Parere del Garante n. 226 del 10/04/2025

Parere sul Registro regionale Grandi Traumi della Regione Lombardia

La Regione Lombardia ha chiesto il parere del Garante su uno schema di regolamento, corredato da disciplinare tecnico, per disciplinare il funzionamento del Registro regionale Grandi Traumi. Il parere è reso ai sensi dell’art. 57, par. 1, lett. c) GDPR e dell’art. 154, comma 5, del Codice privacy, nel quadro della normativa statale e regionale sui registri e sistemi di sorveglianza sanitaria.

Contesto normativo e finalità del Registro

Il Garante ricostruisce il quadro di riferimento nell’art. 12 del d.l. 179/2012, convertito dalla l. 221/2012, e nel d.P.C.M. 3 marzo 2017, che disciplina i sistemi di sorveglianza e i registri di mortalità, tumori e altre patologie. Per la Regione Lombardia, il Registro Grandi Traumi è stato ricondotto alla disciplina regionale sulla rete trauma e al sistema integrato di assistenza al trauma (SIAT).

Il Registro è finalizzato a valutare incidenza, morbilità e mortalità del trauma maggiore, a individuare criticità del sistema pre- e intra-ospedaliero, a consentire analisi epidemiologiche sui fabbisogni e a promuovere interventi correttivi, oltre a verificare la qualità dei processi clinico-assistenziali.

Titolari del trattamento e soggetti coinvolti

Lo schema di regolamento individua come titolari del trattamento AREU, gli enti ospedalieri della rete trauma e la Regione Lombardia. Il Garante ritiene però che la disciplina della titolarità debba essere precisata con maggiore dettaglio.

In particolare, è necessario:

• individuare il soggetto che gestisce il regolamento in qualità di titolare dei trattamenti;
• chiarire il ruolo dell’Osservatorio Regionale per il trauma maggiore, che nello schema non risulta adeguatamente delineato.

Basi giuridiche e tipologie di dati trattati

L’articolo 4 dello schema elenca in modo analitico le finalità perseguite dai diversi soggetti coinvolti, di natura sanitaria, assistenziale, amministrativa e programmatoria. Le basi giuridiche richiamate sono gli artt. 6, par. 1, lett. e), e 9, par. 2, lett. g), GDPR, nonché gli artt. 2-ter e 2-sexies del Codice privacy.

L’articolo 5 disciplina le categorie di dati trattati, in particolare dati anagrafici, di contatto e dati relativi allo stato di salute. Il Garante richiama la necessità di allineare la terminologia alla nozione di pseudonimizzazione prevista dall’art. 4, punto 5, GDPR e dal considerando 26, sostituendo la formula "privati degli elementi identificativi" con "pseudonimizzati".

Origine dei dati, operazioni e comunicazione

L’articolo 6 disciplina l’origine dei dati, prevedendo acquisizioni dall’AREU e dagli enti ospedalieri della rete trauma, tramite cartelle cliniche pre-ospedaliere e ospedaliere e referti strutturati, mentre l’articolo 7 individua le operazioni di trattamento eseguibili.

Su questo punto il Garante chiede una riformulazione dell’articolo 6 per chiarire direttamente le fonti dei dati che alimentano il registro, oggi indicate solo in modo indiretto.

Quanto alla comunicazione e diffusione, l’articolo 8 ammette divulgazioni solo in forma anonima e aggregata. Il Garante chiede di specificare meglio l’ambito di comunicazione, limitandolo alle sole finalità normativamente previste o a scopi istituzionali degli enti che alimentano e accedono al Registro.

Soggetti autorizzati, responsabili e informativa

L’articolo 10 disciplina l’accesso dei soggetti autorizzati, subordinandolo a autenticazione, profilazione e autorizzazioni coerenti con i compiti assegnati, nonché a istruzioni preventive e al rispetto di regole assimilabili al segreto professionale. L’articolo 11 prevede l’uso di codici sostitutivi e la separazione dei dati sanitari dagli altri dati personali, secondo misure conformi alle garanzie adottate dal Garante ex art. 2-septies del Codice.

L’articolo 12, relativo ai responsabili del trattamento, è ritenuto troppo generico perché si limita a rinviare all’art. 28 GDPR senza individuare concretamente i soggetti coinvolti. Il Garante richiede un riferimento espresso allo sviluppatore dell’applicativo, che sulla base della documentazione svolge attività di registrazione, gestione, archiviazione e consultazione dei dati e può accedervi sia per il supporto sia per la manutenzione del sistema.

L’articolo 13 sull’informativa deve essere riformulato. Il Garante osserva che, per i trattamenti nei registri, in linea generale può operare l’esenzione di cui all’art. 14, par. 5, lett. c) GDPR. Richiama inoltre l’obbligo dei professionisti sanitari di informare, almeno in modo sommario, sui destinatari dei dati ex art. 13, par. 1, lett. e), GDPR, e quello dei medici di medicina generale ex art. 78 del Codice. Occorre quindi chiarire che l’informativa sarà resa direttamente da AREU o dagli enti ospedalieri al momento della raccolta dei dati.

Conservazione dei dati

L’articolo 14 prevede un periodo di conservazione di venti anni, con successiva anonimizzazione definitiva e irreversibile. Il Garante ritiene la disposizione non coerente con il principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), GDPR, perché un unico termine non è adeguato rispetto a finalità tra loro diverse e non omogenee.

La norma va quindi ricalibrata prevedendo tempistiche differenziate e commisurate alle singole finalità, in particolare per quelle che non giustificano una conservazione così lunga. Va inoltre chiarito che il termine è massimo e deve essere soppresso l’ultimo periodo del comma 2, perché meramente esplicativo e suscettibile di ingenerare equivoci.

Valutazione d’impatto e violazioni dei dati

L’articolo 15 disciplina le violazioni dei dati personali in conformità agli artt. 33 e 34 GDPR. L’articolo 16 prevede una specifica valutazione di impatto per i trattamenti connessi al Registro, in ragione della natura, dell’oggetto, del contesto e delle finalità perseguite.

Disciplinare tecnico e misure di sicurezza

Il disciplinare tecnico è considerato parte integrante del regolamento, ma deve essere adeguato alle modifiche richieste sul testo principale e ulteriormente integrato.

In particolare, il Garante chiede che il disciplinare:

• indichi in una tabella la tipologia di operazioni e la "profondità di accesso" per i soggetti autorizzati;
• descriva sinteticamente, anche con uno schema, l’architettura funzionale del registro, indicando attori, sistemi e flussi informativi;
• preveda misure di sicurezza applicativa con periodici penetration test e vulnerability assessment;
• tenga conto delle linee guida del Garante sulla conservazione delle password, adottate con provvedimento n. 594 del 7 dicembre 2023;
• specifichi la logica delle tecniche di pseudonimizzazione e descriva le operazioni di anonimizzazione.

Conclusione del Garante

Il Garante esprime parere sullo schema di regolamento e sull’annesso disciplinare tecnico nei termini indicati nella motivazione, con richieste di modifica rilevanti e puntuali per assicurare la piena coerenza della disciplina con il GDPR e con il Codice privacy. Il parere, quindi, è favorevole ma condizionato all’adeguamento del testo secondo i rilievi formulati.