati sanitari del personale navigante da parte del medico del vettore aereo;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

PREMESSO

1. Il quesito del Ministero della Salute.

1.1. Il Ministero della Salute ha formulato al Garante un quesito, chiedendo di esprimere il proprio avviso in ordine ad una richiesta avanzata da Alitalia - Società Aerea Italiana S.p.A. circa la liceità della messa a disposizione da parte della Direzione generale della prevenzione sanitaria di quel dicastero e in favore del medico competente operante presso il medesimo vettore aereo (datore di lavoro) nell'ambito dello svolgimento dei propri compiti di sorveglianza sanitaria (art. 41, d.lg. 9 aprile 2008, n. 81), di documentazione sanitaria relativa al personale navigante, acquisita nell'ambito del procedimento per il rilascio delle licenze aeronautiche per l'aviazione civile (nota del 13 maggio 2015, in atti).

Il quesito origina da una specifica richiesta avanzata da Alitalia alla predetta Direzione generale (e indirizzata anche all'Ente Nazionale Aviazione Civile – Enac), con cui il medico competente della società ha chiesto "l'invio di tutta la documentazione sanitaria relativa al personale Alitalia con riferimento agli anni 2013 e 2014 (referti di laboratorio, clinico specialistici, certificati di malattia e idoneità)", anche "per l'anno in corso e per il futuro" allo scopo di "implementare e perfezionare le attività di sorveglianza sanitaria […] e conseguentemente i giudizi di idoneità" a carico del personale navigante dipendente della società "con riflesso anche sulla salute di terzi" (cfr. nota Alitalia del 16 aprile 2015, in atti). Nella nota il medico si impegna a fornire a propria volta agli enti in indirizzo "la documentazione relativa alla attività di sorveglianza sanitaria  e in particolare l'esito dei controlli sull'uso-abuso di alcool e sostanze stupefacenti" prefigurando altresì la "creazione" di una "banca dati" accessibile al Ministero della salute, all'Aeronautica militare e ad Alitalia.

Il Ministero ha rilevato che il quadro normativo vigente consentirebbe ai  Servizi Assistenza Sanitaria ai Naviganti (SANS) del Ministero della Salute di comunicare gli esiti delle visite mediche - da loro effettuate in qualità di AeMC (aeronautical medical centre, funzioni che in Italia sono svolte dai competenti uffici dell'Aeronautica militare e del Ministero della Salute) nell'ambito del procedimento per il rilascio della licenza di volo - all'Enac e non invece ai datori di lavoro ("non è prevista invece, da parte dei valutatori e dei certificatori medici, la comunicazione diretta al datore di lavoro dell'esito delle visite e delle valutazioni mediche", cfr. nota 13 maggio 2015 cit.).

Per tale ragione il Ministero chiede al Garante di valutare se sia possibile effettuare siffatta comunicazione ad Alitalia, "così come ad altri datori di lavoro operanti nel settore della aereonavigazione" con particolare riguardo alle informazioni che possano determinare una inidoneità ovvero limitazioni della licenza di volo (segnatamente "il giudizio di non idoneità o di limitazione dell'idoneità al volo e ai privilegi della licenza"). In caso positivo, il Ministero chiede al Garante di rilasciare "l'autorizzazione alla fornitura di questi dati ai sensi […] dell'articolo 76, lett. b)" del Codice (nota 13 maggio 2015 cit. e documentazione integrativa: note del Ministero del 23 luglio 2015 e del 18 novembre 2015, nonché nota di Enac 29 maggio 2015 ove si prefigura "la costituzione di una banca dati contenente tutte le informazioni relative ai singoli individui […] avviata con l'utilizzo del sistema EMPIC […anche per consentire] un diretto accesso ai singoli medici esaminatori che ne avranno esigenza […] ai dati relativi ai singoli piloti impiegati dalla compagnia aerea presso la quale assume la responsabilità del controllo" ).

1.2. Al fine di procedere ad una valutazione del complessivo trattamento rappresentato alla luce dell'articolata normativa che disciplina la materia e nel quadro dei principi e delle regole di protezione dei dati personali, anche sotto il profilo dell'accrescimento dei livelli di sicurezza del traffico aereo (profilo pure evidenziato dal Ministero), si sono tenuti presso la sede dell'Autorità (rispettivamente il 27 novembre 2015 e il 18 gennaio 2016) due incontri con rappresentanti dei soggetti istituzionali coinvolti (Enac, Aeronautica Militare, Ministero della Salute) al fine di acquisire ulteriori informazioni in ordine alla problematica e approfondire congiuntamente i profili di applicazione della normativa.

2. Quadro normativo di riferimento.

La materia dei livelli di sicurezza dell'aviazione civile e, più in generale, la sicurezza del traffico e del trasporto aereo nei cieli internazionali, è disciplinata da trattati internazionali con i quali sono stati fissati i principi alla base dell'aviazione civile e del trasporto aereo mondiale nonché da fonti normative e comunitarie (in particolare,  Convenzione sull'aviazione civile internazionale, Convenzione di Chicago del 1944; standards e raccomandazioni  fornite dall'International Civil Aviation Organization-ICAO; Regolamento UE n. 1178/2011 della Commissione, del 3 novembre 2011, che stabilisce i requisiti tecnici e le procedure amministrative relativamente agli equipaggi dell'aviazione civile ai sensi del regolamento (CE) n. 216/2008 del Parlamento europeo e del Consiglio e  Regolamento (UE) n. 290/2012 della Commissione del 30 marzo 2012 recante modifica del regolamento (UE) n. 1178/2011).

In Italia il sistema delle licenze di volo (rilascio, aggiornamento, rinnovo o revoca), già disciplinato minuziosamente dalle fonti comunitarie direttamente applicabili, è affidato alla competenza dell'autorità pubblica: in particolare le autorità competenti per la verifica dei requisiti psico-fisici dei piloti sono stati individuati nelle strutture sanitarie dell'aeronautica militare (IMAS) e del Ministero della salute (SASN) che effettuano i compiti degli AeMC previsti dal Regolamento UE.  In tale quadro, Enac svolge, in qualità di "autorità competente" le funzioni di sorveglianza del sistema di certificazione dell'idoneità psico-fisica del personale di volo, detta norme uniformi per le condizioni di rilascio, mantenimento, modifica, limitazione, sospensione e revoca dei certificati medici di idoneità del personale di volo, definisce procedure comuni per l'effettuazione delle visite mediche di idoneità, delle visite addizionali e delle visite di revisione di primo e/o di secondo livello mediante una specifica aero-medical section (AMS), che procede a riesaminare i giudizi sull'idoneità dei piloti nei casi limite e controversi di valutazione di idoneità aeromedica particolarmente complessa (Regolamento UE n. 290/2012, Allegato IV, ARA.MED.150 e Regolamento ENAC "Organizzazione sanitaria e certificazioni mediche d'idoneità per il conseguimento delle licenze e degli attestati aeronautici" Edizione 3-4 maggio 2015" maggio 2015).

Per lo svolgimento delle operazioni di trattamento in relazione ai dati personali, anche di natura sanitaria, del personale di volo, l'Enac, che opera sotto la vigilanza dell'omologo organo di controllo del settore aeronautico dell'Unione europea (EASA European Aviation Safety Agency), si avvale del sistema informatico "EMPIC".

RILEVATO

3. Il trattamento dei dati sanitari.

3.1. In relazione ai principi di liceità e finalità del trattamento (art. 11, comma 1 lett. a) e b) del Codice), occorre preliminarmente esaminare i trattamenti di dati sanitari effettuati dai vari organismi coinvolti e le relative finalità, alla luce degli approfondimenti svolti, della valutazione degli elementi in atti e delle dichiarazioni rese nel corso degli incontri. Ciò, tenuto anche conto dei riscontri fatti pervenire dagli altri Stati membri interpellati sul tema e dei contributi tecnici di organismi che operano nel settore dell'aviazione civile (EASA, Task force on measures following the accident of German Wings flight 9525- Final report; EASA, Action plan for the implementation of the Germanwings Task Force recommendations. Version 1 – 7 October 2015;  BEA, Bureau d'Enquêtes et d'Analyses pour la sécurité de l'aviation civile, Rapport Final,  Accident survenu le 24 mars 2015à Prads-Haute-Bléone (04) à l'Airbus A320-211, immatriculé D-AIPXexploité par Germanwings- 13 marzo 2016).

Come si evince dall'esame della specifica disciplina di settore, gli accertamenti sanitari, a carico del SSN, volti alla verifica dei requisiti psicofisici necessari per il rilascio e il rinnovo delle licenze di volo sono posti in essere dalle autorità competenti nell'ambito del sistema pubblicistico di verifica dell'idoneità per le licenze di volo; essi sono volti a consentire la valutazione della idoneità del pilota (o aspirante tale) al rilascio della licenza di volo in un contesto finalizzato a mantenere un livello elevato ed uniforme in Europa della sicurezza del volo. Essi sono quindi compiuti per verificare "se" e "in che misura" il pilota sia idoneo in via generale al volo a tutela della salute e dell'incolumità dei terzi (es. i passeggeri).

Esaminando, ora, la finalità perseguita dal medico competente del vettore aereo nell'ambito delle proprie attività di sorveglianza sanitaria (art. 41, d.lgs. n. 81/2008, cit.), si rileva che gli accertamenti sanitari svolti in tale ambito dal datore di lavoro (artt. 39, comma 5 e 41, comma 4, d.lgs. n. 81/2008 cit.) per il tramite del medico competente (unico legittimato a trattare i dati sanitari dei lavoratori) - anche essi obbligatori per legge e a proprie spese- sono volti a verificare l'idoneità del pilota alla "mansione specifica" in un contesto finalizzato a mantenere un livello elevato di salute e sicurezza dello stesso pilota e degli altri lavoratori nello svolgimento dell'attività lavorativa.

In sostanza, i trattamenti di dati sanitari riferiti ai piloti effettuati, da un lato, dal medico del vettore e, dall'altro, dai competenti organismi pubblici perseguono finalità che, per quanto caratterizzate nella loro specificità, tuttavia partecipano di un unico obiettivo che è quello di preservare la salute e l'incolumità fisica di tutte le persone interessate da una attività di volo (piloti e passeggeri) e comunque della collettività (si pensi anche alle persone che potrebbero essere coinvolte in fase di atterraggio di un aereo non governato), nel quadro di un incremento degli standard di sicurezza dell'intero sistema della navigazione aerea. Da questo punto di vista, esse risultano lecite e non incompatibili alla stregua del principio di finalità previsto dal Codice (art. 11, comma 1 lett. a) e b) del Codice).

3.2. Al trattamento dei dati personali idonei a rivelare lo stato di salute delle persone (art. 4, comma 1, lett. d), del Codice) trovano anzitutto applicazione gli articoli 3, 11, 20 e, con specifico riguardo al trattamento da parte di soggetti privati, 26 del Codice.

In via generale, il trattamento dei dati sanitari − che devono essere strettamente necessari ed indispensabili rispetto agli scopi perseguiti  (art. 3, 11 e 22, comma 3, del Codice) − può essere lecitamente effettuato da parte dei soggetti pubblici alla stregua dei principi e delle regole indicate nell'articolo 20 del Codice (adeguata base normativa).

Quanto ai soggetti privati (nel caso di specie il medico competente in qualità di autonomo titolare del trattamento, art. 28 del Codice), il trattamento è consentito "solo con il consenso scritto dell'interessato e previa autorizzazione del Garante, nell'osservanza dei presupposti e dei limiti stabiliti" dal Codice, "nonché dalla legge e dai regolamenti" (art. 26, comma 1, del Codice) oppure, nei casi previsti dal Codice e con specifico riguardo all'ambito materiale che qui interessa, "anche senza consenso, previa autorizzazione del Garante" (dall'art. 26, comma 4, del Codice).

In relazione al caso di specie il trattamento dei dati sanitari da parte del medico del vettore è, allo stato, perimetrato dalla disciplina di settore e dall'autorizzazione del Garante n. 1/2014, rilasciata ai sensi dell'articolo 26, comma 4, lett. d) del Codice, per consentire – in un quadro di garanzie per gli interessati - i trattamenti strettamente correlati all'adempimento di specifici obblighi o compiti previsti dalla legge, da un regolamento o dalla normativa comunitaria connessi alla gestione del rapporto di lavoro ivi compresi quelli in materia di igiene e sicurezza del lavoro (art. 41 d.lg. n. 81/2008, cit., "sorveglianza sanitaria"; art. 11, comma 1, lett. b) del Codice).  Per l'effettività di tali compiti, quindi, al medico competente (in qualità di libero professionista o di dipendente del datore di lavoro o di strutture convenzionate), per conto del datore di lavoro, è consentito di effettuare - senza il consenso del lavoratore, nei limiti previsti dall'autorizzazione - il trattamento di informazioni di natura sanitaria indispensabili ai fini dell'applicazione della normativa in materia di igiene e di sicurezza del lavoro, come le operazioni di trattamento idonee a porre in essere misure necessarie per la tutela della "integrità psico-fisica dei lavoratori" secondo quanto previsto, in dettaglio, dalla disciplina di settore (cfr. artt. 25 e 41 ss. d.lg. n. 81/2008; aut. gen. n. 1/2014, punto 1, lett. c), punto 3 e punto 4, lett. c)). Il trattamento è consentito inoltre per perseguire finalità di salvaguardia della vita o dell'incolumità fisica del lavoratore "o di un terzo" (punto 3, lett. c)).

4. Conclusioni

4.1. Tutto ciò premesso, per le ragioni sopra esplicitate, si ritiene che, allo stato, la disciplina di settore - per come ricostruita anche con la collaborazione degli Enti interessati - non consenta un flusso di dati sanitari dei piloti dai competenti organismi in favore del medico operante presso i vettori aerei, né la consultazione da parte dello stesso delle medesime informazioni eventualmente disponibili in banche dati, senza una opportuna integrazione nei termini di seguito indicati.

4.2. Considerato che, in base alla legge, le finalità di tutela della sicurezza dei voli e, per essa, della salvaguardia della vita e dell'incolumità della collettività rispondono ad un interesse pubblico rilevante (art. 20, comma 1, Codice; Regolamento UE n. 1178/2011; d. lg. 25 luglio 1997, n. 250, istitutivo dell'Enac; art. 85, comma 1, lett. a), d) ed e), Codice), occorre disciplinare tale flusso informativo con norme di natura regolamentare (cd. "regolamento sui dati sensibili") che individuino espressamente la comunicazione dei dati sanitari in oggetto, alla stregua di quanto previsto dall'articolo 20, comma 2, del Codice.

In tale quadro si richiama comunque l'attenzione dell'ENAC sull'eventuale opportunità di integrare in tal senso anche il regolamento "Organizzazione sanitaria e certificazioni mediche d'idoneità per il conseguimento delle licenze e degli attestati aeronautici" ove si ritenga necessario consentire la conoscibilità dei dati in questione da parte dei medici dei vettori mediante accesso diretto alla banca dati cui si è fatto riferimento in istruttoria.

L'Autorità richiama, inoltre, l'attenzione delle Amministrazioni interessate sulla necessità che l'integrazione dei rispettivi regolamenti sui dati sensibili e altri interventi di natura regolamentare avvengano in un quadro di elevate garanzie e nel rispetto del panorama normativo di riferimento, sia nazionale che sovranazionale.

Gli interventi normativi prefigurati dovranno rispettare i principi in materia di protezione dei dati personali e, in particolare, quello di proporzionalità (art. 11, comma 1, lett. d)), avendo cura di selezionare i dati oggetto di comunicazione o comunque resi accessibili al medico del vettore anche in relazione alla specificità delle finalità perseguite nei rispettivi ambiti (cfr., sotto quest'ultimo profilo, il parere n. 3 del 2 aprile 2013 del "Gruppo articolo 29"). Il Garante potrà, infine, esprimere le valutazioni di competenza sulle disposizioni regolamentari in occasione del parere conforme che dovrà adottare, ai sensi del Codice, sui relativi schemi di provvedimento (artt. 20, comma 2 e 154, commi 1, lett. g), e 4).

4.3. Una volta integrato il quadro normativo nei termini ora esposti, il medico competente del vettore potrà trattare i dati sanitari così lecitamente acquisiti nei limiti e alle condizioni della citata autorizzazione del Garante n. 1/2014 in materia di lavoro.

TUTTO CIÒ PREMESSO, IL GARANTE

esprime nei termini di cui in motivazione il proprio avviso sul quesito sottoposto dal Ministero della Salute in ordine al trattamento di dati sanitari del personale navigante da parte del medico competente del vettore aereo.

Roma, 27 aprile 2016

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia