R.R. Lombardia 2/2026

Registro regionale grandi traumi: disciplina del trattamento dei dati

Il regolamento disciplina, nell’ambito della Regione interessata, il funzionamento del registro regionale grandi traumi istituito dalla legge regionale n. 33/2009. La disciplina è centrata sulla protezione dei dati personali connessi alla gestione clinico-organizzativa dei pazienti con trauma maggiore e alla programmazione della rete trauma.

Oggetto e quadro di riferimento

Il provvedimento specifica le finalità del trattamento, le basi giuridiche, le tipologie di dati trattabili, le operazioni consentite, i soggetti che possono trattare i dati e le misure di sicurezza da adottare. Il tutto avviene nel rispetto del regolamento (UE) 2016/679, del d.lgs. 196/2003 e del d.P.C.M. 3 marzo 2017 sui sistemi di sorveglianza e registri di mortalità, tumori e altre patologie.

Definizioni rilevanti

Ai fini della disciplina:

• il trauma maggiore è una lesione mono o poli-distrettuale tale da comportare rischio immediato o potenziale di decesso o grave invalidità;
• il registro regionale grandi traumi è la raccolta sistematica di dati prospettici relativi a pazienti con trauma potenzialmente maggiore soccorsi dal 118, ricoverati nella rete trauma o trasferiti da strutture non appartenenti alla rete;
• la rete regionale trauma coincide con il sistema integrato per l’assistenza al trauma maggiore (SIAT), articolato in PST, CTZ e CTS;
• gli enti ospedalieri della rete sono quelli che ricoverano e curano i pazienti con trauma maggiore;
• le SOREU sono le strutture AREU che gestiscono le chiamate di emergenza sanitaria e l’invio dei mezzi più appropriati.

Titolari del trattamento e ripartizione delle competenze

Sono titolari del trattamento, ciascuno per le proprie finalità:

• la Regione, tramite l’Osservatorio regionale per il trauma maggiore;
• AREU;
• gli enti ospedalieri della rete regionale trauma.

La Regione opera per l’analisi, la programmazione, il controllo e la valutazione dell’assistenza sanitaria; AREU per l’indirizzo, la gestione, l’operatività e il monitoraggio della rete emergenza-urgenza; gli enti ospedalieri per monitorare la qualità delle cure, l’assistenza erogata e gli esiti, nonché per migliorare i processi di presa in carico.

Basi giuridiche del trattamento

Per la Regione, i trattamenti sono effettuati previa pseudonimizzazione dei dati personali e sono necessari per l’esecuzione di compiti di interesse pubblico connessi alla programmazione strategica delle politiche sanitarie e sociosanitarie regionali. Per i dati appartenenti a categorie particolari, il trattamento è fondato sulle basi previste dal GDPR e dal Codice privacy.

Per AREU e per gli enti ospedalieri, il trattamento è necessario per l’esercizio delle rispettive funzioni istituzionali e per il coordinamento delle attività di programmazione, gestione, controllo e assistenza sanitaria dei soggetti con potenziale trauma maggiore; anche in questo caso, per i dati sensibili si applicano le basi specifiche previste dalla normativa privacy.

Dati trattabili e principi di minimizzazione

Sono trattabili soltanto i dati necessari alle finalità perseguite.

In sintesi:

• Regione: dati pseudonimizzati sullo stato di salute dei soggetti interessati, oltre a dati di contatto e ruolo operativo del personale sanitario e amministrativo che opera sul registro;
• AREU: dati anagrafici, assistenziali e sanitari dei pazienti, nonché dati anagrafici, di contatto e di ruolo del personale coinvolto;
• enti ospedalieri: dati anagrafici, di contatto, assistenziali e sanitari dei pazienti, oltre ai dati del personale.

Il trattamento deve rispettare pertinenza, non eccedenza e minimizzazione.

Fonti dei dati e alimentazione del registro

La fonte primaria sono le cartelle cliniche pre-ospedaliere e ospedaliere e i referti strutturati fino alla chiusura della presa in carico con la lettera di dimissione.

L’alimentazione del registro avviene:

• dal data warehouse dell’AREU, tramite estrazione degli eventi classificati come trauma;
• dal personale autorizzato degli enti ospedalieri.

Il primo inserimento può derivare da:

• integrazione differita dei traumi maggiori estratti dal data warehouse AREU;
• accessi diretti in pronto soccorso senza presa in carico AREU;
• apertura diretta della scheda da parte del medico che prende in carico un trauma maggiore non precedentemente identificato;
• trasferimento da altro ospedale.

AREU raccoglie inizialmente i dati identificativi e, se necessario, un codice provvisorio da ricondurre successivamente all’anagrafica; effettua una prima classificazione della gravità del trauma. Gli enti ospedalieri integrano poi le schede con i dati mancanti e i dati clinici. Alla chiusura delle schede, i dati pseudonimizzati diventano accessibili alla Regione tramite l’Osservatorio regionale per il trauma maggiore.

Operazioni di trattamento consentite

Le operazioni consentite sono:

• per la Regione: elaborazione, consultazione, conservazione e cancellazione;
• per AREU: raccolta, compilazione, elaborazione, consultazione, conservazione e cancellazione;
• per gli enti ospedalieri: raccolta, compilazione, elaborazione, consultazione, conservazione e cancellazione.

Tutte le operazioni sono svolte con strumenti elettronici.

Comunicazione, diffusione e accesso

La comunicazione dei dati tra i titolari è funzionale all’alimentazione del registro. Comunicazione e diffusione sono consentite solo per le finalità previste dalla normativa o per scopi istituzionali degli enti coinvolti.

Per le finalità del regolamento, i titolari possono comunicare e diffondere, anche mediante pubblicazione, esclusivamente dati anonimi e aggregati relativi ai casi registrati. Ogni flusso informativo deve rispettare la minimizzazione e le misure di sicurezza del regolamento e del disciplinare tecnico allegato.

Sicurezza, autorizzazioni e segreto professionale

I titolari devono adottare misure tecniche e organizzative adeguate ai rischi, in conformità agli articoli 25 e 32 del GDPR. Il disciplinare tecnico allegato individua le misure specifiche da applicare sia nella fase di archiviazione sia in quella di elaborazione e per l’intero ciclo di vita del dato.

L’accesso al registro è riservato alle persone autorizzate munite di credenziali; l’abilitazione è subordinata a autenticazione, verifica dei livelli di autorizzazione e profilazione coerenti con i compiti attribuiti. Tutti gli autorizzati sono tenuti al segreto professionale e devono ricevere adeguata istruzione sulle finalità del trattamento e sulle corrette modalità operative.

Codifica e separazione dei dati

I dati identificativi sono trattati mediante codici sostitutivi secondo il disciplinare tecnico, così da rendere i dati inintelligibili anche agli autorizzati, salvo necessità di identificazione. I dati idonei a rivelare lo stato di salute sono trasmessi e conservati separatamente dagli altri dati personali che non richiedono il loro utilizzo. Le misure di garanzia devono essere aggiornate in conformità alla disciplina privacy applicabile.

Responsabile del trattamento e informativa

La società ARIA S.p.A. è nominata responsabile del trattamento dei dati contenuti nel registro per lo sviluppo e la gestione dell’infrastruttura informatica, mediante contratto conforme all’articolo 28 GDPR.

L’informativa agli interessati è resa dagli operatori sanitari al primo momento utile in ragione dell’evento traumatico. I titolari devono inoltre garantire l’esercizio tempestivo dei diritti riconosciuti dalla normativa in materia di protezione dei dati personali.

Conservazione dei dati e anonimizzazione finale

I dati sono conservati per venti anni dall’ultima annotazione sul registro:

• per le finalità di analisi, programmazione e valutazione della Regione;
• per le finalità di indirizzo, gestione, monitoraggio e controllo di AREU e degli enti ospedalieri.

Decorso tale termine, i dati devono essere definitivamente e irreversibilmente anonimizzati, con processi che impediscano l’identificazione diretta o indiretta della persona.

Data breach e valutazione di impatto

I titolari devono predisporre procedure idonee a ridurre i rischi e contenere gli effetti di eventuali violazioni dei dati personali, inclusa la gestione delle notifiche al Garante e delle comunicazioni agli interessati secondo gli articoli 33 e 34 del GDPR.

Il trattamento è soggetto a valutazione di impatto sulla protezione dei dati (DPIA), da svolgere prima dell’avvio o della prosecuzione del trattamento, in conformità all’articolo 35 del GDPR.