Norme in materia di anticorruzione e privacy — scheda di studio

Perimetro della materia

Due blocchi normativi che il quiz mescola, con domande in larga parte letterali su articoli, commi e definizioni: serve memoria puntuale.

• Anticorruzione e trasparenza: L. 190/2012, D.Lgs. 33/2013, D.Lgs. 39/2013, D.P.R. 62/2013, D.Lgs. 165/2001.
• Protezione dei dati: GDPR (Reg. UE 2016/679) e D.Lgs. 196/2003, novellato dal D.Lgs. 101/2018.

Legge 190/2012: architettura della prevenzione

• ANAC: succeduta alla Commissione per la valutazione, la trasparenza e l'integrità delle amministrazioni pubbliche; poteri consultivi, di vigilanza e ispettivi.
• Art. 1 c. 53: attività più esposte a infiltrazione mafiosa (rifiuti, inerti, calcestruzzo, noli a freddo, ferro lavorato, guardiania) e white list.
• Art. 1 c. 46: inconferibilità per condanna per delitti contro la PA; rotazione del personale e tutela del segnalante (D.Lgs. 24/2023).

Trasparenza e codice di comportamento

• D.Lgs. 33/2013: accessibilità totale, pubblicazione in Amministrazione trasparente. Accesso civico semplice sui soli documenti con obbligo di pubblicazione; generalizzato su qualsiasi altro dato, con i limiti dell'art. 5-bis.
• D.P.R. 62/2013: codice di comportamento; ogni ente adotta il proprio e la violazione è responsabilità disciplinare.
• D.Lgs. 39/2013 inconferibilità e incompatibilità; art. 6-bis L. 241/1990 conflitto di interessi anche potenziale e obbligo di astensione.
• Pubblicare non autorizza a diffondere dati eccedenti: vale la minimizzazione.

GDPR: definizioni e principi chiesti alla lettera

• Art. 4: dato personale (informazione su persona identificata o identificabile, anche indirettamente, tramite nome, numero, ubicazione o identificativo online); trattamento; profilazione; pseudonimizzazione; dati genetici, biometrici, sulla salute; violazione dei dati.
• Art. 5, sette principi: liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione; esattezza; limitazione della conservazione; integrità e riservatezza; responsabilizzazione.
• Art. 6, sei basi: consenso, contratto, obbligo legale, interesse vitale, compito di interesse pubblico, legittimo interesse (precluso alle autorità pubbliche nei loro compiti).
• Artt. 7 e 8: il titolare deve poter dimostrare il consenso, revocabile con la stessa facilità; consenso digitale del minore a 16 anni nel GDPR, a 14 in Italia (art. 2-quinquies).
• Art. 9, categorie particolari: origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici e biometrici, salute, orientamento sessuale: divieto generale con deroghe.

Diritti dell'interessato e obblighi del titolare

• Diritti (artt. 12-22): informativa (13 presso l'interessato, 14 presso terzi), accesso (15), rettifica (16), cancellazione od oblio (17), limitazione (18), portabilità (20), opposizione (21, esclusa per ricerca scientifica, storica o statistica di interesse pubblico), decisioni automatizzate (22).
• Ruoli: titolare, contitolare, responsabile nominato con contratto (28), autorizzati. Il DPO è designato da titolare e responsabile ed è obbligatorio per le PA.
• Adempimenti: registro dei trattamenti (30); sicurezza (32) con misure adeguate al rischio, pseudonimizzazione, cifratura e verifica periodica; valutazione d'impatto (35) se il rischio è elevato.
• Data breach: notifica al Garante entro 72 ore (33); comunicazione all'interessato solo con rischio elevato (34), esclusa con dati cifrati, misure successive che lo scongiurano o sforzi sproporzionati. Risarcimento del danno (82) e sanzioni (83).

Il Garante e il Codice privacy italiano

• Composizione: quattro componenti (due Camera, due Senato) che eleggono nel proprio ambito presidente e vicepresidente. Incarico settennale non rinnovabile, incompatibile con altre attività. Strumenti di tutela: reclamo, segnalazione, ricorso.
• Sanzioni: amministrative (166); penali agli artt. 167 (trattamento illecito), 167-bis (diffusione illecita su larga scala), 167-ter (acquisizione fraudolenta), 168 (falsità al Garante), 170 (inosservanza dei provvedimenti).
• Artt. 132 e 152: conservazione dei dati di traffico telefonico e telematico per accertare i reati; tutela giurisdizionale davanti al tribunale monocratico, rito del lavoro.

Privacy in ambito sanitario: cosa cambia per l'infermiere

I dati sulla salute sono categoria particolare (art. 9). Per la cura la base è l'art. 9 par. 2 lett. h con obbligo di segreto professionale: non serve il consenso per il trattamento necessario alla cura, mentre resta necessario per dossier sanitario, fascicolo sanitario elettronico e finalità ulteriori. Il segreto è presidiato dall'art. 622 c.p. e dal Codice deontologico infermieristico.

• Distanza di cortesia agli sportelli. Vietato consultare cartelle di pazienti non in carico: l'accesso è tracciato e sanzionabile anche senza divulgazione.
• Niente foto o dati identificativi nelle chat di reparto; informazioni ai familiari solo se la persona assistita ha indicato chi può riceverle.
• Cautela nelle telefonate e consegne fuori dalla portata di terzi.

Collegamenti con le altre materie del concorso

• Legislazione sanitaria: L. 833/1978 istituisce il SSN, D.Lgs. 502/1992 l'aziendalizzazione. Nelle aziende sanitarie il DG adotta il PTPCT e l'azienda è titolare.
• Pubblico impiego, etica e professione: D.Lgs. 165/2001 e responsabilità disciplinare; segreto e riservatezza come dovere deontologico; L. 251/2000 sull'autonomia professionale e L. 3/2018 Lorenzin, che trasforma i collegi in ordini (FNOPI).
• Sicurezza sul lavoro: D.Lgs. 81/2008; la sorveglianza sanitaria è del medico competente, al datore arriva solo il giudizio di idoneità, mai la diagnosi. Nel rischio clinico l'incident reporting va gestito senza dati identificativi superflui.

Errori tipici e trappole d'esame

• Confondere il PNA (nazionale, ANAC) con il PTPCT (di ente): l'ANAC non approva i piani dei singoli enti, né nomina il RPCT, che è individuato dall'organo di indirizzo.
• Confondere accesso civico semplice (dati con obbligo di pubblicazione) e generalizzato (qualsiasi dato, limiti art. 5-bis).
• Parlare ancora di dati sensibili: il GDPR dice categorie particolari di dati.
• Confondere le 72 ore (notifica al Garante) con la comunicazione all'interessato, dovuta senza termine fisso e solo con rischio elevato.
• Credere che in ambito di cura serva sempre il consenso: la base è l'art. 9 par. 2 lett. h.
• Confondere titolare (decide finalità e mezzi) e responsabile (tratta per suo conto), oppure anonimizzazione e pseudonimizzazione: i dati pseudonimizzati restano dati personali.
• Sovrapporre i 16 anni del GDPR ai 14 anni italiani.
• Leggere in fretta le domande con NON, ERRATO o ESTRANEO: la risposta giusta è l'affermazione falsa.

Checklist di ripasso

1. Chi approva il PNA, chi adotta il PTPCT, chi individua il RPCT?
2. Quali attività elenca l'art. 1 c. 53?
3. Differenza tra accesso civico semplice e generalizzato?
4. I sette principi dell'art. 5 e le sei basi dell'art. 6?
5. Età del consenso digitale nel GDPR e in Italia?
6. I diritti degli artt. 15-22 con il rispettivo numero?
7. Termini del data breach e casi di esonero?
8. Composizione, durata ed elezione dei vertici del Garante, e base giuridica del trattamento di cura?