Parere del Garante n. 795 del 19/12/2024

Parere sullo schema di decreto per l’istituzione del registro pubblico telematico "Sanità trasparente"

Il Garante per la protezione dei dati personali ha esaminato lo schema di decreto del Ministro della salute intitolato "Istituzione del Registro pubblico telematico" e il relativo disciplinare tecnico dell’Allegato A. Il provvedimento attua l’art. 5 della legge n. 62/2022, che ha istituito il registro pubblico telematico "Sanità trasparente" da rendere disponibile sul sito istituzionale del Ministero della salute.

Quadro normativo di riferimento

Il parere è reso ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del GDPR, nonché dell’art. 5, comma 7, della legge n. 62/2022. La legge prevede che, con decreto del Ministro della salute e sentiti AgID, ANAC e il Garante, siano disciplinati:

• la struttura e le caratteristiche tecniche del registro pubblico telematico;
• i requisiti e le modalità per la trasmissione delle comunicazioni e l’inserimento dei dati;
• i modelli delle comunicazioni di cui agli artt. 3 e 4 della legge;
• eventuali ulteriori elementi da indicare nelle comunicazioni.

Iter istruttorio e modifiche già considerate

Il Garante rileva che lo schema trasmesso dal Ministero è già stato modificato in parte tenendo conto delle osservazioni formulate dall’Ufficio nel corso di precedenti confronti svolti nell’ambito del gruppo di lavoro istituito presso il Ministero. In particolare, erano stati segnalati profili relativi a:

• una più precisa definizione del concetto di "titolare" del trattamento;
• il contenuto dell’informativa ai sensi degli artt. 13 e 14 GDPR;
• l’esercizio del diritto di rettifica per i dati personali inesatti eventualmente pubblicati nel registro;
• il coordinamento dell’art. 5 dello schema con il d.lgs. n. 24/2023 in materia di whistleblowing;
• l’uniformazione terminologica del disciplinare tecnico alle definizioni della legge n. 62/2022;
• la specificazione della procedura di autenticazione informatica e degli strumenti di identità digitale;
• l’adozione di misure tecniche per garantire il principio di minimizzazione nella consultazione del registro;
• la disciplina del riutilizzo dei dati pubblicati, nel rispetto della limitazione della finalità.

Ulteriori precisazioni richieste dal Garante

Nonostante gli adeguamenti già apportati, l’Autorità ritiene ancora necessario perfezionare il testo, in particolare con riferimento alle procedure di autenticazione mediante gli strumenti di cui all’art. 64 del d.lgs. n. 82/2005 (Codice dell’amministrazione digitale). In analogia con precedenti orientamenti in materia di identità SPID e CIE usate a fini professionali, il Garante osserva che l’accesso alla piattaforma dovrebbe comportare l’acquisizione dei soli dati strettamente necessari, e non dell’intero set di attributi associati all’identità digitale.

Minimizzazione dei dati e autenticazione digitale

La condizione posta riguarda l’inserimento nel disciplinare tecnico di una previsione secondo cui, nelle procedure di autenticazione, siano acquisiti esclusivamente:

• il codice fiscale del soggetto che effettua l’accesso;
• eventualmente, anche nome e cognome.

Non devono invece essere raccolti altri attributi SPID, quali residenza, e-mail o numero di telefono cellulare. Il Garante collega tale prescrizione al principio di minimizzazione dei dati di cui all’art. 5, par. 1, lett. c), GDPR.

Esito del parere

Il Garante esprime parere favorevole sullo schema di decreto e sul disciplinare tecnico, ma in forma condizionata. L’approvazione è subordinata all’inserimento della modifica richiesta in tema di autenticazione, con limitazione dei dati raccolti a quelli effettivamente necessari.