g-docweb-display Portlet

Parere sullo schema di decreto legislativo, recante disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2017/746, relativo ai dispositivi medico-diagnostici in vitro - 26 maggio 2022 [9789069]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9789069]

Parere sullo schema di decreto legislativo, recante disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2017/746, relativo ai dispositivi medico-diagnostici in vitro - 26 maggio 2022

Registro dei provvedimenti
n. 190 del 26 maggio 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il dott. Claudio Filippi, vice segretario generale;

Vista la richiesta di parere della Presidenza del Consiglio dei ministri -Dipartimento per gli affari giuridici e legislativi;

Visto il Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito: “Regolamento”) e, in particolare, l’articolo 36, paragrafo 4;

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo n. 196 del 2003, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito Codice) e, in particolare, l’articolo 154, comma 5;

Vista la documentazione in atti;

Viste le osservazioni del segretario generale, rese ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

La Presidenza del Consiglio dei Ministri- Dipartimento per gli affari giuridici e legislativi ha richiesto il parere del Garante su di uno schema di decreto legislativo, recante disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2017/746, relativo ai dispositivi medico-diagnostici in vitro e che abroga la direttiva 98/79/CE e la decisione 2010/227/UE della Commissione, nonché per l’adeguamento alle disposizioni del regolamento (UE) 2022/112 che modifica il regolamento (UE) 2017/746 per quanto riguarda le disposizioni transitorie per determinati dispositivi medico-diagnostici in vitro e l’applicazione differita delle condizioni concernenti i dispositivi fabbricati internamente.

Lo schema di decreto legislativo è stato predisposto in attuazione della delega legislativa conferita al Governo dall’articolo 15 della legge n. 53 del 2021 (“Delega al Governo per il recepimento delle direttive europee e l’attuazione di altri atti dell’Unione europea – Legge di delegazione europea 2019-2020”) e, in linea con i principi e criteri direttivi ivi sanciti, aggiorna e adegua la disciplina interna, conformandola a quanto previsto dal Regolamento (UE) 2017/746 del 5 aprile 2017, relativo ai dispositivi medico-diagnostici in vitro (infra: “regolamento 2017/746”).

A tal fine, lo schema dispone l’abrogazione (differita per alcune disposizioni) del decreto legislativo 8 settembre 2000, n. 332, recante attuazione della direttiva 98/79/CE, in materia di dispositivi medico-diagnostici in vitro.

L’oggetto della delega legislativa (che il citato articolo 15 estende all’adeguamento dell’ordinamento interno alle disposizioni del regolamento (UE) 2017/745, relativo ai dispositivi medici), concerne la disciplina di contenuti, tempistiche e modalità di registrazione delle informazioni che fabbricanti e distributori ed utilizzatori sono tenuti a comunicare al Ministero della salute; il riordino del meccanismo di definizione dei tetti di spesa; il sistema sanzionatorio; l’individuazione di modalità di tracciabilità dei dispositivi medico-diagnostici in vitro attraverso il riordino e la connessione delle banche dati esistenti in conformità al Sistema unico di identificazione del dispositivo (sistema UDI); l’efficientamento dei procedimenti di acquisto tramite articolazione e rafforzamento delle funzioni di Health Technology Assessment (HTA), l’adeguamento delle attività dell’Osservatorio dei prezzi di acquisto dei dispositivi, nonché della disciplina dei trattamenti  di  dati  personali  effettuati  in applicazione dei due regolamenti alle disposizioni del Regolamento e alla “normativa  vigente  in  materia  di  tutela  dei  dati  personali   e sensibili”.

Tale adeguamento, in particolare, si rende necessario dal momento che il regolamento 2017/746 è stato adottato prima dell’entrata in vigore del nuovo quadro giuridico europeo e, dunque, reca riferimenti alla sola direttiva 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.

RILEVATO

Lo schema di decreto legislativo, in linea generale, introduce alcune disposizioni necessarie alla disciplina della governance delle attività funzionali all’immissione sul mercato, alla messa a disposizione e in servizio dei dispositivi medico-diagnostici in vitro e all’adempimento, da parte degli operatori economici, degli obblighi sanciti nei loro confronti dalla normativa unionale.

Di particolare interesse risulta l’articolo 3, che in attuazione dell’articolo 96 del regolamento 2017/746, designa il Ministero della salute quale autorità competente in ordine agli adempimenti e all’esercizio di potestà amministrative in materia di dispositivi medico-diagnostici in vitro, oltre che “autorità responsabile degli organismi notificati”, nel rispetto delle prescrizioni e degli adempimenti stabiliti dall’articolo 31 del regolamento 2017/746 e facendo salvo quanto disposto dalla normativa nazionale in ordine alla costituzione di tali organismi.

Il medesimo articolo, al comma 3, prevede poi restino in capo al Ministero dello sviluppo economico le competenze connesse al sistema informativo NANDO (New Approach Notified and Designated Organisations) sia quale punto di contatto nazionale sia per gli aspetti legati alla commercializzazione dei dispositivi.

L’articolo 4 disciplina la messa a disposizione sul mercato e la messa in servizio dei dispositivi medico-diagnostici in vitro, nonché gli obblighi degli operatori economici. Il comma 2 dell’articolo 4 – nel richiamare la deroga concessa dall’articolo 5, paragrafo 5 del regolamento 2017/746  ai dispositivi fabbricati e utilizzati esclusivamente in istituzioni sanitarie stabilite nell’Unione – attribuisce al Ministero della salute il potere di richiedere, alle  istituzioni sanitarie (come definite dall’articolo 2, n. 29 del regolamento 746), la trasmissione di eventuali altre informazioni che ritenga di richiedere, anche sulla base delle indicazioni ricevute dagli enti e organi di consulenza.

In relazione alla registrazione in Eudamed da parte degli operatori economici, prima dell’immissione sul mercato, del dispositivo-diagnostico in vitro, l’articolo 9 rinvia all’articolo 28 del regolamento 746, il cui paragrafo 1 disciplina il contenuto delle informazioni da fornire a tal fine e le relative modalità e tempistiche, che tengono conto dell’eventualità che la procedura di valutazione della conformità richieda l’intervento di un organismo notificato. Per gli aspetti procedurali della registrazione, si rinvia anche all’articolo 27, commi 1 e 3, del regolamento 746.

Si disciplinano, inoltre, i poteri di verifica del Ministero della salute e le facoltà di utilizzazione dei dati di cui all’articolo 28 del regolamento 746 per introdurre, con decreto, una tariffa a carico del fabbricante, del mandatario e dell’importatore.

L’articolo 10 individua nel Ministero della salute, negli organismi notificati, negli operatori economici e negli sponsor i soggetti tenuti all’inserimento dei dati nella Banca dati dei dispositivi medici (Eudamed) predisposta dalla Commissione ai sensi dell’articolo 30 del regolamento, rinviando per il contenuto alle disposizioni che disciplinano i vari sistemi informativi. Si sancisce inoltre, in capo al Ministero della salute, l’onere di garantire l’adozione di misure informatiche finalizzate a favorire la connessione dei descritti sistemi informativi con la Banca Dati Eudamed.

L’articolo 11 impone al distributore, per il territorio italiano, dei dispositivi medico-diagnostici in vitro, diversi dai dispositivi su misura, di registrarsi nella banca dati nazionale, conferendo i propri dati e l’identificazione dei dispositivi presenti in Eudamed in conformità al Sistema di identificazione unica.

I distributori e gli importatori di dispositivi medici sono, poi, tenuti a conferire al Ministero della salute le informazioni e la documentazione relative ai dispositivi rietichettati e riconfezionati.

La norma legittima, inoltre, gli operatori economici già registrati che intendano mettere a disposizione del Servizio sanitario nazionale dispositivi medico-diagnostici in vitro, a rendere disponibili nella banca dati nazionale i propri dati e i dati relativi ai dispositivi presenti in Eudamed, identificati in conformità al Sistema di identificazione unica del dispositivo (UDI). Per altro verso, il fabbricante che intenda mettere a disposizione del Servizio sanitario nazionale dispositivi medico-diagnostici in vitro è legittimato a conferire nella banca dati nazionale le ulteriori informazioni relative ai dispositivi, qualora non disponibili in Eudamed.

Il comma 6 dell’articolo 11 demanda, inoltre, al Ministero della salute la previsione di disposizioni relative alle modalità di conferimento e aggiornamento delle suddette informazioni.

Per garantire l’identificazione e la tracciabilità dei dispositivi, l’articolo 12 impone agli operatori economici di osservare le prescrizioni contenute nell’articolo 22 del regolamento 746 ed ai fabbricanti anche quelle relative al Sistema di identificazione unica del dispositivo (UDI) di cui all’articolo 24 del regolamento stesso. Si onerano le istituzioni sanitarie e, se del caso, gli operatori sanitari dell’obbligo di registrare e conservare l’identificativo unico del dispositivo (UDI) ricevuto.

L’articolo 13 contiene disposizioni relative alla vigilanza sugli incidenti verificatisi dopo l’immissione in commercio dei dispositivi, imponendo in particolare ai fabbricanti di segnalare al Ministero della salute gli incidenti gravi, ivi inclusi gli effetti collaterali indesiderati inattesi e le azioni correttive di sicurezza, secondo le tempistiche e le modalità previste dall’articolo 82 del regolamento 1997/746.

Si legittimano, inoltre, gli operatori sanitari pubblici o privati, gli “utilizzatori profani” e i pazienti, a dare - nei termini e con le modalità stabilite da uno o più decreti del Ministro della salute- comunicazione di eventuali incidenti rilevati al medesimo Dicastero, che registrerà l’informazione con modalità centralizzata a livello nazionale.

A seguito alla segnalazione di un incidente, il fabbricante sarà inoltre tenuto a svolgere le indagini necessarie cooperando con il Ministero della salute, al quale ultimo spetterà valutare i rischi derivanti dalle segnalazioni ricevute e i contenuti dell’avviso di sicurezza proposto dal fabbricante, eventualmente richiedendo, ravvisandone la necessità, adeguamenti, misure integrative e ulteriori provvedimenti volti a preservare la tutela della salute e la sicurezza di operatori sanitari, utilizzatori e pazienti.

Particolare interesse, infine, assume l’articolo 26, che, oltre a rinviare alla norma (art. 102) del regolamento 746 sulle garanzie di riservatezza da accordare alle informazioni e ai dati ottenuti nell’ambito delle attività disciplinate dal decreto stesso, impone – al trattamento dei dati personali detenuti o ottenuti in tale contesto - l’applicazione delle norme del regolamento 746, del Regolamento, del Codice (alla cui indicazione come “decreto legislativo 30 giugno 2003, n. 196” è tuttavia necessario aggiungere la dizione “e successive modificazioni e integrazioni”) e al regolamento (UE) 2018/1725, con riguardo al trattamento dei dati personali effettuato da istituzioni, organi, uffici e agenzie dell’Unione.

La clausola di salvaguardia è necessaria – come del resto disposto dalla stessa legge di delegazione – essenzialmente in ragione dell’esigenza di adeguare il riferimento alla direttiva 95/46 (contenuto nel regolamento 2017/746) alla disciplina medio tempore sopravvenuta.

RITENUTO

Lo schema di decreto legislativo non presenta particolari criticità né, del resto, disposizioni disallineate (almeno sotto il profilo della protezione dati) rispetto a quanto sancito dal regolamento 2017/745. Opportuno è, peraltro, il rinvio alla disciplina vigente in materia di protezione dei dati personali, mutata rispetto al quadro normativo considerato al momento dell’adozione del regolamento 2017/745.

Il provvedimento è, tuttavia, suscettibile di limitate integrazioni (alcune delle quali da apportare, eventualmente, in sede attuativa) volte a garantire un più elevato livello di garanzia dei dati personali coinvolti nell’applicazione della disciplina di settore.

In particolare, si può valutare l’opportunità di introdurre, all’interno del provvedimento, alcune garanzie ulteriori per la riservatezza dei pazienti i quali si avvalgano di dispositivi medici, tali da scongiurare o, quantomeno, minimizzare il rischio di accessi indebiti ai loro dati, secondo modalità che il Garante ha avuto modo di accertare nell’ambito di alcune attività di controllo svolte sul tema.

In tal senso, il criterio di delega di cui all’articolo 15, c.2, lett. g) della legge n. 53 del 2021 pare poter fondare anche un’ulteriore disposizione sulla protezione dei dati personali trattati nell’ambito delle attività funzionali alla fornitura o manutenzione dei dispositivi, tale da:

- inibire l’accesso ai dati anagrafici e anamnestici del paziente, salva l’indispensabilità ai fini dell’erogazione del servizio di manutenzione e telediagnosi/teleintervento, rendendo comunque tracciabile ogni operazione di intervento/accesso;

- inquadrare quale responsabile del trattamento, ai sensi dell’articolo 28 del Regolamento, la società produttrice del dispositivo medico, per le attività di controllo della funzionalità dell’apparecchiatura anche a distanza svolta per conto del titolare (c.d. servizi di manutenzione e di assistenza)..

Si valuti, inoltre, di apportare alcune integrazioni specifiche, anche in sede di provvedimenti attuativi cui già lo schema di decreto legislativo rinvia e su cui sarà opportuno acquisire il parere del Garante (così anche per le disposizioni attuative di cui all’articolo 11, c.6). Si tratta, in particolare, dell’indicazione dei tempi di conservazione dei dati personali eventualmente forniti a corredo delle comunicazioni di incidenti verificatisi dopo l’immissione in commercio di un dispositivo, ai sensi dell’articolo 13, c. 8..

IL GARANTE

ai sensi dell’articolo 36, paragrafo 4, del Regolamento, esprime parere favorevole sul proposto schema di decreto legislativo, recante disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2017/746, relativo ai dispositivi medico-diagnostici in vitro, con le seguenti condizioni, esposte nel “Ritenuto”, volte a suggerire l’opportunità di:

a) introdurre una specifica disposizione sulla protezione dei dati personali trattati nell’ambito delle attività funzionali alla fornitura o manutenzione dei dispositivi, tale da:

- inibire l’accesso ai dati anagrafici e anamnestici del paziente, salva l’indispensabilità ai fini dell’erogazione del servizio di manutenzione e telediagnosi/teleintervento, rendendo comunque tracciabile ogni operazione di intervento/accesso;

- inquadrare quale responsabile del trattamento, ai sensi dell’articolo 28 del Regolamento, la società produttrice del dispositivo medico, per le attività di controllo della funzionalità dell’apparecchiatura anche a distanza svolta per conto del titolare (c.d. servizi di manutenzione e di assistenza);

b) disciplinare, anche nell’ambito dei provvedimenti attuativi cui già lo schema di decreto legislativo rinvia e su cui sarà opportuno acquisire il parere del Garante, i tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti verificatisi dopo l’immissione in commercio di un dispositivo, ai sensi dell’articolo 13, c. 8.

Roma, 26 maggio 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL VICE SEGRETARIO GENERALE
Filippi


Vedi anche (10)