Parere del Garante n. 581 del 07/12/2023

Parere favorevole del Garante su due schemi di decreto MEF relativi ai dati del Sistema Tessera sanitaria

Il Garante per la protezione dei dati personali esprime parere favorevole su due schemi di decreto del Ministro dell’economia e delle finanze, di concerto con il Ministro della salute e il Ministro per la pubblica amministrazione, volti a disciplinare l’utilizzo dei dati fiscali trasmessi al Sistema Tessera sanitaria. Il parere riguarda, rispettivamente, i dati fiscali contenuti nelle fatture relative a prestazioni sanitarie e i dati fiscali relativi ai corrispettivi giornalieri.

Quadro normativo di riferimento

L’Autorità richiama il Regolamento (UE) 2016/679 e il d.lgs. 196/2003, nonché le norme settoriali che prevedono la trasmissione dei dati al Sistema TS e la successiva disciplina ministeriale sentito il Garante. In particolare, vengono in rilievo:

• l’art. 10-bis del d.l. 23 ottobre 2018, n. 119, conv. dalla l. 17 dicembre 2018, n. 136;
• l’art. 2, comma 6-quater, del d.lgs. 5 agosto 2015, n. 127;
• l’art. 50 del d.l. 30 settembre 2003, n. 269, conv. dalla l. 24 novembre 2003, n. 326;
• l’art. 3 del d.lgs. 21 novembre 2014, n. 175.

Gli schemi devono essere definiti nel rispetto dei principi del GDPR, con particolare attenzione agli artt. 9 e 32, e dell’art. 2-sexies del Codice.

Oggetto dei due schemi esaminati

I due schemi sono stati trasmessi al Garante con note del 30 maggio 2023 e del 10 novembre 2023. Entrambi disciplinano:

• i termini e gli ambiti di utilizzo dei dati fiscali trasmessi al Sistema TS;
• i limiti, anche temporali, del trattamento;
• i tipi di dati trattabili e le operazioni eseguibili;
• le misure appropriate e specifiche a tutela dei diritti e delle libertà degli interessati.

Il primo schema riguarda l’utilizzo dei dati delle fatture sanitarie; il secondo riguarda l’utilizzo dei dati dei corrispettivi trasmessi giornalmente al Sistema TS.

Contenuto sostanziale delle previsioni

Il Garante evidenzia che i due schemi, in modo sostanzialmente analogo, prevedono l’acquisizione da parte dell’Agenzia delle entrate dei dati fiscali trasmessi al Sistema TS per finalità tributarie. Tali dati sono utilizzati per:

• assistenza ai contribuenti;
• controllo finalizzato all’erogazione dei rimborsi fiscali;
• elaborazione per attività di analisi del rischio;
• controllo automatizzato e puntuale.

Per le fatture sanitarie, l’acquisizione riguarda i dati fiscali contenuti nelle fatture, inclusi i dati relativi a operazioni per le quali è stata manifestata opposizione e quelli relativi all’aliquota o alla natura IVA, ma con esclusione della descrizione della prestazione e del codice fiscale dell’assistito. Per i corrispettivi, vengono trattati i dati fiscali trasmessi giornalmente, inclusi quelli relativi all’aliquota o alla natura IVA, ma con esclusione del codice fiscale del cliente.

Limiti di utilizzo e salvaguardie

Il parere sottolinea che restano fermi gli ordinari poteri di controllo e le attribuzioni previsti dagli artt. 31 e seguenti del d.P.R. 29 settembre 1973, n. 600, e dagli artt. 51 e seguenti del d.P.R. 26 ottobre 1972, n. 633. Tali norme consentono all’amministrazione finanziaria di acquisire, su specifica richiesta motivata, i dati fiscali puntuali relativi a singole operazioni trasmessi al Sistema TS.

Gli schemi prevedono inoltre che i dati possano essere resi disponibili dall’Agenzia delle entrate anche alla Guardia di finanza e all’Agenzia delle dogane e dei monopoli per le rispettive finalità istituzionali.

Conservazione dei dati e utilizzo aggregato per finalità statistiche e di monitoraggio

È previsto che i dati fiscali siano conservati fino al 31 dicembre dell’ottavo anno successivo a quello di presentazione della dichiarazione di riferimento, oppure fino alla definizione di eventuali giudizi.

In parallelo, gli schemi disciplinano anche l’utilizzo in forma aggregata dei dati trasmessi al Sistema TS per il monitoraggio della spesa sanitaria pubblica e privata complessiva, affidato alla Ragioneria generale dello Stato presso il MEF e alle direzioni generali competenti del Ministero della salute.

Valutazioni del Garante

Il Garante ritiene le versioni esaminate conformi alla normativa in materia di protezione dei dati personali. In particolare, osserva che esse danno attuazione al principio di privacy by design e by default di cui all’art. 25 GDPR, individuando misure appropriate e specifiche per la tutela dei diritti fondamentali degli interessati.

L’Autorità valorizza soprattutto il fatto che l’utilizzo ai fini fiscali sia limitato ai soli dati effettivamente indispensabili per il perseguimento delle finalità previste dalla legge, con esclusione dei dati relativi alla salute. Il trattamento viene quindi ritenuto rispettoso dei principi di:

• proporzionalità;
• limitazione della finalità;
• minimizzazione dei dati.

Sono richiamati, a questo riguardo, gli artt. 5, par. 1, lett. a), b) e c), 6 e 9 del GDPR, oltre all’art. 2-sexies del Codice.

Esito del parere

Alla luce delle considerazioni svolte, il Garante esprime parere favorevole su entrambi gli schemi di decreto. Il parere è quindi pienamente favorevole, senza prescrizioni o condizioni aggiuntive indicate nel testo esaminato.