[doc. web n. 9897587]

Parere sullo schema di decreto recante “Tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti con i dispositivi medici in vitro”, attuativo dell’art. 13, comma 9, del decreto legislativo 5 agosto 2022, n. 138 - 17 maggio 2023

Registro dei provvedimenti
n. 192 del 17 maggio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali” (di seguito “Codice”);

VISTO il Regolamento (UE) 2017/746, del Parlamento europeo e del Consiglio, del 5 aprile 2017, relativo ai dispositivi medico-diagnostici in vitro e che abroga la direttiva 98/79/CE e la decisione 2010/227/UE della Commissione;

VISTO il parere del Garante del 26 maggio 2022, n. 190 sullo schema di decreto legislativo, recante disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2017/746, relativo ai dispositivi medico-diagnostici in vitro (doc. web n. 9789069);

VISTO il d.lgs. 5 agosto 2022, n. 138 recante “Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2017/746, relativo ai dispositivi medico-diagnostici in vitro e che abroga la direttiva 98/79/CE e la decisione 2010/227/UE della commissione, nonché per l'adeguamento alle disposizioni del regolamento (UE) 2022/112 che modifica il regolamento (UE) 2017/746 per quanto riguarda le disposizioni transitorie per determinati dispositivi medico-diagnostici in vitro e l'applicazione differita delle condizioni concernenti i dispositivi fabbricati internamente ai sensi dell'articolo 15 della legge 22 aprile 2021, n. 53”;

VISTA la nota con la quale il Ministero della salute ha chiesto al Garante di esprimere il parere di competenza sullo schema di decreto del Ministro della salute sullo schema di decreto recante “Tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti con i dispositivi medici in vitro”, attuativo dell’art. 13, comma 9, del decreto legislativo 5 agosto 2022, n. 138 (nota del 13 aprile 2023, prot. n. 31063);

CONSIDERATO che il Garante nel citato parere del 26 maggio 2022, n. 189, ai sensi dell’articolo 36, par. 4, del Regolamento, ha espresso parere favorevole sul proposto schema di decreto legislativo, con le seguenti condizioni:

”a) introdurre una specifica disposizione sulla protezione dei dati personali trattati nell’ambito delle attività funzionali alla fornitura o manutenzione dei dispositivi, tale da:

inibire l’accesso ai dati anagrafici e anamnestici del paziente, salva l’indispensabilità ai fini dell’erogazione del servizio di manutenzione e telediagnosi/teleintervento, rendendo comunque tracciabile ogni operazione di intervento/accesso;

inquadrare quale responsabile del trattamento, ai sensi dell’articolo 28 del Regolamento, la società produttrice del dispositivo medico, per le attività di controllo della funzionalità dell’apparecchiatura anche a distanza svolta per conto del titolare (c.d. servizi di manutenzione e di assistenza);

b) disciplinare, anche nell’ambito dei provvedimenti attuativi cui già lo schema di decreto legislativo rinvia e su cui sarà opportuno acquisire il parere del Garante i tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti verificatisi dopo l’immissione in commercio di un dispositivo medico, ai sensi dell’articolo 13, c. 8”;

PRESO ATTO che, a seguito del predetto parere del Garante:

l’articolo 13, comma 9 del decreto legislativo 5 agosto 2022, n. 138 demanda ad apposito decreto del Ministero della salute l’individuazione dei tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti verificatisi dopo l’immissione in commercio di un dispositivo medico;

l’articolo 26, comma 3 del decreto legislativo 5 agosto 2022, n. 138 ha previsto che “Qualora per il dispositivo medico in vitro siano previste dal fabbricante attività di taratura, calibrazione, manutenzione o assistenza, da svolgersi anche a distanza, il responsabile del trattamento ai sensi dell'articolo 28 del regolamento (UE) 2016/679 è il fabbricante del dispositivo medico in vitro”;

CONSIDERATO che lo schema di decreto in esame si compone di 3 articoli aventi ad oggetto i tempi di conservazione dei dati personali dei pazienti e degli operatori sanitari, eventualmente forniti contestualmente alle comunicazioni di incidenti verificatisi dopo l’immissione in commercio di un dispositivo medico in vitro;

PRESO ATTO che nello schema di decreto in esame è stato previsto che:

i dati personali dei pazienti eventualmente trasmessi al Ministero della salute, ai sensi dell’art. 13, comma 9, del d.lgs n. 138 del 2022, sono conservati per il tempo strettamente necessario per la valutazione dell’incidente e, comunque, non oltre due anni dalla relativa segnalazione;

i dati personali riferiti agli operatori sanitari ai sensi dell’art. 13, comma 9, del d.lgs. n. 138 del 2022 sono conservati per il tempo necessario per la valutazione dell’incidente e, comunque, non oltre cinque anni dalla relativa segnalazione,

il Ministero della salute provvede, attraverso i propri sistemi informativi, alla cancellazione, decorsi i termini previsti, dei predetti dati personali;

PRESO ATTO delle motivazioni addotte nella relazione illustrativa allo schema di decreto in ordine ai tempi di conservazione e, in particolare, che:

con riferimento ai dati pazienti, “è stato ritenuto congruo un tempo di conservazione non superiore ai due anni che, secondo il dato d’esperienza, rappresenta il termine massimo entro cui vengono concluse le indagini sull’incidente da parte del fabbricante. Al riguardo, pur essendo previsto che il fabbricante proceda senza indugio a svolgere le indagini necessarie ad identificare la causa dell’incidente (art. 84 del regolamento (UE) 2017/746), dalle attività di vigilanza svolte dall’Autorità competente emerge che alcune tipologie di eventi possano richiedere tempi di conclusioni delle indagini più lunghe e, comunque, non superiore ai due anni”;

con riferimento ai dati degli operatori sanitari, “che rilevano gli incidenti e che è obbligatorio inserire nella segnalazione dell’incidente, si è ritenuto di indicare un periodo maggiore di conservazione, non superiore a 5 anni. Ciò in quanto alcune tipologie di incidenti possono richiedere delle azioni correttive di sicurezza da parte dei fabbricanti che hanno, di norma, tempi di conclusione più lunghi rispetto a quelli necessari alla gestione del singolo incidente. Secondo il dato d’esperienza le azioni correttive più complesse si chiudono comunque entro i cinque anni. Durante tale periodo l’Autorità competente può avere la necessità di contattare l’operatore sanitario che ha rilevato l’incidente correlato all’azione correttiva”;

PRESO ATTO delle ragioni rappresentate dal Ministero in ordine alle motivazioni che hanno portato all’individuazione nello schema di decreto in esame dei tempi di conservazione dei dati dei pazienti e degli operatori sanitari;

RILEVATO che lo schema di decreto in esame dà attuazione a quanto indicato nella lett. b), del dispositivo del parere del Garante del 26 maggio 2022, n. 190;

RILEVATO che non risulta che allo stato sia stata data attuazione alla condizione riportata alla lett. a), primo alinea, del dispositivo del parere del Garante del 26 maggio 2022, in merito all’introduzione di “una specifica disposizione sulla protezione dei dati personali trattati nell’ambito delle attività funzionali alla fornitura o manutenzione dei dispositivi, tale da inibire l’accesso ai dati anagrafici e anamnestici del paziente, salva l’indispensabilità ai fini dell’erogazione del servizio di manutenzione e telediagnosi/teleintervento, rendendo comunque tracciabile ogni operazione di intervento/accesso”;

RITENUTO, pertanto, di dover ribadire la necessità che il Ministero della salute preveda in una specifica disposizione che sia inibito, nell’ambito delle attività funzionali alla fornitura o manutenzione dei dispositivi, l’accesso ai dati anagrafici e anamnestici del paziente, salva l’indispensabilità ai fini dell’erogazione del servizio di manutenzione e telediagnosi/teleintervento, rendendo comunque tracciabile ogni operazione di intervento/accesso, al fine di dare piena ottemperanza al predetto parere del 26 maggio 2022, n. 190;

RITENUTO di non dover formulare ulteriori osservazioni sullo schema di decreto trasmesso, atteso che i termini di conservazione ivi individuati sono ritenuti appropriati e proporzionati anche al fine di tutelare i diritti fondamentali e gli interessi delle persone fisiche correlate ai trattamenti dei dati personali;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal vice segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 58, par. 3, lett. c), del Regolamento, esprime parere favorevole sullo schema di decreto recante “Tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti con i dispositivi medici in vitro”, attuativo dell’art. 13, comma 9, del decreto legislativo 5 agosto 2022, n. 138.

Roma, 17 maggio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL VICE SEGRETARIO GENERALE
Filippi