Gazzetta n. 189 del 14 agosto 2023 (vai al sommario)
MINISTERO DELLA SALUTE
DECRETO 26 giugno 2023
Tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti con i dispositivi medico-diagnostici in vitro.

IL MINISTRO DELLA SALUTE

Visto l'art. 117, secondo comma, lettera r), della Costituzione, che attribuisce allo Stato la legislazione esclusiva nella materia del coordinamento informativo statistico e informatico dei dati dell'amministrazione statale, regionale e locale;
Visto il decreto legislativo 7 marzo 2005, n. 82, e successive modificazioni, recante il «Codice dell'amministrazione digitale»;
Visto il regolamento (UE) 2017/746 del Parlamento europeo e del Consiglio del 5 aprile 2017, relativo ai dispositivi medico-diagnostici in vitro e che abroga la direttiva 98/79/CE e la decisione 2010/227/UE della Commissione;
Visto il decreto legislativo 5 agosto 2022, n. 138, recante disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2017/746, relativo ai dispositivi medico-diagnostici in vitro e che abroga la direttiva 98/79/CE e la decisione 2010/227/UE della Commissione, nonche' per l'adeguamento alle disposizioni del regolamento (UE) 2022/112 che modifica il regolamento (UE) 2017/746 per quanto riguarda le disposizioni transitorie per determinati dispositivi medico-diagnostici in vitro e l'applicazione differita delle condizioni concernenti i dispositivi fabbricati internamente ai sensi dell'art. 15 della legge 22 aprile 2021, n. 53;
Visto, in particolare, l'art. 13, comma 9, del decreto legislativo 5 agosto 2022, n. 138, il quale demanda ad apposito decreto del Ministro della salute l'individuazione dei tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti verificatisi dopo l'immissione in commercio di un dispositivo;
Visto, altresi', l'art. 26, del decreto legislativo 5 agosto 2022, n. 138, in tema di riservatezza delle informazioni e dei dati ottenuti nell'ambito delle attivita' disciplinate da tale decreto legislativo;
Visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) e, in particolare l'art. 5, paragrafo 1, lettera e);
Visto il codice in materia di protezione dei dati personali di cui al decreto legislativo 30 giugno 2003, n. 196, come modificato dal decreto legislativo 10 agosto 2018, n. 101, recante «Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)» e, in particolare, l'art. 2-septies;
Visto l'art. 1, comma 586, della legge 23 dicembre 2014, n. 190, in base al quale: «con decreto del Ministro della salute, previa intesa in sede di Conferenza permanente per i rapporti tra lo Stato, le regioni e le Province autonome di Trento e di Bolzano, sono definite le modalita' per l'attivazione, senza nuovi o maggiori oneri per la finanza pubblica, di una rete di comunicazione dedicata alla dispositivo-vigilanza che consenta lo scambio tempestivo e capillare delle informazioni riguardanti incidenti che coinvolgono dispositivi medici. Con il medesimo decreto sono determinati, nell'ambito del Nuovo sistema informativo sanitario (NSIS) i contenuti informativi e le modalita' di interscambio dei dati del sistema informativo a supporto della rete nazionale per la dispositivo-vigilanza»;
Visto il decreto del Sottosegretario di Stato per la salute 31 marzo 2022, recante «Istituzione della rete nazionale per la dispositivo-vigilanza e del sistema informativo a supporto della stessa» pubblicato nella Gazzetta Ufficiale del 16 aprile 2022, n. 90;
Visto l'Accordo - quadro tra il Ministro della salute, le regioni e le province autonome, sancito dalla Conferenza permanente tra lo Stato, le regioni e le Province autonome di Trento e di Bolzano nella seduta del 22 febbraio 2001 (rep. atti n. 1158/CSR), relativo al piano di azione coordinato per lo sviluppo del Nuovo sistema informativo sanitario nazionale («NSIS»), il quale all'art. 6 stabilisce che le funzioni di indirizzo, coordinamento e controllo delle fasi di attuazione del NSIS, debbano essere esercitate congiuntamente attraverso un organismo denominato «Cabina di regia»;
Ritenuto opportuno acquisire il parere del Garante per la protezione dei dati personali - come suggerito dallo stesso nel parere reso il 26 maggio 2022 (registro dei provvedimenti n. 190) sullo schema di decreto legislativo recante disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2017/746 relativo ai dispositivi medico-diagnostici in vitro - sui tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti verificatisi dopo l'immissione in commercio di un dispositivo;
Acquisito il parere favorevole del Garante per la protezione dei dati personali, reso in data 17 maggio 2023 (registro dei provvedimenti n. 192);
Considerato che, per le finalita' di vigilanza dell'Autorita' competente sui dispositivi medico-diagnostici in vitro designata ai sensi dell'art. 3, comma 1, del decreto legislativo n. 138 del 2022 citato, e' necessario poter contattare gli operatori sanitari che segnalano gli incidenti e avere, quindi, la disponibilita' dei relativi dati personali per il tempo strettamente necessario alla valutazione dell'incidente;
Ritenuto, per quanto sopra premesso, di dover individuare i tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti verificatisi dopo l'immissione in commercio di un dispositivo medico-diagnostico in vitro;

Decreta:

Art. 1

Oggetto

1. Il presente decreto individua i tempi di conservazione dei dati personali dei pazienti, eventualmente forniti contestualmente alle comunicazioni di incidenti verificatisi dopo l'immissione in commercio di un dispositivo medico-diagnostico in vitro, e degli operatori sanitari che trasmettono tali segnalazioni.
2. Ai fini del presente decreto per «incidenti» si intendono quelli di cui all'art. 2, paragrafo 1, numeri 67) e 68) del regolamento (UE) 2017/746.
 
Art. 2

Tempi di conservazione dei dati personali

1. I dati personali dei pazienti eventualmente trasmessi al Ministero della salute, ai sensi dell'art. 13, comma 9, del decreto legislativo 5 agosto 2022, n. 138, sono conservati per il tempo strettamente necessario per la valutazione dell'incidente e, comunque, non oltre due anni dalla relativa segnalazione.
2. I dati personali riferiti agli operatori sanitari ai sensi dell'art. 13, comma 9, del decreto legislativo 5 agosto 2022, n. 138, sono conservati per il tempo necessario per la valutazione dell'incidente e, comunque, non oltre cinque anni dalla relativa segnalazione.
3. Il Ministero della salute provvede, attraverso i propri sistemi informativi, alla cancellazione, decorsi i termini previsti, dei dati personali di cui ai commi 1 e 2.
 
Art. 3

Entrata in vigore

1. Il presente decreto e' pubblicato nella Gazzetta Ufficiale della Repubblica italiana ed entra in vigore il giorno stesso della pubblicazione.
Il presente decreto e' trasmesso all'organo di controllo per gli adempimenti di competenza.
Roma, 26 giugno 2023

Il Ministro: Schillaci

Registrato alla Corte dei conti il 2 agosto 2023 Ufficio di controllo sugli atti del Ministero dell'istruzione e del merito, del Ministero dell'universita' e della ricerca, del Ministero della cultura, del Ministero della salute e del Ministero del lavoro e delle politiche sociali, n. 2193