[doc. web n. 9976886]

Parere sul “Modello informativa al trattamento dei dati personali del FSE”, redatto, secondo quanto previsto dall’art. 7, del decreto del 7 settembre 2023, dal Ministro della salute previa condivisione con la Commissione Salute della Conferenza delle Regioni e delle Province autonome - 21 dicembre 2023

Registro dei provvedimenti
n. 600 del 21 dicembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (d.lgs. n. 196 del 30 giugno 2003, di seguito “Codice”);

VISTO l’articolo 12 del decreto-legge 18 ottobre 2012, n. 179, recante “Fascicolo sanitario elettronico, sistemi di sorveglianza nel settore sanitario e governo della sanità digitale”;

VISTO il decreto del Presidente del Consiglio dei Ministri 29 settembre 2015, n. 178, recante “Regolamento in materia di Fascicolo Sanitario Elettronico”;

VISTO il decreto del 7 settembre 2023, recante “Fascicolo sanitario elettronico 2.0.”, su cui il Garante ha espresso il proprio parere l’8 giugno 2023 (doc. web n. 9900433);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

Il Ministero della salute, con la nota del 16 novembre 2023, ha trasmesso al Garante, per il prescritto parere, “il modello di informativa preventivamente condiviso con la Commissione Salute della Conferenza delle Regioni e delle Province autonome”, per i trattamenti di dati personali effettuati attraverso il Fascicolo sanitario elettronico (FSE) 2.0., secondo quanto previsto dall’art. 7 del decreto del 7 settembre 2023.

Successivamente, con nota dell’11 dicembre 2023 il Ministero della salute ha trasmesso una versione integrata del predetto modello di informativa, rinnovando la richiesta del parere del Garante.

Il “Modello informativa al trattamento dei dati personali del FSE” è stato redatto ai sensi degli articoli 13 e 14 del Regolamento e si compone di una premessa e di specifici punti relativi: all’alimentazione del FSE (punto 2); ai consensi previsti per la consultazione dei dati (punto 3); ai trattamenti per finalità di cura (punto 4); a quelli per fini di prevenzione (punto 5), di profilassi internazionale (punto 6), di programmazione sanitaria, verifica delle qualità delle cure e valutazione dell'assistenza sanitaria (punto 7), di studio e ricerca scientifica, in campo medico, biomedico ed epidemiologico (punto 8); all’accesso e alla consultazione dei dati da parte dell’interessato (punto 9); all’istituto della delega (punto 10); al diritto di oscuramento dei dati e dei documenti (punto 11); agli altri diritti riconosciuti all’interessato (punto 12); alle modalità di esercizio dei diritti (punto 13); alla registrazione delle operazioni sul FSE (punto 14); al periodo di conservazione dei dati (punto 15); al modello architetturale scelto da ciascuna regione/ provincia autonoma (punto 16); al Responsabile della protezione dei dati (punto 17); ai soggetti autorizzati al trattamento e all’ambito di comunicazione dei dati (punto 18); all’assenza di trasferimento dei dati personali verso paesi non appartenenti all’Unione Europea (punto 19). Il predetto Modello reca nella parte finale anche l’elenco dei principali riferimenti normativi di settore (punto 20) e un glossario (punto 21).

In considerazione della circostanza che il citato decreto del 7 settembre 2023 dà attuazione al piano di investimento sul FSE del PNRR, il presente parere è reso nei termini indicati nell’art. 9, comma 7, del d. l. n. 139 del 2021.

OSSERVA

1. Ottemperanza alle prescrizioni del Garante di cui al parere dell’8 giugno 2023

Nel citato parere dell’8 giugno 2023 il Garante aveva rappresentato che lo schema di decreto all’epoca in esame risultava privo di un modello di informativa da rendere agli interessati in merito al trattamento dei dati effettuato attraverso il FSE, prevedendo esclusivamente che, in considerazione dell’importanza di garantire un’informativa omogenea e uniforme sul territorio nazionale, il Ministero della salute predisponesse, in collaborazione con le regioni e province autonome, un modello di informativa da mettere a disposizione delle stesse (par. 2.8 del parere). Ciò stante, l’Autorità aveva rilevato la necessità che lo schema di decreto esaminato fosse integrato individuando un termine entro il quale procedere alla predisposizione di tale modello (par. 2.8 e dispositivo del parere).

Sul punto, si rileva che il Ministero della salute, nell’adottare il decreto del 7 settembre 2023, ha integrato il testo dello schema di decreto esaminato dal Garante e su cui è stato espresso il predetto parere, con l’indicazione del termine entro il quale il citato Dicastero, le regioni e le province autonome dovranno fornire agli interessati le informazioni relative ai trattamenti di dati personali effettuati attraverso il FSE 2.0., che è stato previsto in 3 mesi dall’entrata in vigore del decreto, ovvero entro il 24 gennaio 2024 (cfr. art. 7, comma 1, del decreto).

Nel citato parere il Garante aveva inoltre richiesto che il predetto modello, nel descrivere le caratteristiche del trattamento connesse alla nuova configurazione del FSE, tenesse conto delle osservazioni formulate al riguardo, nel tempo, dall’Autorità e in particolare, evidenziasse le peculiarità proprie delle due soluzioni architetturali del FSE individuate nell’allegato C al decreto o dell’eventuale supporto in sussidiarietà dell’Infrastruttura Nazionale di Interoperabilità (FSE-INI) offerto dal Ministero dell’Economia e delle finanze (MEF), nonché le modalità di alimentazione e consultazione del FSE.

Nel ricordare che, secondo quanto disposto dal Regolamento, l’informativa deve essere resa all’interessato prima dell’inizio del trattamento, il Garante, considerata la necessità di assicurare il pieno rispetto del principio di correttezza e trasparenza, atteso che il trattamento dei dati in esame coinvolge tutta la popolazione assistita sul territorio nazionale, aveva ritenuto infine necessario che tale modello, anche nelle eventuali modifiche che saranno apportate nel tempo, fosse previamente sottoposto al proprio preventivo parere (par. 2.8 e dispositivo del parere). A fronte di tale prescrizione, il Ministero della salute ha integrato lo schema di decreto esaminato dall’Autorità prevedendo il necessario parere della stessa sul modello di informativa del FSE 2.0. nell’art. 7, comma 4, del decreto del 7 settembre 2023.

Pertanto, si prende preliminarmente atto che lo schema di decreto del 7 settembre 2023 indica, come richiesto dall’Autorità nel parere dell’8 giugno 2023, il termine entro il quale il Ministero della salute, le regioni e le province autonome devono fornire agli interessati le informazioni relative ai trattamenti di dati personali effettuati attraverso il FSE 2.0. (3 mesi dall’entrata in vigore del decreto, ovvero il 24.1.2024), nonché la necessità di acquisire il preventivo parere del Garante su tale modello di informativa (art. 7, commi 1 e 4, del decreto).

Si rappresenta infine che nel citato parere dell’8 giugno 2023 il Garante aveva anche prescritto al Ministero della salute, alle regioni e alle province autonome di individuare un termine entro il quale tali soggetti dovessero effettuare campagne di informazione circa l’alimentazione automatica del FSE 2.0. con i dati e documenti digitali sanitari generati da eventi clinici riferiti alle prestazioni erogate dal SSN fino al 18 maggio 2020, comprensiva della relativa facoltà di opposizione da parte dell’interessato, da manifestarsi entro 30 giorni.

Al riguardo, si prende atto che il Ministero della salute ha integrato lo schema di decreto su cui si è espressa questa Autorità individuando tale termine in 6 mesi dall’entrata in vigore del decreto, ovvero entro il 24 aprile 2024 (cfr. disposizioni transitorie n. 1 del decreto del 7 settembre 2023).

Sul punto, si prende ulteriormente atto che, alla luce delle sollecitazioni del Garante sul tema, la versione del modello di informativa trasmesso il 16 novembre è stato integrato con la previsione secondo cui “entro il 24 aprile 2024 le regioni/province autonome effettueranno campagne di informazione circa tale alimentazione automatica del FSE con i dati e documenti digitali sanitari generati da eventi clinici riferiti alle prestazioni erogate dal SSN fino al 18 maggio 2020 e comprensiva delle modalità con le quali potrà esprimere la Sua eventuale opposizione, da manifestarsi entro 30 giorni dalla predetta campagna. Nelle more di tale campagna informativa, salvo uno Suo specifico e informato consenso, i dati e i documenti sanitari generati antecedentemente al 18 maggio 2020 non saranno accessibili attraverso il FSE” (nota dell’11 dicembre 2023).

2. Modello informativa al trattamento dei dati personali del FSE

Sulla base delle disposizioni sopra richiamate il Ministero della salute ha elaborato un modello di informativa condiviso con la Commissione Salute della Conferenza delle Regioni e delle Province autonome.

Il testo del suddetto Modello è stato oggetto di numerose interlocuzioni informali tra il predetto Dicastero e l’Ufficio del Garante, nell’ambito delle quali sono stati evidenziati numerosi profili relativi alla disciplina sulla protezione dei dati su cui si è reso necessario effettuare ulteriori approfondimenti.

In particolare, l’Ufficio ha evidenziato la necessità che la bozza del modello di informativa fosse integrato con l’indicazione dei trattamenti effettuabili attraverso il FSE per fini di governo sanitario da parte del Ministero della salute e delle regioni/province autonome e per fini di ricerca che, stante quanto disposto nel decreto del 7 settembre 2023, continueranno ad essere effettuati sulla base di quanto disposto nel d.P.C.M. n. 178/2015 (capo III e IV).

In merito a tale osservazione, si prende atto che il Ministero della salute ha integrato il Modello di informativa con i punti 7 e 8 relativi, rispettivamente, ai trattamenti per fini di programmazione sanitaria, verifica delle qualità delle cure e valutazione dell'assistenza sanitaria (c.d. di governo) e di studio e ricerca scientifica, in campo medico, biomedico ed epidemiologico, con riferimento ai quali si è correttamente tenuto conto del rinnovato quadro normativo di settore.

L’Ufficio ha inoltre richiamato la necessità che nel predetto Modello fossero evidenziati i trattamenti di dati personali effettuati in occasione dell’interrogazione dell’Anagrafe Nazionale degli Assistiti (ANA), ai sensi del d.P.C.M. 1° giugno 2022, nonché di quelli posti in essere dall’INI, che sono stati puntualmente integrati nel Modello di informativa in esame (punti 2.1, 9, 14, 16 e 18).

Ulteriore aspetto su cui l’Ufficio ha rappresentato la necessità di fornire agli interessati maggiori elementi attraverso la predetta informativa ha riguardato la scelta dei modelli architetturali da parte delle regioni/province autonome di cui all’allegato C al decreto del 7 settembre 2023; ciò in quanto, a seconda del modello architetturale scelto dalla regione/provincia di assistenza dell’interessato derivano significative conseguenze in ordine, in particolare, all’attribuzione dei ruoli del trattamento.

A fronte di tale osservazione il citato Ministero ha indicato nel punto 16 del Modello di informativa le caratteristiche in termini di protezione dei dati personali proprie di ciascun modello architetturale che le regioni/province autonome possono scegliere per implementare il FSE 2.0. sul proprio territorio.

Il Ministero della salute ha anche accolto l’invito dell’Ufficio a meglio esplicitare nel Modello di informativa le caratteristiche del profilo sanitario sintetico (PSS) e del Taccuino personale (TP), evidenziando all’interessato le tipologie di dati che compongono tali partizioni del Fascicolo e le conseguenze in caso di variazione del medico di medicina generale (cfr. punti 2.1.1 e 2.1.2).

Parimenti sono state accolte le osservazioni dell’Ufficio in ordine alla necessità di meglio indicare le modalità attraverso le quali l’interessato può esercitare i diritti riconosciuti dal Regolamento e dalla specifica disciplina di settore, anche nei confronti dei dati c.d. a maggior tutela di anonimato, nonché può usufruire dell’istituto della delega (punti 2.2, 10, 11, 12 e 13).

Particolare attenzione è stata prestata dall’Ufficio anche in ordine alle previste manifestazioni di volontà dell’interessato, con riferimento alle quali il Ministero ha provveduto a integrare l’informativa, al fine di meglio evidenziare le conseguenze in caso di revoca del consenso, nonché le fattispecie di accesso al FSE nel caso in cui l’interessato non abbia espresso e non sia in grado di esprimere il consenso alla consultazione del FSE per finalità di cura e si trovi in una condizione di impossibilità fisica, incapacità di agire o incapacità di intendere o di volere e di rischio grave, imminente e irreparabile per la salute o l’incolumità fisica (punti 3 e 4.3).

Su richiesta dell’Ufficio nell’informativa sono state anche sinteticamente descritte le misure tecniche e organizzative che sono state previste nel decreto del 7 settembre 2023 per la tutela dei diritti e degli interessi degli interessati con riferimento ai trattamenti effettuati per finalità di prevenzione e profilassi internazionale (punti 5 e 6).

In collaborazione con il Ministero della salute sono state poi meglio esplicitate nel Modello di informativa le modalità con le quali l’interessato può consultare le informazioni sanitarie sul FSE e può accedere ai servizi sanitari on-line resi disponibili dalle regioni e dalle province autonome in modalità telematica, ovvero tramite il Portale nazionale FSE (punto 9).

Particolare attenzione è stata infine prestata dall’Ufficio al fine di verificare che nel Modello di informativa in esame fossero descritti i soli trattamenti di dati personali previsti dalla disciplina attualmente in vigore, rinviando a successive integrazioni gli eventuali trattamenti che saranno effettuati attraverso il FSE quando si darà attuazione alle specifiche disposizioni di settore in materia di medicina predittiva o di telemedicina.

Ciò premesso, rilevato che il “Modello informativa al trattamento dei dati personali del FSE” in esame tiene conto delle indicazioni fornite dall’Ufficio e contiene tutti gli elementi richiesti dagli artt. 13 e 14 del Regolamento e dalla normativa di settore sopra richiamata, non vi sono ulteriori rilievi da formulare sotto il profilo della protezione dei dati personali.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 58, par. 3, lett. b), del Regolamento e dell’art. 9, comma 7, del d.l. n. 139/2021, esprime parere favorevole sul “Modello informativa al trattamento dei dati personali del FSE”, redatto, secondo quanto previsto dall’art. 7, del decreto del 7 settembre 2023, dal Ministro della salute previa condivisione con la Commissione Salute della Conferenza delle Regioni e delle Province autonome.

Roma, 21 dicembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei