Parere del Garante n. 24 del 26/01/2023

Prescrizioni transfrontaliere di medicinali e protezione dei dati personali

Il Garante si pronuncia sullo schema di decreto, trasmesso dal Ministero della salute il 9 dicembre 2022, da adottare di concerto con il Ministro dell’economia e delle finanze, recante la definizione delle caratteristiche e dei contenuti delle prescrizioni dei medicinali rilasciate nel territorio italiano su richiesta di un paziente che intenda utilizzarle in uno Stato membro dell’UE, ai sensi dell’art. 12, comma 9, del d.lgs. 4 marzo 2014, n. 38.

Il parere si colloca nel quadro della direttiva 2011/24/UE sull’assistenza sanitaria transfrontaliera, della direttiva di esecuzione 2012/52/UE e della disciplina nazionale in materia di fascicolo sanitario elettronico e sanità digitale.

Quadro normativo di riferimento

L’Autorità richiama in apertura:

• il Regolamento (UE) 2016/679 (GDPR);
• il d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101;
• la direttiva 2011/24/UE;
• la direttiva di esecuzione 2012/52/UE;
• il d.lgs. 4 marzo 2014, n. 38;
• l’art. 12 del d.l. 18 ottobre 2012, n. 179;
• il d.P.C.M. 29 settembre 2015, n. 178 sul Fascicolo sanitario elettronico.

Lo schema disciplina, tra l’altro, definizioni, ambito applicativo, contenuti e rilascio delle prescrizioni transfrontaliere, elenco dei medicinali, rimborso, informazioni da pubblicare su siti istituzionali e profili di trattamento dei dati personali.

Valutazione generale del Garante

Il Garante osserva che, sul piano dei principi, non vi sono ostacoli all’attuazione di strumenti unionale finalizzati ad agevolare l’uso transfrontaliero della prescrizione farmaceutica. Tuttavia, lo schema presenta carenze strutturali e sostanziali in materia di protezione dei dati personali.

L’Autorità sottolinea che il trattamento riguarda dati relativi alla salute e che, proprio per questo, il decreto deve assicurare il rispetto dei principi di:

• liceità, correttezza e trasparenza;
• minimizzazione, esattezza e limitazione della conservazione;
• integrità e riservatezza;
• protezione dei dati fin dalla progettazione e per impostazione predefinita, anche mediante valutazione d’impatto.

Titolarità del trattamento e ruoli dei soggetti coinvolti

Uno dei principali rilievi riguarda la titolarità del trattamento. Secondo il Garante, lo schema non definisce in modo adeguato i rapporti tra i diversi soggetti che intervengono nella generazione e nell’utilizzo della ricetta transfrontaliera.

In particolare, non è chiaro:

• il ruolo del Ministero della salute, indicato dalla normativa di settore come National Contact Point eHealth (NCPeH);
• il soggetto che svolge la funzione di "national connector";
• il soggetto che gestisce l’infrastruttura eHDSI;
• il perimetro di titolarità del medico prescrittore e il momento in cui tale titolarità cessa;
• le responsabilità e i compiti di Sogei SpA, indicata come responsabile del trattamento;
• la base normativa che giustificherebbe la titolarità del Ministero dell’economia e delle finanze nella c.d. procedura di rilascio della ricetta elettronica transfrontaliera.

Il Garante chiede quindi una riformulazione delle disposizioni per descrivere chiaramente titolarità, responsabilità e compiti dei soggetti coinvolti, nel rispetto delle finalità attribuite dalla disciplina di settore.

Informazioni da rendere all’interessato

L’art. 8 dello schema è ritenuto insufficiente sul piano della trasparenza. La norma si limita a richiamare genericamente il rispetto del GDPR e della normativa nazionale, senza indicare:

• chi debba rendere l’informativa;
• in quale momento;
• con quale contenuto.

Il Garante segnala inoltre che non è chiaro se le informazioni da pubblicare sul sito del Punto di Contatto Nazionale e sul portale del Ministero della salute siano quelle dovute ai sensi del GDPR oppure quelle relative alla disciplina dell’assistenza sanitaria transfrontaliera.

Liceità del trattamento e base giuridica

Lo schema non disciplina in modo completo gli elementi richiesti dagli artt. 6, par. 3, e 9 GDPR, nonché dall’art. 2-sexies del Codice privacy.

L’Autorità evidenzia che mancano:

• le misure appropriate e specifiche per tutelare i diritti e gli interessi degli interessati;
• l’indicazione delle operazioni di trattamento consentite;
• il motivo di interesse pubblico rilevante perseguito.

Il Garante rileva anche che il richiamo all’art. 7 GDPR è improprio, perché il trattamento dei dati sulla salute non si fonda sul consenso, ma sulle basi giuridiche di cui all’art. 9, par. 2, lett. g), GDPR, in combinazione con la normativa nazionale e unionale di riferimento.

Fascicolo sanitario elettronico e Sistema Tessera Sanitaria

Lo schema contiene riferimenti all’alimentazione del Fascicolo sanitario elettronico (FSE) con le prescrizioni transfrontaliere e le prestazioni farmaceutiche erogate. Il Garante richiama però il precedente parere del 22 agosto 2022, n. 294, ribadendo che le modalità di disponibilità dei dati del Sistema Tessera Sanitaria verso FSE e dossier farmaceutico devono essere definite dal decreto previsto dall’art. 12, comma 15-ter, del d.l. 179/2012, ancora non adottato.

In assenza di tale decreto, non risulta chiaro con quali modalità il Sistema Tessera Sanitaria possa alimentare il FSE con le informazioni relative alle ricette transfrontaliere.

L’Autorità richiama anche i rilievi già formulati sul dossier farmaceutico, chiedendo la definizione della titolarità dei trattamenti, dei dati accessibili e delle finalità di accesso.

Qualità, rettifica e aggiornamento dei dati

Il Garante osserva che lo schema non descrive adeguatamente le misure necessarie a garantire la qualità dei dati, pur trattandosi di informazioni sanitarie utilizzate per la dispensazione di medicinali fuori dal territorio nazionale.

Non sono indicate con sufficiente precisione:

• le figure responsabili del rispetto dei principi di esattezza e aggiornamento;
• le modalità di rettifica o aggiornamento dei dati presenti nella ricetta transfrontaliera;
• le garanzie di integrità e sicurezza dei dati.

Conservazione dei dati e diritti degli interessati

Lo schema è anche carente sul periodo di conservazione dei dati trattati dai diversi soggetti coinvolti.

Manca inoltre una disciplina chiara delle modalità con cui l’interessato può esercitare i diritti riconosciuti dal GDPR nei confronti della pluralità di soggetti che intervengono nel trattamento.

Il Garante chiede quindi di integrare il testo con:

• i tempi di conservazione;
• le modalità di esercizio dei diritti;
• l’indicazione dei soggetti responsabili rispetto a tali adempimenti.

Sicurezza del trattamento e architettura tecnica

La proposta normativa non è accompagnata da un allegato tecnico o da disposizioni che descrivano l’architettura nazionale connessa all’eHDSI e le misure tecniche e organizzative adottate in funzione dei rischi.

Tra i rischi menzionati dall’Autorità vi sono:

• accessi abusivi o illeciti;
• compromissione di integrità, esattezza e aggiornamento;
• perdita o distruzione dei dati;
• uso dei dati per finalità incompatibili;
• danni anche fisici per gli assistiti.

Valutazione d’impatto ex art. 35 GDPR

Secondo il Garante, un sistema centralizzato nazionale per generare e verificare il corretto utilizzo delle ricette transfrontaliere comporta un trattamento sistematico e su larga scala di categorie particolari di dati personali ai sensi dell’art. 9 GDPR, con rischio elevato per i diritti e le libertà degli interessati.

Ne consegue la necessità di una preventiva valutazione d’impatto ai sensi dell’art. 35, par. 10, GDPR, da svolgere sull’insieme dei trattamenti effettuati da una pluralità di titolari con rischi analoghi.

Conclusioni

Alla luce delle criticità evidenziate, il Garante ritiene necessario rivedere lo schema di decreto e integrare il testo sui profili di titolarità, trasparenza, base giuridica, FSE, qualità dei dati, conservazione, sicurezza e DPIA.

Il parere, reso ai sensi dell’art. 58, par. 3, lett. b), GDPR, non può pertanto essere positivo.