Parere del Garante n. 749 del 18/12/2025

Parere favorevole sullo schema di decreto per lo screening pediatrico nazionale di diabete di tipo 1 e celiachia

Il Garante per la protezione dei dati personali esprime parere favorevole, ai sensi dell’art. 36, par. 4, GDPR, sullo schema di decreto del Ministro della salute recante "Disposizioni per l'avvio del programma pluriennale di screening su base nazionale nella popolazione pediatrica per l'individuazione degli anticorpi del diabete di tipo 1 e della celiachia". Il provvedimento attua l’art. 1 della legge 15 settembre 2023, n. 130, che prevede l’adozione di un programma nazionale di screening pediatrico, e si colloca nel quadro delle precedenti interlocuzioni con l’Autorità.

Quadro normativo e oggetto dell’intervento

Il decreto si inserisce nel contesto della legge 15 settembre 2023, n. 130, che disciplina il programma diagnostico per l’individuazione del diabete di tipo 1 e della celiachia nella popolazione pediatrica. È richiamato anche l’art. 2 della medesima legge, che istituisce presso il Ministero della salute l’Osservatorio nazionale sul diabete di tipo 1 e sulla celiachia, con il compito di studiare ed elaborare le risultanze dello screening e pubblicare una relazione annuale sul sito istituzionale.

Sono richiamati inoltre il Regolamento (UE) 2016/679 e il d.lgs. 196/2003. Il parere è richiesto dopo una nuova trasmissione del testo da parte del Ministero della salute, con note del 5 dicembre 2025, unitamente a un nuovo disciplinare tecnico.

Evoluzione del testo e recepimento delle osservazioni del Garante

Il Garante evidenzia che la nuova versione dello schema di decreto tiene conto delle osservazioni formulate in precedenti pareri del 30 gennaio e del 31 ottobre 2025, relativi a precedenti versioni del medesimo schema e dei correlati disciplinari tecnici.

Le principali integrazioni riguardano:

• la specificazione puntuale delle attività dei Dipartimenti di Prevenzione delle Aziende Sanitarie nell’ambito dello screening;
• la precisazione della forma di accesso ai dati, in chiaro o pseudonimizzata, per il personale di Regioni e Province Autonome, laboratori di riferimento, centri clinici regionali di riferimento, Dipartimenti di Prevenzione e pediatri di libera scelta;
• la definizione tassativa dei soggetti titolati ad accedere alla piattaforma nazionale.

Di conseguenza, anche il disciplinare tecnico viene adeguato, in particolare nei punti relativi a soggetti, autenticazione e autorizzazione degli utenti, e pseudonimizzazione.

Assetto organizzativo e trattamento dei dati

Lo schema di decreto è composto da 14 articoli e da un allegato tecnico. Tra gli aspetti rilevanti per la protezione dei dati personali, il testo disciplina:

• il programma nazionale di screening e la popolazione target;
• la chiamata attiva e il prelievo dei campioni ematici;
• i ruoli privacy, il consenso informato e l’informativa;
• la raccolta e l’analisi dei campioni, la comunicazione degli esiti, il richiamo, la conferma diagnostica e la presa in carico;
• la Piattaforma nazionale e i sistemi informativi regionali;
• l’Osservatorio nazionale;
• le campagne di informazione e l’integrazione con i percorsi di prevenzione e promozione della salute.

In particolare, viene chiarito che i Dipartimenti di Prevenzione delle Aziende Sanitarie, o la struttura individuata dal modello organizzativo regionale o provinciale, devono garantire strumentazione adeguata, coordinamento locale, organizzazione degli inviti, monitoraggio complessivo e svolgimento della chiamata attiva e del test, con successivo invio ai laboratori.

Accesso ai dati, pseudonimizzazione e principi GDPR

Il decreto specifica che l’accesso ai dati in chiaro è consentito soltanto al personale dei centri clinici di riferimento, dei Dipartimenti di Prevenzione e dei pediatri di libera scelta coinvolti dalle Regioni e Province Autonome, e limitatamente ai propri assistiti. Per il personale delle Regioni e Province Autonome è previsto l’accesso esclusivamente a dati individuali pseudonimizzati.

Il Garante richiama espressamente il rispetto dei principi di responsabilizzazione e di privacy by design, di cui agli artt. 5, par. 2, e 25 del GDPR, ritenendo che le misure introdotte siano coerenti con tali principi e idonee a limitare l’accesso ai dati al solo necessario.

Valutazione conclusiva

L’Autorità osserva che il testo trasmesso recepisce integralmente le osservazioni già formulate in sede informale e nei precedenti pareri, mantenendo il complesso delle misure di garanzia già considerate appropriate a tutela dei diritti e delle libertà delle persone fisiche coinvolte nel trattamento.

Non vengono quindi formulati rilievi sullo schema di decreto e sul relativo allegato tecnico. Il Garante conclude esprimendo parere favorevole, ai sensi dell’art. 58, par. 3, lett. b), GDPR, sullo schema trasmesso il 5 dicembre 2025.