Parere del Garante n. 579 del 06/08/2026

Parere favorevole sul sistema SIPER per il monitoraggio del personale del SSN

Il Garante per la protezione dei dati personali, con provvedimento n. 579 del 6 agosto 2026, ha espresso parere favorevole, ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento (UE) 2016/679, sullo schema di decreto del Ministro della salute recante il Sistema Informativo per il monitoraggio del personale che opera nel Servizio sanitario nazionale (SIPER) e sul relativo disciplinare tecnico. Il sistema è previsto nell’ambito della Missione 6, Componente 2, del PNRR, in particolare dell’investimento M6C2I1.3.2.1-quinquies.

Atto e finalità del sistema

Lo schema disciplina un sistema informativo realizzato e gestito dal Ministero della salute per la rilevazione delle consistenze, dei nuovi assunti, dei cessati e delle ore lavorate del personale impiegato nel SSN. Il monitoraggio riguarda le strutture e unità finali ospedaliere pubbliche e private, con particolare riferimento a quelle previste dal decreto ministeriale 2 aprile 2015, n. 70, nonché le strutture e unità finali territoriali pubbliche e private accreditate con accordi contrattuali relativi all’esercizio dell’attività sanitaria, con particolare riferimento a quelle previste dal decreto ministeriale 23 maggio 2022, n. 77.

Il SIPER è collegato agli interventi del PNRR diretti a rafforzare i sistemi informativi del Ministero della salute, migliorare il monitoraggio dei LEA e sostenere il governo delle risorse umane del SSN. Il flusso informativo è inoltre funzionale al monitoraggio delle liste di attesa e ai compiti previsti dagli artt. 1, 2, 3 e 5 del decreto-legge 7 giugno 2024, n. 73, convertito dalla legge 29 luglio 2024, n. 107.

Tipologie di informazioni e periodicità

Le Regioni e le Province autonome mettono a disposizione del NSIS, presso il Ministero della salute, informazioni aggregate con cadenza trimestrale. I dati riguardano, per ciascuna unità finale:

• consistenza del personale totale;
• nuovi assunti;
• personale cessato;
• ore lavorate nel trimestre;
• ruolo;
• area contrattuale;
• profilo professionale;
• specialità di assunzione;
• incarico ricoperto;
• tipologia di contratto;
• tempo di impiego;
• sesso anagrafico;
• unità finale di riferimento.

Le informazioni sono trasmesse dalle strutture del SSN alle aziende sanitarie competenti, che provvedono all’invio alla Regione o Provincia autonoma secondo le relative indicazioni organizzative. Il Garante ha considerato positivamente tale articolazione, in quanto idonea a rafforzare la qualità e l’accuratezza dei dati e ad attuare il principio di esattezza previsto dall’art. 5, par. 1, lett. d), GDPR.

Qualificazione dei dati come dati personali

Il Garante ha rilevato che le informazioni trattate costituiscono dati personali ai sensi dell’art. 4, n. 1), GDPR, anche quando non siano direttamente identificative e siano trasmesse in forma aggregata. La combinazione degli elementi informativi, il loro livello di dettaglio e le specificità dimensionali delle singole realtà organizzative possono infatti consentire di risalire indirettamente all’identità dei singoli lavoratori.

La qualificazione impone l’applicazione dei principi generali del GDPR, tra cui liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza, nonché l’adozione di misure di protezione fin dalla progettazione e per impostazione predefinita.

Ruoli dei soggetti coinvolti e limitazione degli accessi

Lo schema individua i soggetti coinvolti nel trattamento e delimita i relativi ambiti di accesso. Il Ministero della salute, le Regioni e le Province autonome e il Ministero dell’economia e delle finanze operano quali titolari del trattamento nell’ambito delle rispettive finalità istituzionali. AGENAS opera quale responsabile del trattamento ai sensi dell’art. 28 GDPR, nell’interesse e per conto del Ministero della salute.

Le informazioni contenute nel SIPER sono consultabili esclusivamente dalle unità organizzative competenti dei soggetti indicati, nei limiti degli specifici profili di autorizzazione definiti dal disciplinare tecnico. Per le Regioni e le Province autonome l’accesso deve inoltre essere circoscritto all’ambito territoriale di competenza.

Il Garante ha valutato positivamente la puntuale individuazione dei ruoli, dei perimetri di accesso e delle finalità perseguite, ritenendola coerente con gli artt. 5, par. 1, lett. a), b) e c), GDPR, relativi ai principi di liceità, correttezza e trasparenza, limitazione della finalità e minimizzazione dei dati.

Trasmissione e sicurezza delle informazioni

La trasmissione dei dati al SIPER deve avvenire secondo le modalità definite dal disciplinare tecnico e dalle specifiche tecniche pubblicate sul sito del Ministero della salute, nel rispetto delle regole tecniche del Sistema pubblico di connettività. Lo schema prevede l’utilizzo di un protocollo sicuro e dell’autenticazione bilaterale tra sistemi mediante certificati digitali emessi da autorità di certificazione ufficiali.

Il disciplinare tecnico prevede misure tecniche e organizzative volte a garantire l’integrità e la riservatezza dei dati, in attuazione degli artt. 5, par. 1, lett. f), e 32 GDPR. Tra le misure valorizzate dal Garante rientrano:

• misure di sicurezza fisica e logica per la protezione dei dati;
• utilizzo di servizi SIEM per la gestione, il monitoraggio e la correlazione degli eventi di sicurezza;
• utilizzo di servizi SOAR per l’orchestrazione, l’automazione e la risposta agli eventi di sicurezza;
• registrazione delle operazioni effettuate sul sistema tramite appositi file di log;
• rilevazione di anomalie e utilizzi impropri, anche tramite specifici alert;
• procedure di autenticazione e autorizzazione degli utenti;
• istruzione e autorizzazione al trattamento degli utenti abilitati ad accedere al SIPER.

Tali misure sono state considerate coerenti anche con quelle già indicate dal Garante in precedenti pareri relativi a trattamenti gestiti dal Ministero della salute.

Ambito soggettivo del trattamento

A seguito delle interlocuzioni con l’Ufficio del Garante e dei chiarimenti forniti dal Ministero della salute, lo schema limita il trattamento ai dati personali riferiti al personale impiegato presso strutture del SSN. Sono quindi esclusi i dati relativi al personale operante presso strutture private non rientranti nel SSN.

Per il personale delle strutture private accreditate, il trattamento deve comunque riguardare esclusivamente gli interessati, quali dipendenti o professionisti, che prestano servizio per l’erogazione di prestazioni rientranti nei rapporti convenzionali con il SSN. I soggetti coinvolti devono adottare misure tecniche e organizzative idonee ad assicurare il rispetto di tale delimitazione.

Il Garante ha ricondotto questa limitazione ai principi di liceità, correttezza, trasparenza e minimizzazione dei dati di cui all’art. 5, par. 1, lett. a) e c), GDPR.

Conservazione e cancellazione

Lo schema prevede che i dati rilevati con il flusso SIPER siano aggregati a livello annuale e storicizzati dopo un anno dall’ultimo trimestre di rilevazione. I dati rilevati con cadenza trimestrale sono cancellati successivamente alla storicizzazione.

I dati storicizzati sono cancellati dopo cinque anni dalla data di storicizzazione, sulla base di specifiche valutazioni. La disciplina risponde all’esigenza di limitare la profondità temporale del trattamento alle finalità determinate, esplicite e legittime perseguite dal sistema, in coerenza con l’art. 5 GDPR.

Valutazione complessiva e conclusioni

Il Garante ha ritenuto che lo schema, modificato e precisato anche alla luce delle interlocuzioni con il Ministero della salute, integri garanzie adeguate per la protezione dei dati personali. In particolare, sono state considerate positivamente la definizione dei ruoli, la delimitazione degli accessi e delle finalità, le procedure per la qualità dei dati, le misure di sicurezza, i tempi di conservazione e la limitazione dell’ambito soggettivo del trattamento.

Il parere è pertanto favorevole senza ulteriori condizioni espresse nel provvedimento, con riferimento agli artt. 5, par. 1, lett. a), c), d) e f), 25, 28, 29 e 32 GDPR.