Parere del Garante n. 605 del 26/09/2024

Ecosistema Dati Sanitari (EDS): parere favorevole con condizione

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministero della salute sull’Ecosistema Dati Sanitari (EDS), adottato ai sensi dell’art. 12, comma 15-quater, del d.l. 18 ottobre 2012, n. 179, con il Ministero dell’economia e delle finanze e il Sottosegretario di Stato alla Presidenza del Consiglio dei ministri con delega all’innovazione tecnologica e la transizione digitale. Il parere è però subordinato a una condizione essenziale: l’alimentazione e l’elaborazione dei dati del Fascicolo sanitario elettronico (FSE) per tutti i servizi EDS dovranno poter avvenire solo dopo la completa attuazione della disciplina del FSE 2.0, secondo le tre fasi previste dalla disciplina transitoria esaminata nella stessa seduta.

Quadro normativo e antecedenti

Lo schema si colloca nel quadro dell’art. 12 del d.l. n. 179/2012, del GDPR e del Codice privacy. Il Garante richiama il precedente parere non favorevole del 22 agosto 2022 sull’EDS, il decreto del 7 settembre 2023 sul FSE 2.0 e i pareri resi il 12 settembre 2024 sullo schema MEF relativo ai dati di farmaceutica e specialistica e sullo schema di disciplina transitoria del FSE 2.0. Il provvedimento in esame tiene conto anche dell’attività istruttoria svolta nel 2024 sullo stato di attuazione del FSE 2.0, dalla quale erano emerse disomogeneità applicative sul territorio.

Superamento delle criticità evidenziate nel 2022

Rispetto alla versione esaminata nel 2022, lo schema viene considerato profondamente modificato. Il Garante rileva che sono state recepite molte delle precedenti osservazioni: il contenuto informativo dell’EDS è ora individuato con maggiore certezza; i dati oscurati non alimentano l’EDS; i servizi di elaborazione sono tassativi e attivabili solo su richiesta; è stata eliminata ogni previsione di utilizzo di sistemi di intelligenza artificiale; la conservazione è allineata a quella del FSE 2.0. Rimane fermo che l’EDS non è concepito come una banca dati autonoma e generale, ma come un sistema di elaborazione di dati estratti dal FSE per servizi determinati.

Presupposti di liceità: informativa e consenso

Per le finalità di cura, prevenzione e profilassi internazionale, il trattamento tramite EDS è subordinato a una previa informativa conforme agli artt. 12, 13 e 14 GDPR e a consensi distinti, liberi, specifici, informati, inequivocabili ed espliciti. Il Garante sottolinea che il consenso prestato in passato per il FSE non può valere automaticamente anche per l’EDS. Viene inoltre confermata la necessità di consensi separati per le diverse finalità, inclusa la prevenzione, e della loro acquisizione prima dell’avvio delle operazioni di trattamento tramite EDS. Lo schema prevede anche l’integrazione dell’anagrafe dei consensi e delle revoche del FSE 2.0 con quelli relativi all’EDS, nonché discipline specifiche per minori, soggetti sottoposti a tutela, deleghe e revoca.

Informativa omogenea e formazione del personale

Il Ministero della salute, in collaborazione con regioni e province autonome, dovrà integrare il modello di informativa sul FSE 2.0 con i trattamenti svolti tramite EDS, acquisendo un nuovo parere del Garante. È inoltre previsto che il titolare formi adeguatamente il personale coinvolto nel trattamento, così da assicurare una piena comprensione delle informazioni da fornire agli interessati e un corretto rapporto con questi ultimi. Il Garante valorizza tale impostazione perché orientata a garantire un’informazione uniforme sul territorio nazionale.

Diritti dell’interessato e consultazione dei log

Lo schema disciplina un insieme di diritti e funzionalità a favore dell’interessato. In particolare, viene prevista la possibilità di consultare le registrazioni delle operazioni effettuate sui file di log tramite il portale FSE regionale di assistenza e il portale nazionale FSE. Inoltre, l’interessato potrà esercitare direttamente sui documenti e sui dati del FSE i diritti di accesso, integrazione, rettifica, oscuramento e aggiornamento, poiché l’architettura dell’EDS garantisce il pieno allineamento delle informazioni e il rispetto dei principi di esattezza e aggiornamento.

Dossier farmaceutico

Il dossier farmaceutico è configurato come servizio dell’EDS volto a favorire qualità, monitoraggio, appropriatezza nella dispensazione dei medicinali e aderenza terapeutica. L’EDS estrae i dati relativi a prescrizioni e erogazioni di farmaci dai documenti del FSE, dal Sistema Tessera Sanitaria e dall’Anagrafe nazionale degli assistiti. Il Garante segnala che sono state recepite le sue indicazioni: il DF non costituisce una banca dati, ma un servizio di estrazione ed elaborazione su richiesta; i dati trattabili sono indicati tassativamente; l’accesso non può in alcun caso consentire la consultazione dei documenti oscurati da parte di soggetti diversi dall’assistito.

Servizi per la cura

Per la finalità di cura, previo consenso dell’assistito, l’EDS rende disponibili a strutture sanitarie, socio-sanitarie, medici convenzionati ed esercenti le professioni sanitarie che hanno in cura l’interessato servizi specifici descritti nell’allegato A. L’accesso deve avvenire su iniziativa del professionista, nel rispetto dei principi di minimizzazione, necessità e pertinenza. Il Garante richiede che l’accesso sia subordinato alla dichiarazione che il processo di cura è in atto e alla relativa assunzione di responsabilità ai sensi dell’art. 47 del d.P.R. n. 445/2000; che medici di medicina generale e pediatri di libera scelta accedano solo per la durata dell’assistenza; e che siano esclusi i soggetti che operano in sanità ma non perseguono finalità di cura, come periti, assicurazioni, datori di lavoro, associazioni scientifiche, organismi amministrativi e personale medico per attività medico-legali.

Servizi per prevenzione e profilassi internazionale

Per la prevenzione, l’EDS è destinato a soggetti del SSN e dei servizi socio-sanitari regionali, nonché a professionisti sanitari che assistono l’interessato. Per le finalità di prevenzione perseguite da regioni, province autonome e Ministero della salute, nonché per la profilassi internazionale, il trattamento sarà effettuato esclusivamente attraverso l’EDS. Il Garante sottolinea che l’accesso deve essere limitato ai dati privati degli elementi identificativi diretti e pseudonimizzati, secondo i livelli di visibilità definiti nell’allegato A, e al solo personale sanitario autorizzato, soggetto al segreto professionale. Per la profilassi internazionale, lo schema deve indicare in modo tassativo le specifiche attività perseguibili e le misure conseguenti, come quarantena o isolamento, e circoscrivere l’accesso al personale medico autorizzato.

Servizi per governo e studio e ricerca scientifica

Per le finalità di governo, l’EDS mette a disposizione del personale competente del Ministero della salute, di Agenas e delle regioni e province autonome servizi che consentono l’accesso a dati privati degli elementi identificativi diretti, a dati pseudonimizzati e a dati aggregati, secondo i livelli di accesso dell’allegato A. Tali servizi dovranno essere attivati entro il 31 marzo 2026. Per la ricerca scientifica in campo medico, biomedico ed epidemiologico, lo schema consente in via ordinaria l’estrazione di dati anonimizzati, mentre per ulteriori trattamenti di dati personali saranno necessari successivi decreti. L’accesso per i soggetti pubblici e privati qualificati avviene tramite Agenas, previa valutazione del progetto di ricerca e nel rispetto dell’art. 89 GDPR, delle regole deontologiche e delle prescrizioni applicabili.

Accesso in emergenza

In caso di impossibilità fisica o giuridica dell’interessato e di rischio grave, imminente e irreparabile per la salute o l’incolumità fisica, gli operatori sanitari possono accedere, in via prioritaria, al Profilo sanitario sintetico e, se necessario, al resto del FSE e ai servizi EDS per finalità di cura. Il Garante chiede che tale accesso resti limitato al tempo strettamente necessario e solo ove il professionista ritenga non sufficiente il PSS, in coerenza con il principio di progressività previsto dal FSE 2.0.

Ruoli del trattamento

Lo schema chiarisce e conferma i ruoli dei soggetti coinvolti. Il Ministero della salute è titolare dei trattamenti effettuati tramite EDS e del dossier farmaceutico; Agenas opera come responsabile del trattamento per la gestione operativa; le regioni e province autonome sono titolari dei trattamenti di estrazione e trasmissione dei dati; Agenas può essere nominata responsabile per le soluzioni tecnologiche; la RdA e il Ministero della salute, per gli assistiti SASN, sono titolari della raccolta e registrazione dei consensi; per la prevenzione, titolari sono i soggetti del SSN, i professionisti sanitari, le regioni e il Ministero della salute nelle rispettive competenze.

Architettura dell’EDS e misure di sicurezza

La soluzione architetturale è articolata in moduli e unità distinte: dati in chiaro, dati pseudonimizzati e dati anonimizzati, oltre a un broker e a un modulo servizi. Sono previste 22 unità di archiviazione per i dati in chiaro, di cui 21 regionali e una SASN, con facoltà per le regioni e province autonome di realizzare e gestire proprie UA-R, mediante accordo di collaborazione ai sensi dell’art. 15 della l. n. 241/1990. Il Garante apprezza il principio di separazione tra dati in chiaro, pseudonimizzati e anonimizzati, la non duplicazione dei dati estratti e l’interoperabilità, ma chiede ulteriori precisazioni su pseudonimizzazione, anonimizzazione, logging, gestione degli incidenti, visibilità degli accessi, password hashing e misure tecniche delle UA-R.

Condizione finale posta dal Garante

Il punto decisivo del parere è la condizione finale: l’EDS potrà alimentarsi ed elaborare i dati del FSE per offrire tutti i servizi previsti solo quando la disciplina del FSE 2.0 sarà completamente attuata secondo le tre fasi della disciplina transitoria. In assenza di tale coordinamento temporale, si rischierebbe di compromettere i principi di esattezza, minimizzazione, integrità e riservatezza, oltre ai diritti di oscuramento e consultazione degli accessi. Per questo il Garante rende un parere favorevole condizionato, imponendo un allineamento stretto tra EDS e completamento del FSE 2.0.