Gazzetta n. 174 del 27 luglio 2023 (vai al sommario)
MINISTERO DELLA SALUTE
DECRETO 9 giugno 2023
Tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti con i dispositivi medici.

IL MINISTRO DELLA SALUTE

Visto l'articolo 117, secondo comma, lettera r), della Costituzione, che attribuisce allo Stato la legislazione esclusiva nella materia del coordinamento informativo statistico e informatico dei dati dell'amministrazione statale, regionale e locale;
Visto il decreto legislativo 7 marzo 2005, n. 82, e successive modificazioni, recante il «Codice dell'amministrazione digitale»;
Visto il regolamento (UE) 2017/745 del Parlamento europeo e del Consiglio del 5 aprile 2017, relativo ai dispositivi medici, che modifica la direttiva 2001/83/CE, il regolamento (CE) n. 178/2002 e il regolamento (CE) n. 1223/2009 e che abroga le direttive 90/385/CEE e 93/42/CEE del Consiglio;
Visto il decreto legislativo 5 agosto 2022, n. 137, recante disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2017/745 del Parlamento europeo e del Consiglio, del 5 aprile 2017, relativo ai dispositivi medici, che modifica la direttiva 2001/83/CE, il regolamento (CE) n. 178/2002 e il regolamento (CE) n. 1223/2009 e che abroga le direttive 90/385/CEE e 93/42/CEE del Consiglio, nonche' per l'adeguamento alle disposizioni del regolamento (UE) 2020/561 del Parlamento europeo e del Consiglio, del 23 aprile 2020, che modifica il regolamento (UE) 2017/745 relativo ai dispositivi medici, per quanto riguarda le date di applicazione di alcune delle sue disposizioni ai sensi dell'art. 15 della legge 22 aprile 2021, n. 53;
Visto, in particolare, l'articolo 10, comma 9, del decreto legislativo 5 agosto 2022, n. 137 che demanda ad apposito decreto del Ministro della salute di individuare i tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti verificatisi dopo l'immissione in commercio di un dispositivo medico;
Visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) e, in particolare l'art. 5, paragrafo 1, lettera e);
Visto il Codice in materia di protezione dei dati personali di cui al decreto legislativo 30 giugno 2003, n. 196, come modificato dal decreto legislativo 10 agosto 2018, n. 101, recante «Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)» e, in particolare, l'art. 2-septies;
Visto l'articolo 21 del decreto legislativo 5 agosto 2022, n. 137 in tema di riservatezza delle informazioni e dei dati ottenuti nell'ambito delle attivita' disciplinate da tale decreto legislativo;
Visto l'articolo 1, comma 586, della legge 23 dicembre 2014, n. 190, in base al quale «con decreto del Ministro della salute, previa intesa in sede di Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano, sono definite le modalita' per l'attivazione, senza nuovi o maggiori oneri per la finanza pubblica, di una rete di comunicazione dedicata alla dispositivo-vigilanza che consenta lo scambio tempestivo e capillare delle informazioni riguardanti incidenti che coinvolgono dispositivi medici. Con il medesimo decreto sono determinati, nell'ambito del Nuovo sistema informativo sanitario (NSIS) i contenuti informativi e le modalita' di interscambio dei dati del sistema informativo a supporto della rete nazionale per la dispositivo-vigilanza»;
Visto il decreto del Sottosegretario di Stato per la salute 31 marzo 2022, recante «Istituzione della rete nazionale per la dispositivo-vigilanza e del sistema informativo a supporto della stessa» pubblicato nella Gazzetta Ufficiale della Repubblica italiana del 16 aprile 2022, n. 90;
Visto l'Accordo-quadro tra il Ministro della salute, le regioni e le province autonome, sancito dalla Conferenza permanente tra lo Stato, le regioni e le Province autonome di Trento e di Bolzano nella seduta del 22 febbraio 2001 (Rep. atti n. 1158/CSR), relativo al piano di azione coordinato per lo sviluppo del Nuovo sistema informativo sanitario nazionale («NSIS») che, all'articolo 6, stabilisce che le funzioni di indirizzo, coordinamento e controllo delle fasi di attuazione del NSIS, debbano essere esercitate congiuntamente attraverso un organismo denominato «Cabina di regia»;
Ritenuto opportuno acquisire il parere del Garante per la protezione dei dati personali - come suggerito dallo stesso nel parere reso il 26 maggio 2022 (registro dei provvedimenti n. 189) sullo schema di decreto legislativo recante disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2017/745 relativo ai dispositivi medici - sui tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti verificatisi dopo l'immissione in commercio di un dispositivo medico;
Acquisito il parere del Garante per la protezione dei dati personali, reso in data 27 aprile 2023;
Considerato che, per le finalita' di vigilanza dell'Autorita' competente sui dispositivi medici designata ai sensi dell'articolo 3, comma 1, del decreto legislativo n. 137 del 2022 citato, e' necessario poter contattare gli operatori sanitari che segnalano gli incidenti e avere, quindi, la disponibilita' dei relativi dati personali per il tempo strettamente necessario alla valutazione dell'incidente;
Ritenuto, per quanto sopra premesso, di dover individuare i tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti verificatisi dopo l'immissione in commercio di un dispositivo medico;

Decreta:

Art. 1

Oggetto

1. Il presente decreto individua i tempi di conservazione dei dati personali dei pazienti, eventualmente forniti contestualmente alle comunicazioni di incidenti verificatisi dopo l'immissione in commercio di un dispositivo medico, e degli operatori sanitari che trasmettono tali segnalazioni.
2. Ai fini del presente decreto per «incidenti» si intendono quelli di cui al'articolo 2, paragrafo 1, numeri 64) e 65) del regolamento (UE) 2017/745.
 
Art. 2

Tempi di conservazione dei dati personali

1. I dati personali dei pazienti eventualmente trasmessi al Ministero della salute, ai sensi dell'art. 10, comma 9, del decreto legislativo 5 agosto 2022, n. 137, sono conservati per il tempo strettamente necessario per la valutazione dell'incidente e, comunque, non oltre due anni dalla relativa segnalazione.
2. I dati personali riferiti agli operatori sanitari ai sensi dell'art. 10, comma 9, del decreto legislativo 5 agosto 2022, n. 137 sono conservati per il tempo necessario per la valutazione dell'incidente e, comunque, non oltre cinque anni dalla relativa segnalazione.
3. Il Ministero della salute provvede, attraverso i propri sistemi informativi, alla cancellazione, decorsi i termini previsti, dei dati personali di cui ai commi 1 e 2.
 
Art. 3

Entrata in vigore

1. Il presente decreto e' pubblicato nella Gazzetta Ufficiale della Repubblica italiana ed entra in vigore il giorno stesso della pubblicazione.
Il presente decreto e' trasmesso all'organo di controllo per gli adempimenti di competenza.
Roma, 9 giugno 2023

Il Ministro: Schillaci

Registrato alla Corte dei conti il 12 luglio 2023 Ufficio di controllo sugli atti del Ministero dell'istruzione e del merito, del Ministero dell'universita' e della ricerca, del Ministero della cultura, del Ministero della salute e del Ministero del lavoro e delle politiche sociali, n. 2047