Parere del Garante n. 547 del 23/07/2026

Istituzione del Sistema informativo regionale per il governo del personale del SSR

La Regione Veneto ha richiesto il parere del Garante, ai sensi dell’articolo 57, paragrafo 1, lettera c), del Regolamento (UE) 2016/679 e dell’articolo 154, comma 5, del Codice privacy, sul progetto di legge volto a istituire un Sistema informativo regionale per il governo del personale del Servizio Socio-Sanitario Regionale. Il Garante, con provvedimento n. 547 del 23 luglio 2026, ha espresso parere favorevole, ritenendo che lo schema non presenti criticità in materia di protezione dei dati personali e recepisca le indicazioni formulate nel corso delle interlocuzioni con la Regione.

Atto esaminato e quadro istituzionale

Il progetto di legge istituisce un insieme coordinato di basi dati, flussi informativi e strumenti analitici destinato a sostenere le funzioni regionali di programmazione, governo, monitoraggio e valutazione del personale del SSR. L’intervento si colloca nell’ambito delle competenze regionali in materia di tutela della salute e organizzazione dei servizi sanitari e deve essere coordinato con il decreto legislativo 30 dicembre 1992, n. 502.

Il Garante richiama, in particolare, l’articolo 2, comma 1, del d.lgs. n. 502 del 1992, relativo alle funzioni regionali in materia di assistenza sanitaria, l’articolo 3-quater, comma 3, lettera a), relativo ai sistemi informativi integrati per l’analisi dei bisogni di salute e la programmazione delle attività, e l’articolo 3, comma 1-bis, concernente l’autonomia imprenditoriale e gestionale delle aziende sanitarie. In coerenza con tale autonomia, il progetto contiene una clausola di salvaguardia, prevista dall’articolo 1, comma 5, volta a evitare che il Sistema incida sulle competenze datoriali degli enti del SSR.

Finalità e delimitazione del trattamento

L’articolo 1 qualifica il Sistema come strumento per l’esercizio delle funzioni regionali di programmazione, governo, monitoraggio e valutazione del SSR. Il concetto di "governo del personale" è circoscritto alle attività di livello programmatorio e strategico, comprendendo fabbisogni, indirizzo, coordinamento, monitoraggio aggregato e sostenibilità economico-finanziaria.

Sono invece escluse la gestione dei singoli rapporti di lavoro e le attività proprie dei datori di lavoro pubblici. Il Sistema può inoltre monitorare le azioni previste dal Piano regionale contro la carenza di personale, adottato con DGR 960/2024, ma il riferimento a tale Piano non costituisce autonomo presupposto di liceità del trattamento.

Il progetto stabilisce che siano effettuati soltanto i trattamenti strettamente necessari e proporzionati alle finalità perseguite e alle competenze regionali in materia di organizzazione e programmazione del SSR. È inoltre previsto il rispetto del principio di protezione dei dati fin dalla progettazione, ai sensi dell’articolo 25 del GDPR.

Base giuridica e limiti d’uso dei dati

L’articolo 2 individua quale base giuridica l’articolo 6, paragrafo 1, lettera e), del GDPR, relativo ai trattamenti necessari per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri. La base giuridica è collegata alle competenze regionali di programmazione e governo del SSR.

Il trattamento deve rispettare il GDPR e il Codice privacy. Il progetto vieta espressamente:

• qualsiasi forma di profilazione, scoring o valutazione individuale del personale;
• l’utilizzo dei dati per finalità disciplinari o ispettive individuali;
• il controllo a distanza dell’attività lavorativa, salvo espressa previsione di legge;
• l’utilizzo del Sistema per adottare decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano significativamente sugli interessati, ai sensi dell’articolo 22 del GDPR.

Ne deriva una netta separazione tra la funzione informativa e programmatoria del Sistema e la gestione individuale del personale. I dati non possono essere riutilizzati per finalità ulteriori incompatibili con quelle definite dalla legge regionale.

Dati trattabili e principio di minimizzazione

L’articolo 3 consente il trattamento, nei limiti dell’indispensabilità rispetto alle finalità dell’articolo 2, dei dati relativi al personale del SSR e all’organizzazione del lavoro. Rientrano tra questi i dati anagrafico-professionali e quelli concernenti la gestione del rapporto e della prestazione lavorativa.

Per l’analisi dell’efficienza, dell’appropriatezza e dell’equilibrio organizzativo possono essere trattati anche dati relativi all’attività e alla produzione delle strutture e delle unità operative. Tali dati devono essere utilizzati in forma aggregata e per indicatori, allo scopo di consentire analisi comparative e valutazioni della performance organizzativa, senza trasformare il Sistema in uno strumento di valutazione individuale.

Il progetto demanda al regolamento attuativo la definizione dei set informativi, dei livelli di aggregazione, delle modalità di pseudonimizzazione e anonimizzazione, dei profili di accesso e dei divieti di re-identificazione. La disciplina attuativa dovrà quindi rendere concreto il principio di minimizzazione, definendo per ciascuna finalità le categorie di dati realmente necessarie.

Categorie particolari di dati e accesso alle informazioni

La consultazione tramite il cruscotto direzionale regionale è ordinariamente limitata a informazioni aggregate e/o pseudonimizzate. Il trattamento di categorie particolari di dati personali è ammesso soltanto quando strettamente necessario per le finalità previste e nei limiti dell’articolo 9, paragrafo 2, lettera g), del GDPR e dell’articolo 2-sexies del Codice privacy.

L’accesso a dati identificativi costituisce un’eccezione. Esso è consentito esclusivamente quando sia strettamente necessario e quando le finalità perseguite non possano essere realizzate attraverso dati aggregati o pseudonimizzati. L’accesso deve essere subordinato a specifica autorizzazione e deve essere integralmente registrato nei log.

Il progetto esclude inoltre ogni interoperabilità con ulteriori sistemi informativi che non sia espressamente prevista dalla legge o dal disciplinare. Le regole tecniche non possono ampliare autonomamente le categorie di dati suscettibili di trattamento.

Titolari, responsabili e flussi informativi

L’articolo 4 distingue i trattamenti effettuati nell’ambito del nuovo Sistema da quelli connessi alla gestione dei rapporti di lavoro e ai sistemi informativi propri degli enti.

La Regione Veneto è titolare dei trattamenti svolti nell’ambito del Sistema, limitatamente ai dati strettamente necessari alle finalità indicate dall’articolo 2. Le aziende e gli enti del SSR, insieme ad Azienda Zero, restano titolari autonomi dei trattamenti connessi alla gestione dei rapporti di lavoro e dei sistemi informativi di rispettiva competenza.

Azienda Zero, in ragione delle funzioni di supporto tecnico-organizzativo e gestionale necessarie alla realizzazione e al funzionamento del Sistema, opera per conto della Regione quale responsabile del trattamento ai sensi dell’articolo 28 del GDPR.

I flussi informativi verso la Regione sono qualificati come comunicazioni tra titolari. Le relative regole tecniche devono definire standard, controlli di qualità e modalità sicure di trasmissione. I soggetti che svolgono attività applicative o infrastrutturali devono essere nominati responsabili del trattamento. Le regole tecniche non possono estendere le categorie di dati trattabili oltre quelle stabilite dalla legge.

Misure di sicurezza e valutazione d’impatto

L’articolo 5 impone l’adozione di misure tecniche e organizzative adeguate, tra cui:

• gestione delle autorizzazioni;
• tracciatura degli accessi e conservazione dei log;
• segregazione degli ambienti;
• pseudonimizzazione;
• cifratura, quando opportuno.

La Regione deve svolgere obbligatoriamente una valutazione d’impatto sulla protezione dei dati ai sensi dell’articolo 35 del GDPR prima dell’avvio del Sistema. La DPIA deve essere aggiornata quando necessario o in caso di modifiche sostanziali e deve essere integrata, ove richiesto, da ulteriori valutazioni previste dalla normativa.

Qualora dalla DPIA emerga un rischio residuo elevato, la Regione deve effettuare la consultazione preventiva prevista dall’articolo 36 del GDPR, adottando le conseguenti azioni e svolgendo le valutazioni necessarie.

Conservazione dei dati

Il progetto stabilisce un termine massimo ordinario di conservazione pari a dieci anni, salvo esigenze di archiviazione nel pubblico interesse. Il regolamento attuativo dovrà specificare, per le diverse categorie di dati e finalità, i tempi di conservazione e i criteri di cancellazione o archiviazione.

Regolamento attuativo e controllo del Garante

L’articolo 6 demanda a un regolamento attuativo della Giunta regionale, da sottoporre al parere del Garante, la disciplina operativa del Sistema. Il regolamento dovrà definire:

• basi dati, flussi informativi, indicatori e misure di qualità del dato;
• categorie di dati e operazioni di trattamento ammesse per ciascuna finalità;
• profili di accesso e livelli di visibilità, distinguendo tra dati aggregati, pseudonimizzati e identificativi;
• tempi di conservazione e criteri di cancellazione o archiviazione;
• misure di sicurezza, audit periodici e gestione dei log;
• procedure per l’informativa agli interessati e il coordinamento dell’esercizio dei diritti;
• criteri e modalità per analisi comparative e benchmark interaziendali;
• livelli minimi di aggregazione e misure per prevenire la re-identificazione.

Le modifiche alle finalità del trattamento o alle categorie di dati personali trattati, incidendo sugli elementi essenziali del trattamento, potranno essere introdotte esclusivamente mediante legge regionale e dovranno anch’esse essere precedute dall’acquisizione del parere del Garante.

Conclusioni del Garante

Il Garante ha ritenuto che il progetto di legge sia conforme alla disciplina europea e nazionale in materia di protezione dei dati personali. La valutazione favorevole si fonda soprattutto sulla delimitazione delle finalità, sull’esclusione degli usi individuali e datoriali, sulla preferenza per dati aggregati o pseudonimizzati, sulla disciplina dei ruoli, sull’obbligo di DPIA e sulle garanzie demandate al regolamento attuativo.

Il parere è pertanto favorevole al progetto di legge della Regione Veneto volto a istituire il Sistema informativo regionale per il governo del personale del Servizio Socio-Sanitario Regionale.