Parere del Garante n. 657 del 31/10/2025

Parere sullo schema di decreto per lo screening pediatrico nazionale di diabete di tipo 1 e celiachia

Il Garante per la protezione dei dati personali esprime, ai sensi dell’art. 58, par. 3, lett. b), GDPR, parere favorevole sullo schema di decreto ministeriale recante "Disposizioni per l'avvio del programma pluriennale di screening su base nazionale nella popolazione pediatrica per l'individuazione degli anticorpi del diabete di tipo 1 e della celiachia". Il parere si inserisce nel quadro della legge 15 settembre 2023, n. 130, che demanda al Ministro della salute l’adozione del programma e istituisce anche l’Osservatorio nazionale sul diabete di tipo 1 e sulla celiachia.

Quadro normativo e iter del parere

Lo schema esaminato è una nuova versione di un testo già sottoposto al Garante, che si era pronunciato il 30 gennaio 2025. La nuova trasmissione del 24 luglio 2025 è stata seguita da interlocuzioni informali e da una richiesta di chiarimenti dell’Ufficio, finalizzata a comprendere le ragioni delle modifiche e a valutarne la conformità al principio di proporzionalità del trattamento. In seguito, con nota del 28 ottobre 2025, il Ministero della salute ha trasmesso una nuova versione dello schema, insieme al disciplinare tecnico e alla relazione illustrativa.

Modifiche sostanziali rispetto alla versione precedente

Il Garante rileva che il testo è stato profondamente rivisto sotto il profilo della protezione dei dati personali. Le modifiche riguardano in particolare:

• la natura dei dati trattati;
• le modalità di alimentazione della piattaforma nazionale di screening da parte di regioni e province autonome;
• la definizione dei ruoli di trattamento;
• l’adeguamento del disciplinare tecnico.

Le ragioni addotte nella relazione illustrativa richiamano esigenze organizzative e finanziarie espresse da regioni e province autonome, con particolare riferimento alla loro autonomia operativa nello svolgimento dello screening, al coinvolgimento dei pediatri di libera scelta, alla possibilità di utilizzare direttamente la piattaforma nazionale o sistemi regionali interoperabili, nonché alla definizione delle fasce di età da sottoporre a screening.

Ruoli di protezione dei dati personali

Uno dei punti centrali del parere riguarda la ridefinizione dei ruoli privacy nella catena del trattamento. Lo schema, come modificato, prevede che:

• il Ministero della salute sia titolare del trattamento dei dati effettuato attraverso la piattaforma nazionale;
• l’Istituto superiore di sanità agisca in qualità di responsabile del Ministero, curando le attività tecniche necessarie alla gestione della piattaforma e trasmettendo al Ministero, in forma aggregata, le risultanze elaborate per finalità di monitoraggio e sorveglianza epidemiologica;
• le regioni e le province autonome siano titolari dei trattamenti effettuati per organizzare lo screening, verificarne il corretto andamento e svolgere analisi di efficienza ed efficacia, accedendo soltanto ai dati dei propri assistiti in forma pseudonimizzata e secondo il "tracciato record" previsto dal disciplinare tecnico;
• i laboratori di riferimento trattino i dati in qualità di responsabili del trattamento, nei limiti del rispettivo ambito di competenza;
• i dipartimenti di prevenzione delle aziende sanitarie, ovvero le strutture individuate dal modello organizzativo regionale/provinciale, i pediatri di libera scelta se coinvolti e i centri clinici di riferimento siano titolari dei trattamenti svolti per finalità di cura e prevenzione.

Il Garante considera questo assetto coerente con le esigenze di chiarezza dei ruoli e con il principio di minimizzazione dei dati.

Consenso, dati genetici e categorie di dati trattati

La nuova versione elimina il test genetico per la celiachia alla nascita per ragioni di disponibilità finanziaria. Tale scelta comporta l’esclusione del trattamento di dati genetici e, conseguentemente, la soppressione del previsto consenso riferito a questa categoria di dati. L’Autorità prende atto di questo adeguamento come elemento rilevante per la riduzione dell’impatto privacy del programma.

Piattaforma nazionale, interoperabilità e sicurezza

Il disciplinare tecnico viene adeguato per descrivere in modo puntuale:

• le modalità tecniche di raccolta dei dati;
• le caratteristiche della piattaforma informatica nazionale;
• le modalità di interoperabilità e cooperazione applicativa;
• i requisiti dei sistemi informativi regionali e provinciali.

Lo schema chiarisce che le regioni e province autonome possono trasmettere i dati in via centralizzata tramite la piattaforma nazionale oppure mediante propri sistemi informativi operanti in cooperazione applicativa, ai sensi degli artt. 1, comma 1, lett. ee), e 73 del d.lgs. 7 marzo 2005, n. 82, nel rispetto delle regole tecniche del Sistema Pubblico di Connettività e del Modello di Interoperabilità adottato da AgID. In tale ipotesi, le amministrazioni territoriali coordinano le attività di screening e la trasmissione dei dati pseudonimizzati alla piattaforma nazionale.

Il Garante prende inoltre atto della richiesta di usare tecniche di pseudonimizzazione allineate a quelle del decreto del Ministero della salute n. 262 del 2016, così da rendere possibile la futura interconnessione. Viene anche chiarito che i tracciati record devono distinguere i dati inviati, previa pseudonimizzazione, alla piattaforma nazionale da quelli raccolti dai laboratori ma non trasmessi.

Misure tecniche e organizzative e principio di sicurezza

Quando l’alimentazione della piattaforma avviene tramite sistemi informativi regionali o provinciali, lo schema richiede che le misure tecniche e organizzative siano coordinate e integrate con quelle della piattaforma nazionale, al fine di garantire un livello di sicurezza adeguato al rischio, in coerenza con gli artt. 25 e 32 GDPR. Il Garante considera tale previsione essenziale per assicurare privacy by design, privacy by default e adeguata protezione dei dati personali trattati nell’ambito dello screening.

Organizzazione dello screening e fasce di età

Lo schema attribuisce alle regioni e province autonome la responsabilità di organizzare e coordinare le attività di screening, riconducendole nel perimetro del Piano Nazionale della Prevenzione. È inoltre lasciata alle amministrazioni territoriali la facoltà di coinvolgere i pediatri di libera scelta, in base alle specificità organizzative e alle risorse disponibili.

Quanto alle fasce di età, la nuova impostazione prevede, per ragioni finanziarie e organizzative, l’allineamento alla programmazione dell’offerta vaccinale e la rimodulazione a 16 anni dell’età massima dei soggetti arruolabili, in funzione del target della popolazione pediatrica.

Valutazione finale del Garante

L’Autorità ritiene di non formulare rilievi sullo schema di decreto e sul disciplinare tecnico, osservando che le modifiche apportate hanno recepito tutte le osservazioni emerse nel confronto con l’Ufficio e hanno definito un quadro chiaro di responsabilità, ruoli del trattamento e presupposti di liceità. Secondo il Garante, il complesso delle misure di garanzia già ritenuto appropriato nel precedente parere del 30 gennaio 2025 resta idoneo a tutelare i diritti fondamentali e gli interessi degli interessati.

Urgenza del parere

Il parere è adottato in via d’urgenza per consentire l’iscrizione del provvedimento all’ordine del giorno della Conferenza Stato-Regioni del 6 novembre 2025, così da non compromettere il riparto dei fondi alle regioni previsto dall’art. 1, comma 1, della legge n. 130 del 2023.