Parere del Garante n. 471 del 12/10/2023

Parere sullo schema di decreto del Ministro della salute sul Sistema informativo nazionale per le dipendenze (SIND)

Il Garante per la protezione dei dati personali si pronuncia sullo schema di decreto ministeriale che abroga e sostituisce il decreto 11 giugno 2010 istitutivo del Sistema informativo nazionale per le dipendenze (SIND). Il parere è reso ai sensi dell’art. 58, par. 3, lett. c), del GDPR, nell’ambito dell’aggiornamento della disciplina del Sistema alla luce delle più recenti tipologie di dipendenze.

Quadro normativo di riferimento

Nel provvedimento sono richiamati il Regolamento (UE) 2016/679, il d.lgs. 196/2003, il d.P.R. 309/1990 in materia di stupefacenti e tossicodipendenze, il decreto ministeriale 11 giugno 2010 istitutivo del SIND e il d.m. 7 dicembre 2016, n. 262, sulle procedure di interconnessione dei sistemi informativi del Servizio sanitario nazionale. Il SIND è infatti ricompreso tra i sistemi interconnessi del SSN. Vengono inoltre considerate le disposizioni e i precedenti pertinenti in materia di sanità penitenziaria, dati giudiziari, statistiche ufficiali, sorveglianza HIV e conservazione dei dati.

Istruttoria e richieste di chiarimento del Garante

Nel corso dell’esame preliminare, l’Ufficio del Garante ha chiesto al Ministero della salute informazioni su vari profili del trattamento, in particolare:

• i trattamenti effettuati per fini di ricerca scientifica e per fini statistici da parte dei soggetti del Sistan, con riferimento alla disciplina di settore;
• l’eventuale trattamento di dati relativi a condanne penali e reati, ricordando che l’art. 10 GDPR consente tali trattamenti solo nei casi previsti da legge o regolamento con garanzie appropriate;
• i dati personali oggetto di aggregazione e l’accesso da parte dell’Osservatorio per il contrasto della diffusione del gioco d’azzardo e del fenomeno della dipendenza grave;
• i trattamenti effettuati dai diversi soggetti abilitati ad accedere al Sistema, incluse Regioni e strutture della Presidenza del Consiglio - Dipartimento per le Politiche Antidroga;
• i dati relativi all’infezione da HIV, richiamando l’esigenza di modalità non identificative e di anonimizzazione assoluta nei programmi epidemiologici;
• il periodo di conservazione dei dati, che deve rispettare il principio di limitazione della conservazione e essere sorretto da idonee argomentazioni tecnico-scientifiche.

Rilievi specifici sul dato del detenuto

Il Garante aveva già evidenziato che la rilevazione nel SIND della condizione di detenuto non appariva giustificabile sulla base della disciplina di riforma della sanità penitenziaria richiamata dal Ministero. In particolare, l’allegato A del d.P.C.M. 1.4.2008 menziona un diverso sistema informativo sulla salute dei detenuti e dei minori sottoposti a provvedimento penale, nell’ambito del NSIS, ma non il SIND. Inoltre, la disciplina di settore attribuisce competenze distinte al Ministero della salute, alle Regioni e alle aziende sanitarie locali, circostanza che ha rafforzato la necessità di evitare l’inserimento del dato giudiziario nel Sistema oggetto di parere.

Riformulazioni e garanzie introdotte dallo schema

A seguito dei rilievi formulati, il Ministero ha trasmesso una riformulazione dello schema di decreto e del disciplinare tecnico. Le principali modifiche e precisazioni riguardano:

• l’espunzione della variabile relativa all’"assistito detenuto" tra i dati raccolti dal SIND;
• la puntuale definizione delle finalità del trattamento di dati aggregati, contenuta negli articoli 1, 3, 4 e 7 dello schema;
• l’assicurazione che il tracciato "Monitoraggio HIV" rileva esclusivamente dati aggregati relativi all’esecuzione del test sierologico HIV, privi di variabili anagrafiche;
• la precisazione che la comunicazione dei dati tra Ministero e Regioni è una attività tecnica finalizzata a restituire informazioni analitiche sulla qualità dei dati inviati, così da individuare valori errati o anomali e consentire eventuali correzioni;
• il richiamo alle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica nell’ambito del Sistan, adottate con provvedimento del Garante n. 514 del 19 dicembre 2018;
• l’indicazione che la produzione di analisi e indicatori statistici sull’assistenza sanitaria alle persone con dipendenze o con comportamenti a rischio è affidata all’Ufficio di statistica del Ministero della salute.

Conservazione dei dati e aggiornamento dei sistemi informativi

Con una nota del 29 maggio 2023, il Ministero ha fornito anche per il SIND, oltre che per i sistemi SIAR ed EMUR, motivazioni tecnico-scientifiche sul periodo di conservazione dei dati personali trattati nei sistemi informativi NSIS interconnettibili. Il Garante prende atto di tali elementi e del fatto che lo schema è stato ulteriormente aggiornato con la nota del 5 settembre 2023. L’Autorità valorizza il principio di responsabilizzazione e il rispetto del principio di limitazione della conservazione di cui all’art. 5 GDPR.

Esito del parere

Alla luce del complesso delle misure di garanzia introdotte nello schema e nel disciplinare tecnico, il Garante ritiene che esse siano appropriate per tutelare i diritti fondamentali e gli interessi delle persone fisiche interessate dai trattamenti. Ne consegue l’espressione di un parere favorevole sullo schema di decreto del Ministro della salute relativo al SIND, che abroga e sostituisce il decreto ministeriale 11 giugno 2010.