VEDI ANCHE Newsletter del 28 febbraio 2025

[doc. web n. 10105743]

Parere su uno schema di decreto recante la disciplina dei trattamenti di dati personali nell’ambito della Piattaforma nazionale di telemedicina - 16 gennaio 2025

Registro dei provvedimenti
n. 2 del 16 gennaio 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (d.lgs. n. 196 del 30 giugno 2003, di seguito “Codice”);

VISTO l’articolo 12 del decreto-legge 18 ottobre 2012, n. 179, recante ”Fascicolo sanitario elettronico, sistemi di sorveglianza nel settore sanitario e governo della sanità digitale” e, in particolare, il comma 15-undecies, lett. g) che attribuisce ad Agenas la “gestione della piattaforma nazionale di telemedicina” e il comma 15-duodecies (introdotto dal d.l. n. 19 del 2024 convertito con modificazioni nella l. n. 56 del 2024) che prevede che la suddetta Agenzia avvii le attività relative alla raccolta e alla gestione dei dati utili anche pseudonimizzati, garantendo che gli interessati non siano direttamente identificabili;

VISTO quanto osservato dal Garante nel parere sul FSE 2.0 dell’8 giugno 2023 (doc. web n. 9900433) (cfr. par. 3.2.1);

VISTO il decreto del 7 settembre 2023, recante “Fascicolo sanitario elettronico 2.0”, su cui il Garante ha espresso il richiamato parere dell’8 giugno 2023;

VISTO il parere reso il 26 settembre 2024, n. 605, sullo schema di decreto del Ministero della salute, da adottare di concerto con Ministro dell'economia e delle finanze e con il Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all’innovazione tecnologica e la transizione digitale sull’Ecosistema Dati Sanitari (EDS), ai sensi dell’art. 12, comma 15-quater, del decreto-legge 18 ottobre 2012, n. 179, in attesa di pubblicazione;

VISTO il parere reso il 26 settembre 2024, n. 580, sullo schema di decreto del Ministero della salute redatto congiuntamente con il Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all’innovazione tecnologica e con il Ministro dell’Economia e delle Finanze, che modifica il decreto del Ministero della salute del 7 settembre 2023, introducendo una disciplina transitoria delle disposizioni sul FSE 2.0 (art. 27 - bis), in attesa di pubblicazione;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

Il Ministero della salute, con la nota del 10 dicembre 2024, prot. n. 17794, ha trasmesso al Garante, per il prescritto parere di competenza, lo schema di decreto, da adottare di concerto con Ministro dell'economia e delle finanze e con il Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all’innovazione tecnologica, recante la disciplina dei trattamenti di dati personali nell’ambito della Piattaforma nazionale di telemedicina di cui al PNRR, Missione 6 Salute, Componente 1, Sub-misura 1.2.3. “Telemedicina per un migliore supporto ai pazienti cronici”.

Con la nota del 12 dicembre 2024, prot. n. 146326, l’Ufficio ha rappresentato alle istituzioni proponenti che la documentazione trasmessa risultava priva della valutazione di impatto da redigere preventivamente al trattamento ai sensi dell’art. 35 del Regolamento e che, considerata la natura, l’oggetto, il contesto e le finalità del trattamento, nonché la larga scala dei soggetti interessati e l’uso di nuove tecnologie nel trattamento dei dati in esame la stessa deve intendersi obbligatoria. Con successiva nota del 13 dicembre 2024, prot. n. 18063, protocollata il 16 dicembre 2024, il Ministero della salute ha integrato la documentazione trasmessa con la valutazione d’impatto in ordine ai trattamenti in esame che, pur avendo permesso di valutare nel complesso il rispetto dei principi generali del trattamento ivi compreso quello di proporzionalità, non è oggetto del presente parere.

Lo schema di decreto si compone di 19 articoli, di seguito sinteticamente descritti.

Successivamente al quadro definitorio (art. 1), è descritta la piattaforma nazionale di telemedicina (PNT) e le sue articolazioni (Infrastruttura nazionale di telemedicina - INT e Infrastrutture regionali di telemedicina - IRT) (artt. 2 e 3), i servizi forniti dalla stessa (artt. 4 e 8) e la possibilità di accesso da parte dell’assistito (art. 5) e dei professionisti sanitari che lo prenderanno in cura (art. 6). Gli articoli 7 e 9 dello schema descrivono le modifiche al decreto del 7 settembre 2023 sul FSE 2.0 e allo schema di decreto sull’EDS, ancora non adottato, su cui il Garante ha reso il parere il 26 settembre 2024. Per i profili di protezione dei dati personali, specifiche disposizioni riguardano l’informativa e i diritti esercitabili dall’interessato (artt. 10 e 11), il periodo di conservazione dei dati (art. 12) e i ruoli del trattamento (art. 13).

Gli artt. 14 e 15 disciplinano gli aspetti legati alla sicurezza, mentre gli articoli finali concernono gli allegati, le disposizioni transitorie, gli oneri e l’entrata in vigore del decreto (artt. 16- 19).

Unitamente allo schema di decreto sono stati trasmessi 5 allegati, che ne costituiscono parte integrante e sono quindi oggetto del presente parere, concernenti: i dati e i documenti generati dalle IRT e conferiti al FSE (all. 1), le modifiche apportate all’allegato A) del decreto sull’EDS (all. 2), i servizi resi dalla PNT (all. 3), le misure di sicurezza (all. 4) e uno schema dell’architettura e dei flussi di dati tra FSE, EDS e PNT (all. 5).

In considerazione dell’attuazione del piano di investimento sul FSE del PNRR, il presente parere è reso nei termini indicati nell’art. 9, comma 7 del d. l. n. 139 del 2021 decorrenti dalla data di protocollazione dell’ultima documentazione ricevuta.

OSSERVA

1. Premessa.

Lo schema di decreto in esame, secondo quanto previsto dagli artt. 6 e 9 del Regolamento e dall’art. 2 sexies del Codice, dà attuazione a quanto previsto dall’art. 12, comma 15- undecies, lett. g) e h) del d.l. n. 179/2012 che attribuisce ad Agenas la “gestione della piattaforma nazionale di telemedicina” (di seguito PNT) e la valutazione delle tecnologie sanitarie (Health Technology Assessment - HTA) e al comma 15-duodecies (introdotto dal d. l. n. 19 del 2024 convertito con modificazioni nella l. n. 56 del 2024) che prevede che la suddetta Agenzia avvii le attività relative alla raccolta e alla gestione dei dati utili anche pseudonimizzati, garantendo che gli interessati non siano direttamente identificabili.

Lo schema di decreto, nel descrivere la PNT e le relative funzionalità, disciplina gli aspetti di protezione dei dati personali connessi ai trattamenti effettuati attraverso la suddetta Piattaforma.

Nel parere dell’8 giugno 2023 sul FSE 2.0 il Garante aveva evidenziato la necessità che fossero aggiornate le “Linee guida per i servizi di telemedicina - requisiti funzionali e livelli di servizio” (di seguito “Linee Guida”) approvate con decreto del Ministero della salute del 21 settembre 2022 (sul quale non era stato acquisito il parere del Garante) in funzione della nuova disciplina sul FSE 2.0 e delle disposizioni del Regolamento. Il decreto del Ministero della salute del 21 settembre 2022, infatti, aveva previsto interconnessioni di dati tra il FSE e le infrastrutture di telemedicina nazionale e regionali attraverso specifiche funzionalità e sistemi -tra cui l’EDS e il Gateway- descritti negli schemi di decreto oggetto di due pareri non favorevoli del Garante (pareri del 22 agosto 2022) che, invece, risultano assenti nella disciplina attualmente in vigore sul FSE (decreto del 7 settembre 2023). Era stato, inoltre, rilevato che nelle predette Linee Guida non era presente alcun riferimento alla disciplina sul trattamento dei dati personali e non erano stati individuati, come richiesto dal Regolamento e dal Codice, gli elementi essenziali del trattamento dei dati sulla salute effettuato attraverso i sistemi di telemedicina (artt. 6 e 9 del Regolamento e art. 2-sexies del Codice).

Lo schema di decreto in esame, considerati i riportati rilievi formulati dal Garante a giugno del 2023, nel dare attuazione a quanto previsto nel citato art. 12, commi 15- undecies, lett. g) e h) e 15-duodocies del d.l. n. 179/2012, tiene conto della nuova disciplina sul FSE 2.0, di quella sull’EDS e degli istituti del Regolamento, con particolare riferimento ai diritti dell’elevato numero di soggetti potenzialmente coinvolti (riconducibili al criterio della “larga scala”), nonché dei molteplici rilievi formulati dall’Ufficio nel corso delle numerosissime e frequenti interlocuzioni informali tenute con le istituzioni proponenti e l’Agenas e che hanno preceduto l’invio dello schema di decreto per la richiesta di parere.

Di seguito sono analizzati i principali aspetti di protezione dei dati personali connessi alla realizzazione della PNT oggetto di confronto con le istituzioni proponenti e l’Agenas.

2. Superamento delle criticità rilevate nel parere dell’8 giugno 2023 e aggiornamento delle “Linee guida per i servizi di telemedicina - requisiti funzionali e livelli di servizi” (art. 17 dello schema di decreto).

Lo schema di decreto individua, come richiesto dagli artt. 6 e 9 del Regolamento e dall’art. 2-sexies del Codice e menzionato dal Garante nel citato parere dell’8 giugno 2023, gli elementi essenziali dei trattamenti di dati personali sulla salute effettuati attraverso la PNT. In particolare, come evidenziato nei successivi paragrafi, sono stati specificati la tipologia di dati trattati e delle operazioni sugli stessi eseguibili, i motivi di interesse pubblico rilevante e le misure specifiche e appropriate per tutelare i diritti e gli interessi degli interessati.

Come premesso, alla luce del nuovo assetto della disciplina sul FSE dettata dal decreto del 7 settembre 2023, il Garante, considerata la natura dei dati trattati e la larga scala dei soggetti interessati, aveva rilevato la necessità che il Ministero della salute procedesse a una revisione delle citate Linee Guida (cfr. parere dell’8 giugno 2023, par. 3.2.1).

Al riguardo, lo schema di decreto in esame supera il rilievo formulato dall’Autorità nel 2023 in quanto prevede che i trattamenti dei dati personali effettuati dalla PNT per finalità diverse da quelle di diagnosi, cura e riabilitazione descritti nelle richiamate Linee Guida siano sospesi fino all’aggiornamento delle medesime con decreto da adottare previo parere dell’Autorità Garante per la protezione dei dati personali (art. 17, comma 1 dello schema di decreto).

3 Ambito di applicazione e caratteristiche della Piattaforma Nazionale di Telemedicina (PNT) (premessa e artt. 2, 3 e 4 dello schema di decreto, all. 2 e 3).

Nell’ambito delle interlocuzioni informali intercorse con il Ministero della salute e Agenas è stata rilevata l’esigenza che lo schema di decreto in esame evidenziasse il relativo ambito di applicazione con particolare riferimento alla circostanza che le regioni e le province autonome, nell’ambito della loro autonomia, possano erogare prestazioni di telemedicina con modalità diverse da quelle descritte nel suddetto decreto, purché ciò avvenga mediante infrastrutture certificate da Agenas ai sensi dell’articolo 12, comma 15-undecies, lett. d), del d.l. n. 179 del 2012 e che garantiscano l’alimentazione del FSE 2.0 con i dati e documenti relativi alle predette prestazioni (cfr. premesse allo schema di decreto e art. 3 comma 4 dello schema di decreto).

Ciò stante, per i profili di protezione dei dati personali, si evidenzia che lo schema di decreto disciplina i trattamenti di dati personali effettuati attraverso la PNT e le relative articolazioni regionali (IRT), al fine di offrire servizi minimi di telemedicina alle regioni e province autonome che intendano avvalersene, ferma restando, dunque, la facoltà delle stesse di erogare prestazioni di telemedicina con modalità diverse da quelle ivi descritte nel rispetto della disciplina sulla protezione dei dati personali e di quella di settore.

In merito alla Piattaforma Nazionale di Telemedicina (PNT) è stato specificato che la stessa è istituita presso Agenas e che è articolata nella Infrastruttura Nazionale di Telemedicina (INT) e nelle Infrastrutture regionali di telemedicina (IRT) (cfr. art. 2 dello schema di decreto).

In particolare, la PNT, attraverso la INT e le IRT, offre servizi per l’erogazione di prestazioni sanitarie da parte degli operatori sanitari nel processo di cura erogate in telemedicina, secondo le modalità descritte nel successivo paragrafo (art. 2 dello schema di decreto).

Nello specifico, la INT è l’articolazione della PNT che offre alle IRT servizi abilitanti a supporto del processo di cura e nell’erogazione delle prestazioni di telemedicina creando un livello di interoperabilità che garantisce standard comuni ai predetti servizi sviluppati dalle regioni e province autonome. Tali servizi si sostanziano in:

un modulo “Gestore soluzioni telemedicina – GST” che assiste, nel processo di validazione, gli erogatori di servizi di telemedicina che interoperano con l’ecosistema sanitario digitale nazionale;

un “Glossario delle terminologie (Business Glossary)” che comprende un insieme di cataloghi, linee di indirizzo, PDTA e protocolli che promuovono l’uniformità nei processi ed è composto da diversi moduli, quali: il Servizio Terminologico (Terminology Server) per la creazione e la gestione delle risorse FHIR terminologiche (Fast Healthcare Interoperability Resources) (sistemi di codifica, insieme di valori, mappa concettuale); il sistema di archiviazione Librerie Conoscenza Clinica (Library Repository) ovvero il sistema di archiviazione FHIR delle risorse con cui sono modellate le linee guida, PDTA e protocolli; linee di indirizzo, PDTA e protocolli; uno strumento di creazione contenuti (Authoring Tool) per la creazione delle linee d’indirizzo, PDTA e processi pubblicati sul sistema di archiviazione sul Library Repository.

Per i profili di protezione dei dati è stato specificato che, per tale funzione, la INT non effettua trattamenti di dati personali (artt. 3, comma 1 e 4 dello schema di decreto).

Le IRT, invece, sono articolazioni funzionali della PNT attraverso le quali sono erogate le prestazioni sanitarie in telemedicina (art. 3, comma 2 dello schema di decreto). L’accesso ai servizi minimi di telemedicina avviene attraverso la IRT della regione di assistenza (RdA), ad eccezione degli assistiti per i quali non risulta associata una regione di assistenza, per i quali la IRT della regione di erogazione (RdE) garantisce l’erogazione dei servizi minimi.

Su richiesta dell’Ufficio è stato specificato che, per assicurare la piena operatività dei servizi minimi di telemedicina che necessitano di interoperabilità tra IRT di Regioni o Province autonome diverse da quella di assistenza, la INT, per mezzo di uno specifico modulo a disposizione delle strutture, assicura, senza meccanismi di persistenza di dati, l’interoperabilità delle IRT interessate, al fine di garantire la trasmissione dei dati, immagini e documenti, nel rispetto delle misure di sicurezza che sono state indicate nell’allegato 4 (art. 3, comma 5 dello schema di decreto).

In coerenza con le disposizioni in materia di protezione dei dati personali previste nella disciplina sul FSE 2.0 e sull’EDS, le IRT delle RdE consentono, previo consenso dell’assistito, l’erogazione dei servizi di telemedicina e la conseguente generazione di dati e documenti che saranno poi conferiti al FSE e all’EDS (art. 3, comma 6 dello schema di decreto).

4  I servizi resi disponibili dalla PNT per finalità di cura e le connesse modifiche alla disciplina sul FSE 2.0 (preambolo, artt. 3, 4, 6, 7 e 12 dello schema di decreto allegati 1, 2, 3 e 5).

Le IRT delle RdE consentono, previo consenso dell’assistito, l’erogazione dei servizi di telemedicina e la conseguente generazione di dati e documenti che saranno conferiti al FSE e all’EDS secondo le modalità descritte nei relativi decreti (artt. 3, commi 6 e 4 dello schema di decreto). Le IRT non conserveranno i dati e i documenti che saranno generati per l’erogazione dei predetti servizi (art. 12 dello schema di decreto).

Pertanto, come illustrato nell’allegato 5 allo schema di decreto, i dati e i documenti relativi alle prestazioni erogate in telemedicina attraverso la PNT alimenteranno il FSE, e, di conseguenza, l’EDS; tali dati personali potranno essere consultati, attraverso il FSE o l’EDS, dai professionisti sanitari solo se l’interessato preso in cura avrà manifestato i consensi previsti dalla disciplina sul FSE 2.0 e sull’EDS (cfr. allegato 5 e art. 4 dello schema di decreto).

In particolare, nel corso delle interlocuzioni informali con il Ministero della salute è emersa la necessità di prevedere -per lo specifico ambito della telemedicina- ulteriori servizi dell’EDS relativi, in particolare, alla consultazione dei dati e documenti relativi alle prestazioni di telemedicina per finalità di cura, proprio al fine di agevolare l’attività dei professionisti sanitari e garantire un rapido inquadramento clinico del paziente (cfr. preambolo).

Al riguardo, si prende atto che per fini di cura sono stati previsti nello schema di decreto esclusivamente servizi di consultazione dei dati e non di estrazione, al fine di superare i rilievi mossi dall’Ufficio con riferimento al fatto che l’estrazione dei dati da parte del professionista sanitario avrebbe potuto vanificare il diritto di oscuramento eventualmente esercitato dall’interessato sui dati del FSE in un momento successivo all’estrazione dei dati da parte del professionista. Analoghe perplessità erano state manifestate con riferimento alla eventuale revoca del consenso dell’interessato (cfr. allegato 2).

Al fine di assicurare che il FSE, e a seguire l’EDS, siano alimentati anche con i dati relativi alle prestazioni di telemedicina lo schema di decreto modifica l’art. 3 del decreto del 7 settembre 2023 prevedendo che il FSE si alimenti anche con i dati e i documenti relativi alla televisita, teleconsulto, teleassistenza/teleriabilitazione e telemedicina (cfr. allegato 1).

Al fine di anticipare l’erogazione dei servizi da parte di EDS per il solo ambito della telemedicina e rispettare quanto indicato dall’Autorità nei pareri sull’EDS e sulla disciplina transitoria del FSE 2.0 adottati il 26 settembre 2024, la completa alimentazione del FSE con tali dati è stata anticipata alla fase II (30 settembre 2025) prevista dal decreto che introduce una disciplina transitoria delle disposizioni sul FSE 2.0, ancora non adottato (art. 7 comma 1 dello schema di decreto).

È stato previsto che le strutture sanitarie e i medici convenzionati con il SSN, nonché gli esercenti le professioni sanitarie anche al di fuori del SSN, che prenderanno in cura l’assistito, possano accedere alla IRT della RdE attraverso gli applicativi esistenti o con soluzioni integrate, in forma protetta e riservata, utilizzando gli strumenti di cui all’articolo 64 del CAD (art. 6).

È stato poi disciplinato, su sollecitazione dell’Ufficio, che le IRT consentano l’accesso al FSE e all’EDS oltre che all’assistito anche ai professionisti sanitari al fine di supportare il processo di cura in telemedicina. In tal caso è stato accolto l’invito dell’Ufficio di garantire che l’accesso di tali soggetti avvenga secondo i rispettivi profili autorizzativi e nel rispetto delle misure previste nel decreto EDS e nel decreto FSE 2.0 in merito ai limiti soggettivi e oggettivi di accesso (art. 4, comma 5 dello schema di decreto).

Su richiesta dell’Ufficio è stato, inoltre, specificato che la INT metta a disposizione del Portale Nazionale per la Diffusione della telemedicina un servizio per l’accesso ai soli dati aggregati per tipologia di prestazioni, mese e distretto di erogazione (art. 3, comma 8 dello schema di decreto).

5. I servizi resi disponibili dalla PNT per finalità di governo e le modifiche alla disciplina sull’EDS (preambolo, art. 9 e allegato 2 allo schema di decreto).

Nel corso delle interlocuzioni intercorse, le istituzioni proponenti hanno manifestato la necessità di estendere anche alle prestazioni di telemedicina i servizi di estrazione dei dati per finalità di governo e programmazione già previsti nello schema di decreto sull’EDS su cui il Garante ha espresso il parere il 26 settembre 2024, al fine di consentire al Ministero della salute, ad Agenas e alle regioni e province autonome di estrarre dati pseudonimizzati per tipologia di servizio di telemedicina erogato (cfr. preambolo e art. 9 dello schema di decreto).

Al riguardo, si prende atto che lo schema di decreto supera la preliminare visione della PNT, e in particolare della INT, quale banca dati in cui far confluire i dati estratti dall’EDS relativi alle prestazioni rese in telemedicina. Nelle interlocuzioni intercorse con le istituzioni proponenti è stato convenuto che nessuna disposizione vigente individuasse la PNT come una banca dati; lo stesso articolo 12 del d.l. n. 179/2012, nel prevedere l’EDS come una banca dati, ne ha espressamente disciplinato il sistema di alimentazione. Sul punto, l’Ufficio ha inoltre evidenziato i rilevanti rischi derivanti dalla visione della PNT come banca dati in quanto ciò avrebbe comportato un’ulteriore estrazione e, quindi, duplicazione, nella PNT/INT, dei dati relativi alle prestazioni di telemedicina già presenti in EDS. La predetta duplicazione avrebbe comportato anche rischi legati all’aggiornamento, all’esattezza dei dati e delle manifestazioni di volontà dell’interessato relative all’oscuramento e alla revoca del consenso.

A seguito di tali interlocuzioni è stata pertanto modificata l’impostazione iniziale prevedendo, nello schema in esame, che: i dati personali siano conservati in EDS e non siano duplicati in INT; i servizi di elaborazione dei dati siano effettuati, su richiesta delle predette istituzioni, non più da INT bensì da EDS che fornirà alle stesse dati pseudonimizzati estratti secondo le caratteristiche richieste.

Pertanto, i citati enti potranno estrarre solo i dati pseudonimizzati (previa elaborazione di EDS), evitando duplicazioni ed ulteriori elaborazioni di dati da parte di INT.

Al riguardo, su richiesta dell’Ufficio, è stata inserita nello schema di decreto una specifica garanzia per il rispetto dei principi di aggiornamento, esattezza e correttezza dei dati: i servizi di estrazione, infatti, consentiranno alle predette istituzioni di estrarre i dati elaborati da EDS con una frequenza massima di una volta nelle ventiquattro ore e un tempo di conservazione di massimo ventiquattro ore dall’estrazione, superato il quale i dati estratti dovranno essere cancellati in modo sicuro e definitivo (art. 9 dello schema di decreto).

È stata, quindi, anche superata la criticità relativa alla mancata individuazione di termini certi in ordine alla conservazione dei dati estratti a seguito della elaborazione di EDS già rilevata nel parere del 2023.

La previsione di tali nuovi servizi di EDS ha determinato la necessità di modificare lo schema di decreto sull’EDS, ancora non adottato, sia nell’articolato, sia nell’allegato A, con riferimento al quale si rinvia alle osservazioni formulate nel parere espresso dall’Autorità il 26 settembre 2024, n. 605.

6. I trattamenti effettuati da Agenas attraverso la PNT (artt. 2, 3 e 8 e dello schema di decreto e allegati 2 e 3).

In considerazione dei compiti attribuiti, da ultimo nel 2024, ad Agenas in materia di telemedicina e di valutazione delle tecnologie sanitarie HTA (Health Tecnology Assessment) (art. 12, commi 15- duodecies e 15-undecies, lettera g) e h) del d.l. n. 179 del 2012) e, in particolare, di quanto indicato dall’art. 12, comma 15-duodecies (introdotto dal d. l. n. 19 del 2024 convertito con modificazioni nella l. n. 56 del 2024) secondo cui la suddetta Agenzia può avviare le attività relative alla raccolta e alla gestione dei dati utili anche pseudonimizzati, garantendo che gli interessati non siano direttamente identificabili, l’EDS renderà disponibili alla predetta Agenzia specifici servizi di estrazione di dati previamente elaborati, a cui la stessa potrà accedere nel rispetto dei principi di minimizzazione, necessità e pertinenza (artt. 2, comma 5, 3 commi 7 e 8 e 8 dello schema di decreto e allegato 2).

Su richiesta dell’Ufficio, in coerenza con il quadro normativo in materia di protezione dei dati personali e delle disposizioni di settore sopra richiamate, è stato specificato che l’accesso è consentito ai soli dati privati degli elementi identificativi diretti, pseudonimizzati in modo irreversibile, nonché a dati aggregati, in modo automatico, senza intervento umano e con una frequenza massima di una volta nelle ventiquattro ore (art. 8, comma 3 dello schema di decreto).

A tutela delle informazioni trattate e in coerenza con la disciplina sul FSE 2.0 e sull’EDS sono state previste come ulteriori misure di garanzia che il personale dell’Agenas che, per altre finalità, accede a flussi di dati pseudonimizzati, non acceda ai dati messi a disposizione dai servizi dell’EDS per finalità di governo e che i predetti dati siano conservati da Agenas per un tempo massimo di ventiquattro ore dall’estrazione superato il quale devono essere cancellati in modo sicuro e definitivo (art. 8 commi 4 e 6 dello schema di decreto).

Su richiesta dell’Ufficio è stato espunto, nell’allegato 3, il riferimento all’elaborazione da parte dell’Agenzia dei dati estratti dall’EDS mediante sistemi di intelligenza artificiale (algoritmi di machine learning).

Ulteriore trattamento disciplinato riguarda l’elaborazione effettuata giornalmente dall’Agenzia dei dati estratti mediante la INT, al fine di produrre ed esporre appositi cruscotti che consentono di visualizzare i relativi indicatori (privi di dati personali) (artt. 2, comma 5, 3, comma 8 e 8, comma 5 dello schema di decreto). Tale trattamento è funzionale all’elaborazione degli indicatori necessari al perseguimento delle finalità di monitoraggio dell’erogazione dei servizi di telemedicina, ivi incluse la valutazione delle tecnologie sanitarie HTA, per il raggiungimento dei target e milestone, di cui alla Missione 6, Componente 1, PNRR, sub-investimento 1.2.3 "Telemedicina", e alla fissazione e all’aggiornamento delle relative tariffe.

7. I ruoli del trattamento (artt. 2, 5, 6 e 13 dello schema di decreto).

Nel corso delle richiamate interlocuzioni l’Ufficio ha evidenziato la necessità che, nello schema di decreto, i ruoli del trattamento fossero ben individuati e determinati in coerenza con la disciplina del FSE e dell’EDS, nonché con le specifiche finalità e compiti attribuiti ai diversi soggetti coinvolti.

In particolare, in considerazione delle funzioni e dei compiti attribuiti dall’art. 12, comma 15-undecies, lettere g) e h) e dal comma 15-duodecies del d.l. n. 179 del 2012, Agenas è titolare dei trattamenti effettuati dalla INT limitatamente a quelli indicati nell’art. 2, comma 5 dello schema di decreto (artt. 2, comma 2 e 13 dello schema di decreto).

La titolarità dei trattamenti svolti dalle infrastrutture regionali (IRT) è stata attribuita alle Regioni e alle Province autonome (artt. 2, comma 3 e 13 dello schema di decreto).

Su richiesta dell’Ufficio è stato inoltre specificato che le RdA (RdE nel caso di assistiti per i quali non risulta associata una RdA) sono titolari dei trattamenti necessari a consentire l’identificazione e l’autenticazione informatica dell’assistito, o di un suo delegato, ai servizi offerti dalle IRT, nonché del tracciamento delle operazioni svolte (file di log) (art. 5, comma 5 dello schema di decreto).

Per le finalità di cura perseguite attraverso i servizi minimi di telemedicina offerti dalla PNT, utilizzando i servizi applicativi messi a disposizione dalle IRT, sono stati considerati titolari le strutture, i medici convenzionati con il SSN, nonché gli esercenti le professioni sanitarie anche al di fuori del SSN, che prenderanno in cura l’interessato (art. 6 comma 2 dello schema di decreto).

In coerenza con quanto sopra indicato, le RdE sono titolari dei trattamenti necessari a consentire l’identificazione e l’autenticazione informatica del soggetto che accede alla IRT per finalità di cura (art. 6, comma 2 dello schema di decreto).

8. I principi di trasparenza e di limitazione della conservazione e l’esercizio dei diritti da parte dell’interessato (preambolo, artt. 5, 10, 11, 12 e 17 comma 3 dello schema di decreto).

Nel corso delle interlocuzioni che hanno preceduto l’invio dello schema di decreto l’Ufficio ha evidenziato la necessità che fosse rispettato il principio di trasparenza di cui all’art. 5 del Regolamento fornendo all’interessato le informazioni in ordine ai trattamenti effettuati tramite la PNT.

È stato, pertanto, previsto che sia fornita all’interessato un’idonea informativa che espliciti i trattamenti dei dati effettuati attraverso la PNT con particolare riferimento alla INT, anche integrando l’informativa prevista per il FSE 2.0 e l’EDS (art. 10 dello schema di decreto). Al riguardo, è stato disciplinato che, all’entrata in vigore del decreto in esame, il Portale Nazionale FSE presenti, al primo accesso dell’assistito, l’informativa delle IRT e l’informativa del FSE integrata (art. 17, comma 3 dello schema di decreto).

I titolari delle IRT sono tenuti a fornire all’interessato l’informativa relativa ai trattamenti effettuati attraverso le stesse, che sarà ad ogni buon conto pubblicata sul portale web dedicato e messa a disposizione dell’assistito in fase di autenticazione e accesso alla IRT (art. 10, commi 2 e 3 dello schema di decreto).

Su proposta dell’Ufficio è stato inoltre previsto che, al fine di garantire all’interessato informazioni omogenee e uniformi nel territorio nazionale, Agenas predisponga, in collaborazione con le regioni e province autonome, un modello di informativa per i trattamenti svolti mediante le IRT da rendere disponibile attraverso la pubblicazione sull’area pubblica del portale web dedicato (art. 5, comma 4 dello schema di decreto). Su tale modello, e sui successivi aggiornamenti, è stata prevista l’acquisizione del preventivo parere del Garante (art. 5, comma 5 dello schema di decreto).

Come richiesto dall’Ufficio è stato anche previsto che nell’informativa il titolare comunichi all’interessato le modalità di esercizio dei diritti previsti dagli articoli 15, 16 e 18 del Regolamento, relativamente ai dati di autenticazione e accesso ai servizi minimi di telemedicina offerti dalla IRT della RdA (art. 11 dello schema di decreto).

In conformità ai principi di trasparenza e correttezza è stato poi specificato che i diritti di accesso, integrazione, rettifica, oscuramento e aggiornamento dei dati generati dalle IRT, conferiti al FSE siano esercitabili soltanto sui documenti e dati del FSE, ai sensi dell’art. 9 del decreto ministeriale 7 settembre 2023, al fine di assicurare un aggiornamento sistematico delle informazioni personali trattate da tali sistemi (art. 11, comma 2 dello schema di decreto).

Lo schema di decreto prevede che l’interessato possa accedere alla IRT della RdA, (ovvero alla IRT della RdE per gli assistiti senza RdA), attraverso un portale web dedicato, in forma protetta e riservata, utilizzando gli strumenti di identità digitale di cui all’articolo 64 del CAD. Su richiesta dell’Ufficio sono state previste le medesime misure di garanzia indicate nel decreto del 7 settembre 2023 con riferimento all’accesso del minore e dei soggetti sottoposti a tutela (art. 5, commi 1- 4 dello schema di decreto).

Nel corso delle interlocuzioni informali con le istituzioni proponenti è stata ribadita la necessità di prevedere un periodo di conservazione concreto non potendo ritenersi conforme alla disciplina sulla protezione dei dati un generico rinvio al concetto di necessità.

Alla luce di tali osservazioni è stato stabilito il periodo di conservazione dei dati della INT in coerenza con quanto previsto dal citato decreto 7 settembre 2023, concernente il FSE 2.0 (cfr. preambolo).

I dati personali relativi all’autenticazione e all’accesso ai servizi minimi di telemedicina, offerti dalla IRT, saranno conservati per dodici mesi (art. 12 dello schema di decreto.

9. Le misure di sicurezza (artt. 14 e 15 dello schema di decreto e allegato 4).

Nel corso delle interlocuzioni che hanno preceduto l’invio dello schema di decreto l’Ufficio ha evidenziato la necessità che fosse valutata l’applicabilità delle misure di cui all’articolo 15 dello schema di decreto alle diverse componenti della PNT e alle operazioni effettuabili.

Considerata la diversità dei trattamenti effettuati dalla INT e dalle IRT e dei relativi rischi connessi, è stato richiesto dall’Ufficio di specificare nello schema di decreto che le misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio in coerenza con le disposizioni di cui agli articoli 25 e 32 del Regolamento, fossero diversificate per le IRT e la INT.

Inoltre, in coerenza con la disciplina sul FSE 2.0, è stato richiesto di indicare, nell’allegato dedicato, le misure che le IRT devono adottare per assicurare standard di sicurezza omogenei sul territorio nazionale.

L’allegato 4 è stato oggetto di numerose proposte di integrazione e riformulazione al fine di prevedere:

misure idonee ad attenuare il rischio connesso all’utilizzo fraudolento di identità digitali, suscettibili di comportare accessi abusivi e non autorizzati ai diversi sistemi e servizi, non solo per i trattamenti svolti dalla INT ma anche e soprattutto dalle IRT dove saranno effettuati i trattamenti di dati sanitari individuali (par. 3);

la cifratura dei dati (at rest e in transit) mediante algoritmi robusti allo stato dell’arte tecnologico;

introduzione di IPS (Intrusion Prevention System);

il monitoraggio degli eventi di sicurezza e gestione di possibili incidenti anche mediante utilizzo di SIEM (Security Information and Event Management) e SOAR (Security orchestration, automation and response);

la tracciabilità delle operazioni di cui all’articolo 14 dello schema di decreto mediante la registrazione delle operazioni in appositi file di log, ai fini della verifica della correttezza e legittimità del trattamento dei dati, protetti con idonee misure contro ogni uso improprio e conservati per un tempo definito (24 mesi) (par. 6);

specifiche misure per le IRT (par. 7) in aggiunta a quelle previste dal “capitolo 5 dell’Allegato 1 - Capitolato Tecnico della procedura aperta, ai sensi dell’art. 60 del d.lgs. n. 50/2016, per la stipula di un accordo quadro per l’affidamento del servizio di infrastruttura regionale di telemedicina - aria_2023_807” quali la verifica regolare dell’efficacia delle misure tecniche e organizzative adottate tenuto conto dello stato dell’arte tecnologico e delle variazioni del rischio presentato dalle attività relative ai trattamenti e la conservazione dell'inventario delle componenti software in uso comprensive delle librerie di terzi e/o open source in modo da poter rispondere più tempestivamente in caso di segnalazioni di vulnerabilità (SBOM SW bill of materials);

specifiche misure per le principali componenti del nodo di interoperabilità (NIT) e i relativi trattamenti non limitandosi al mero richiamo di buone pratiche di progettazione e approccio (par. 8).

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 58, par. 3, lett. b), del Regolamento e dell’art. 9, comma 7, del d. l. n. 139 del 2021, nel richiamare integralmente quanto osservato nei pareri del 26 settembre 2024 (n. 580 e 605) e, in particolare, la condizione formulata nel parere sull’EDS, esprime parere favorevole sullo schema di decreto del Ministero della salute, da adottare di concerto con Ministro dell'economia e delle finanze e con il Sottosegretario di Stato alla Presidenza del Consiglio dei Ministri con delega all’innovazione tecnologica recante la disciplina dei trattamenti di dati personali nell’ambito della infrastruttura Piattaforma nazionale di telemedicina che modifica anche il decreto del Ministero della salute del 7 settembre 2023 e lo schema di decreto sull’Ecosistema Dati Sanitari (EDS), ancora non adottato, su cui il Garante ha espresso il proprio parere il 26 settembre 2024 (n. 605).

Roma, 16 gennaio 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei