IL MINISTRO DELLA SALUTE
Visti gli articoli 32, 117, comma 2, lettere m), q) e r) e comma 3,
e 118 della Costituzione;
Vista la legge 23 dicembre 1978, n. 833, recante «Istituzione del
servizio sanitario nazionale» e, in particolare, l'art. 6, comma 1,
lettera b), il quale attribuisce allo Stato la funzione
amministrativa concernente la profilassi delle malattie infettive e
diffusive, per le quali siano imposte la vaccinazione obbligatoria o
misure quarantenarie, nonche' gli interventi contro le epidemie e le
epizoozie;
Visto l'art. 47-bis, comma 2, del decreto legislativo 30 luglio
1999, n. 300, recante «Riforma dell'organizzazione del Governo, a
norma dell'art. 11 della legge 15 marzo 1997, n. 59», che attribuisce
al Ministero della salute ogni iniziativa volta alla cura delle
patologie epidemico-pandemiche emergenti;
Visto il regolamento (UE) 2016/679 del Parlamento europeo e del
Consiglio, del 27 aprile 2016, relativo alla protezione delle persone
fisiche con riguardo al trattamento dei dati personali, nonche' alla
libera circolazione di tali dati e che abroga la direttiva 95/46/CE
(regolamento generale sulla protezione dei dati), e, in particolare,
l'art. 9, paragrafo 2, lettera i);
Visto il decreto legislativo del 30 giugno 2003, n. 196, recante
«Codice in materia di protezione dei dati personali, recante
disposizioni per l'adeguamento della normativa nazionale alle
disposizioni del regolamento (UE) n. 2016/679 del Parlamento europeo
e del Consiglio, del 27 aprile 2016, relativo alla protezione delle
persone fisiche con riguardo al trattamento dei dati personali,
nonche' alla libera circolazione di tali dati e che abroga la
direttiva 95/46/CE» e, in particolare, l'art. 2-sexies, comma 2,
lettera v), introdotto dal decreto-legge 8 ottobre 2021, n. 139,
convertito con modificazioni dalla legge 3 dicembre 2021, n. 205, che
ha rilevato l'interesse pubblico al trattamento dei dati relativi
alle prestazioni erogate nell'ambito dell'assistenza sanitaria in
emergenza-urgenza, per finalita' di programmazione, gestione,
controllo e valutazione dell'assistenza sanitaria;
Visto il decreto del Ministro del lavoro, della salute e delle
politiche sociali 17 dicembre 2008, pubblicato nella Gazzetta
Ufficiale della Repubblica italiana, Serie generale, 13 gennaio 2009,
n. 9, recante «Istituzione del sistema informativo per il
monitoraggio delle prestazioni erogate nell'ambito dell'assistenza
sanitaria in emergenza-urgenza», come modificato dal decreto del
Ministro della salute 6 agosto 2012, pubblicato nella Gazzetta
Ufficiale della Repubblica italiana, Serie generale, 23 agosto 2012,
n. 196;
Visto il decreto del Presidente della Repubblica 27 marzo 1992,
pubblicato nella Gazzetta Ufficiale della Repubblica italiana, Serie
generale, 31 marzo 1992, n. 76, recante «Atto di indirizzo e
coordinamento alle regioni per la determinazione dei livelli di
assistenza sanitaria di emergenza»;
Visto il decreto del Ministro della sanita' 15 maggio 1992,
pubblicato nella Gazzetta Ufficiale della Repubblica italiana, Serie
generale, 25 maggio 1992, n. 121, recante «Criteri e requisiti per la
codificazione degli interventi di emergenza»;
Visto il decreto del Ministro della salute 2 aprile 2015, n. 70,
recante «Regolamento di definizione degli standard qualitativi,
strutturali, tecnologici e quantitativi relativi all'assistenza
ospedaliera» che delinea, in primo luogo, i criteri di
riorganizzazione della rete dell'emergenza-urgenza;
Visto il decreto del Ministro della salute 7 dicembre 2016, n. 262,
concernente «Regolamento recante procedure per l'interconnessione a
livello nazionale dei sistemi informativi su base individuale del
servizio sanitario nazionale, anche quando gestiti da diverse
amministrazioni dello Stato» e, in particolare, l'art. 3, che ha
introdotto il codice univoco nazionale dell'assistito (CUNA), che
permette l'interconnessione a livello nazionale, nell'ambito del
NSIS, dei sistemi informativi su base individuale oggetto del
decreto;
Visto il decreto del Presidente del Consiglio dei ministri 12
gennaio 2017, pubblicato nella Gazzetta Ufficiale della Repubblica
italiana, Serie generale, 18 marzo 2017, n. 65, recante «Definizione
e aggiornamento dei livelli essenziali di assistenza, di cui all'art.
1, comma 7, del decreto legislativo 30 dicembre 1992, n. 502», che
riconosce l'attivita' di emergenza sanitaria territoriale e
l'attivita' di pronto soccorso quali prestazioni di assistenza
sanitaria garantite dal Servizio sanitario nazionale, in quanto
ricomprese, rispettivamente, nell'ambito dell'assistenza distrettuale
e dell'assistenza ospedaliera;
Vista l'intesa sancita nella Conferenza permanente tra lo Stato, le
regioni e le Province autonome di Trento e di Bolzano nella seduta
dell'11 aprile 1996 (rep. atti n. 131), di approvazione delle linee
guida sul sistema di emergenza sanitaria, in applicazione del decreto
del Presidente della Repubblica del 27 marzo 1992, pubblicata nella
Gazzetta Ufficiale del 17 maggio 1996, n. 114;
Visto l'accordo sancito, ai sensi dell'art. 4 del decreto
legislativo 28 agosto 1997, n. 281, tra il Governo, le regioni e le
Province autonome di Trento e Bolzano nella seduta del 1° agosto 2019
(rep. atti n. 143/CSR) sui documenti «Linee di indirizzo nazionali
sul Triage Intraospedaliero», «Linee di indirizzo nazionali
sull'Osservazione breve intensiva» e «Linee di indirizzo nazionali
per lo sviluppo del Piano di gestione del sovraffollamento in Pronto
soccorso»;
Visto l'accordo sancito, ai sensi dell'art. 4 del decreto
legislativo 28 agosto 1997, n. 281, dalla Conferenza permanente tra
lo Stato, le regioni e le Province autonome di Trento e di Bolzano
nella seduta del 25 gennaio 2021 (rep. atti n. 11/CSR), sul documento
«Piano strategico - operativo nazionale di preparazione e risposta a
una pandemia influenzale (PanFlu 2021 - 2023)», pubblicato nella
Gazzetta Ufficiale, Serie generale, del 29 gennaio 2021, n. 23;
Tenuto conto del Protocollo per la realizzazione di un sistema di
allerta rapida basato sui dati di accesso in pronto soccorso per
sindrome respiratoria, redatto nell'ambito del Piano pandemico dal
gruppo di lavoro «Sistemi informativi» - Sottogruppo «Sorveglianza
sindromica», in data 4 febbraio 2023;
Considerato che si rende necessario utilizzare il sistema
informativo per il monitoraggio delle prestazioni erogate nell'ambito
dell'assistenza sanitaria in emergenza-urgenza per la finalita' di
allerta rapida, con particolare riferimento alle sindromi
respiratorie;
Ritenuto, dunque, necessario prevedere una modifica del decreto del
Ministro del lavoro, della salute e delle politiche sociali 17
dicembre 2008, sopra citato, e del relativo disciplinare tecnico
allegato, al fine di disciplinare le ulteriori finalita' del sistema
informativo in questione, nonche' l'accesso ai dati da parte anche
dell'Istituto superiore di sanita' e definire le ulteriori modalita'
e i tempi di trasmissione dei dati, con cadenza settimanale;
Vista la nota 0021573-29/05/2023-DGSISS-DGSISS-UFF03-P, con la
quale il Ministero della salute ha fornito all'Autorita' garante per
la protezione dei dati personali le motivazioni tecnico-scientifiche
correlate all'individuazione del periodo di conservazione dei dati
personali trattati nell'ambito dei sistemi informativi NSIS
interconnettibili;
Acquisito il parere del Garante per la protezione dei dati
personali del 6 luglio 2023, n. 283;
Visto il parere favorevole della Conferenza permanente per i
rapporti tra lo Stato, le regioni e le Province autonome di Trento e
di Bolzano, ai sensi dell'art. 2, comma 4, del decreto legislativo 28
agosto 1997, n. 281, nella seduta del 6 dicembre 2023 (rep. atti n.
290/CSR);
Decreta:
Art. 1
Modifiche al decreto del Ministro del lavoro, della salute e delle
politiche sociali 17 dicembre 2008, recante «Istituzione del
sistema informativo per il monitoraggio delle prestazioni erogate
nell'ambito dell'assistenza sanitaria in emergenza-urgenza»
1. Al decreto del Ministro del lavoro, della salute e delle
politiche sociali 17 dicembre 2008, recante «Istituzione del sistema
informativo per il monitoraggio delle prestazioni erogate nell'ambito
dell'assistenza sanitaria in emergenza-urgenza», pubblicato nella
Gazzetta Ufficiale della Repubblica italiana, Serie generale, 13
gennaio 2009, n. 9, come modificato dal decreto del Ministro della
salute 6 agosto 2012, pubblicato nella Gazzetta Ufficiale della
Repubblica italiana, Serie generale, 23 agosto 2012, n. 196, sono
apportate le seguenti modifiche:
a) all'art. 2, comma 1, le parole «Ministero del lavoro, della
salute e delle politiche sociali - Dipartimento della qualita' -
Direzione Generale del Sistema Informativo dell'ex Ministero della
salute» sono sostituite dalle seguenti:
«Ministero della salute - Direzione generale competente in
materia di digitalizzazione del sistema informativo sanitario, come
individuata dal decreto ministeriale di organizzazione»;
b) all'art. 2, comma 2-bis, la parola «aggregate» e' sostituita
dalle seguenti parole «dei dati»; dopo le parole «calcolo di
indicatori» sono aggiunte le seguenti «a livello aziendale su base
annuale»; le parole «attraverso il codice univoco dell'assistito
previsto dalla scheda 12 dello schema tipo di Regolamento per il
trattamento dei dati sensibili e giudiziari effettuati dalle regioni
e province autonome, approvato dall'Autorita' Garante per la
protezione di dati personali in data 13 aprile 2006, con le modalita'
di cui all'art. 9» sono sostituite dalle seguenti: «attraverso le
procedure di cui all'art. 3 del decreto del Ministro della salute 7
dicembre 2016, n. 262, per l'interconnessione a livello nazionale,
nell'ambito del NSIS, dei sistemi informativi su base individuale del
Servizio sanitario nazionale, anche quando gestiti da diverse
amministrazioni dello Stato»;
c) all'art. 2, dopo il comma 2-bis, e' inserito il seguente
comma:
«2-ter. Il Sistema di cui al comma 1 e' utilizzato, altresi',
per finalita' di allerta rapida e si basa sui dati relativi agli
accessi in Pronto soccorso, con particolare riferimento ai casi di
sindromi respiratorie, individuate nel Protocollo per la
realizzazione di un sistema di allerta rapida, basato sui dati di
accesso in pronto soccorso per Sindrome respiratoria. Cio' al fine di
potenziare la capacita' di risposta rapida ad allerte ed eventi
inattesi, nonche' di individuare tempestivamente i focolai di
potenziali nuovi patogeni respiratori, a tutela dell'interesse
pubblico nel settore della sanita' pubblica.»;
d) all'art. 3, comma 1, dopo la lettera k), e' inserito, infine,
il seguente periodo: «Per il Sistema 118 e per il Pronto soccorso:
l) codice individuale dell'assistito».
e) all'art. 4, comma 1, lettera a), dopo le parole «forma
aggregata», sono aggiunte le seguenti «a livello aziendale su base
annuale»;
f) all'art. 4, comma 1, lettera b), dopo le parole «forma
aggregata» sono aggiunte le seguenti «a livello aziendale su base
annuale»;
g) all'art. 4, dopo il comma 1, e' inserito il seguente comma:
«1-bis. Esclusivamente per la realizzazione, da parte del
Ministero della salute, del sistema di allerta rapida di cui all'art.
2, comma 2-ter, il Sistema permette:
a) all'Istituto superiore di sanita', in qualita' di
responsabile del trattamento dei dati personali, ai sensi dell'art.
28 del regolamento UE 2016/679, di accedere ai dati estratti dal
Sistema e privati del codice identificativo dell'assistito,
limitatamente alle informazioni necessarie e relative agli accessi al
Pronto soccorso, secondo le modalita' specificate nel disciplinare
tecnico allegato al presente decreto, con particolare riferimento
alle sindromi respiratorie individuate nel Protocollo per la
realizzazione di un sistema di allerta rapida basato sui dati di
accesso in pronto soccorso per Sindrome respiratoria;
b) alle competenti unita' organizzative delle Direzioni
generali competenti in materia di digitalizzazione del sistema
informativo sanitario, di programmazione sanitaria e di prevenzione
sanitaria, come individuate dal regolamento di organizzazione del
Ministero della salute, di consultare le informazioni rese
disponibili dall'Istituto superiore di sanita', in forma aggregata, a
livello comunale su base settimanale, e riferite al numero di accessi
e all'incidenza di accessi per Sindrome respiratoria e per tutte le
altre cause di accesso, nonche' relative ai valori stimati dal
modello statistico.»;
h) all'art. 5, comma 2, dopo il primo periodo, e' inserito il
seguente:
«Eventuali correzioni dei dati dovranno essere trasmesse con le
modalita' indicate nell'allegato 1.»;
i) all'art. 5, dopo il comma 2, e' inserito il seguente comma:
«2-bis. Per la finalita' di cui all'art. 2, comma 2-ter, le
informazioni devono essere rilevate al completamento dell'intervento
di emergenza-urgenza sanitaria e trasmesse al NSIS, con cadenza
settimanale, entro la settimana successiva. Eventuali correzioni dei
dati dovranno essere trasmesse con le modalita' indicate
nell'allegato 1.»;
j) all'art. 5, comma 3, dopo le parole «nel disciplinare tecnico»
sono inserite le seguenti: «di cui all'allegato 1»;
k) l'art. 6 e' soppresso;
l) all'art. 7, i commi 1 e 2 sono soppressi;
m) l'art. 9 e' sostituito dal seguente:
«1. Nel Sistema sono raccolti, trattati e conservati solo i
dati che sono adeguati, pertinenti e limitati a quanto necessario per
il perseguimento delle finalita' del presente decreto, con modalita'
e logiche di elaborazione delle informazioni dirette esclusivamente a
fornire una rappresentazione aggregata dei dati, nonche' per le
finalita' e secondo le modalita' di cui alle disposizioni del decreto
del Ministro della salute 7 dicembre 2016, n. 262.
2. Il Ministero della salute e' titolare del trattamento dei
dati personali contenuti nel Sistema, eseguito per le finalita' di
cui all'art. 2.
3. Il Ministero della salute designa l'Istituto superiore di
sanita' come responsabile del trattamento ai sensi dell'art. 28 del
regolamento (UE) 2016/679, esclusivamente per le finalita' di cui
all'art. 2, comma 2-ter.
4. L'integrita' e la riservatezza dei dati trattati nell'ambito
del Sistema, ai sensi del regolamento (UE) 2016/679 e del decreto
legislativo 30 giugno 2003, n. 196, viene garantita mediante misure
tecniche e organizzative stabilite anche sulla base del rischio per i
diritti e le liberta' delle persone fisiche e i cui obiettivi di
protezione sono descritti nel disciplinare tecnico di cui
all'allegato 1, nonche' dalle procedure di sicurezza relative al
software e ai servizi telematici, in conformita' alle linee guida
contenenti le regole tecniche, adottate ai sensi dell'art. 71 del
Codice dell'amministrazione digitale.
5. A ogni soggetto e' assegnato un codice univoco non
invertibile («CUNI»), di cui all'art. 3 del decreto del Ministro
della salute 7 dicembre 2016, n. 262, specificato in premessa, dai
soggetti alimentanti il NSIS, che non consente alcuna correlazione
immediata con i dati anagrafici. Il Ministero della salute, in fase
di acquisizione dei dati, effettua la generazione ed assegnazione del
codice univoco nazionale dell'assistito (CUNA) agli assistiti
rappresentati dal CUNI, attraverso la diretta sostituzione del codice
identificativo non invertibile ricevuto.
6. La trasmissione telematica dei dati, secondo le procedure
descritte nel disciplinare tecnico di cui all'allegato 1 al presente
decreto, avviene in conformita' alle relative regole tecniche del
Sistema pubblico di connettivita' (SPC) previsto e disciplinato dagli
articoli 73 e seguenti del Codice dell'amministrazione digitale. Ai
fini di cui al primo periodo, si utilizza un protocollo sicuro e si
fa ricorso alla autenticazione bilaterale fra sistemi basata su
certificati digitali emessi da un'autorita' di certificazione
ufficiale.
7. Ai fini della cooperazione applicativa, le regioni e
Province autonome di Trento e di Bolzano e il Ministero della salute
garantiscono la conformita' delle infrastrutture alle regole dettate
dal Sistema pubblico di connettivita' (SPC).»;
n) dopo l'art. 9 sono inseriti i seguenti:
«Art. 9-bis (Periodo di conservazione). - 1. I dati personali
presenti nel Sistema sono cancellati, trascorsi trent'anni dal
decesso dell'interessato, con periodicita' annuale.
Art. 9-ter (Pubblicazione degli aggiornamenti relativi alle
specifiche tecniche delle funzioni e dei servizi). - 1. Gli
aggiornamenti alle specifiche tecniche relative alle funzioni e ai
servizi di cui al presente decreto, che non incidano sui tipi di dati
trattati e sulle operazioni eseguibili, sono pubblicati, previa
condivisione nell'ambito della cabina di regia del Nuovo sistema
informativo sanitario, sul sito internet del Ministero
(www.salute.gov.it), anche in attuazione di quanto previsto dall'art.
54 del decreto legislativo 7 marzo 2005, n. 82, e successive
modificazioni, concernente il codice dell'amministrazione digitale.
2. Ove necessario e fuori dei casi previsti dal comma 1,
l'allegato 1 e' aggiornato con decreto del direttore della Direzione
generale competente in materia di digitalizzazione del sistema
informativo sanitario, come individuata dal regolamento di
organizzazione del Ministero della salute.».