Parere del Garante n. 694 del 14/11/2024

Parere sullo schema di decreto in materia di segnalazione di incidenti con dispositivi medico-diagnostici in vitro

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto ministeriale recante i "Termini e modalità di segnalazione di incidenti che coinvolgono i dispositivi medico-diagnostici in vitro da parte degli operatori sanitari, degli utilizzatori profani e dei pazienti". Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento (UE) 2016/679, nell’ambito dell’attuazione dell’art. 13, commi 2, 3 e 4, del d.lgs. 5 agosto 2022, n. 138.

Quadro normativo e contesto settoriale

Lo schema si colloca nel sistema della vigilanza sui dispositivi medico-diagnostici in vitro disciplinato dal Regolamento (UE) 2017/746 e dal d.lgs. 138/2022. Il Garante richiama anche il d.lgs. 196/2003, l’accordo quadro sul Nuovo sistema informativo sanitario (NSIS), la legge 190/2014 e il decreto ministeriale 31 marzo 2022 che istituisce la rete nazionale per la dispositivo-vigilanza e il relativo sistema informativo di supporto.

Il decreto in esame è funzionale a definire termini e modalità della segnalazione degli incidenti gravi e di quelli non gravi che coinvolgono i dispositivi medico-diagnostici in vitro. La disciplina si innesta su trattamenti riconducibili alle finalità di cui all’art. 9, par. 2, lett. g) e i), del GDPR e all’art. 2-sexies, comma 2, lett. u), del Codice privacy, come richiamato nelle premesse dello schema.

Struttura del sistema di segnalazione

Il decreto prevede che le segnalazioni siano effettuate tramite compilazione online di un modulo allegato, che costituisce parte integrante dello schema. Il modulo alimenta il sistema informativo a supporto della rete nazionale per la dispositivo-vigilanza, collocato all’interno del NSIS.

Sono tenuti alla segnalazione gli operatori sanitari pubblici o privati, i referenti per la vigilanza eventualmente nominati da disposizioni regionali, nonché, secondo i casi, gli utilizzatori profani e i pazienti. Il modulo può essere modificato con le medesime modalità previste per l’adozione del decreto, quindi con una nuova acquisizione del parere del Garante.

Ruoli di titolarità e responsabilità del trattamento

Lo schema individua espressamente i ruoli privacy:

• le Regioni e le Province autonome sono titolari del trattamento per i dati contenuti nel modulo online relativi agli incidenti occorsi sul territorio di competenza;
• i referenti locali e regionali della dispositivo-vigilanza sono soggetti autorizzati al trattamento;
• il Ministero della salute è titolare del trattamento dei dati acquisiti all’interno del NSIS, quale autorità competente in materia di dispositivi medico-diagnostici in vitro.

Il Garante valorizza tale impostazione perché coerente con i principi di liceità, correttezza e trasparenza, limitazione della finalità e accountability, richiamando gli artt. 5, par. 1, lett. a) e b), e 24 del GDPR. Viene inoltre ribadita l’esigenza che Regioni, Province autonome e Ministero operino nel rispetto dell’art. 29 GDPR e dell’art. 2-quaterdecies del Codice.

Dati trattati e principi di minimizzazione e privacy by design

Uno dei profili centrali del parere riguarda la minimizzazione dei dati. In fase di autenticazione, l’accesso al modulo avviene tramite CNS, CIE, SPID oppure tramite codice utente e parola chiave, in conformità all’art. 64 del Codice dell’amministrazione digitale. Nell’ambito di tali procedure vengono acquisiti esclusivamente codice fiscale, nome e cognome del segnalante.

Il modulo prevede poi un campo a testo libero destinato alla descrizione dell’incidente, con espresso divieto di inserire dati personali del soggetto coinvolto. Sono altresì previsti campi strutturati per indicare:

• le conseguenze dell’incidente;
• il soggetto coinvolto, mediante opzioni predeterminate;
• l’età, il sesso biologico e l’indice di massa corporea del soggetto coinvolto.

Il Garante considera tali scelte coerenti con gli artt. 5, par. 1, lett. a) e c), e 25 del GDPR, in quanto assicurano protezione dei dati fin dalla progettazione e per impostazione predefinita.

Pseudonimizzazione e prevenzione della re-identificazione

Lo schema impone che i dati identificativi del soggetto che effettua la segnalazione siano raccolti mediante tecniche di pseudonimizzazione diverse da quelle previste dal decreto 7 dicembre 2016, n. 262. La finalità è ridurre il rischio di re-identificazione dell’interessato.

Inoltre, gli operatori sanitari, i responsabili locali della vigilanza e i responsabili regionali devono assicurare che la segnalazione non consenta in alcun modo l’identificazione del soggetto coinvolto nell’incidente. Il Garante ritiene che questo presidio sia essenziale per contenere i rischi connessi al particolare contesto di trattamento.

Valutazione complessiva del Garante

Il Garante osserva che la versione trasmessa dello schema, anche a seguito delle interlocuzioni informali con l’Ufficio, tiene conto delle indicazioni fornite per renderlo conforme alla normativa privacy. In particolare, il testo prevede misure appropriate e specifiche per attuare i principi di protezione dei dati e integrare nel trattamento le necessarie garanzie, in coerenza con l’art. 25 GDPR.

Per questo motivo l’Autorità esprime parere favorevole sullo schema di decreto.

Richiamo al precedente parere del 26 maggio 2022

Resta fermo quanto già affermato nel parere del 26 maggio 2022, n. 190, relativo al d.lgs. 138/2022. Il Garante ribadisce la necessità che, nel quadro normativo di settore, sia introdotta una specifica disposizione sulla protezione dei dati personali trattati nelle attività di fornitura o manutenzione dei dispositivi.

In particolare, tale disciplina dovrebbe:

• inibire l’accesso ai dati anagrafici e anamnestici del paziente;
• consentire l’accesso solo se indispensabile ai fini dell’erogazione del servizio di manutenzione e telediagnosi/teleintervento;
• rendere comunque tracciabile ogni operazione di intervento o accesso.

Il parere favorevole sullo schema attuale, dunque, non elide la precedente sollecitazione a un intervento normativo specifico su questo diverso ambito applicativo.