Parere del Garante n. 256 del 08/06/2023

Parere sullo schema di decreto ministeriale relativo al Fascicolo Sanitario Elettronico

Il Garante per la protezione dei dati personali si esprime sullo schema di decreto del Ministero della salute, adottando il parere ai sensi dell’art. 58, par. 3, lett. b), GDPR e dell’art. 9, comma 7, del d.l. n. 139/2021. Il testo esaminato costituisce una nuova versione della disciplina attuativa del FSE, predisposta dopo il precedente parere non positivo del 22 agosto 2022.

Quadro normativo e contesto dell’intervento

Lo schema di decreto si colloca nel quadro dell’art. 12 del d.l. 18 ottobre 2012, n. 179, come modificato, e del d.P.C.M. 29 settembre 2015, n. 178. Il Garante sottolinea che il nuovo testo nasce da una lunga interlocuzione informale con il Ministero della salute e mira a dare una prima attuazione coerente con il GDPR e con la disciplina di settore, in vista degli obiettivi del PNRR sul sub-investimento FSE.

Superamento delle criticità evidenziate nel parere del 22 agosto 2022

Il provvedimento del 2023 recepisce, in larga parte, i rilievi già formulati dall’Autorità nel 2022. In particolare, il Garante prende atto che lo schema:

• chiarisce l’ambito di applicazione e il coordinamento con la normativa previgente;
• delimita i contenuti del FSE;
• disciplina in modo più proporzionato l’accesso in emergenza;
• definisce meglio diritti, deleghe, consensi, ruoli del trattamento, misure di sicurezza e valutazione d’impatto.

Il Garante afferma espressamente che le criticità precedentemente rilevate risultano superate, salvo le condizioni finali che accompagnano il parere favorevole.

Ambito di applicazione e coordinamento normativo

Lo schema prevede la cessazione dell’efficacia del d.P.C.M. n. 178/2015, fatta salva la sopravvivenza dei Capi III e IV fino all’adozione delle nuove disposizioni su ricerca e governo sanitario. È inoltre prevista la cessazione dell’efficacia del decreto ministeriale 18 maggio 2022 dal giorno successivo all’entrata in vigore del nuovo decreto.

Il Garante valorizza anche il rinvio a un distinto decreto del MEF, di concerto con gli altri ministeri competenti e previo parere dell’Autorità, per disciplinare le modalità con cui il Sistema TS renderà disponibili al FSE, tramite l’infrastruttura nazionale, i dati relativi a esenzioni, prescrizioni, prestazioni farmaceutiche e specialistiche, certificati di malattia e altri dati sanitari rilevanti. Analogamente, il Portale nazionale FSE potrà operare solo dopo il relativo decreto attuativo.

Contenuti del FSE e oscuramento dei dati

Per quanto riguarda i contenuti del FSE, il Garante prende atto che:

• le esenzioni per reddito sono consultabili solo dall’interessato;
• l’oscuramento della prescrizione comporta automaticamente anche l’oscuramento dei documenti collegati e dei referti;
• vengono superate le formulazioni generiche presenti nella versione precedente.

Queste modifiche sono ritenute coerenti con i principi di minimizzazione e con la tutela rafforzata di dati e documenti la cui visibilità può incidere sulla riservatezza della persona.

Accesso al FSE in emergenza

Uno dei punti centrali del parere riguarda l’accesso in emergenza. Il Garante aveva contestato l’ipotesi di accesso all’intero FSE in assenza del consenso per finalità di cura. La nuova formulazione è considerata conforme perché introduce un criterio di gradualità:

• accesso prioritario al PSS;
• accesso agli ulteriori dati e documenti solo se necessario;
• verifica dell’incapacità fisica o giuridica di esprimere il consenso;
• accesso limitato al tempo strettamente necessario per garantire le cure emergenziali;
• rispetto dell’oscuramento eventualmente esercitato dall’interessato.

È inoltre eliminata la precedente previsione sull’accesso ai dati del FSE per emergenze sanitarie o di igiene pubblica senza consenso, ritenuta non proporzionata.

Diritti dell’interessato, oscuramento e visione degli accessi

Lo schema disciplina in modo più puntuale i diritti dell’interessato, prevedendo:

• l’esercizio del diritto di oscuramento su tutti i dati e documenti presenti nelle diverse partizioni del FSE;
• l’efficacia immediata dell’istanza;
• la descrizione delle conseguenze dell’oscuramento sulla consultabilità dei dati per le diverse finalità;
• regole uniformi per i dati soggetti a maggior tutela, resi visibili solo all’assistito salvo sua specifica volontà contraria.

Viene inoltre disciplinato il diritto di conoscere gli accessi al proprio FSE. Il Garante accoglie la scelta di non comunicare il nome dell’operatore, ma solo la categoria del soggetto, la tipologia di dato o documento, il tipo di operazione, data e ora e, per la sola consultazione, la finalità. Resta fermo che il trattamento dell’informazione relativa all’autore dell’accesso deve rispettare anche la disciplina sul controllo a distanza dei lavoratori.

Profilo sanitario sintetico, taccuino personale e dossier farmaceutico

Il PSS viene ricondotto a una disciplina più chiara: a seconda del modello architetturale, la Regione o la ASL di assistenza è titolare del trattamento, cura misure di sicurezza e conservazione del PSS corrente, ma non può consultare i dati, salvo le ASL per le finalità di cura e prevenzione. I PSS storici, in caso di cambio del MMG/PLS, restano conservati dalla Regione o ASL competente e devono essere consultabili dall’interessato.

Quanto al Taccuino personale dell’assistito, viene chiarito che si tratta di una sezione riservata del FSE nella quale solo l’interessato o il suo delegato possono inserire, modificare o eliminare dati e documenti; la Regione di assistenza è titolare del trattamento dei documenti del TP, ma non può consultarli.

Il dossier farmaceutico non viene disciplinato nello schema: il Ministero lo rinvia a un futuro decreto attuativo collegato all’Ecosistema Dati Sanitari (EDS). Il Garante prende atto del rinvio, ma richiama le osservazioni già formulate nel precedente parere.

Informativa e modello uniforme nazionale

Lo schema affida al Ministero della salute, d’intesa con Regioni e Province autonome, la predisposizione di un modello di informativa da pubblicare nell’area pubblica del futuro Portale nazionale FSE. Il Garante apprezza l’obiettivo di uniformità, ma ritiene necessario che sia fissato un termine entro cui il modello debba essere predisposto.

L’informativa dovrà essere aggiornata anche in relazione ai successivi sviluppi normativi su Portale nazionale, EDS, medicina predittiva, interconnessioni con altri sistemi informativi e telemedicina. Inoltre, il modello e i suoi aggiornamenti dovranno essere previamente sottoposti al parere del Garante.

Consenso per cura, prevenzione e profilassi internazionale

Lo schema recepisce l’esigenza di consensi distinti per le diverse finalità:

• diagnosi, cura e riabilitazione;
• prevenzione;
• profilassi internazionale.

Il Garante sottolinea che il consenso deve essere libero, specifico, informato, esplicito e revocabile, e che per la prevenzione va distinto anche in relazione ai diversi soggetti legittimati a trattare i dati. Sono disciplinate le conseguenze della revoca, le modalità di espressione anche per minori e soggetti tutelati, e l’alimentazione dell’anagrafe dei consensi. È inoltre ribadito il ruolo del segreto professionale come presidio obbligatorio.

Delega all’accesso al FSE

Lo schema regola l’istituto della delega in modo più compiuto e uniforme sul territorio nazionale. Il Garante aveva richiesto che il sistema informatico collegasse il soggetto delegato a un profilo di autorizzazione idoneo, registrando gli accessi anche del delegato e specificando ambito, durata e limiti della delega.

Il testo finale prevede:

• numero massimo di deleghe consentite;
• durata della delega;
• modalità di rinnovo e revoca;
• ambito operativo della delega;
• esclusione dell’accesso ai dati soggetti a maggior tutela.

Alimentazione del FSE e responsabilità delle strutture

Lo schema distingue correttamente la titolarità del trattamento dalla mera alimentazione del FSE. Le strutture sanitarie devono alimentare il Fascicolo entro cinque giorni dall’erogazione della prestazione, con responsabilità per mancata, intempestiva o inesatta alimentazione.

Vengono anche definite le responsabilità connesse alla verifica formale e semantica dei dati, e al tracciamento degli accessi, evitando anticipazioni su materie da disciplinare in decreti successivi. Il Garante valorizza il fatto che siano stati chiariti i ruoli dei vari soggetti coinvolti.

Trattamenti per finalità di cura

Per la finalità di diagnosi, cura e riabilitazione, il nuovo schema introduce un’accessibilità selettiva e modulare. Il Fascicolo è consultabile solo da chi effettivamente interviene nel percorso di cura, con esclusione di soggetti che operano in ambito sanitario ma non nello specifico percorso dell’assistito.

Sono esclusi anche soggetti che non perseguono finalità di cura, come periti, compagnie assicurative, datori di lavoro, associazioni o organismi amministrativi. Il Garante apprezza la previsione di diversi livelli di accesso e la limitazione temporale all’arco del processo di cura.

Trattamenti per finalità di prevenzione

Per la prevenzione, il testo prevede accessi limitati al solo personale sanitario soggetto a segreto professionale. Gli Uffici delle Regioni e delle Province autonome e quelli del Ministero della salute possono accedere solo a metadati pseudonimizzati, privi di elementi identificativi diretti, così da ridurre il rischio di re-identificazione.

Restano esclusi dall’accesso i dati oscurati e i metadati relativi al PSS e al TP. Il Garante considera tali misure coerenti con i principi di minimizzazione e trasparenza.

Trattamenti per profilassi internazionale

Per la profilassi internazionale, il Ministero della salute può trattare i dati solo attraverso personale medico soggetto a segreto professionale. Lo schema indica anche le fattispecie in cui è consentito l’accesso al FSE, ad esempio per vaccinazioni o profilassi obbligatorie o raccomandate, quarantena, isolamento, contact tracing internazionale e altre misure di profilassi, sempre con specifica attenzione all’oscuramento dei dati.

Il Garante ritiene che tali previsioni superino le criticità precedenti perché delimitano meglio soggetti, finalità, dati accessibili e misure contro la re-identificazione.

Valutazione d’impatto, sicurezza e rischi tecnologici

Il Garante conferma che il nuovo FSE richiede una valutazione d’impatto ai sensi dell’art. 35 GDPR, data la scala nazionale e la molteplicità dei titolari coinvolti. Prende atto della VIP trasmessa dal Ministero e della previsione di ulteriori valutazioni da parte di Regioni e Province autonome entro tre mesi.

Resta però l’invito a non utilizzare un approccio di tipo "average case", perché rischia di sottostimare i punti deboli della catena di sicurezza. Sono richiamati i principali rischi da analizzare: re-identificazione, accessi abusivi, perdita o distruzione dei dati, uso incompatibile, errori di integrità ed esattezza, e rischi connessi a intelligenza artificiale e trattamenti automatizzati.

Sul piano della sicurezza, il Garante richiama la necessità di misure omogenee a livello nazionale: cifratura, separazione dei dati più sensibili, gestione dei privilegi, verifica continua dell’efficacia delle misure, secure coding, controllo delle librerie terze e test regolari sulle integrazioni tra componenti e servizi.

Condizioni finali e conclusioni

Il parere è favorevole, ma condizionato all’integrazione dello schema con:

• un termine congruo entro cui Ministero, Regioni e Province autonome dovranno informare gli interessati sui trattamenti effettuati attraverso il FSE;
• un termine per le campagne informative sul recupero dei dati e documenti sanitari antecedenti al 19 maggio 2020, con facoltà di opposizione entro 30 giorni;
• la previsione del preventivo parere del Garante sul modello di informativa e sui successivi aggiornamenti.

Inoltre, ai sensi dell’art. 157 del Codice, il Ministero della salute deve comunicare entro 60 giorni le iniziative assunte o da assumere per conformare le Linee guida sui servizi di telemedicina del 21 settembre 2022 alla nuova disciplina del FSE e al presente parere. Il Garante annuncia infine di riservarsi attività ispettive sull’attuazione delle misure previste.