Wortlaut

Constatazioni:

1. Nel suo lavoro di master, la signora Y. Prieur dimostra che le disposizioni della legge sulla protezione dei dati sono meno restrittive per i privati che per gli organi federali.

2. Nelle sue risposte a diversi interventi parlamentari, il Consiglio federale giunge alla conclusione che alcuni assicuratori non garantiscono a sufficienza la protezione dei dati e della personalità.

3. Il trasferimento di dati tra gli ospedali e le casse malati è oggetto di critiche da parte dei responsabili cantonali della protezione dei dati. Sorge dunque la domanda se e in che modo le assicurazioni private garantiscono la protezione nel trattamento dei dati sanitari. Alcune compagnie private di assicurazione immobiliare o infortuni prevedono nelle loro condizioni generali autorizzazioni molto estese: se queste condizioni non vengono sottoscritte il contratto di assicurazione non è valido. L'assicurazione contro gli infortuni Basilese, per esempio, che appartiene al gruppo Basilese, così come la Baloise Bank e la compagnia d'assicurazioni sulla vita Basilese, esigono nelle loro condizioni generali un accesso pressoché totale ai dati sanitari. Citazione: "Il sottoscritto autorizza la compagnia d'assicurazioni Basilese a trattare i dati necessari all'ottimizzazione permanente delle prestazioni di mercato. In particolare, la Basilese potrà trasmettere i dati per il loro trattamento a coassicuratori e riassicuratori, a terzi coinvolti, come pure alle società del gruppo Basilese. La Basilese potrà richiedere informazioni ai fornitori di prestazioni mediche (medici, psicologi, laboratori, ospedali), assicuratori sociali (AVS, AI, LAINF, LAMal) e privati, enti, datori di lavoro e a terzi e prendere visione delle relative pratiche. Il sottoscritto autorizza le persone e le istituzioni a comunicare su richiesta alla Basilese i dati necessari e, a tal fine, le esonera dall'obbligo del segreto professionale."

Domande:

1. In base al diritto sulla protezione dei dati, è legittimo che una banca possa consultare i dati sanitari di un cliente riportati sul contratto di assicurazione contro gli infortuni? Oppure esiste una regola che lo vieta? Quale?

2. In base al diritto sulla protezione dei dati, è legittimo e ammissibile che anche le assicurazioni immobiliari (La Mobiliare) esigano, al fine della stipulazione del contratto, l'autorizzazione a richiedere a terzi (medici) informazioni utili? (Risposta della Mobiliare: dipendiamo dal trattamento dei dati e dalla loro trasmissione, sia all'interno che all'esterno del gruppo, dato che le nostre prestazioni sono fornite da aziende in Svizzera e all'estero indipendenti sul piano giuridico.)

3. Le autorità di vigilanza e di protezione dei dati o la FINMA controllano se le condizioni generali degli assicuratori privati sono conformi alla protezione dei dati?

4. Come giudica il Consiglio federale le richieste sopraccitate contenute nelle condizioni generali? Ritiene necessari disciplinamenti supplementari nel settore delle assicurazioni private per tutelare la popolazione da possibili abusi dei dati personali, soprattutto dei dati sanitari sensibili?

Stellungnahme des Bundesrates

Le domande poste riguardano il trattamento dei dati personali e sanitari da parte delle assicurazioni private e la questione se, in base al diritto di autodeterminazione dell'assicurato, le autorizzazioni concesse agli assicuratori privati nei contratti assicurativi costituiscono o no un consenso valido alla comunicazione di dati e al loro ulteriore trattamento.

1./2. Fatta eccezione per le disposizioni sull'obbligo di informazione precontrattuale degli intermediari assicurativi, sul rilevamento tempestivo di dati e sulla collaborazione interistituzionale, la legge sulla sorveglianza degli assicuratori (LSA) e la legge sul contratto di assicurazione (LCA) non contengono prescrizioni giuridiche sulla protezione dei dati. Per giudicare se una procedura è giustificata ai sensi del diritto sulla protezione dei dati occorre quindi riferirsi innanzitutto alle norme applicabili in materia (legge sulla protezione dei dati, LPD, e atti legislativi correlati).

Nel trattamento dei dati personali devono essere osservati i principi della proporzionalità, dell'adeguatezza e della trasparenza, conformemente alle disposizioni dell'articolo 4 capoversi 3, 4 e 5 LPD. Nel settore delle assicurazioni private, riveste inoltre grande importanza il cosiddetto principio della riconoscibilità della raccolta dei dati e delle finalità del loro trattamento. Poiché i dati sanitari sono dati personali degni di particolare protezione - per il trattamento lecito dei quali è necessario, in linea di principio, il consenso esplicito della persona interessata (consenso che, a sua volta, può essere considerato valido soltanto se è preceduto da un'adeguata informazione) - l'obbligo di informazione cui soggiace l'assicuratore deve soddisfare requisiti molto severi.

3. Nei settori in questione (assicurazioni immobiliari e assicurazioni private contro gli infortuni), come nella maggior parte degli altri settori assicurativi, le condizioni generali di assicurazione (CGA) non sottostanno all'approvazione dell'Autorità federale di vigilanza sui mercati finanziari (FINMA). Di conseguenza possono essere applicate dagli assicuratori senza verifica preliminare da parte della FINMA. Nei settori assicurativi menzionati, le autorità di vigilanza non procedono a un esame sistematico delle CGA e delle relative disposizioni sulla protezione dei dati.

Tuttavia, l'attuale procedura di notifica e accertamento presso l'incaricato federale della protezione dei dati e della trasparenza (IFPDT) e, all'occorrenza, il successivo deferimento della pratica al Tribunale amministrativo federale garantiscono la possibilità di modificare o vietare i metodi di trattamento dei dati, nel settore privato, suscettibili di ledere la personalità di un numero considerevole di persone (art. 29 LPD).

4. L'introduzione di un controllo generale del contenuto delle CGA è già stata tematizzata nell'ambito di altri progetti di revisione in corso (per es. revisione della legge federale contro la concorrenza sleale). Indipendentemente da questo, l'articolo 46 capoverso 1 LSA conferisce già ora alla FINMA la facoltà di verificare le CGA, nel singolo caso e su richiesta. Nel controllare le CGA, la FINMA deve tenere conto anche della conformità alle norme in materia di protezione dei dati; per la sua valutazione può richiedere la consulenza dell'IFPDT. Se l'IFPDT giunge alla conclusione che le CGA in esame violano la LPD, confermando quindi la presenza di un'irregolarità, la FINMA può intervenire contro il regolamento in questione.

Il Consiglio federale, infine, si è già espresso in occasione di due precedenti interventi parlamentari (postulato Heim 08.3493 e domanda Schenker 09.5060) sulla necessità di intervenire in merito alla questione della protezione dei dati nel settore dell'assicurazione obbligatoria delle cure medico-sanitarie.

Risposta del Consiglio federale.