Parere del Garante n. 186 del 27/04/2023

Parere sullo schema di decreto relativo ai dati dei fabbricanti di dispositivi medici su misura

Il Garante per la protezione dei dati personali esprime, ai sensi dell’art. 58, par. 3, lett. c), del GDPR, parere sullo schema di decreto del Ministro della salute recante le "Disposizioni relative alle modalità di conferimento delle informazioni riguardanti i dati identificativi del fabbricante e l’elenco dei tipi di dispositivi medici su misura messi a disposizione sul territorio nazionale", attuativo dell’art. 7, comma 4, del d.lgs. 5 agosto 2022, n. 137.

Quadro normativo di riferimento

Nel provvedimento vengono richiamati il Regolamento (UE) 2016/679, il d.lgs. 30 giugno 2003, n. 196, il Regolamento (UE) 2017/746 e il d.lgs. n. 137/2022, che disciplina l’adeguamento della normativa nazionale in materia di dispositivi medici. Il Garante richiama anche il precedente parere del 26 maggio 2022, n. 189, adottato sullo schema di decreto legislativo poi sfociato nel d.lgs. n. 137/2022.

Contenuto dello schema di decreto esaminato

Lo schema si compone di 6 articoli e disciplina:

• il campo di applicazione e i soggetti interessati;
• le modalità di comunicazione delle informazioni, i termini di aggiornamento in caso di modifiche o cessazione dell’attività, nonché le specifiche tecniche di trasmissione dei dati;
• il numero di iscrizione nell’elenco dei fabbricanti di dispositivi medici su misura e le modalità di assegnazione e revoca;
• i tempi di conservazione delle informazioni per i dispositivi impiantabili e per quelli diversi dagli impianti;
• le disposizioni transitorie e l’entrata in vigore.

Valutazioni del Garante sui tempi di conservazione

Lo schema prevede che:

• i dati personali dei fabbricanti di dispositivi medici su misura impiantabili siano conservati per 15 anni dalla data di comunicazione di cessazione dell’attività;
• i dati personali dei fabbricanti siano conservati per 10 anni dalla data di comunicazione di cessazione dell’attività agli operatori sanitari.

Il Garante rileva che i dati personali in questione sono solo quelli riferibili a una persona fisica identificata o identificabile, ai sensi degli artt. 1 e 4 del GDPR. Ritiene quindi che i termini di conservazione individuati siano appropriati e proporzionati rispetto alle finalità perseguite e alla tutela dei diritti e degli interessi fondamentali degli interessati.

Attuazione delle indicazioni del precedente parere

Il Garante osserva che lo schema dà attuazione alla lett. b), primo alinea, del dispositivo del parere n. 189/2022, relativo ai tempi di conservazione dei dati del fabbricante di dispositivi su misura. Precisa inoltre che la questione dei dati personali eventualmente forniti con le comunicazioni di incidenti con dispositivi medici sarà affrontata in un distinto schema di decreto, già trasmesso al Garante il 27 marzo 2023.

Rilievo sul trattamento dei dati nei servizi di manutenzione e assistenza

Pur esprimendo parere favorevole, il Garante ribadisce una prescrizione già formulata nel precedente parere del 26 maggio 2022. In particolare, il Ministero della salute deve introdurre una specifica disposizione che:

• inibisca l’accesso ai dati anagrafici e anamnestici del paziente nell’ambito delle attività funzionali alla fornitura o manutenzione dei dispositivi;
• consenta tale accesso solo se indispensabile per l’erogazione del servizio di manutenzione e di telediagnosi/teleintervento;
• assicuri la tracciabilità di ogni operazione di intervento o accesso.

Il Garante richiama anche l’art. 21 del d.lgs. n. 137/2022, che qualifica il fabbricante del dispositivo medico come responsabile del trattamento, ai sensi dell’art. 28 del GDPR, quando sono previste attività di taratura, calibrazione, manutenzione o assistenza, anche a distanza.

Esito finale

Non rilevando ulteriori profili critici sullo schema di decreto trasmesso, il Garante conclude con un parere favorevole. La sola puntualizzazione sostanziale riguarda la necessità di integrare la disciplina con una previsione espressa a tutela dei dati anagrafici e anamnestici del paziente nelle attività di manutenzione e teleassistenza.