VEDI ANCHE : NEWSLETTER DELL'8 MAGGIO 2025

[doc. web n. 10126164]

Parere sullo schema di decreto del Ministro della salute che modifica il decreto del Ministero della salute del 7 ottobre 2005 recante “Istituzione del Registro nazionale delle strutture autorizzate all’applicazione delle tecniche di procreazione medicalmente assistita degli embrioni formati e dei nati a seguito dell’applicazione delle tecniche medesime” - 27 marzo 2025

Registro dei provvedimenti
n.  163 del 27 marzo 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito “Codice”);

VISTI, in particolare, gli articolo 9, par. 2, lett. g) del Regolamento e 2-sexies comma 2, lett. cc) del Codice che, nell’ambito dei trattamenti svolti in esecuzione di un compito di interesse pubblico, indica quale motivo di interesse pubblico rilevante i trattamenti effettuati a fini, tra gli altri, di ricerca scientifica, nonché per fini statistici da parte di soggetti che fanno parte del sistema statistico nazionale (Sistan);

VISTE le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica adottate dal Garante, ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101, con provvedimento n. 515, del 19 dicembre 2018 (doc. web n. 9069637);

VISTE le Prescrizioni relative al trattamento dei dati genetici e le Prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica, allegati n. 4 e n. 5 al Provvedimento che individua le prescrizioni contenute nelle Autorizzazioni generali che risultano compatibili con il Regolamento e con il d.lgs. n. 101/2018 di adeguamento del Codice, del 5 giugno 2019 (doc. web n. 9124510);

VISTA la legge 19 febbraio 2004, n. 40, recante «Norme in materia di procreazione medicalmente assistita» (PMA) che, all’art. 10, comma 1, dispone che gli interventi di procreazione medicalmente assistita sono realizzati nelle strutture pubbliche e private autorizzate dalle regioni ed iscritte al Registro di cui al successivo art. 11;

VISTO l’art. 11, comma 1 della legge 40 del 2004 che dispone che: “1. È istituito, con decreto del Ministro della salute, presso l'Istituto superiore di sanità, il Registro nazionale delle strutture autorizzate all'applicazione delle tecniche di procreazione medicalmente assistita, degli embrioni formati e dei nati a seguito dell'applicazione delle tecniche medesime. [...] 2. L'iscrizione al Registro di cui al comma 1 è obbligatoria. 3. L'Istituto superiore di sanità raccoglie e diffonde, in collaborazione con gli osservatori epidemiologici regionali, le informazioni necessarie al fine di consentire la trasparenza e la pubblicità delle tecniche di procreazione medicalmente assistita adottate e dei risultati conseguiti. [...]. 5. Le strutture di cui al presente articolo sono tenute a fornire agli osservatori epidemiologici regionali e all'Istituto superiore di sanità i dati necessari per le finalità indicate dall'articolo 15 nonché ogni altra informazione necessaria allo svolgimento delle funzioni di controllo e di ispezione da parte delle autorità competenti [...]”;

VISTO l’art. 15 della richiamata legge 40 del 2004, in base al quale l'Istituto Superiore di sanità (ISS) è tenuto a predisporre, entro il 28 febbraio di ciascun anno, una relazione annuale per il Ministro della salute in base ai dati raccolti ai sensi dell'articolo 11, comma 5 della medesima legge sull'attività delle strutture autorizzate, con particolare riferimento alla valutazione epidemiologica delle tecniche e degli interventi effettuati e che a sua volta il Ministro della salute, sulla base dei predetti dati, è tenuto a presentare entro il 30 giugno di ogni anno una relazione al Parlamento sull'attuazione della richiamate legge;

VISTO il decreto del Ministero della Salute del 7 ottobre 2005, adottato in attuazione del richiamato art. 11, comma 1 della legge 40 del 2004, previo parere favorevole del Garante del 26 luglio 2005 (doc. web n. 1151435), e recante “Istituzione del Registro nazionale delle strutture autorizzate all'applicazione delle tecniche di procreazione medicalmente assistita, degli embrioni formati e dei nati a seguito dell'applicazione delle tecniche medesime”;

RILEVATO che il predetto decreto ha disposto, in particolare:

- l’istituzione presso l'ISS del Registro, ai sensi dell'art. 11, comma 1 della legge n. 40 del 2004 (art. 1);

- che la finalità del Registro è quella di censire le strutture operanti sul territorio nazionale e consentire la trasparenza e la pubblicità delle tecniche di procreazione medicalmente assistita adottate e dei risultati conseguiti (art. 1);

- che nel Registro sono raccolti i soli dati indispensabili al perseguimento delle predette finalità, tra i quali i dati anonimi anche aggregati, relativi alle coppie che accedono alle tecniche di procreazione medicalmente assistita, agli embrioni formati ed ai nati a seguito delle medesime tecniche, nonché agli altri eventi indicati nel decreto medesimo (allegato 2), trattati per finalità statistiche o scientifiche (art. 1);

- che l'ISS è titolare del trattamento dei dati personali raccolti nel Registro (art. 3);

- che possono essere diffusi i soli dati anonimi anche aggregati (art. 3);

- che “le modalità di raccolta e di conservazione dei dati nel registro, l’individuazione dei soggetti cui è consentito l’accesso alle informazioni e le relative modalità sono stabilite dall’Istituto superiore di sanità in accordo con il Ministero della salute, anche ai fini di cui all’art. 11, comma 3, della legge 19 febbraio 2004, n. 40, sentito il Garante per la protezione dei dati personali” (art. 4);

- che il Registro è funzionalmente collegato con altri registri europei e internazionali, ai fini dello scambio di dati anonimi anche aggregati, mediante l'utilizzo di strumenti elettronici (art. 1, comma 6);

VISTE le note con le quali il Ministero della salute ha chiesto al Garante di esprimere il parere di competenza sullo schema di decreto che modifica il decreto del Ministero della salute del 7 ottobre 2005 recante “Istituzione del Registro nazionale delle strutture autorizzate all’applicazione delle tecniche di procreazione medicalmente assistita degli embrioni formati e dei nati a seguito dell’applicazione delle tecniche medesime” (nota del 15 gennaio 2025, prot. n. 571 e del 7 marzo 2025, prot. n. 3661);

PRESO ATTO che il Ministero della salute nell’ambito delle interlocuzioni intercorse ha rappresentato, sulla base di specifiche argomentazioni tecnico-scientifiche -preventivamente illustrate anche nella nota del 19 aprile 2023 (prot. n. 12525), trasmessa al Ministro della salute dalla Direzione generale della prevenzione sanitaria del medesimo Dicastero, della quale il Ministro ha preso atto- la necessità che nel Registro confluiscano dati relativi al singolo ciclo di trattamento eseguito dalle pazienti;

PRESO ATTO, secondo quanto illustrato dal Ministero, in particolare, che:

- la complessità dei trattamenti di PMA, che si articolano in diverse fasi, e l’evoluzione nella loro applicazione hanno reso l’attuale modalità aggregata di raccolta dati non adeguata al perseguimento delle funzioni istituzionali che l’ISS e il Ministero della salute sono chiamati a svolgere sulla base delle informazioni ivi raccolte (artt. 11 e 15 della legge 40 del 2004);

- il sistema di raccolta dati basato sul singolo trattamento di PMA garantisce un elevato standard di qualità e di completezza delle informazioni ottenibili dai centri di PMA a vantaggio delle analisi epidemiologiche eseguibili;

- il passaggio al sistema di raccolta dati relativi al ciclo singolo di trattamento oltre che semplificare i processi di invio, controllo e acquisizione dei dati, permette altresì di aumentare notevolmente l’accuratezza delle analisi statistiche eseguite, requisito fondamentale per una corretta valutazione di appropriatezza dei trattamenti e per garantire la trasparenza delle informazioni rese disponibili alle istituzioni e ai cittadini;

- l’introduzione del nuovo sistema di raccolta dati è altresì idoneo a semplificare, per i centri di PMA, l’inserimento dei dati nel Registro, esonerandoli dal dover svolgere operazioni di conteggio e aggregazione delle informazioni necessarie per la raccolta dati attualmente in uso;

- attraverso la raccolta dei dati su singolo ciclo e l’utilizzo di appositi pseudonimi, sarà possibile tracciare il fenomeno della mobilità delle pazienti e determinare la reale efficacia delle tecniche senza incorrere nel rischio che una singola paziente sia censita più di una volta nel Registro, a detrimento della qualità e dell’esattezza dei dati trattati;

- la raccolta dati con il ciclo singolo permetterebbe, inoltre, al registro PMA italiano di raggiungere gli elevati standard di qualità epidemiologica dei principali paesi europei (es. Belgio, Regno Unito, Francia Germania) nei quali sono già in uso sistemi di sorveglianza sulle tecniche di PMA che raccolgono i dati su ogni singolo ciclo di trattamento eseguito dalle pazienti, fermo restando che i predetti dati sono sottoposti a tecniche di pseudonimizzazione descritte sia nel disciplinare tecnico, che costituisce oggetto del presente parere, che nella valutazione d’impatto redatta ai sensi dell’art. 35 del Regolamento e acquisita agli atti del procedimento;

CONSIDERATO che lo schema di decreto evidenzia le modifiche che si intendono apportate al d.m. 7 ottobre 2005 in base alle quali è disposta, per ciò che qui rileva:

- la soppressione, all’art. 1, comma 5, lett. c) del d.m. 7 ottobre 2005, delle parole “anonimi anche aggregati” riferiti ai dati raccolti nel Registro e l’inserimento dopo il periodo “nonché agli altri eventi indicati nell'allegato 2”, delle parole “e nell'allegato 3”, dove i predetti dati sono indicati, con l’effetto che la nuova formulazione di tale articolo prevede che “nel Registro, allo stato, sono raccolti dati, relativi alle coppie che accedono alle tecniche di procreazione medicalmente assistita, agli embrioni formati ed ai nati a seguito delle medesime tecniche, nonché agli altri eventi indicati nell’allegato 2 e nell’allegato 3 al presente decreto, trattati per finalità statistiche o scientifiche” (art. 1, comma 1, lett. a) dello schema di decreto);

- la soppressione, all’art. 1, comma 6, del d.m. 7 ottobre 2005, delle parole “anonimi anche” riferiti ai dati destinati al collegamento con altri registri europei internazionali con l’effetto che la nuova formulazione prevede ora che “il registro è funzionalmente collegato con altri registri europei e internazionali, ai fini dello scambio di dati aggregati, anche mediante l’utilizzo di strumenti elettronici” (art. 1, comma 1, lett. b) dello schema di decreto);

- l’aggiunta del comma 5-bis, all’articolo 2 del d.m. 7 ottobre 2005, in base al quale “le strutture di cui all'articolo 11, comma 5 della legge 19 febbraio 2004, n.40 sono sottoposte, almeno ogni tre anni, in maniera random, ad audit da parte dell'Istituto superiore di sanità, per il controllo e la validazione dei dati inviati” (1, comma 1, lett. d) dello schema di decreto);

- l’adeguamento al rinnovato quadro normativo in materia di protezione dei dati personali, dell’art. 3, comma 1 del d.m. 7 ottobre 2005 che prevede ora che “l’Istituto superiore di sanità è titolare del trattamento dei dati personali raccolti nel registro, effettuato nel rispetto delle disposizioni del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 e del Decreto Legislativo 30 giugno 2003, n. 196, recante Codice in materia di protezione dei dati personali, come modificato e integrato dal decreto legislativo 10 agosto 2018, n. 101” (art. 1, comma 1, lett. e) dello schema di decreto);

- la soppressione delle parole “anche aggregati” all’art. 3, comma 3 del d.m. 7 ottobre 2005, con l’effetto che in base alla nuova formulazione esso adesso dispone che “ai sensi dell’art. 11, comma 3, della legge 19 febbraio 2004, n. 40, possono essere diffusi i soli dati anonimi” (art. 1, comma 1, lett. f) dello schema di decreto);

- l’integrazione dell’art. 4 del d.m. 7 ottobre 2005 che prevede ora che “1. Le modalità di raccolta e di conservazione dei dati nel registro, l’individuazione dei soggetti cui è consentito l’accesso alle informazioni e le relative modalità sono stabilite nel disciplinare tecnico, allegato al presente decreto, dall’Istituto superiore di sanità in accordo con il Ministero della salute, anche ai fini di cui all’art. 11, comma 3, della legge 19 febbraio 2004, n. 40, sentito il Garante per la protezione dei dati personali. 2. I dati sono conservati nel registro per un periodo di 30 anni” (art. 1. comma 1, lett. g) dello schema di decreto);

- la modifica dell’art. 5, comma 1 del d.m. 7 ottobre 2005, che dispone ora che “In attesa del funzionamento a regime della nuova modalità di raccolta dati su ciclo singolo (allegato 3) i dati di cui articolo 1 comma 4 lettera c) sono trasmessi all'Istituto Superiore di Sanità - Registro Nazionale PMA anche in forma aggregata (allegato 2) per un periodo transitorio massimo di quattro anni dall'entrata in vigore del presente decreto” (art. 1, comma 1, lett. h) dello schema di decreto);

- l’art. 2 dello schema di decreto indica le modifiche, di ordine tecnico-scientifico, apportate all’allegato 1 del d.m. 7 ottobre 2005 “schema esemplificativo dati aggregati della struttura”;

- l’art. 3 dello schema di decreto dispone poi che al d.m. 7 ottobre 2005 sono aggiunti l’allegato 3 “schema esemplificativo dati su ciclo singolo dell’attività” e l’allegato 4 recante il “disciplinare tecnico”, che ne costituiscono parte integrante;

RILEVATO che, lo schema di decreto all’art. 1, comma 1, lett. g) modifica l’art. 4 del d.m. 7 ottobre 2005 indicando espressamente in 30 anni il periodo di conservazione dei dati nel Registro;

RILEVATO che in relazione al predetto periodo di conservazione, nel disciplinare tecnico -parte integrante dello schema di decreto e oggetto del presente parere- è chiarito che esso si rende necessario in ragione del fatto che “le pazienti che si sottopongono ad un percorso di preservazione della fertilità [...] possono essere anche in giovanissima età” e che pertanto sulla base delle valutazioni svolte dall’ISS, esso è necessario per tracciare la storia clinica dei pazienti in tema di cicli ripetuti di fecondazione assistita e per valutare gli esiti delle tecniche applicate, nonché individuato in analogia al d.lgs. 6 novembre 2007, n. 191, di attuazione della direttiva 2004/23/CE sulla definizione delle norme di qualità e di sicurezza per la donazione, l'approvvigionamento, il controllo, la lavorazione, la conservazione, lo stoccaggio e la distribuzione di tessuti e cellule umani, in particolare dall’art. 8 comma 4;

RILEVATO che tali argomentazioni sono state altresì riportate nella valutazione d’impatto e che al termine di tale periodo i dati sono anonimizzati secondo procedure specificamente indicate nel disciplinare tecnico allegato allo schema di decreto;

CONSIDERATO che il disciplinare tecnico descrive puntualmente, nella parte A), il sistema informativo utilizzato per l’invio dei dati da parte dei centri PMA al Registro; le misure idonee a garantire la continuità del servizio e la protezione dei dati trattati, la tracciatura delle operazioni effettuate sul sistema, la specifica indicazione dei dati sottoposti a pseudonimizzazione e le relative tecniche e misure a essi applicate; l’indicazione dei soggetti che a vario titolo accedono al Registro (Centri PMA, ISS, Regioni) con l’indicazione dei relativi profili di autorizzazione, le modalità e la tempistica per la trasmissione dei dati; e che nella parte B) è riportato il tracciato record recante, nel dettaglio, le informazioni anagrafiche e cliniche raccolte per i trattamenti di PMA eseguiti in Italia nei centri autorizzati;

RILEVATO che il disciplinare tecnico chiarisce che “le unità organizzative delle regioni e delle provincie autonome competenti in materia di PMA” possono accedere solo a dati “di reportistica e analisi per finalità di monitoraggio epidemiologico, a scopo di studio e ricerca scientifica e di programmazione, gestione, controllo e valutazione dell’assistenza sanitaria solo in relazione ai centri nella propria regione”;

RITENUTO che lo schema di decreto presentato tiene conto delle indicazioni fornite al Ministero nel corso delle numerose interlocuzioni intercorse, volte anche ad adeguare il d.m. 7 ottobre 2005 e il suo disciplinare tecnico al rinnovato quadro normativo in materia di protezione dei dati personali, che hanno riguardato in particolare: la verifica della necessità e proporzionalità dei trattamenti, la corretta indicazione della natura dei dati trattati, pseudonimizzati o anonimizzati, l’indicazione dei tempi di conservazione;

RITENUTO che anche il disciplinare tecnico tiene conto delle indicazioni dell’Ufficio del Garante che hanno riguardato in particolare le misure di pseudonimizzazione e le tecniche di anonimizzazione impiegate, la conservazione delle password con funzioni crittografiche, la sicurezza delle applicazioni software;

PRESO ATTO che il Ministero ha trasmesso altresì la valutazione di impatto svolta dall’ISS, ai sensi dell’art. 35 del Regolamento, in qualità di titolare del trattamento nella quale, sono specificamente individuati i rischi connessi ai trattamenti in esame e le misure tecniche e organizzative predisposte per la loro mitigazione al fine di assicurare adeguata tutela ai diritti e alle libertà fondamentali degli interessati, ciò fermo restando che tale documento non costituisce oggetto del presente parere in quanto svolto anche in omaggio al principio di accountability, di cui all’art. 5, par. 2 del Regolamento;

CONSIDERATO che lo schema di decreto esaminato descrive un insieme di operazioni di trattamento di dati personali da ritenersi al tempo stesso necessarie e proporzionate al perseguimento degli scopi del Registro, prevedendo altresì, come sopra evidenziato, specifiche misure tecniche e organizzative idonee a tutelare i diritti e libertà fondamentali degli interessati (cfr. “Assessing the necessity of measures that limit the fundamental right to the protection of personal data: A Toolkit” e “Guidelines on assessing the proportionality of measures that limit the fundamental rights to privacy and to the protection of personal data”, adottati, dal Garante europeo rispettivamente in data 11 aprile 2017 e 19 dicembre 2019);

CONSIDERATO inoltre che la formulazione delle singole diposizioni che compongono lo schema di decreto assicurano che la base giuridica dei trattamenti svolti per l’implementazione e l’uso del Registro sia chiara e precisa e la sua applicazione prevedibile, per le persone che vi sono sottoposte (cfr. cons. 41 del Regolamento e, per analogia “Guidance for co-legislators on key elements of legislative Proposals, Draft for public consultation”, adottate dal Garante europeo il 16 gennaio 2024);

RITENUTO, alla luce di tutte le motivazioni di cui sopra, di non dover formulare rilievi sullo schema di decreto trasmesso e sul relativo disciplinare tecnico, atteso che, nel recepire tutte le osservazioni formulate dall’Ufficio, è stato previsto un complesso di misure di garanzia idonee, by design, a dare effettiva applicazione ai principi di protezione dei dati personali e in particolare, quelli di minimizzazione dei dati, esattezza, limitazione della conservazione e di integrità e riservatezza e a tutelare i diritti fondamentali e gli interessi delle persone fisiche coinvolte nelle operazioni di trattamento dei dati personali (art. 5, par. 1, lett. c), d) e) e f) e art. 25 del Regolamento);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l'avv. Guido Scorza;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 58, par. 3, lett. b), del Regolamento e dell’art. 4 del d.m. 7 ottobre 2005, esprime parere favorevole sullo schema di decreto del Ministro della salute che modifica il decreto del Ministero della salute del 7 ottobre 2005 recante “Istituzione del Registro nazionale delle strutture autorizzate all’applicazione delle tecniche di procreazione medicalmente assistita degli embrioni formati e dei nati a seguito dell’applicazione delle tecniche medesime” e sul relativo disciplinare tecnico.

Roma, 27 marzo 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei