Parere del Garante n. 580 del 26/09/2024

Disciplina transitoria del FSE 2.0

Il Garante esprime parere favorevole sullo schema di decreto del Ministero della salute, redatto congiuntamente con il Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all’innovazione tecnologica e con il Ministro dell’Economia e delle Finanze, che modifica il decreto ministeriale 7 settembre 2023 sul Fascicolo sanitario elettronico 2.0 introducendo una disciplina transitoria delle relative disposizioni. Il parere è reso ai sensi dell’art. 58, par. 3, lett. b), del Regolamento (UE) 2016/679 e dell’art. 9, comma 7, del d.l. n. 139/2021.

Quadro normativo e antecedenti

Il provvedimento si inserisce nel quadro dell’art. 12 del d.l. 18 ottobre 2012, n. 179, nonché del GDPR e del Codice privacy. Il Garante richiama il proprio precedente parere sull’originario decreto FSE 2.0 del 7 settembre 2023 e il successivo parere del 12 settembre 2024 relativo alle modalità con cui il Sistema Tessera Sanitaria, tramite l’Infrastruttura Nazionale per l’Interoperabilità (INI), mette a disposizione del FSE i dati relativi a prescrizioni e prestazioni di farmaceutica e specialistica.

Il decreto del 7 settembre 2023 aveva già definito, ai sensi dell’art. 12, comma 7, del d.l. n. 179/2012 e dell’art. 2-sexies del Codice, la disciplina dei dati contenuti nel FSE, i ruoli dei soggetti coinvolti, i livelli di accesso, le garanzie e le misure di sicurezza, delineando un quadro omogeneo di tutele per i trattamenti di dati sulla salute finalizzati a cura, prevenzione e profilassi internazionale.

Attività istruttoria e criticità rilevate

Successivamente all’adozione del decreto del 2023, il Garante ha avviato un’attività istruttoria nei confronti di regioni, province autonome e Ministero della salute sulle informazioni rese agli interessati ex artt. 13 e 14 GDPR, alla luce della scadenza del 24 gennaio 2024 prevista dall’art. 7, comma 1, del decreto del 7 settembre 2023.

L’istruttoria ha evidenziato segnalazioni e richieste di chiarimenti sulla "personalizzazione" di alcuni istituti da parte di alcune regioni/province autonome. Inoltre, nella segnalazione al Parlamento e al Governo del 13 giugno 2024, il Presidente dell’Autorità ha rappresentato che diverse disposizioni del decreto risultavano disattese. Le difformità riguardavano, tra l’altro:

• il diritto di oscuramento dei dati e dei documenti nel FSE;
• la consultazione degli accessi effettuati;
• la possibilità di esprimere consensi specifici per cura, prevenzione e profilassi internazionale;
• l’attribuzione della titolarità di alcuni trattamenti;
• le misure di sicurezza e integrità.

Il Garante ha anche segnalato il rischio di discriminazioni tra assistiti di diverse regioni o province autonome, in contrasto con l’obiettivo di omogeneità della riforma e con la funzionalità e interoperabilità del sistema.

Struttura della disciplina transitoria

Lo schema di decreto in esame introduce una disciplina transitoria articolata in tre fasi, coerenti con le scadenze del PNRR e con l’esigenza di bilanciare tempi di attuazione e tutela dei diritti degli interessati.

I fase

Da concludersi entro il 31 marzo 2025, riguarda l’attuazione delle disposizioni su:

• catena dell’oscuramento tra prescrizioni e documenti collegati;
• registrazione delle operazioni sul FSE;
• diritto dell’interessato di consultare gli accessi effettuati.

II fase

Da concludersi entro il 30 settembre 2025, riguarda l’attuazione delle disposizioni su:

• identificazione dell’assistito tramite ANA;
• completa realizzazione del Profilo Sanitario Sintetico da parte di MMG/PLS di tutte le regioni e province autonome;
• alimentazione, da parte di tutte le regioni e province autonome, dei dati soggetti a maggiore tutela dell’anonimato direttamente oscurati;
• accesso in consultazione ai dati e documenti del FSE per finalità di cura secondo i livelli diversificati di accesso di cui all’allegato A del decreto 7 settembre 2023;
• completa realizzazione del Taccuino personale;
• accesso al FSE da parte di minori e soggetti incapaci di intendere e volere;
• attuazione del sistema delle deleghe.

III fase

Da concludersi entro il 31 marzo 2026, riguarda l’attuazione delle disposizioni su:

• completezza dei contenuti del FSE;
• tempestiva alimentazione del FSE entro 5 giorni dall’erogazione della prestazione sanitaria;
• alimentazione con dati e documenti sanitari relativi anche a prestazioni erogate fuori dal SSN;
• realizzazione dei servizi telematici accessibili tramite interfaccia utente unica a livello regionale;
• accesso online al FSE da parte delle strutture sanitarie private autorizzate dal SSN e relativa alimentazione entro 5 giorni dalla prestazione.

Misure transitorie di salvaguardia

Lo schema prevede, nelle more della piena realizzazione delle fasi sopra indicate, alcune misure di garanzia immediata che il Garante considera conformi alle proprie osservazioni:

• i dati soggetti a maggiore tutela dell’anonimato, ex art. 6 del decreto 7 settembre 2023, non alimentano il FSE finché non sia garantita la loro automatica alimentazione in forma oscurata;
• l’accesso in emergenza al FSE non è consentito in assenza del consenso dell’assistito alla consultazione dei dati, fino al completamento del Profilo sanitario sintetico almeno nella misura del 70% da parte delle regioni e province autonome;
• l’accesso al FSE da parte di infermieri/ostetrici, farmacisti e personale amministrativo, previsto dall’art. 15, comma 3, lett. c), d) ed e), del decreto 7 settembre 2023, è escluso finché non siano rispettati i limiti soggettivi e oggettivi di accesso di cui all’allegato A, tabella 4.1.1.

Inoltre, per i trattamenti di dati personali per finalità di prevenzione e profilassi internazionale di cui all’art. 12, comma 2, lett. a-bis) e a-ter), del d.l. n. 179/2012, lo schema stabilisce che essi siano effettuati attraverso l’EDS e che i consensi disgiunti ex art. 8, comma 1, del decreto 7 settembre 2023 siano acquisiti prima dell’inizio delle operazioni di trattamento. Nelle more dell’avvio dei trattamenti tramite EDS, i trattamenti per finalità di prevenzione effettuati dagli esercenti le professioni sanitarie attraverso il FSE sono ricompresi nelle finalità di cura di cui alla lett. a) del medesimo comma 2.

Valutazione del Garante e conclusioni

Il Garante prende favorevolmente atto che lo schema di decreto, pur introducendo una disciplina transitoria in tre fasi, recepisce l’esigenza di assicurare nell’immediato la tutela effettiva dei diritti e delle libertà fondamentali degli interessati. L’Autorità valorizza in particolare la previsione di misure che impediscono l’alimentazione di dati a maggiore tutela dell’anonimato fino alla loro corretta gestione, limitano l’accesso in emergenza in assenza di consenso, escludono temporaneamente alcune categorie di operatori dall’accesso e subordinano i trattamenti tramite EDS all’adozione del relativo decreto e al previo consenso disgiunto.

Alla luce della mancata attuazione di tutte le disposizioni del decreto del 7 settembre 2023 e della necessità di armonizzare l’attuazione con i tempi della Missione 6 del PNRR, il Garante conclude con un parere favorevole sullo schema di decreto che introduce l’art. 27-bis.