R.R. Emilia-Romagna 1/2019

Regolamento del Registro Tumori della Regione Emilia-Romagna

Il provvedimento dà attuazione alla disciplina regionale sui registri di rilevante interesse regionale, con riferimento al Registro Tumori della Regione Emilia-Romagna. Definisce finalità, dati trattati, fonti informative, ruoli dei soggetti coinvolti e misure di sicurezza per il trattamento di dati personali sanitari.

Definizioni e perimetro del Registro

Il regolamento qualifica il Registro Tumori come un sistema attivo di raccolta sistematica di dati anagrafici e sanitari relativi ai casi di tumore insorti nei residenti in Emilia-Romagna, istituito per finalità di studio, ricerca scientifica ed elaborazione di informazioni epidemiologiche e statistiche a supporto della programmazione, gestione, controllo e valutazione dell’assistenza sanitaria. Viene inoltre chiarito il concetto di tumore ai fini dell’atto, richiamando le classificazioni internazionali delle malattie e dell’oncologia indicate nel testo.

Finalità del trattamento

Il trattamento dei dati nel Registro è consentito per finalità di interesse pubblico rilevante e ricerca medica, biomedica ed epidemiologica. In particolare il Registro serve a:

• produrre misure di incidenza, mortalità, sopravvivenza e prevalenza dei tumori;
• descrivere il rischio di malattia per sede, tipo di tumore e principali variabili epidemiologiche;
• svolgere studi sugli andamenti temporali, sulla distribuzione territoriale, sui fattori di rischio, sugli esiti della diagnosi precoce, delle terapie e dei percorsi diagnostico-terapeutici;
• produrre dati anonimi e aggregati per programmazione, gestione, controllo e valutazione dell’assistenza sanitaria, inclusi prevenzione e screening;
• monitorare qualità e appropriatezza dei servizi diagnostico-terapeutici e la sopravvivenza dei pazienti oncologici.

Titolare del trattamento e organizzazione

Il titolare del trattamento è l’IRCCS “Istituto Scientifico Romagnolo per lo Studio e la Cura dei tumori” di Meldola, presso cui il Registro è istituito. L’IRST assicura anche la gestione amministrativa, tecnica e informatica del Registro. L’organizzazione si fonda sulle unità funzionali territoriali delle aziende sanitarie della Regione, tra cui AUSL Romagna, Imola, Ferrara, Bologna, Modena, Reggio Emilia, Parma e Piacenza. Tali strutture alimentano il Registro con attività di ricerca dei casi, controlli di eleggibilità, codifica, inserimento, aggiornamento della storia clinica, sopravvivenza e mortalità, oltre ai controlli di qualità. Il Direttore del Registro è nominato dall’IRST, di concerto con il Direttore regionale competente in materia di sanità, ed è individuato anche come responsabile del trattamento dei dati. Entro sei mesi dall’entrata in vigore doveva essere approvato il regolamento interno di organizzazione e funzionamento del Registro.

Dati trattati

Il Registro tratta dati personali idonei a rivelare lo stato di salute, limitatamente a quanto indispensabile per le finalità previste. Tra i principali dati utilizzati rientrano:

• diagnosi e modalità di ricovero o dimissione, inclusi DRG e prestazioni ambulatoriali diagnostico-terapeutiche;
• anamnesi;
• interventi chirurgici e procedure diagnostiche/terapeutiche, compresi gli screening oncologici;
• indagini cliniche e trattamenti eseguiti;
• referti di anatomia patologica;
• data e causa di morte e condizioni morbose rilevanti per il decesso.

Fonti dei dati e modalità di acquisizione

La raccolta dei dati avviene presso diverse banche dati regionali e delle aziende sanitarie/IRCCS, nel rispetto delle misure di sicurezza previste dal Regolamento UE 2016/679 e dal disciplinare tecnico richiamato dal regolamento. Le principali fonti sono:

• archivio regionale delle schede di dimissione ospedaliera (SDO), per individuare nuovi casi o verificare dati già presenti;
• archivi aziendali e degli IRCCS relativi a schede di morte, cartelle cliniche, anatomia patologica, laboratorio, radiodiagnostica, prestazioni ambulatoriali, prescrizioni farmaceutiche, esenzioni ticket per patologia oncologica, protesi di interesse oncologico, riabilitazione di interesse oncologico, vaccinazioni di interesse oncologico, lettere di dimissione e relazioni cliniche;
• Anagrafe Sanitaria regionale degli Assistiti, per verificare esattezza, aggiornamento dei dati anagrafici e duplicazioni. I soggetti titolari delle fonti devono trasmettere le informazioni secondo le modalità tecniche del disciplinare.

Comunicazione e diffusione dei dati

Il titolare può comunicare i dati ai titolari dei registri tumori di altre Regioni, solo se legittimamente istituiti e regolamentati, e previa convenzione che disciplini le modalità tecniche di trasmissione e garantisca un livello di sicurezza equivalente a quello previsto dal disciplinare tecnico. È inoltre consentito svolgere studi medici, biomedici ed epidemiologici anche in collaborazione con università, enti, istituti di ricerca, società scientifiche e ricercatori, nel rispetto delle regole deontologiche richiamate. La diffusione al pubblico è ammessa solo in forma anonima, aggregata o comunque non identificabile.

Soggetti autorizzati al trattamento

I dati possono essere trattati solo da personale appositamente individuato dal titolare, secondo i principi del GDPR e con regole di condotta analoghe al segreto professionale, se non già tenuto per legge al segreto. L’accesso deve avvenire con modalità e logiche strettamente pertinenti e non eccedenti rispetto ai compiti attribuiti.

Misure di sicurezza e protezione dei dati

Il titolare deve adottare le misure tecniche e organizzative previste dall’art. 32 del GDPR per assicurare integrità, riservatezza e disponibilità dei dati, prevenendone distruzione, perdita, accesso non autorizzato o trattamenti non conformi alle finalità. Restano ferme le misure indicate nell’allegato al regolamento e l’obbligo di un livello di sicurezza adeguato al rischio, anche in ottica di protezione dei dati fin dalla progettazione e per impostazione predefinita.

Informativa agli interessati e diritti

L’informativa agli interessati deve essere resa tramite le strutture del Servizio sanitario regionale che erogano le prestazioni sanitarie, secondo gli articoli 13 e 14 del GDPR. Deve inoltre essere garantito agli interessati il pieno e tempestivo esercizio dei diritti previsti dalla normativa privacy.

Data breach

Le violazioni dei dati personali o gli incidenti informatici con impatto significativo sul Registro devono essere comunicati al Garante entro 72 ore dalla conoscenza del fatto, secondo l’art. 33 GDPR. Se la violazione comporta un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare deve informare anche gli interessati senza ingiustificato ritardo, ai sensi dell’art. 34 GDPR.

Regime transitorio e decorrenza

L’adeguamento e l’adozione delle misure tecniche e di sicurezza previste dal disciplinare tecnico dovevano avvenire entro 180 giorni dall’entrata in vigore del regolamento. Nel medesimo termine dovevano essere predisposti i manuali operativi per garantire uniformità di gestione del Registro sul territorio regionale. Il regolamento è entrato in vigore il giorno successivo alla sua pubblicazione sul Bollettino Ufficiale telematico della Regione Emilia-Romagna.