Parere del Garante n. 582 del 06/08/2026

Istituzione del Registro nazionale diabete

Il Ministero della salute ha richiesto il parere del Garante sullo schema di decreto ministeriale previsto dall’art. 12, comma 13, del decreto-legge 18 ottobre 2012, n. 179, convertito dalla legge 17 dicembre 2012, n. 221, per l’istituzione del Registro nazionale diabete. Il Garante si è espresso il 6 agosto 2026, ai sensi degli artt. 36, paragrafo 4, e 57, paragrafo 1, lett. c), GDPR, dell’art. 12, comma 13, del d.l. n. 179/2012 e dell’art. 6 del d.P.C.M. 3 marzo 2017, formulando un parere favorevole.

Quadro normativo di riferimento

L’art. 12 del d.l. n. 179/2012 disciplina l’istituzione dei sistemi di sorveglianza e dei registri in ambito sanitario. In particolare, il comma 13 prevede che, con uno o più decreti del Ministro della salute adottati previo parere del Garante e previa intesa in sede di Conferenza Stato-Regioni e Province autonome, siano individuati, per ciascun registro, i tipi di dati trattati, i soggetti autorizzati all’accesso, i dati conoscibili, le operazioni eseguibili e le misure appropriate e specifiche per tutelare i diritti e gli interessi fondamentali degli interessati.

Il d.P.C.M. 3 marzo 2017 ha dato parziale attuazione a tale disciplina, specificando le finalità generali dei registri e dei sistemi di sorveglianza e le modalità di trattamento dei dati. Il Registro nazionale diabete è compreso nell’Allegato A2 del decreto, tra i registri di patologia di rilevanza nazionale e regionale. Rilevano inoltre la legge 16 marzo 1987, n. 115, in materia di prevenzione e cura del diabete mellito, e gli artt. 2-sexies e 154 del Codice privacy.

Oggetto e struttura dello schema

Lo schema istituisce presso il Ministero della salute il Registro nazionale diabete, definito come un archivio alimentato in maniera sistematica e continuativa, contenente dati personali anagrafici e socio-sanitari relativi a persone affette da diabete di tipo 1, diabete di tipo 2, diabete gestazionale e altre forme di diabete.

Il provvedimento è composto da 15 articoli e da un disciplinare tecnico allegato, che ne costituisce parte integrante. In particolare:

• gli artt. 1 e 2 definiscono il Registro e ne disciplinano organizzazione e funzionamento;
• l’art. 3 individua le finalità del trattamento e disciplina la ricerca scientifica in campo medico, biomedico ed epidemiologico;
• gli artt. 4 e 5 regolano la gestione operativa e i ruoli privacy;
• gli artt. 7, 8 e 9 disciplinano dati raccolti, acquisizione e trasmissione tra i centri regionali e delle province autonome;
• l’art. 11 e il disciplinare tecnico prevedono le misure di sicurezza;
• l’art. 10 limita la diffusione dei dati alla forma aggregata;
• gli artt. 12 e 13 riguardano conservazione, diritti degli interessati e gestione delle violazioni;
• gli artt. 14 e 15 disciplinano copertura finanziaria ed entrata in vigore.

Finalità del trattamento e ricerca scientifica

Lo schema chiarisce le specifiche finalità perseguite attraverso il Registro, in coerenza con il d.P.C.M. 3 marzo 2017 e con le funzioni istituzionali dei soggetti coinvolti. Il trattamento è destinato, tra l’altro, al perseguimento delle finalità di interesse pubblico proprie dei registri sanitari e alle attività di ricerca scientifica in campo medico, biomedico ed epidemiologico.

Per la ricerca scientifica, l’art. 3 richiama l’art. 110 del Codice privacy e le regole deontologiche per i trattamenti a fini statistici o di ricerca scientifica contenute nell’allegato A5 al d.lgs. n. 196/2003. Il Garante ha considerato rilevante che le finalità dei diversi soggetti siano state meglio delimitate e collegate alle rispettive competenze istituzionali.

Titolari, responsabili e soggetti autorizzati

Il Ministero della salute è individuato quale titolare dei dati personali contenuti nel Registro. Lo schema chiarisce inoltre i ruoli degli altri soggetti che partecipano al trattamento, con particolare riferimento ai centri di riferimento regionali e delle province autonome e all’Istituto superiore di sanità, individuato quale responsabile del trattamento.

Il Garante ha sottolineato l’importanza di una corretta qualificazione dei ruoli privacy e della responsabilizzazione dei soggetti coinvolti. Sono state inoltre precisate le condizioni di accesso da parte delle direzioni competenti del Ministero e dei centri regionali, in applicazione dei principi di minimizzazione e di limitazione dell’accesso ai soli dati necessari.

Il personale del Ministero autorizzato al trattamento deve rispettare il segreto professionale e le istruzioni impartite dal titolare. È stato inoltre previsto che il personale autorizzato ad accedere ad altri flussi o banche dati contenenti dati pseudonimizzati non possa accedere ai dati del Registro, rafforzando la separazione degli accessi e il principio di necessità.

Dati raccolti, fonti e identificazione degli assistiti

Il Registro sarà alimentato attraverso i registri delle regioni e delle province autonome. Lo schema individua le fonti dei dati e la cadenza di alimentazione, aspetti che il Garante ha ritenuto necessario chiarire per assicurare determinatezza e trasparenza del flusso informativo.

Nelle more della realizzazione dell’Anagrafe nazionale degli assistiti, l’identificazione degli assistiti dovrà essere garantita mediante allineamento con l’elenco degli assistiti gestito dal Sistema Tessera sanitaria, ai sensi dell’art. 50 del d.l. n. 269/2003, convertito dalla legge n. 326/2003.

Sono state inoltre chiarite le modalità di trasmissione dei dati tra i centri di riferimento regionali e delle province autonome, comprese le garanzie applicabili quando tali centri dispongano o non dispongano di sistemi informativi capaci di interagire secondo logiche di cooperazione applicativa.

Misure di sicurezza e gestione degli incidenti

L’art. 11 e il disciplinare tecnico prevedono misure tecniche e organizzative coerenti con gli artt. 25 e 32 GDPR, tenendo conto dei rischi connessi al trattamento di dati sanitari. Tra le garanzie considerate dal Garante rientrano:

• l’adozione di un servizio di gestione delle minacce e delle vulnerabilità;
• sistemi di risposta agli incidenti di sicurezza e automazione delle operazioni tramite SOAR, Security Orchestration, Automation and Response;
• la cifratura dei dati sia at rest sia in transit, mediante algoritmi robusti e aggiornati allo stato dell’arte tecnologico;
• la verifica periodica dell’adeguatezza delle misure di sicurezza, almeno ogni due anni;
• l’esecuzione di Vulnerability Assessment e Penetration Test, anche in caso di incidenti di sicurezza informatica;
• misure tecniche e organizzative per rilevare tempestivamente le violazioni dei dati personali.

Il Garante ha inoltre evidenziato la necessità che i diversi titolari si forniscano tempestivamente le informazioni utili ad agevolare gli adempimenti previsti dagli artt. 33 e 34 GDPR, qualora un incidente possa comportare rischi per i diritti e le libertà degli interessati, anche in relazione a trattamenti effettuati da altri soggetti.

Conservazione, diritti degli interessati e diffusione

Lo schema disciplina il periodo di conservazione dei dati in rapporto alle finalità perseguite e regola i diritti degli interessati. Il Garante ha ritenuto necessario assicurare che la conservazione sia correttamente dimensionata rispetto agli scopi del Registro.

In conformità all’art. 2-septies, comma 8, del Codice, i dati possono essere diffusi esclusivamente in forma aggregata e con modalità tali da non consentire l’identificazione degli interessati. Tale previsione riguarda anche gli eventuali risultati divulgati nell’ambito delle finalità istituzionali e di ricerca previste dal decreto.

Aggiornamento delle specifiche tecniche

È stato previsto che il Ministero della salute possa pubblicare sul proprio sito internet aggiornamenti delle specifiche tecniche relative a funzioni e servizi senza un nuovo previo parere del Garante soltanto quando tali aggiornamenti non incidano sui tipi di dati trattati né sulle operazioni eseguibili.

La limitazione mira a distinguere gli aggiornamenti meramente tecnici, compatibili con il quadro già valutato, dalle modifiche sostanziali del trattamento, che inciderebbero sull’ambito dei dati o sulle operazioni e richiederebbero le necessarie valutazioni secondo la disciplina applicabile.

Valutazione conclusiva del Garante

Il testo trasmesso dal Ministero della salute, insieme al disciplinare tecnico, recepisce le indicazioni formulate dall’Ufficio nel corso di numerose interlocuzioni informali e tecnico-giuridiche. Le modifiche hanno riguardato, tra gli altri, i richiami normativi, le definizioni, le finalità, i ruoli dei soggetti, le fonti dei dati, l’identificazione degli assistiti, la conservazione, gli accessi, la diffusione, la sicurezza e la gestione degli incidenti.

Il Garante ha ritenuto che le modifiche realizzino un adeguato bilanciamento tra il diritto alla protezione dei dati personali e le finalità di interesse pubblico perseguite dal Registro. Ha inoltre ritenuto conforme alla disciplina privacy il quadro normativo di rango primario e secondario, con particolare riferimento all’art. 2-sexies del Codice.

Il parere è pertanto favorevole sullo schema di decreto relativo all’istituzione del Registro nazionale diabete.