Parere del Garante n. 336 del 14/05/2026

Parere sul Registro Malattie Rare regionale

La Conferenza delle Regioni e delle Province autonome ha chiesto il parere del Garante sullo schema-tipo di regolamento, corredato da disciplinare tecnico, per l'istituzione e il funzionamento del Registro Malattie Rare regionale. Il parere è reso ai sensi dell'art. 57, par. 1, lett. c) GDPR e dell'art. 154, comma 5, del Codice privacy.

Quadro normativo e finalità del provvedimento

Lo schema è adottato in attuazione dell'art. 12 del d.l. 18 ottobre 2012, n. 179, convertito dalla l. 17 dicembre 2012, n. 221, nonché del DPCM 3 marzo 2017. Il Registro è finalizzato alla raccolta sistematica di dati anagrafici e sanitari per finalità di cura, ricerca scientifica e programmazione sanitaria. Il disciplinare tecnico allegato definisce i contenuti informativi del Registro, i soggetti che contribuiscono alla sua alimentazione, le modalità di funzionamento e le misure di protezione dei dati.

Definizioni, oggetto del trattamento e basi giuridiche

L'art. 1 introduce le definizioni, mutuando quelle del GDPR e specificando il concetto di "malattia rara" con rinvio alla l. n. 175/2021, nonché il ruolo di Orphanet quale banca dati europea di riferimento per classificazione e diagnosi delle patologie rare.

L'art. 2 ricondurre il trattamento alle finalità di rilevante interesse pubblico di cui all'art. 2-sexies, comma 2, lett. u), v) e cc) del Codice, disciplinando l'accesso ai dati dei soggetti legittimati e le misure di sicurezza. Il Garante rileva che la versione finale ha correttamente distinto la base giuridica delle finalità di cura, fondata sull'art. 9, par. 2, lett. h) e par. 3 GDPR, da quella delle finalità di interesse pubblico rilevante ex Codice privacy.

Tenuta del Registro e titolarità del trattamento

Per i trattamenti connessi alla tenuta tecnica del Registro, l'art. 3 designa il Centro di coordinamento regionale/provinciale quale titolare del trattamento, su designazione della Regione o della Provincia autonoma.

Per le finalità di cura, l'art. 4 individua come titolari le strutture del SSN e gli esercenti le professioni sanitarie. La disposizione chiarisce inoltre che le diverse articolazioni operative svolgono attività di alimentazione e consultazione coerenti con le rispettive funzioni. Le modalità tecniche di accesso e i limiti operativi sono demandati all'Allegato A, che definisce profili autorizzativi e misure di sicurezza.

Categorie di dati trattati e finalità di cura

L'art. 5 elenca in modo ampio le categorie di dati personali trattati, includendo i dati anagrafici e numerosi dati relativi allo stato di salute: sospetti diagnostici, screening, diagnosi cliniche e genetiche, referti di anatomia patologica, dati clinici, strumentali e di laboratorio, risultati di test genetici, terapie, ricoveri e prestazioni ambulatoriali, anamnesi personale e familiare, nonché dati relativi al decesso, inclusi data, causa e condizioni morbose rilevanti.

L'art. 6 chiarisce che i soggetti del Servizio sanitario nazionale, dei servizi socio-sanitari regionali e gli esercenti le professioni sanitarie possono trattare anche dati particolari relativi alla salute ai sensi dell'art. 9, par. 2, lett. h) e par. 3 GDPR.

Studio e ricerca scientifica: accesso pseudonimizzato e limiti

Il Capo III disciplina l'utilizzo dei dati del Registro per studio e ricerca scientifica in ambito medico, biomedico ed epidemiologico. L'art. 7 individua i titolari del trattamento, richiamando quelli definiti per la cura, e li legittima a trattare i dati per finalità scientifiche quali la produzione di stime epidemiologiche, l'analisi degli andamenti temporali e territoriali delle malattie rare, l'indagine sui fattori di rischio e il monitoraggio degli esiti delle diagnosi e dei percorsi terapeutici, anche in collaborazione con enti di ricerca nazionali e internazionali.

L'art. 8 prevede che l'accesso ai dati avvenga esclusivamente in forma pseudonimizzata, in conformità all'art. 89 GDPR, e rinvia all'Allegato A per le misure di minimizzazione, pertinenza e non eccedenza.

L'art. 9 disciplina la liceità del trattamento e prevede che i soggetti legittimati che intendano usare i dati per studi scientifici debbano rendere pubblica una valutazione d'impatto ai sensi degli artt. 35 e 36 GDPR, secondo quanto disposto dall'art. 110 del Codice. L'accesso a dati pseudonimizzati è ammesso solo quando i dati anonimizzati non consentano di raggiungere gli obiettivi della ricerca; se invece bastano dati anonimizzati in forma statistica, il Centro di coordinamento fornisce direttamente il risultato richiesto. Il Garante segnala che il testo recepisce anche le prescrizioni sui dati genetici già fissate nel provvedimento n. 146/2019 e che è stata corretta la terminologia statistica sostituendo, dove necessario, "anonimizzata" con "aggregata".

Programmazione sanitaria, qualità delle cure e valutazione dell'assistenza

Il Capo IV disciplina l'uso del Registro per programmazione sanitaria, verifica della qualità delle cure e valutazione dell'assistenza sanitaria. L'art. 10 individua i titolari del trattamento nella Regione o Provincia autonoma, nelle Aziende sanitarie e ospedaliere, negli IRCCS, nelle Aziende universitarie operanti nel SSN e nei Centri di coordinamento regionali o provinciali.

L'art. 11 limita il trattamento ai dati privi di elementi identificativi diretti e in forma pseudonimizzata, secondo l'art. 89 GDPR, rinviando all'Allegato A per le misure tecniche e organizzative. L'art. 12 qualifica espressamente tali attività come finalità di rilevante interesse pubblico ex art. 2-sexies, comma 2, lett. u), v) e cc) del Codice. Il Garante evidenzia che la norma è stata riformulata per elencare in modo determinato le attività ammesse, come analisi del fabbisogno, valutazione dei percorsi e monitoraggio delle risorse.

Fonti dei dati, comunicazione, diffusione e mobilità sanitaria

L'art. 13 elenca le fonti da cui il Registro attinge i dati; nelle interlocuzioni è stato inserito il riferimento all'Anagrafe Nazionale degli Assistiti. Il Garante segnala tuttavia un disallineamento formale nel disciplinare tecnico, che richiama ancora l'art. 12 quale norma sulle fonti, mentre nel testo definitivo tale funzione è attribuita all'art. 13.

L'art. 14 consente, per finalità assistenziali e nei soli casi di mobilità sanitaria, la comunicazione dei dati particolari ad altri soggetti sanitari di Regioni o Province autonome diverse. Nei trasferimenti verso altri Stati membri, i centri di riferimento e i centri di eccellenza possono comunicare i dati ai prestatori sanitari europei solo previo consenso dell'assistito; la condivisione tramite la piattaforma europea CPMS delle ERN è anch'essa subordinata al consenso.

L'art. 15 stabilisce che la diffusione dei dati è ammessa esclusivamente in forma anonima e aggregata.

Sicurezza, conservazione, diritti e informativa

L'art. 16 impone al titolare di adottare misure tecniche e organizzative adeguate al rischio, in coerenza con il disciplinare tecnico. È previsto inoltre che entro un anno dall'entrata in vigore il sistema applicativo del Registro sia adeguato alle misure richieste.

L'art. 17 disciplina il periodo di conservazione, fissandolo fino a 120 anni dal decesso dell'interessato, oppure, se il decesso non è registrato, fino a 150 anni dall'inserimento nel Registro. La motivazione è collegata alla valutazione del rischio eredo-familiare e intergenerazionale per i discendenti di secondo grado; nel disciplinare tecnico è stata inserita la garanzia di anonimizzazione irreversibile dei dati dei defunti una volta esaurita la finalità di valutazione del rischio.

L'art. 17 richiama anche l'esercizio dei diritti degli interessati ai sensi del GDPR. L'art. 18 regola l'informazione agli interessati: al momento della raccolta per finalità di cura, gli operatori sanitari devono avvisare della possibile trasmissione dei dati ai sistemi di sorveglianza e ai registri previsti dall'art. 12 del d.l. n. 179/2012, e i titolari devono fornire un'informativa conforme agli artt. 13 e 14 GDPR.

Valutazioni finali del Garante e rilievi di coordinamento

Il Garante rileva che lo schema di regolamento e il disciplinare tecnico recepiscono in larga parte le osservazioni formulate dall'Ufficio nelle interlocuzioni con la Conferenza delle Regioni e delle Province autonome. Viene dato atto, tra l'altro, della corretta distinzione delle basi giuridiche, della precisazione dei ruoli dei soggetti coinvolti, del restringimento delle finalità di ricerca a progetti pertinenti, dell'allineamento alle prescrizioni sui dati genetici, della correzione della terminologia statistica, della riformulazione delle finalità di programmazione sanitaria e del rafforzamento delle garanzie di sicurezza.

Restano tuttavia alcuni perfezionamenti di drafting da apportare allo schema di regolamento, in particolare:

• eliminare all'art. 12, comma 1, la parola "indicate";
• inserire all'art. 13 l'esplicito riferimento al principio di minimizzazione dei dati.

Inoltre, il disciplinare tecnico non risulta perfettamente allineato al regolamento aggiornato e necessita di armonizzazione formale, poiché:

• nei paragrafi 4.8.1, 4.8.2, 4.8.3 e 4.8.3 lett. c.5 compaiono ancora richiami all'art. 12 come norma sulle fonti, mentre tale disciplina è ora nell'art. 13;
• al paragrafo 4.8.3 si richiama ancora l'acquisizione dei dati "da b a s", mentre l'art. 13 termina con la lettera q;
• occorre correggere la numerazione dei paragrafi del capitolo 3 del disciplinare;
• il titolo del paragrafo 4.12 va corretto in "Violazioni dei dati personali".

Nonostante tali rilievi di mero coordinamento e drafting, il Garante esprime parere favorevole sullo schema di regolamento e sul relativo disciplinare tecnico.