Garante privacy, nella Relazione 2022 sanità digitale e disciplina del Fse

Il 6 luglio 2023 è stata presentata la Relazione 2022 a cura del Garante per la protezione dei dati personali. Nel documento – disponibile sul sito del Garante o in seguito nella sezione “Documenti allegati” –, tra i vari casi affrontati, il lavoro Ist-02832, denominato «Prestazioni sanitarie ambulatoriali e farmaci erogati dal Ssn (descritto come evoluzione dello studio progettuale Ist-02776)», volto «a monitorare l’erogazione di prestazioni del Ssn per le valutazioni statistiche sulle condizioni di salute della popolazione e il funzionamento dei servizi, in relazione ai bisogni di cure e di assistenza dei cittadini». Per la realizzazione del lavoro, l’Istituto intenderebbe acquisire presso il Mef, indicato come titolare del trattamento, informazioni relative a prestazioni sanitarie ambulatoriali (visite mediche, test diagnostici e di laboratorio) e farmaci. A tale riguardo, il Garante ha ribadito che il Mef, qualora non rivesta il ruolo di titolare in riferimento alle informazioni che sono trattate attraverso il Sistema TS, può conservare le stesse solo per il tempo strettamente necessario al completamento delle operazioni di comunicazione e verifica, cancellandole irreversibilmente al termine delle predette operazioni. Il Garante ha pertanto ritenuto necessario che «l’Istat verifichi il ruolo del Mef in relazione ai dati oggetto di trattamento nel lavoro in esame e, di conseguenza, aggiorni il relativo prospetto informativo (artt. 24 o 28 del Rgpd)».

Sviluppo degli strumenti di sanità digitale

Come evidenziato nella Relazione 2022 del Garante, «l’ultimo triennio è stato caratterizzato da numerosi interventi normativi volti ad accelerare lo sviluppo degli strumenti di sanità digitale nel nostro paese, a cui è stato dato ulteriore impulso con l’attuazione della Missione 6 (salute) del Pnrr e del connesso investimento sul potenziamento del Fse. Si sono in particolare susseguite innovazioni della disciplina del Fse, la cui attuazione è stata demandata a decreti ministeriali sui quali deve essere richiesto il parere del Garante». Tra questi, «il primo intervento sulle disposizioni di attuazione della nuova disciplina sul Fse si è avuto con parere 7 aprile 2022, n. 136 sullo schema di decreto del Ministro della Salute e del Ministro delegato per l’innovazione tecnologica e la transizione digitale di concerto con il Mef riguardante l’integrazione dei dati essenziali che compongono i documenti del Fse».

Dati presenti nei documenti accessibili attraverso il Fse

In tale direzione, il Garante ha preso atto che il ministero della Salute ha accolto le osservazioni formulate in ordine alla necessità che, nell’ampliare il novero dei dati presenti nei documenti accessibili attraverso il Fse, siano indicati solo atti di cui è certa la natura e l’origine con esclusione delle autocertificazioni, in quanto la disciplina di settore prevede la non sostituibilità dei certificati medici e sanitari. In tale provvedimento il Garante ha inoltre «preso atto dell’intenzione del ministero della Salute di procedere in più fasi alla riforma delle disposizioni attuative del Fse anche alla luce del Pnrr, nelle more dell’adozione del decreto di cui all’art. 12, comma 7, Dl 18 ottobre 2012, n. 179 che riguarderà i contenuti del Fascicolo, i limiti di responsabilità e i compiti dei soggetti che concorrono alla sua implementazione, le garanzie e le misure di sicurezza da adottare nel trattamento dei dati personali, le modalità e i livelli diversificati di accesso al Fse, nonché la definizione e le relative modalità di attribuzione di un codice identificativo univoco dell’assistito che non consenta l’identificazione diretta dello stesso».

Disciplina attuativa del Fse

La riforma della disciplina sulla protezione dei dati personali determinata dalla piena applicazione del Rgpd e gli interventi normativi che, nel tempo, hanno modificato le disposizioni di rango primario in tema di Fse, secondo quanto emerso dalla Relazione, «rendono necessaria infatti un’opera di rimeditazione normativa del Dpcm n. 178/2015 (recante l’attuale disciplina attuativa del Fse), che risulta ancorato a una impostazione del Fascicolo in parte normativamente superata». Nel predetto parere l’Autorità ha inoltre evidenziato «la necessità di tenere conto dei nuovi istituti giuridici introdotti dal Rgpd (es. valutazione di impatto), definendo con chiarezza il perimetro dei nuovi trattamenti di dati introdotti dai numerosi interventi normativi successivi all’adozione del menzionato Dpcm n. 178/2015 e quindi in esso non contemplati (es. flussi di dati dal Sistema TS). È stato perciò ritenuto necessario che nel decreto previsto dall’art. 12, comma 7, Dl n. 179/2012, relativo ai contenuti del Fascicolo, sia indicata chiaramente la titolarità dei trattamenti, con particolare riferimento a: il profilo sanitario sintetico, le prescrizioni farmaceutiche e specialistiche, il dossier farmaceutico, il consenso/diniego alla donazione degli organi e dei tessuti, le prenotazioni di prestazioni sanitarie, il taccuino personale e le esenzioni». Secondo il Garante, «in questo modo sarà possibile precisare le responsabilità in ordine al rispetto dei principi generali e degli adempimenti in materia di protezione dei dati personali, con particolare riguardo a quelli di esattezza, aggiornamento e sicurezza, specificare ove risiedano i dati stessi e i documenti accessibili, il taccuino personale, il profilo sanitario sintetico e il dossier farmaceutico nonché garantire l’esercizio dei diritti da parte degli interessati». Si rimanda alla versione integrale nella sezione “Documenti allegati”.

Documenti allegati

• 4014 – Relazione 2022 del Garante per la protezione dei dati personali