Gentile Signora, Egregio Signore 

il Regolamento europeo in materia di protezione dei dati personali UE/2016/679 (d’ora in avanti, anche “GDPR”) ed il Codice privacy (D.Lgs. 196/03), come modificato dal D.Lgs. 101/18, prevedono che il trattamento dei dati personali delle persone fisiche sia effettuato nel rispetto dei diritti e delle libertà fondamentali dell’individuo.  

I dati personali sono le informazioni riguardanti una persona fisica identificata o identificabile. 

Il trattamento di dati personali è qualsiasi operazione o insieme di operazioni –compiute sia con strumenti elettronici, che con supporti cartacei- applicate ai dati personali. 

Particolare attenzione e rispetto di vincoli normativi meritano i dati personali relativi alla salute di una persona fisica.  

Il trattamento dei dati personali e di dati relativi alla salute da parte dell’Istituto Nazionale per le Malattie Infettive “Lazzaro Spallanzani” (d’ora in avanti anche solo “Spallanzani” o “Istituto”) è improntato ai principi di liceità, correttezza, trasparenza, esattezza, integrità e riservatezza, e non è eccedente rispetto alle finalità determinate, esplicite e legittime per le quali i dati sono raccolti. 

Titolare del trattamento 

Il Titolare del trattamento è l’Istituto Nazionale per le Malattie Infettive “Lazzaro Spallanzani”, Istituto di Ricovero e Cura a Carattere Scientifico, avente sede in Roma, via Portuense, n. 292 (c.a.p. 00149) (d’ora in avanti, anche solo “Titolare”). 

Il Direttore Generale facente funzioni dell’Istituto è il dottor Francesco Vaia. 

I recapiti ai quali può contattare il Titolare sono i seguenti:  

06/55.17.05.25 - inmi@pec.inmi.it. 

L’Istituto ha designato un Responsabile della Protezione dei Dati Personali (d’ora in avanti, anche “DPO”). Lei può contattare il DPO al seguente indirizzo di posta elettronica: dpo@inmi.it. 

Finalità, modalità e base giuridica del trattamento dei dati personali 

I Suoi dati personali (ad esempio, nome, cognome, dati di contatto) saranno raccolti nel momento in cui Lei effettuerà la prenotazione del test antigenico rapido specifico per SARS-CoV-2 o del test molecolare specifico per SARS-CoV-2; i dati relativi alla Sua salute saranno trattati in occasione della effettuazione del test antigenico presso una delle cabine prefabbricate appositamente allestite presso l’Aeroporto internazionale “Leonardo da Vinci” di Fiumicino, o in occasione della esecuzione del test molecolare presso il laboratorio dell’Istituto. 

Tali dati saranno trattati esclusivamente per finalità di diagnosi e di sanità pubblica e di adempimento degli incombenti amministrativi e contabili correlati all’espletamento delle attività del Titolare. 

La base giuridica del trattamento dei Suoi dati è costituita dalla necessità di eseguire il trattamento per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, secondo l’articolo 6, paragrafo 1, lettera c), del GDPR, per eseguire una diagnosi in Suo favore e per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero, secondo l’articolo 9, paragrafo 2, lettera i), del GDPR. 

Destinatari dei dati personali 

I Suoi dati saranno trattati dagli autorizzati al trattamento che operano per il titolare, vincolati al segreto professionale o soggetti contrattualmente al rispetto dell’obbligo di riservatezza imposto dal titolare, e da quest’ultimo debitamente istruiti. 

I documenti cartacei in cui verranno conservati i Suoi dati saranno custoditi a cura dell’Istituto utilizzando un servizio esternalizzato di archiviazione vigilato dal titolare stesso. 

I dati in forma elettronica saranno conservati nel Data Center dell’Istituto.  

I dati raccolti tramite i sistemi informatici sono protetti da particolari criteri di sicurezza ad evitare accessi indebiti o la loro sottrazione.  

I Suoi dati potranno essere trattati da imprese esterne previamente nominate quali “responsabili esterni” ai sensi dell’articolo 28 del GDPR, per l’espletamento di specifiche operazioni necessarie per garantire i servizi dell’Istituto. 

In particolare, i suoi dati comuni (nome, cognome, passaport-ID number, codice fiscale, sesso, data di nascita, residenza, e-mail, numero di cellulare, numero, data e destinazione del volo) potranno essere raccolti da ADR quale responsabile esterno del trattamento dei dati personali ai sensi dell’art. 28 del Regolamento Europeo per la Protezione dei dati personali 2016/679 (GDPR) per lo svolgimento delle attività di i) ricezione e  registrazione dell’utente presso le aree allestite per l’erogazione dei test, ii) servizio di prenotazione online dei test; iii) trasmissione, con cadenza giornaliera, dell’elenco dei nominativi e degli indirizzi email dei passeggeri che effettuano il test al Titolare al fine di consentire a quest’ultimo l’organizzazione del servizio sanitario e la relativa fatturazione. I suoi dati verranno conservati da ADR per il solo tempo necessario all’erogazione dei suddetti servizi (48 h successive alla data per la quale viene effettuata la prenotazione del test online o in aeroporto anche al fine di consentire ai passeggeri di voli con fuso-orario l’utilizzo del servizio di prenotazione).  

ADR e il personale del Gruppo ADR non vengono in alcun modo coinvolti nella gestione del processo di associazione tra l’utente che effettui il test per la ricerca del virus SARS-CoV-2  e il relativo risultato, non entrando in nessun caso in contatto con dati idonei a rivelare informazioni relative allo stato di salute degli utenti (i.e. positività e/o negatività) e/o con dati personali riconducibili alle categorie particolari di cui all’art. 9 GDPR. 

I Suoi dati saranno comunicati a titolari autonomi del trattamento cui l’INMI sia obbligato a trasmetterli per legge a fini di rendicontazione e notifica della positività ad una malattia infettiva, quali Autorità Sanitarie Pubbliche, Ministero delle Finanze e Regione Lazio. 

I Suoi dati potranno essere comunicati ad un Paese terzo. Il titolare trasferirà i dati nel rispetto delle condizioni di cui al Capo V del GDPR, al fine di assicurare che il livello di protezione delle persone fisiche garantito dal Regolamento non sia pregiudicato. 

Periodo di conservazione dei dati 

I dati raccolti saranno conservati per il tempo previsto dalla normativa vigente. 

Diritti dell’interessato 

Lei, in quanto interessato, può esercitare nei confronti del titolare del trattamento i diritti previsti dagli articoli da 15 a 22 del GDPR, ossia il diritto di accesso, di rettifica, alla cancellazione –pur nel rispetto degli obblighi di legge che impongono all’Istituto di non cancellare i dati personali raccolti nelle cartelle cliniche-, di limitazione, di opposizione, alla portabilità. 

Lei può inoltre proporre altresì reclamo all’Autorità Garante per la Protezione dei Dati Personali. 

Le modalità di esercizio potranno esserLe illustrate dall’Ufficio Relazioni col Pubblico, situato presso la Hall dell’Istituto, dal lunedì al venerdì h 9-12,30. Tel. 0655170245, E-mail urp@inmi.it.  

Non esiste presso l’Istituto alcun processo decisionale automatizzato, compresa la profilazione. 

Tutti i dati personali trattati dal titolare che La riguardano non potranno mai essere diffusi. 

IL TITOLARE DEL TRATTAMENTO DEI DATI 

D.G. dottor Francesco Vaia

Dear Sir/Madam,  

the General Data Protection Regulation EU/2016/679 (hereinafter also referred to as "GDPR") and the Privacy Code (Italian Legislative Decree 196/03), as amended by Italian Legislative Decree 101/18, shall provide that the processing of personal data of natural persons is carried out in accordance with the fundamental rights and freedoms of the individual.  

Personal data is information about an identified or identifiable natural person. 

The processing of personal data is any operation or set of operations - carried out either by electronic means or on paper - applied to personal data. 

Personal data relating to the health of a natural person deserve special attention and compliance with regulatory constraints.  

The processing of personal and health-related data by the National Institute for Infectious Diseases “Lazzaro Spallanzani” (hereinafter also referred to as “Spallanzani” or “Institute”) is based on the principles of lawfulness, correctness, transparency, accuracy, integrity and confidentiality, and is not excessive in relation to the specific, explicit and legitimate purposes for which the data is collected. 

Data controller

The Data Controller is the National Institute for Infectious Diseases “Lazzaro Spallanzani”, the Scientific Institute for Research, Hospitalisation and Health Care, with registered office in Rome, via Portuense, No. 292 (Post Code  00149) (hereinafter also referred to as “Data Controller”). 

The Acting General Manager of the Institute is Mr. Francesco Vaia. 

The contact details of the Data Controller are as follows:  

06/55.17.05.25 - inmi@pec.inmi.it. 

The Institute has appointed a Data Protection Officer (hereinafter also referred to as "DPO"). You can contact the DPO at the following e-mail address: dpo@inmi.it. 

Purpose, method and legal basis of personal data processing

Your personal data (e.g. name, surname, contact details) will be collected when you book the rapid antigenic test specifically for SARS-CoV-2 or the molecular test specifically for SARS-CoV-2; data concerning your health will be processed when the antigenic test is performed in one of the prefabricated booths set up at the "Leonardo da Vinci" International Airport of Fiumicino, or when the molecular test is carried out at the Institute's laboratory. 

This data will be processed exclusively for diagnostic and public health purposes and for the fulfilment of administrative and accounting tasks related to the performance of the Data Controller's activities. 

The legal basis for the processing of your data is to carry out the processing in order to comply with a legal obligation to which the data controller is subject, according to Article 6(1)(c) of the GDPR, to carry out a diagnosis on your behalf and for reasons of public interest in the field of public health, such as the protection against serious cross-border threats to health, according to Article 9(2)(i) of the GDPR. 

Recipients of Personal Data

Your data will be processed by authorised persons working for the data controller who are bound by professional secrecy or contractually subject to the duty of confidentiality imposed by the data controller and duly instructed by the latter. 

The paper documents in which your data will be stored will be kept by the Institute using an outsourced filing service supervised by the data controller. 

Data in electronic form will be stored in the Institute's Data Centre.  

The data collected through the computer systems is protected by special security criteria to prevent undue access or theft.  

Your data may be processed by external companies previously appointed as "external data controllers" pursuant to Article 28 of the GDPR, in order to carry out specific operations necessary to guarantee the Institute's services. 

In particular, your ordinary data (first name, last name, passport-ID number, fiscal code, sex, date of birth, residence, e-mail, mobile phone number, flight number, date and destination) may be collected by ADR as personal data processor in accordance with art. 28 of the General Data Protection Regulation 2016/679 (GDPR) in order to carry out the activities of i) reception and registration of the user at the areas set up for the provision of the tests, ii) online booking service for the tests; iii) daily sending of users list (name, surname and email address) to National Institute for Infectious Diseases for billing and service management.  

Your data will be stored by ADR only for the time necessary to provide the above-mentioned services (48 hours after the date for which the test is booked online or at the airport, also in order to allow passengers on flights with a time difference to use the booking service). 

ADR and ADR Group staff are in no way involved in the management of the association process between the user who carries out the test for the SARS-CoV-2 virus and the corresponding result, as they do not in any case come into contact with data suitable for revealing information relating to the state of health of users (i.e. positive and/or negative) and/or with special categories of personal data (art. 9 GDPR). 

Your data will be communicated to independent data controllers to whom INMI is obliged by law to transmit them for the purposes of reporting and notifying a positive case of an infectious disease, such as Public Health Authorities, Ministry of Finance and Lazio Region. 

Your data may be disclosed to a non-member country. The data controller shall transfer the data in compliance with the conditions set out in Chapter V of the GDPR, in order to ensure that the level of protection of natural persons guaranteed by the Regulation is not undermined. 

Period of data retention

The data collected will be kept for the time provided for by current legislation. 

Rights of the data subject

As a data subject, you may exercise the rights provided for in Articles 15 to 22 of the GDPR with the Data Controller, i.e. the right of access, rectification, erasure - albeit in compliance with legal obligations requiring the Institute not to erase personal data collected in medical records -, restriction, objection, and portability. 

You may also file a complaint with Supervisory Authority for the Protection of Personal Data. 

The procedures for exercising these rights can be explained to you by the Public Relations Office, located in the Institute's hall, from Monday to Friday, 9am to 12.30pm. Tel. 0655170245, E-mail urp@inmi.it.  

There is no automated decision-making process at the Institute, including profiling. 

All personal data processed by the owner concerning you may never be disclosed. 

THE DATA CONTROLLER

General Manager Mr Francesco Vaia