Parere del Garante n. 360 del 23/06/2025

Modifica del decreto FSE 2.0 e parere favorevole del Garante

Il Garante per la protezione dei dati personali esprime, ai sensi dell’art. 58, par. 3, lett. b), GDPR, parere favorevole sullo schema di decreto di modifica del decreto del 7 settembre 2023 in materia di Fascicolo sanitario elettronico 2.0, nonché sul relativo allegato sostitutivo dell’allegato D. Il parere interviene a fronte della trasmissione del testo da parte del Ministero della salute e tiene conto del contesto di attuazione del FSE, caratterizzato da criticità tecniche e da richieste di differimento dei termini avanzate da Regioni e Province autonome.

Quadro normativo e precedenti interlocuzioni

Nel provvedimento vengono richiamati il Regolamento (UE) 2016/679, il d.lgs. 30 giugno 2003, n. 196, il decreto FSE 2.0 del 7 settembre 2023, il decreto del 17 ottobre 2024 sulle modalità di messa a disposizione ai FSE, tramite INI, dei dati del Sistema tessera sanitaria e del consenso o diniego del Sistema informativo trapianti, nonché il decreto del 30 dicembre 2024 che ha introdotto l’art. 27-bis con una disciplina transitoria articolata in tre fasi. Il Garante considera anche le specifiche tecniche diffuse dal Dipartimento per la trasformazione digitale il 24 dicembre 2024 e l’11 febbraio 2025.

Modifiche all’art. 22: canali di notifica e APP IO

Lo schema di decreto modifica l’art. 22 del decreto FSE 2.0 per integrare i servizi di notifica delle operazioni sul Fascicolo sanitario elettronico, già previsti tramite applicazione per dispositivi mobili ed e-mail, con il punto di accesso telematico di cui all’art. 64-bis del CAD, cioè APP IO. Viene inoltre previsto un servizio di notifica delle sole operazioni effettuate tramite l’Infrastruttura Nazionale per l’Interoperabilità, limitatamente ad alimentazione e oscuramento, attivabile su richiesta dell’assistito anche quando il titolare del FSE non abbia scelto APP IO come canale generale di notifica.

Resta ferma la facoltà dei titolari del FSE di individuare, tra i canali indicati dall’art. 22, quelli da attivare per la notifica delle operazioni di alimentazione, oscuramento e consultazione.

Proroga dei termini della disciplina transitoria

La modifica dell’art. 27-bis è finalizzata a posticipare i termini della fase di attuazione progressiva del FSE 2.0. In particolare:

• il termine della I fase è differito dal 31 marzo 2025 al 30 giugno 2025;
• il termine della II fase è prorogato dal 30 settembre 2025 al 31 dicembre 2025;
• il termine della III fase resta fissato al 31 marzo 2026.

Il differimento è motivato dalle criticità tecniche emerse nel corso dell’attuazione e dal protrarsi delle attività di consolidamento delle specifiche tecniche.

Aggiornamento dell’allegato D e anticipazione di contenuti in II fase

La sostituzione dell’allegato D comporta l’anticipazione in II fase di alcune previsioni già contenute nel decreto FSE 2.0, in particolare:

• l’art. 4, relativo al Profilo sanitario sintetico;
• l’art. 11, relativo all’accesso al FSE da parte dei minori, dei soggetti incapaci di intendere e volere e al sistema delle deleghe.

Il Garante prende atto che lo schema e l’allegato tengono conto delle osservazioni formulate dall’Ufficio nelle interlocuzioni informali precedenti all’invio formale del testo.

Garanzie privacy richiamate dal Garante

Nel parere viene sottolineata la necessità di rispettare le Linee guida AgID sul Punto di accesso telematico (APP IO), in particolare il par. 7.3, che richiede alle pubbliche amministrazioni di individuare misure appropriate e specifiche quando il trattamento riguardi categorie particolari di dati personali.

Viene inoltre richiamata la garanzia prevista dall’art. 27-bis, comma 4, del decreto del 7 settembre 2023: fino alla piena realizzazione del Profilo sanitario sintetico, intesa come compilazione nel 70% dei FSE, l’accesso in emergenza di cui all’art. 20 del medesimo decreto non è consentito in assenza del consenso dell’interessato.

Conclusioni

Il Garante non formula rilievi sullo schema di decreto né sul relativo allegato, ritenendo che il complesso delle misure previste costituisca un insieme di garanzie appropriate per la tutela dei diritti fondamentali e degli interessi delle persone fisiche coinvolte nel trattamento dei dati personali. Il parere conclusivo è dunque favorevole.