Parere del Garante n. 259 del 22/06/2023

Parere sullo schema di decreto istitutivo del SIAR e sul disciplinare tecnico

Il Garante per la protezione dei dati personali esprime parere favorevole sullo schema di decreto del Ministro della salute istitutivo del "Sistema informativo per il monitoraggio dell’assistenza riabilitativa" (SIAR) e sul relativo disciplinare tecnico. Il parere è reso nell’ambito del NSIS e si colloca nel contesto dell’attuazione del PNRR, in particolare dell’investimento 1.3.2 e del sub-intervento relativo all’implementazione di flussi informativi regionali.

Contesto normativo e finalità del sistema

Lo schema di decreto dà attuazione all’art. 34 del d.P.C.M. 12 gennaio 2017 sui LEA, con riferimento all’assistenza sociosanitaria semiresidenziale e residenziale alle persone con disabilità. Il SIAR è finalizzato alla raccolta e al monitoraggio delle informazioni relative ai trattamenti riabilitativi intensivi, estensivi e di mantenimento, erogati previa valutazione multidimensionale, presa in carico e predisposizione del progetto riabilitativo individuale (PRI).

Il Garante richiama inoltre il d.m. 7 dicembre 2016, n. 262, che disciplina l’interconnessione a livello nazionale dei sistemi informativi su base individuale del SSN e introduce il codice univoco nazionale dell’assistito (CUNA) nell’ambito del NSIS.

Struttura dello schema di decreto

Lo schema esaminato è composto da 12 articoli e disciplina, tra l’altro, l’ambito di applicazione, il funzionamento del sistema, i flussi in ingresso, l’accesso ai dati, le modalità e i tempi di trasmissione, la gestione di ritardi e inadempienze, l’interconnessione, il trattamento dei dati, il periodo di conservazione, la pubblicazione degli aggiornamenti tecnici, gli oneri e le disposizioni finali.

Dati trattati, accessi e livello di aggregazione

Il SIAR raccoglie informazioni non direttamente identificative riferite sia all’erogatore del servizio sia all’assistito, secondo quanto previsto dal disciplinare tecnico allegato. I dati sono utilizzati per consentire alle Regioni e Province autonome analisi comparative sui trattamenti riabilitativi e per permettere alle direzioni generali competenti del Ministero della salute di consultare le informazioni rese disponibili in forma aggregata.

Il Garante evidenzia che lo schema è stato integrato, anche a seguito delle interlocuzioni informali con l’Ufficio, con indicazioni più puntuali sui soggetti legittimati all’accesso e all’analisi dei dati, sia a livello ministeriale sia territoriale, e sul livello di aggregazione necessario per tali finalità.

Interconnessione, pseudonimizzazione e codici identificativi

Per l’interconnessione con gli altri flussi NSIS si applica la procedura prevista dal d.m. n. 262 del 2016. A ogni assistito è assegnato dalla Regione o Provincia autonoma un CUNI, codice univoco non invertibile che non consente la correlazione immediata con i dati anagrafici. In fase di acquisizione, il Ministero della salute genera e assegna il CUNA mediante sostituzione del codice identificativo ricevuto.

Lo schema chiarisce che l’interconnessione dei dati del SIAR con gli altri flussi è limitata al perseguimento delle finalità di cui all’art. 2 del d.m. n. 262 del 2016 e che nel sistema è applicata la tecnica di pseudonimizzazione prevista dal medesimo decreto attraverso il sistema di codifica CUNI/CUNA.

Sicurezza degli accessi e disciplina SPID

Il disciplinare tecnico è ritenuto coerente con le osservazioni del Garante anche sotto il profilo della sicurezza e dell’autenticazione. In particolare, viene specificato il sistema di autenticazione da applicare per l’accesso al SIAR, con previsione di un meccanismo a più fattori.

Quanto all’identità digitale, viene chiarito che, nelle more della definizione del quadro di garanzie e regole per lo SPID ad uso professionale, è ammesso l’utilizzo dello SPID ad uso personale, ma senza impiegare dati personali relativi alla sfera privata del soggetto forniti ai Service Provider, come e-mail personale, numero di cellulare personale o domicilio privato.

Verifica dell’identità dell’assistito e ruolo dell’ANA

Il disciplinare prevede che la verifica dell’identità dell’assistito tramite Sistema Tessera Sanitaria sia ammissibile solo nelle more dell’attivazione dell’Anagrafe Nazionale degli Assistiti (ANA). Il Garante registra tale chiarimento come misura conforme alle osservazioni formulate in precedenza.

Conservazione dei dati

Uno dei profili esaminati riguarda il termine di conservazione dei dati, indicato nello schema in 30 anni dal decesso dell’interessato. In una nota precedente l’Ufficio aveva chiesto al Ministero di motivare il periodo in relazione al principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR.

Il Ministero ha giustificato il termine affermando che, per la valutazione dei percorsi di cura, è necessario disporre dell’intero arco di vita dell’assistito, incluso l’evento morte, considerato un esito fondamentale per l’analisi dei percorsi. Ha inoltre spiegato che la conservazione per 30 anni consente di mantenere una base dati sufficientemente ampia per analisi aggregate, comparazioni tra situazioni sanitarie simili e valutazioni sull’efficacia delle cure, anche con riferimento a patologie rare.

Il Ministero ha aggiunto che il limite di 30 anni è coerente con la disciplina dell’interconnessione e con il servizio di verifica e aggiornamento dei dati previsto dall’ANA, oltre a consentire confronti intergenerazionali. Il Garante prende atto di tali motivazioni tecnico-scientifiche e organizzative.

Valutazione finale del Garante

Alla luce dell’insieme delle misure di garanzia previste nello schema di decreto e nel disciplinare tecnico, il Garante ritiene di non dover formulare osservazioni. Il parere è quindi favorevole, espresso ai sensi dell’art. 58, par. 3, lett. c), GDPR e dell’art. 9, comma 7, del d.l. n. 139 del 2021.