Prescrizioni del Garante n. 639 del 29/12/2023

Ministero dell'economia e delle finanze: proroga del termine per l'autenticazione a due o più fattori nel Sistema TS

Il provvedimento riguarda il Ministero dell'economia e delle finanze e l'adeguamento dei servizi offerti attraverso il Sistema TS, con particolare riferimento alla ricetta bianca dematerializzata. L'Autorità interviene su una richiesta di proroga del termine già fissato nel precedente provvedimento del 22 giugno 2023, n. 277, dopo aver già espresso un parere favorevole sullo schema normativo che prevedeva il rafforzamento dell'autenticazione.

Origine del procedimento e precedenti interventi del Garante

Il Garante richiama il parere del 24 novembre 2022, n. 400, reso ai sensi degli artt. 36, par. 5 e 58, par. 3, lett. c), GDPR, in relazione allo schema di decreto volto a estendere l'erogazione di farmaci senza obbligo di prescrizione alle parafarmacie. In tale parere era stata posta come condizione la fissazione di un termine di 6 mesi per l'adozione di procedure di autenticazione informatica a due o più fattori per i servizi del Sistema TS. Poiché il termine era scaduto il 9 giugno 2023, il Garante era già intervenuto con il provvedimento n. 277 del 22 giugno 2023, differendo l'attuazione e articolando il calendario degli adempimenti tecnici.

Calendario degli adempimenti tecnici già realizzati

Il Ministero ha comunicato, con note del 17 luglio 2023 e del 12 ottobre 2023, lo stato di attuazione delle attività richieste. In particolare:

• dal 5 luglio 2023 è stata resa disponibile in produzione l'autenticazione a 2 fattori per l'accesso all'area riservata dell'applicazione web della ricetta bianca dematerializzata e per i SAR regionali;
• dal 30 settembre 2023 è stata resa disponibile in produzione l'autenticazione a 2 fattori per medici prescrittori, farmacie e parafarmacie che utilizzano software gestionali tramite web services;
• per entrambe le soluzioni è stato previsto un periodo transitorio di tre mesi, durante il quale è ancora possibile l'accesso sia con autenticazione a due o più fattori sia con le credenziali del Sistema TS.

Il Garante aveva preso atto di tali comunicazioni con nota del 20 ottobre 2023, attendendo conferma della conclusione della fase transitoria.

Richiesta di proroga e valutazioni del Garante

Con nota del 27 dicembre 2023, il Ministero ha chiesto di prorogare al 31 gennaio 2024 la scadenza già fissata al 30 dicembre 2023, rappresentando che il controllo automatico bloccante per imporre l'autenticazione esclusivamente a 2 o più fattori era stato completato, ma che i ritardi di alcuni soggetti coinvolti, in particolare della Provincia Autonoma di Bolzano e di Federfarma, potevano generare disservizi per gli assistiti.

Il Ministero ha anche riferito che:

• le specifiche tecniche erano state condivise con Ministero della salute, Dipartimento per la trasformazione digitale e AgID;
• le regioni SAR avevano confermato l'adeguamento, salvo la Provincia Autonoma di Bolzano, che prevedeva l'adozione entro il 31 gennaio 2024 dopo verifiche privacy;
• Federfarma aveva chiesto un ulteriore prolungamento del periodo transitorio, segnalando criticità operative per farmacie e software house.

Il Garante ha ritenuto fondata la richiesta, valorizzando la quasi integrale esecuzione degli adempimenti previsti e la limitata estensione temporale della proroga richiesta.

Dispositivo

Ai sensi dell'art. 58, par. 2, lett. d), GDPR, il Garante dispone:

• la proroga al 31 gennaio 2024 del termine entro cui deve essere assicurata l'adozione delle procedure di autenticazione informatica a due o più fattori con riferimento ai servizi offerti attraverso il Sistema TS;
• la conseguente cessazione del periodo transitorio in cui gli utenti possono ancora accedere sia con autenticazione a due o più fattori sia con le credenziali del Sistema TS.

Richiesta di riscontro e profili sanzionatori

Il Garante richiede inoltre al Ministero dell'economia e delle finanze di fornire riscontro adeguatamente documentato ai sensi dell'art. 157 del Codice privacy entro 15 giorni dalla scadenza del nuovo termine. Viene espressamente avvertito che l'eventuale mancato riscontro può comportare l'applicazione della sanzione amministrativa prevista dall'art. 83, par. 5, lett. e), GDPR.

Tutela giurisdizionale

È indicata la possibilità di proporre ricorso dinanzi all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR e degli artt. 152 Codice privacy e 10 d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all'estero.