[doc. web n. 10286868]

Parere sullo schema di decreto relativo all’istituzione del Registro nazionale diabete - 6 agosto 2026

Registro dei provvedimenti
n. 582 del 6 agosto 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componenti, e il dott. Claudio Filippi, vice segretario generale; 

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE-Regolamento generale sulla protezione dei dati (di seguito “Regolamento”) e, in particolare, l’articolo 36, paragrafo 4;

VISTO il Codice in materia di protezione dei dati personali, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (d.lgs. n. 196 del 30 giugno 2003, come modificato dal decreto legislativo 10 agosto 2018, n. 101 e dal d.l. 8 ottobre 2021, n. 139, convertito con modificazioni dalla legge. 3 dicembre 2021, n. 205, di seguito: “Codice”) e, in particolare, gli artt. 2-sexies e 154;

VISTO l’articolo 12, commi 10, 11, 13 e 14, del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221, recante “Ulteriori misure urgenti per la crescita del Paese”, relativo alla istituzione dei sistemi di sorveglianza e dei registri nel settore sanitario, come modificato dall’articolo 21 del decreto-legge 27 gennaio 2022, n. 4;

VISTO il d.P.C.M. 3 marzo 2017 “Identificazione dei sistemi di sorveglianza e dei registri di mortalità, di tumori e di altre patologie”;

VISTA la legge 16 marzo 1987, n. 115, recante “Disposizioni per la prevenzione e la cura del diabete mellito”;

VISTA la richiesta di parere del Ministero della salute sullo schema di decreto ex art. 12, comma 13 del d.l. 18 ottobre 2012, n. 179, convertito con modificazioni in legge 17 dicembre 2012, n. 221, per l’istituzione del Registro nazionale diabete (nota del 2 luglio 2026, prot. n. 22827);

VISTA la documentazione in atti;

VISTE le osservazioni rese ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000; 

Relatore dott. Agostino Ghiglia;

PREMESSO

Il Ministero della salute ha richiesto il parere del Garante sullo schema di decreto ex art. 12, comma 13 del d.l. 18 ottobre 2012, n. 179, convertito con modificazioni in legge 17 dicembre 2012, n. 221, per l’istituzione del Registro nazionale Diabete (di seguito anche solo “Registro”; nota del 2 luglio 2026, prot. n. 22827).

In via preliminare, si evidenzia che il quadro normativo di riferimento prevede che gli atti volti all’individuazione dei tipi di dati da raccogliere nei singoli registri e sistemi di sorveglianza, dei soggetti che possono avervi accesso e dei dati da questi conoscibili, delle operazioni eseguibili, nonché delle misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato, debbano essere specificati da uno o più decreti del Ministro della salute, adottati previo parere del Garante e previa intesa in sede di Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano (cfr. art. 12, comma 13 del d.l. n. 179 del 2012, così come modificato in base all’art. 21, comma 1, lett. l), della legge del 27 gennaio 2022, n. 4).

Il d.l. 179 del 2012 ha trovato preventiva parziale attuazione nel d.P.C.M. del 3 marzo 2017 (adottato previo parere del Garante del 23 luglio 2015 doc. web n. 4252386 in forza dell’art. 12, comma 11 del d.l. 179 del 2012) che, in particolare, ha specificato ulteriormente le finalità dei registri e dei sistemi di sorveglianza -già indicate nella normativa di rango superiore- (art. 3), fornito indicazioni sulle modalità di trattamento dei dati (art. 5) e previsto poi che siano individuati con l’atto normativo ivi indicato (attualmente un decreto ministeriale), per ciascun registro o sistema di sorveglianza da istituire i soli aspetti relativi ai soggetti che possono aver accesso ai sistemi di sorveglianza e ai registri, ai dati che possono conoscere e alle relative operazioni, nonché alle misure per la custodia e la sicurezza dei dati. 

RILEVATO

Lo schema di decreto istituisce presso il Ministero della salute il Registro nazionale diabete che consiste in un archivio “alimentato in maniera sistematica e continuativa, contenente i dati personali anagrafici e socio-sanitari di una popolazione, relativi a casi di diabete tipo 1, tipo 2, diabete gestazionale e altri tipi di diabete” (di seguito anche solo “Registro”).

Il Registro figura tra quelli già previsti dalla normativa vigente, a livello statale, ai sensi del d.P.C.M. del 3 marzo 2017 (Allegato A2, Elenco A2, Registri di patologia di rilevanza nazionale e regionale).

Lo schema di decreto si compone di un disciplinare tecnico (allegato 1) che ne forma parte integrante e di 15 articoli di seguito sintetizzati.

L’art. 1, reca il quadro definitorio, mentre l’art. 2 disciplina l’organizzazione ed il funzionamento del Registro e l’art. 3 individua le specifiche finalità sottese al trattamento dei dati contenuti nel Registro e le regole da osservare per il perseguimento di scopi di ricerca scientifica in campo medico, biomedico e epidemiologico, in conformità a quanto previsto dall’art. 110 del Codice e nel rispetto delle regole deontologiche per i trattamenti a fini statistici o di ricerca scientifica, di cui all’allegato A5 del medesimo decreto legislativo n. 196 del 2003.

Gli artt. 4 e 5 disciplinano le modalità della gestione operativa del Registro e i ruoli del trattamento, attribuendo la titolarità dei dati personali contenuti nel Registro in capo al Ministero della salute.

Gli artt. 7, 8 e 9 definiscono i tipi di dati raccolti nel Registro necessari al perseguimento delle finalità previste dalla legge, le modalità di acquisizione degli stessi e di trasmissione tra i centri di riferimento regionali e delle province autonome.

L’art. 6 rinvia al disciplinare tecnico e l’art. 11 descrive, assieme al predetto disciplinare, le misure di sicurezza tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio in coerenza con le disposizioni di cui agli articoli 25 e 32 del Regolamento.

L’art. 10, coerentemente con l’art. 2-septies, comma 8 del Codice, prevede che i dati del Registro possano essere diffusi solo in forma aggregata in modo da non consentire l’identificazione degli interessati.

Gli artt. 12 e 13 disciplinano il periodo di conservazione dei dati, i diritti degli interessati e le modalità con le quali viene garantita dal Ministero della salute l’osservanza alle disposizioni di cui agli art. 33 e 34 del Regolamento.

Le disposizioni finali sono dedicate alla copertura finanziaria (art. 14) e all’entrata in vigore (art. 15).

RITENUTO

Lo schema di decreto tiene conto delle plurime e specifiche indicazioni rese dall’Ufficio nell’ambito delle numerose interlocuzioni informali e di carattere tecnico-giuridico intercorse che hanno riguardato in particolare la necessità di:

- meglio specificare i richiami normativi contenuti nel preambolo ai fini della corretta individuazione della disciplina, di rango primario, di riferimento;

- chiarire il quadro definitorio con particolare riferimento ai centri di riferimento regionale e agli enti o strutture sanitarie e non sanitarie individuate dalla regione o provincia autonoma;

- garantire il rispetto dei principi di responsabilizzazione e di minimizzazione dei dati nella fase di accesso ai dati contenuti nel Registro sia da parte delle direzioni competenti del Ministero della salute, sia dei centri di riferimento regionali e delle province autonome;

- chiarire le specifiche finalità perseguite dai diversi soggetti coinvolti nel trattamento in conformità al dPCM 3 marzo 2017 e coerentemente alle funzioni istituzionali di ciascun ente;

- chiarire la corretta individuazione dei ruoli di protezione dei dati personali dei diversi soggetti che intervengono nelle operazioni di trattamento con particolare riferimento al ruolo di responsabile del trattamento dell’Istituto superiore di sanità e a quello di titolari dei Centri di riferimento regionali e delle Province autonome;

- meglio individuare le fonti dei dati che alimentano il Registro, tramite i registri delle regioni e delle province autonome e la cadenza con la quale viene alimentato il Registro;

- prevedere che, nelle more della realizzazione dell’Anagrafe nazionale degli assistiti (ANA), l'identificazione degli stessi debba essere assicurata attraverso l'allineamento con l'elenco degli assistiti gestito dal Sistema Tessera sanitaria, ai sensi dell'art. 50 del d.l. n. 269 del 2003, convertito, con modificazioni, dalla legge n. 326 del 2003;

- garantire un corretto ed idoneo periodo di conservazione dei dati rispetto alle finalità perseguite e che la diffusione degli stessi avvenga soltanto in forma aggregata;

- assicurare che il personale del Ministero della salute, autorizzato al trattamento, debba sottostare alle regole del segreto professionale e alle istruzioni stabilite dal titolare del trattamento e che il personale che accede ad altri flussi o banche di dati contenenti dati pseudonimizzati non acceda ai dati del Registro;

- prevedere l’adozione di un servizio di gestione delle minacce e delle vulnerabilità, di risposta ai security incident e di automazione delle operazioni di sicurezza (SOAR - Security orchestration, automation and response);

- prevedere la cifratura dei dati (at rest e in transit) mediante algoritmi robusti allo stato dell’arte tecnologico;

- verificare periodicamente l’adeguatezza delle misure di sicurezza, con cadenza almeno biennale, e in caso di incidenti di sicurezza informatica, anche effettuando test di sicurezza (Vulnerability Assessment, Penetration Test);

- adottare misure tecniche e organizzative adeguate ai fini di rilevare tempestivamente eventuali violazioni dei dati personali e adempiere alle previsioni di cui agli articoli 33 e 34 del Regolamento e, in  caso di incidenti di sicurezza che possano comportare rischi per i diritti e le libertà degli interessati, anche in relazione a trattamenti effettuati da altri soggetti, che ciascun titolare del trattamento fornisca tempestivamente a quest’ultimi ogni informazione utile ad agevolare l’adempimento degli obblighi in materia di violazioni dei dati personali di cui agli artt. 33 e 34 del Regolamento;

- garantire che solo gli aggiornamenti alle specifiche tecniche relative alle funzioni e ai servizi, che non incidano sui tipi di dati trattati e sulle operazioni eseguibili, possano essere pubblicati, sul sito internet del Ministero senza il previo parere del Garante;

- chiarire le garanzie per la sicurezza della trasmissione dei dati tra Centri di riferimento regionali qualora dispongano o meno di un sistema informativo in grado di interagire secondo logiche di cooperazione applicativa.

RITENUTO

Lo schema di decreto da ultimo trasmesso con la citata nota del 2 luglio 2026 e il disciplinare tecnico tengono conto delle osservazioni espresse dall’Ufficio nell’ambito delle numerose interlocuzioni informali che hanno preceduto l’invio dei testi in esame sopra evidenziate nel dettaglio rispetto alle quali sono state apportate specifiche e numerose modifiche nei testi da ultimo trasmessi volte a garantire, da una parte un equo bilanciamento tra il diritto alla protezione dei dati personali e il perseguimento delle specifiche finalità di interesse pubblico che si intendono perseguire attraverso l’istituendo Registro e dall’altra, che il quadro normativo di riferimento, sia di rango primario che secondario, risulti conforme alla disciplina in materia di dati personali con particolare riferimento all’art. 2-sexies del Codice.

TUTTO CIO’ PREMESSO IL GARANTE

ai sensi degli artt. 36, par. 4, 57, par. 1, lett. c), del Regolamento, dell’art. 12, comma 13 del d.l. del 18 ottobre 2012, n. 179, come da ultimo modificato con il d.l. 27 gennaio 2022, n. 4 e dell’art. 6 del d.P.C.M. 3 marzo 2017, esprime parere favorevole sullo schema di decreto relativo all’istituzione del Registro nazionale diabete. 

Roma, 6 agosto 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Ghiglia

IL VICE SEGRETARIO GENERALE
Filippi