Parere del Garante n. 2 del 16/01/2025

Parere sullo schema di decreto per la disciplina dei trattamenti di dati personali nella Piattaforma nazionale di telemedicina

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministero della salute, da adottare di concerto con il Ministro dell’economia e delle finanze e con il Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all’innovazione tecnologica, recante la disciplina dei trattamenti di dati personali nell’ambito della Piattaforma nazionale di telemedicina (PNT).

Il parere si colloca nel quadro dell’attuazione dell’art. 12 del d.l. 18 ottobre 2012, n. 179, come modificato, e si coordina con la disciplina del Fascicolo sanitario elettronico 2.0 e dell’Ecosistema Dati Sanitari (EDS). Il Garante richiama anche i precedenti pareri dell’8 giugno 2023 sul FSE 2.0 e del 26 settembre 2024 su EDS e disciplina transitoria del FSE 2.0.

Quadro normativo e oggetto del decreto

Lo schema di decreto dà attuazione, ai sensi degli artt. 6 e 9 del GDPR e dell’art. 2-sexies del Codice privacy, alle disposizioni che attribuiscono ad Agenas la gestione della piattaforma nazionale di telemedicina e l’avvio di attività di raccolta e gestione di dati utili, anche pseudonimizzati, garantendo che gli interessati non siano direttamente identificabili.

Il decreto è articolato in 19 articoli e 5 allegati, e disciplina:

• la struttura della PNT e delle sue articolazioni, INT e IRT;
• i servizi offerti per finalità di cura e di governo;
• l’accesso dell’assistito e dei professionisti sanitari;
• le informative e i diritti dell’interessato;
• i tempi di conservazione;
• i ruoli del trattamento;
• le misure di sicurezza.

Superamento delle criticità già rilevate dal Garante

Il Garante evidenzia che lo schema supera le criticità segnalate nel parere dell’8 giugno 2023 sul FSE 2.0, nel quale era stato chiesto l’aggiornamento delle Linee guida per i servizi di telemedicina in coerenza con la nuova disciplina del FSE e con il GDPR.

In particolare, il nuovo schema:

• individua gli elementi essenziali dei trattamenti di dati sulla salute effettuati tramite PNT;
• specifica tipologie di dati, operazioni consentite, motivi di interesse pubblico rilevante e misure di tutela;
• prevede la sospensione dei trattamenti della PNT per finalità diverse da diagnosi, cura e riabilitazione fino all’aggiornamento delle Linee guida con decreto da adottarsi previo parere del Garante.

Struttura della PNT, INT e IRT

La PNT è istituita presso Agenas ed è articolata in:

• Infrastruttura nazionale di telemedicina (INT);
• Infrastrutture regionali di telemedicina (IRT).

La INT svolge funzioni di interoperabilità e supporto ai servizi regionali, ma lo schema specifica che, per tali funzioni, non effettua trattamenti di dati personali. Le IRT, invece, sono le articolazioni attraverso cui vengono erogate le prestazioni sanitarie in telemedicina.

Lo schema chiarisce anche che le Regioni e le Province autonome possono erogare prestazioni di telemedicina con modalità diverse da quelle descritte nel decreto, purché tramite infrastrutture certificate da Agenas e comunque nel rispetto della disciplina in materia di protezione dei dati personali e della normativa di settore.

Trattamenti per finalità di cura e integrazione con FSE ed EDS

Per le finalità di cura, le IRT consentono l’erogazione dei servizi di telemedicina previo consenso dell’assistito. I dati e i documenti generati dalle prestazioni confluiscono nel FSE e, conseguentemente, nell’EDS.

Il Garante prende atto che i professionisti sanitari possono accedere ai dati tramite FSE o EDS solo se l’interessato abbia prestato i consensi previsti dalla disciplina del FSE 2.0 e dell’EDS. Viene altresì precisato che, per la telemedicina, sono previsti servizi di consultazione e non di estrazione da parte del professionista sanitario, così da non compromettere eventuali oscuramenti successivi o la revoca del consenso.

Lo schema modifica inoltre il decreto del 7 settembre 2023 sul FSE 2.0 prevedendo che il FSE si alimenti anche con i dati e documenti relativi a:

• televisita;
• teleconsulto;
• teleassistenza/teleriabilitazione;
• telemedicina.

La completa alimentazione del FSE con tali dati è anticipata alla fase II, prevista per il 30 settembre 2025, in coordinamento con la disciplina transitoria del FSE 2.0.

Servizi per finalità di governo e programmazione

Per le finalità di governo, programmazione e monitoraggio, lo schema recepisce l’esigenza di consentire al Ministero della salute, ad Agenas e alle Regioni/Province autonome di estrarre dati pseudonimizzati relativi alle prestazioni di telemedicina.

Il Garante rileva positivamente il superamento dell’originaria impostazione che considerava la PNT come una banca dati in cui far confluire dati duplicati rispetto all’EDS. La disciplina finale stabilisce che:

• i dati personali restano conservati in EDS e non sono duplicati in INT;
• i servizi di elaborazione e estrazione sono svolti da EDS, non da INT;
• gli enti interessati ricevono solo dati pseudonimizzati, elaborati da EDS.

È inoltre previsto che:

• l’estrazione avvenga con frequenza massima di una volta ogni 24 ore;
• i dati estratti siano conservati per un massimo di 24 ore;
• decorso tale termine, essi siano cancellati in modo sicuro e definitivo.

Il Garante osserva che ciò tutela i principi di aggiornamento, esattezza e correttezza e supera la criticità già evidenziata nel 2023 circa l’assenza di termini certi di conservazione dei dati estratti.

Ruoli del trattamento

Lo schema individua in modo puntuale i ruoli del trattamento, in coerenza con le funzioni attribuite ai diversi soggetti coinvolti.

In sintesi:

• Agenas è titolare dei trattamenti effettuati dalla INT nei limiti delle attività indicate dallo schema;
• le Regioni e le Province autonome sono titolari dei trattamenti svolti dalle IRT;
• le Regioni di assistenza, o quelle di erogazione nei casi previsti, sono titolari dei trattamenti per identificazione, autenticazione e tracciamento degli accessi ai servizi minimi di telemedicina;
• per le finalità di cura, sono titolari i soggetti che prendono in cura l’assistito: strutture sanitarie, medici convenzionati con il SSN ed esercenti le professioni sanitarie anche al di fuori del SSN.

Trasparenza, informative e diritti dell’interessato

Il Garante richiede che il principio di trasparenza sia garantito mediante informative adeguate e specifiche per i trattamenti svolti attraverso la PNT.

Lo schema prevede che:

• l’interessato riceva un’informativa dedicata ai trattamenti effettuati tramite la PNT, integrativa rispetto a quella del FSE 2.0 e dell’EDS;
• i titolari delle IRT forniscano un’informativa specifica, pubblicata anche sul portale web dedicato e resa disponibile in fase di autenticazione e accesso;
• Agenas predisponga, insieme a Regioni e Province autonome, un modello uniforme di informativa da pubblicare nell’area pubblica del portale, soggetto a preventivo parere del Garante;
• nell’informativa siano indicate le modalità di esercizio dei diritti di cui agli artt. 15, 16 e 18 GDPR per i dati di autenticazione e accesso.

Viene inoltre chiarito che i diritti di accesso, integrazione, rettifica, oscuramento e aggiornamento dei dati generati dalle IRT e conferiti al FSE si esercitano sui documenti e dati del FSE, secondo la disciplina del decreto ministeriale 7 settembre 2023.

Sono previste anche garanzie analoghe a quelle già contemplate per il FSE 2.0 con riferimento all’accesso dei minori e dei soggetti sottoposti a tutela.

Conservazione dei dati

Il Garante aveva richiesto un termine certo di conservazione, ritenendo insufficiente un generico rinvio alla necessità.

Lo schema recepisce tale esigenza prevedendo che:

• i dati personali relativi all’autenticazione e all’accesso ai servizi minimi di telemedicina offerti dalle IRT siano conservati per 12 mesi;
• i dati trattati da Agenas e i dati estratti ai fini di governo siano conservati per un massimo di 24 ore dall’estrazione, oltre le quali devono essere cancellati in modo sicuro e definitivo;
• la disciplina sia coerente con quella del FSE 2.0.

Misure di sicurezza

Il Garante ha chiesto che le misure di sicurezza fossero differenziate in relazione alla natura dei trattamenti e ai rischi delle diverse componenti della PNT.

L’allegato 4 è stato quindi integrato con misure tecniche e organizzative più puntuali, tra cui:

• protezione contro l’uso fraudolento delle identità digitali;
• cifratura dei dati in transito e a riposo con algoritmi robusti;
• intrusion prevention system;
• monitoraggio degli eventi di sicurezza e gestione degli incidenti anche tramite SIEM e SOAR;
• tracciabilità delle operazioni mediante file di log protetti e conservati per un tempo definito;
• verifiche periodiche dell’efficacia delle misure tecniche e organizzative;
• inventario delle componenti software, incluse librerie terze e open source, per una più rapida gestione delle vulnerabilità;
• misure specifiche per il nodo di interoperabilità.

Il Garante chiede inoltre che le misure siano omogenee sul territorio nazionale e coerenti con gli articoli 25 e 32 del GDPR.

Conclusioni

Il parere è favorevole. L’Autorità richiama però integralmente le osservazioni formulate nei pareri del 26 settembre 2024, in particolare la condizione espressa sullo schema relativo all’EDS.

Nel complesso, il decreto viene considerato un tassello essenziale per disciplinare in modo conforme al GDPR i flussi di dati personali nella telemedicina pubblica, evitando duplicazioni, limitando l’accesso ai dati pseudonimizzati, definendo ruoli e tempi di conservazione e rafforzando le garanzie di trasparenza e sicurezza.