Parere del Garante n. 400 del 24/11/2022

Parere sullo schema di decreto MEF-Ministero della salute per l’accesso delle parafarmacie al Sistema TS

Il Garante per la protezione dei dati personali si esprime, ai sensi dell’art. 36, par. 4, del Regolamento (UE) 2016/679, sullo schema di decreto del Ministero dell’economia e delle finanze, di concerto con il Ministero della salute, diretto a modificare il decreto MEF del 30 dicembre 2020 e a estendere alle parafarmacie i servizi del Sistema Tessera Sanitaria relativi all’erogazione di farmaci senza obbligo di prescrizione. Il parere tiene conto anche della sentenza del TAR Lazio n. 7908 del 2 novembre 2022, richiamata dalle amministrazioni procedenti come elemento di urgenza per la conclusione del procedimento.

Quadro normativo e procedimentale

Lo schema si colloca nel contesto della dematerializzazione delle ricette farmaceutiche e dell’accesso ai servizi del Sistema TS, già disciplinati dal decreto MEF 2 novembre 2011 e dal decreto MEF 30 dicembre 2020. Il Garante richiama il Regolamento (UE) 2016/679 e il d.lgs. 196/2003, nonché l’art. 36, par. 4, del GDPR quale base per la richiesta di parere preventiva su atti normativi che incidono su trattamenti di dati personali.

L’istruttoria è stata arricchita da una richiesta di informazioni del 29 ottobre 2022, con cui l’Ufficio aveva rilevato:

• la mancata trasmissione dell’allegato tecnico;
• la necessità di integrare il disciplinare tecnico in relazione alle modifiche al decreto del 30 dicembre 2020;
• l’assenza di specifiche indicazioni sulle misure di rafforzamento dell’autenticazione al Sistema TS per le parafarmacie.

A seguito di tale richiesta, il MEF e il Ministero della salute hanno trasmesso il 16 novembre 2022 una versione aggiornata dello schema di decreto e l’allegato tecnico.

Valutazioni del Garante sulle misure tecniche e organizzative

L’Autorità rileva che il testo aggiornato recepisce le indicazioni istruttorie e introduce misure di garanzia ritenute, salvo ulteriori indicazioni, appropriate a tutelare i diritti e gli interessi delle persone fisiche. In particolare, vengono valorizzati:

• il sistema di reportistica per il monitoraggio dei servizi del Sistema TS relativi alla dematerializzazione delle ricette bianche, con disponibilità di dati aggregati, come il numero di transazioni ed esiti, aggregati per regione;
• l’introduzione del disaster recovery tra le misure tecnico-organizzative;
• la previsione di procedure di autenticazione informatica più robuste.

Il Garante evidenzia che l’autenticazione deve garantire un livello di sicurezza omogeneo per tutte le modalità di accesso al Sistema TS, in coerenza con precedenti pareri resi sull’accesso degli operatori sanitari.

La condizione richiesta: autenticazione a due o più fattori entro 6 mesi

L’Autorità ribadisce quanto già affermato nei pareri del 24 febbraio 2022 e del 26 maggio 2022: è necessario prevedere l’autenticazione informatica a due o più fattori per l’accesso al Sistema TS. Pur riconoscendo la necessità di consentire con urgenza l’accesso delle parafarmacie, il Garante considera non adeguato il termine di 12 mesi previsto nello schema e ritiene necessario ridurlo a 6 mesi dall’entrata in vigore del decreto.

Questa condizione viene motivata dall’esigenza di assicurare tempestivamente un livello uniforme di sicurezza e robustezza nell’accesso al Sistema TS, anche in considerazione dell’ampliamento della platea dei soggetti abilitati ai servizi del sistema.

Esito del parere e follow-up

Il Garante esprime dunque parere favorevole sullo schema di decreto, ma subordinatamente alla modifica del disciplinare tecnico nella parte relativa al termine per l’adozione dell’autenticazione a due o più fattori.

Inoltre, ai sensi dell’art. 157 del Codice privacy, chiede al Ministero competente di comunicare, entro 30 giorni dalla scadenza del termine fissato, l’avvenuta adozione della misura prescritta.

Il provvedimento richiama infine i mezzi di opposizione previsti dall’art. 78 del GDPR, dagli artt. 152 del Codice e 10 del d.lgs. 150/2011.