Parere del Garante n. 693 del 14/11/2024

Segnalazione degli incidenti con dispositivi medici: parere favorevole del Garante

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministro della salute recante i termini e le modalità di segnalazione degli incidenti che coinvolgono dispositivi medici e dispositivi dell’Allegato XVI del Regolamento (UE) 2017/745. Il parere è reso ai sensi dell’art. 36, par. 4, e dell’art. 58, par. 3, lett. b), del GDPR, nell’ambito dell’attuazione dell’art. 10, commi 2, 3 e 4, del d.lgs. 5 agosto 2022, n. 137.

Quadro normativo e contesto del trattamento

Lo schema si inserisce nel quadro della dispositivo-vigilanza e della rete nazionale a supporto della stessa, collocata nel NSIS. Il Garante richiama, tra le fonti rilevanti, il Regolamento (UE) 2016/679, il Codice privacy, il Regolamento (UE) 2017/745, il d.lgs. 137/2022, la legge n. 190/2014, il decreto ministeriale 31 marzo 2022 istitutivo della rete nazionale per la dispositivo-vigilanza e il decreto ministeriale 9 giugno 2023 sui tempi di conservazione dei dati eventualmente forniti con le comunicazioni di incidente.

Il trattamento è ricondotto alle finalità di interesse pubblico rilevante di cui all’art. 9, par. 2, lett. g) e i), del GDPR e all’art. 2-sexies, comma 2, lett. u), del Codice privacy.

Oggetto dello schema di decreto

Lo schema disciplina i termini e le modalità di segnalazione al Ministero della salute, da parte degli operatori sanitari pubblici o privati, degli utilizzatori profani e dei pazienti, di:

• incidenti gravi, anche solo sospetti;
• incidenti diversi da quelli gravi.

La segnalazione avviene tramite un modulo on-line allegato allo schema, che costituisce parte integrante del decreto e che alimenta il sistema informativo a supporto della rete nazionale per la dispositivo-vigilanza, presente nel NSIS.

Ruoli privacy e governance del trattamento

Il Garante valorizza la chiara individuazione dei ruoli privacy:

• le Regioni e le Province autonome sono titolari del trattamento dei dati contenuti nel modulo on-line per gli incidenti occorsi nel territorio di competenza;
• i referenti locali e regionali della dispositivo-vigilanza sono soggetti autorizzati al trattamento;
• il Ministero della salute è titolare del trattamento dei dati acquisiti all’interno del NSIS, quale autorità competente in materia di dispositivi medici.

Lo schema richiama inoltre l’obbligo di operare nel rispetto dell’art. 29 GDPR e dell’art. 2-quaterdecies del Codice privacy.

Dati raccolti e minimizzazione

Il modulo prevede che, in fase di autenticazione, siano acquisiti solo il codice fiscale, il cognome e il nome del soggetto che effettua la segnalazione. Il Garante ritiene tale impostazione coerente con il principio di minimizzazione dei dati di cui all’art. 5, par. 1, lett. c), GDPR.

Più in generale, il modulo richiede soltanto dati adeguati, pertinenti e limitati rispetto alla finalità perseguita. È ammessa una descrizione dell’incidente in un campo a testo libero, ma con espresso avvertimento di non inserire dati personali del soggetto coinvolto.

Tutela dell’interessato coinvolto nell’incidente

Lo schema impone agli operatori sanitari, ai responsabili locali della vigilanza e ai responsabili regionali della vigilanza di assicurare che la segnalazione non contenga dati idonei a identificare il soggetto coinvolto nell’incidente.

Il modulo prevede comunque l’indicazione di alcuni elementi relativi al soggetto coinvolto, tra cui:

• le conseguenze dell’incidente, mediante selezione di opzioni predefinite;
• il soggetto coinvolto, mediante selezione di opzioni predefinite;
• l’età;
• il sesso biologico;
• l’indice di massa corporea.

Pseudonimizzazione e riduzione del rischio di re-identificazione

Per i dati identificativi del soggetto che effettua la segnalazione, lo schema richiede l’uso di tecniche di pseudonimizzazione diverse da quelle del decreto 7 dicembre 2016, n. 262. Il Garante considera tale scelta idonea a ridurre i rischi di re-identificazione dell’interessato e a rafforzare le garanzie complessive del sistema.

Valutazione complessiva del Garante

L’Autorità osserva che il testo tiene conto delle interlocuzioni informali intercorse con l’Ufficio del Garante e risulta conforme alla normativa in materia di protezione dei dati personali. In particolare, vengono considerate adeguate:

• la definizione dei ruoli e delle responsabilità;
• la limitazione dei dati raccolti;
• la previsione di misure di sicurezza e pseudonimizzazione;
• il rispetto dei principi di liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, responsabilizzazione e privacy by design/by default, ai sensi degli artt. 5 e 25 GDPR.

Condizioni e avvertenze per il futuro

Pur esprimendo parere favorevole, il Garante sottolinea che eventuali modifiche dello schema di decreto o del modulo dovranno essere introdotte mediante una base giuridica di rango non inferiore all’attuale decreto ministeriale e previa consultazione dell’Autorità, nel rispetto degli artt. 6, parr. 1, lett. c) ed e), 9, par. 2, lett. g), e 36, par. 4, GDPR, nonché degli artt. 2-ter e 2-sexies del Codice privacy.

Resta inoltre fermo quanto già osservato nel parere 26 maggio 2022, n. 189: nel quadro normativo di settore dovrà essere prevista una specifica disciplina per i trattamenti svolti nelle attività di fornitura e manutenzione dei dispositivi, tale da inibire l’accesso ai dati anagrafici e anamnestici del paziente salvo che sia indispensabile per la manutenzione o per la telediagnosi/teleintervento, con tracciabilità di ogni accesso e intervento.