Parere del Garante n. 283 del 06/07/2023

Schema di decreto EMUR e disciplinare tecnico

Il Garante per la protezione dei dati personali ha espresso parere sullo schema di decreto del Ministro della salute che modifica il d.m. 17 dicembre 2008, istitutivo del sistema informativo EMUR per il monitoraggio delle prestazioni erogate nell’ambito dell’assistenza sanitaria in emergenza-urgenza, nonché sul relativo disciplinare tecnico. Il parere è reso ai sensi dell’art. 58, par. 3, lett. c), del Regolamento (UE) 2016/679.

Quadro normativo e interlocuzione istruttoria

Nel corso dell’istruttoria il Garante ha richiamato il GDPR, il d.lgs. 196/2003 e il d.m. 7 dicembre 2016, n. 262, relativo all’interconnessione nazionale dei sistemi informativi sanitari su base individuale. L’Autorità ha interloquito con il Ministero della salute richiedendo chiarimenti, in particolare, sul periodo di conservazione dei dati e sulla sua coerenza con il principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), e par. 2, GDPR.

Finalità del sistema EMUR e modifiche introdotte

Lo schema di decreto aggiorna la disciplina del sistema EMUR, specificando che la realizzazione e gestione del sistema sono affidate al Ministero della salute, Direzione generale competente in materia di digitalizzazione del sistema informativo sanitario. Viene chiarito che il sistema serve per l’analisi dei dati utili al calcolo di indicatori, a livello aziendale e su base annuale, secondo le procedure di codifica previste dal d.m. n. 262/2016.

Una ulteriore modifica introduce la nuova finalità di allerta rapida relativa alle sindromi respiratorie, basata sugli accessi in pronto soccorso, nell’ambito del protocollo previsto dal Piano pandemico. Per questa finalità il Ministero della salute accede ai dati necessari, privi del codice identificativo dell’assistito, e l’Istituto Superiore di Sanità è designato responsabile del trattamento ai sensi dell’art. 28 GDPR.

Accesso ai dati e livelli di aggregazione

Lo schema specifica che le competenti unità organizzative delle regioni, delle province autonome e del Ministero della salute accedono ai dati in forma aggregata, a livello aziendale e su base annuale, per finalità di analisi comparative e programmazione. Per la finalità di allerta rapida, le competenti unità organizzative del Ministero consultano le informazioni rese disponibili dall’ISS in forma aggregata, a livello comunale su base settimanale, con riferimento al numero di accessi, all’incidenza per sindrome respiratoria e per tutte le altre cause di accesso, nonché ai valori stimati dal modello statistico.

Lo schema chiarisce inoltre che i dati sono raccolti con il codice individuale dell’assistito, secondo il sistema di codifica CUNI-CUNA previsto dal d.m. n. 262/2016 e richiamato nel disciplinare tecnico.

Conservazione dei dati

Uno dei punti centrali dell’istruttoria ha riguardato la conservazione dei dati. Il Garante aveva chiesto al Ministero di dimostrare, con adeguate argomentazioni tecnico-scientifiche, la conformità del termine di conservazione al principio di cui all’art. 5 GDPR. Il Ministero ha fornito motivazioni connesse alla valutazione dei percorsi di cura, alla necessità di disporre di dati riferiti all’intero arco di vita degli assistiti e all’esigenza di mantenere una base dati statisticamente significativa.

Lo schema di decreto introduce quindi l’art. 9-bis, prevedendo che i dati personali presenti nel sistema siano cancellati trascorsi trent’anni dal decesso dell’interessato, con periodicità annuale. Il Garante prende atto delle motivazioni addotte, anche in relazione all’esigenza di coordinamento con il termine di conservazione previsto nella procedura di interconnessione e con il servizio di verifica fornito dall’Anagrafe nazionale degli assistiti.

Disciplinare tecnico e misure di garanzia

Anche il disciplinare tecnico è stato adeguato alle modifiche normative e organizzative. Il Garante evidenzia che il Ministero ha recepito le osservazioni formulate nel corso delle interlocuzioni informali, tra cui:

• l’aggiornamento dei riferimenti normativi, incluso l’art. 47-bis, comma 2, del d.lgs. 30 luglio 1999, come modificato dal d.l. 24 marzo 2022, n. 24;
• la precisazione del ruolo dell’ISS quale responsabile del trattamento limitatamente alla finalità di allerta rapida;
• l’uniformazione al sistema di codifica del d.m. n. 262/2016 e al Codice dell’amministrazione digitale;
• la specificazione dei livelli di aggregazione dei dati accessibili alle Direzioni del Ministero;
• l’indicazione della procedura di autenticazione informatica degli utenti;
• il richiamo alle Raccomandazioni AGID sullo standard TLS per la trasmissione dei dati verso l’ISS;
• la precisazione che il sistema non consente l’accesso a enti esterni al Ministero, salvo l’ISS come responsabile del trattamento.

Esito del parere

Il Garante rileva che il protocollo per la realizzazione del meccanismo di allerta rapida è ancora in fase di revisione e precisa che, qualora la revisione dovesse modificare la tipologia di dati raccolti o le operazioni effettuate, sarà necessario modificare lo schema di decreto e acquisire un nuovo parere dell’Autorità.

Sulla base del complesso delle misure di garanzia previste e ritenute appropriate per tutelare i diritti fondamentali e gli interessi degli interessati, il Garante esprime parere favorevole sullo schema di decreto e sul relativo disciplinare tecnico.