Gazzetta n. 194 del 22 agosto 2025 (vai al sommario)
MINISTERO DELLA SALUTE
DECRETO 8 luglio 2025
Modifica del decreto 31 dicembre 2024, recante: «Istituzione dell'Ecosistema dati sanitari».

IL MINISTRO DELLA SALUTE

di concerto con

IL MINISTRO DELL'ECONOMIA
E DELLE FINANZE

e con

IL SOTTOSEGRETARIO DI STATO
ALLA PRESIDENZA DEL CONSIGLIO DEI MINISTRI
con delega all'innovazione tecnologica

Vista la legge 23 dicembre 1978, n. 833, e successive modificazioni, recante: «Istituzione del Servizio sanitario nazionale»;
Visto il decreto legislativo 30 dicembre 1992, n. 502, e successive modificazioni, recante: «Riordino della disciplina in materia sanitaria, a norma dell'art. 1 della legge 23 ottobre 1992, n. 421»;
Visto il decreto del Presidente del Consiglio dei ministri 12 gennaio 2017 recante «Definizione e aggiornamento dei livelli essenziali di assistenza, di cui all'art. 1, comma 7, del decreto legislativo 30 dicembre 1992, n. 502»;
Visto l'art. 1, comma 34, della legge 23 dicembre 1996, n. 662 recante «Misure di razionalizzazione della finanza pubblica», che prevede la possibilita' da parte del Ministro della salute, d'intesa con la Conferenza permanente per i rapporti tra lo Stato, le regioni e le Province autonome di Trento e di Bolzano, di vincolare quote del Fondo sanitario nazionale alla realizzazione di specifici obiettivi del Piano sanitario nazionale diretti al miglioramento dell'erogazione dei LEA;
Visto l'art. 12 del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221, come da ultimo modificato dal decreto-legge 27 gennaio 2022, n. 4, convertito, con modificazioni, dalla legge 28 marzo 2022, n. 25, concernente il Fascicolo sanitario elettronico (FSE);
Visto il decreto del Ministro della salute 7 dicembre 2016, n. 262, recante «Regolamento recante procedure per l'interconnessione a livello nazionale dei sistemi informativi su base individuale del Servizio sanitario nazionale, anche quando gestiti da diverse amministrazioni dello Stato» che consente l'interconnessione a livello nazionale dei sistemi informativi su base individuale del Servizio sanitario nazionale, anche quando gestiti da diverse amministrazioni dello Stato, ivi inclusi i dati del Fascicolo sanitario elettronico (FSE);
Visto il decreto legislativo 7 marzo 2005, n. 82, e successive modificazioni, concernente il Codice dell'amministrazione digitale;
Visto il decreto del Presidente del Consiglio dei ministri 1° giugno 2022, recante, ai sensi dell'art. 62-ter del predetto decreto legislativo 7 marzo 2005, n. 82, Anagrafe nazionale degli assistiti;
Visto il decreto del Ministro per l'innovazione tecnologica e la transizione digitale di concerto con il Ministro dell'interno 30 marzo 2022, recante, ai sensi dell'art. 64-ter del predetto decreto legislativo 7 marzo 2005, n. 82, il Sistema di gestione deleghe;
Visto il decreto del Ministro della salute e del Sottosegretario di Stato alla Presidenza del Consiglio dei ministri con delega all'innovazione tecnologica di concerto con il Ministero dell'economia e delle finanze 7 settembre 2023, concernente il Fascicolo sanitario elettronico 2.0;
Viste le «Linee guida sulla formazione, gestione e conservazione dei documenti informatici», ai sensi dell'art. 71 del decreto legislativo 7 marzo 2005, n. 82 e successive modificazioni, emanate dall'AGID il 10 settembre 2020, cosi' come modificate ai sensi della determinazione AGID n. 371/2021;
Viste le «Linee guida tecnologie e standard per la sicurezza dell'interoperabilita' tramite API dei sistemi informatici» ai sensi della lettera b), comma 3-bis, art. 73 e dell'art. 51 del decreto legislativo 7 marzo 2005, n. 82 e successive modificazioni, adottate con determinazione AGID n. 547/2021;
Viste le «Linee guida sull'interoperabilita' tecnica delle pubbliche amministrazioni» ai sensi della lettera b), comma 3-bis, art. 73 del decreto legislativo 7 marzo 2005, n. 82 e successive modificazioni, adottate con determinazione AGID n. 547/2021;
Viste le Linee guida, attuative del comma 15-bis del citato art. 12, adottate con il decreto del Ministro della salute, di concerto con il Ministro per l'innovazione tecnologica e la transizione digitale e il Ministro dell'economia e delle finanze del 20 maggio 2022, pubblicato nella Gazzetta Ufficiale della Repubblica italiana - Serie generale - 11 luglio 2022, n. 160;
Visto lo standard Fast Healthcare Interoperability Resources (FHIR) per lo scambio elettronico dei dati relativi all'assistenza sanitaria;
Visto il decreto 8 agosto 2022 della Presidenza del Consiglio dei ministri - Dipartimento per la trasformazione digitale, pubblicato nella Gazzetta Ufficiale della Repubblica italiana - Serie generale - 4 ottobre 2022, n. 232 che, tra l'altro, definisce all'allegato 3 gli indicatori per il monitoraggio come da Linee guida FSE adottate;
Visti il regolamento (UE) n. 2020/2094 del Consiglio del 14 dicembre 2020, che istituisce uno strumento dell'Unione europea per la ripresa a sostegno alla ripresa dell'economia dopo la crisi Covid-19, e il regolamento (UE) n. 2021/241 del Parlamento europeo e del Consiglio, del 12 febbraio 2021, che istituisce il dispositivo per la ripresa e resilienza (regolamento RRF) con l'obiettivo specifico di fornire agli Stati membri il sostegno finanziario al fine di conseguire le tappe intermedie e gli obiettivi delle riforme e degli investimenti stabiliti nei loro piani di ripresa e resilienza;
Visto il Piano nazionale di ripresa e resilienza (P.N. R.R.) approvato con decisione del Consiglio Ecofin del 13 luglio 2021 e notificato all'Italia dal Segretariato generale del Consiglio con nota LT161/21 del 14 luglio 2021;
Visto sub-investimento 1.3.1 «Rafforzamento dell'infrastruttura tecnologica e degli strumenti per la raccolta, l'elaborazione, l'analisi dei dati e la simulazione (FSE)», ricompreso nella Componente 2 della Missione 6 del PNRR;
Visto il decreto del Ministro dell'economia e delle finanze del 6 agosto 2021, recante «Assegnazione delle risorse finanziarie previste per l'attuazione degli interventi del P.N.R.R. e ripartizione di traguardi e obiettivi per scadenze semestrali di rendicontazione e per la trasformazione digitale», quale modificato, quanto alla tabella A, dal decreto del Ministro dell'economia e delle finanze del 21 novembre 2021;
Visto il regolamento (UE) 2016/679 del Palamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati);
Visto il Codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196, come modificato dal decreto legislativo 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE;
Vista altresi' la proposta di regolamento del Parlamento europeo e del Consiglio COM/2022/197, sullo spazio europeo dei dati sanitari, approvata il 24 aprile 2024, al fine di:
aiutare le persone ad assumere il controllo dei propri dati sanitari;
sostenere l'uso dei dati sanitari per migliorare l'erogazione dell'assistenza sanitaria, la ricerca, l'innovazione e l'elaborazione delle politiche sanitarie;
consentire all'UE di sfruttare appieno le potenzialita' offerte da uno scambio, utilizzo e riutilizzo sicuri dei dati sanitari;
Visto il regolamento per le infrastrutture digitali e per i servizi cloud per la pubblica amministrazione, adottato con decreto del direttore generale dell'Agenzia per la cybersicurezza nazionale in data 27 giugno 2024, prot. n. 21007;
Viste le Linee guida sulla crittografia, adottate con decreto del direttore generale dell'Agenzia per la cybersicurezza nazionale, in data 13 dicembre 2023, prot. n. 31593, in materia di «Codici di autenticazione dei messaggi (MAC)», «funzioni di hash» e «conservazione delle password»;
Viste le Linee guida per il rafforzamento della resilienza dei soggetti di cui all'art. 1, comma 1, della legge 28 giugno 2024, n. 90, adottate dall'Agenzia per la cybersicurezza nazionale in data 20 novembre 2024;
Viste le Linee guida per il rafforzamento della protezione delle banche dati rispetto al rischio di utilizzo improprio, adottate dall'Agenzia per la cybersicurezza nazionale in data 26 novembre 2024;
Considerato che con decreto del Ministro della salute, di concerto con il Ministro dell'economia e delle finanze e con il Sottosegretariato di Stato alla Presidenza del Consiglio dei ministri con delega all'innovazione tecnologica 31 dicembre 2024, n. 334, recante «Ecosistema dati sanitari, di cui all'art. 12, comma 15-quater del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221 e successive modificazioni» (di seguito anche «decreto EDS»), sono stati disciplinati contenuti dell'EDS, le modalita' di alimentazione dell'EDS, nonche' i soggetti che hanno accesso all'EDS, le operazioni eseguibili e le misure di sicurezza per assicurare i diritti degli interessati;
Considerato che con il decreto EDS sono state disciplinate le finalita' di cui all'art. 12, comma 2, lettera a-bis), a-ter) e c), del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221, e successive modificazioni, in quanto perseguibili esclusivamente attraverso appositi servizi di elaborazione dei dati offerti dall'EDS;
Considerato che l'EDS garantisce il coordinamento informatico e assicura la costruzione di servizi omogenei sul territorio nazionale e, nel perseguire le finalita' di cui all'art. 12, comma 2, del richiamato decreto-legge n. 179 del 2012, implementa in modo omogeno sull'intero territorio nazionale l'offerta di servizi per le regioni e per i professionisti sanitari;
Considerata la necessita' di modificare il decreto del Ministro della salute, di concerto con il Ministro dell'economia e delle finanze e con il Sottosegretariato di Stato alla Presidenza del Consiglio dei ministri con delega all'innovazione tecnologica 31 dicembre 2024, n. 334 attuativo dell'art. 12, comma 15-quater del decreto-legge 18 ottobre 2012, n. 179, al fine di garantire l'efficientamento tecnico-funzionale dell'EDS;
Acquisito il parere dell'Autorita' garante della protezione dei dati personali, reso con provvedimento n. 164 del 27 marzo 2025;
Acquisito il parere dell'Agenzia per la cybersicurezza nazionale, reso con atto n. 136229 dell'11 aprile 2025;
Acquisita, nella seduta del 29 maggio 2025, la presa d'atto della Conferenza permanente per i rapporti tra lo Stato, le regioni e le Province autonome di Trento e Bolzano all'informativa sul presente decreto (rep. atti n. 85/CSR);

Decreta:

Art. 1
Modifiche all'art. 4 del decreto del Ministro della salute, di
concerto con il Ministro dell'economia e delle finanze e con il
Sottosegretariato di Stato alla Presidenza del Consiglio dei
ministri con delega all'innovazione tecnologica 31 dicembre 2024,
n. 334

1. Al comma 2 dell'art. 4 del decreto del Ministro della salute 31 dicembre 2024, n. 334 dopo le parole: «e di protezione associata.» sono inserite le seguenti: «Sono, altresi', descritte le caratteristiche tecniche della componente Broker dell'EDS, quale componente che realizza la cooperazione delle unita' di archiviazione regionali, nonche' la cooperazione con l'unita' di archiviazione SASN, implementando le funzionalita' per la corretta archiviazione e allineamento dei dati e per il recupero degli stessi per le finalita' di cura, prevenzione e profilassi internazionale. La componente Broker assicura, inoltre, il trasferimento dei dati, in caso di cambio di regione di assistenza da parte del soggetto assistito, a fronte della relativa comunicazione da parte dell'ANA. I trattamenti di dati personali effettuati dal Broker non comportano la conservazione degli stessi.».
 
Art. 2

Modifiche all'allegato C

1. Relativamente all'allegato C del decreto recante «Ecosistema dati sanitari, di cui all'art. 12, comma 15-quater del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221 e successive modificazioni», adottato dal Ministro della salute, di concerto con il Ministro dell'economia e delle finanze e con il Sottosegretariato di Stato alla Presidenza del Consiglio dei ministri con delega all'innovazione tecnologica, sono apportate le seguenti modificazioni:
a) la sezione «Componente per i dati in chiaro» del paragrafo 2.1 - «Modulo di dati», e' sostituita dalla seguente:
«La componente per i dati in chiaro e' composta di ventidue Unita' di archiviazione (UA), funzionalmente equivalenti, indipendenti, autonome e distinte, finalizzate alla gestione dei dati in chiaro degli assistiti. In particolare, si tratta di:
ventuno Unita' di archiviazione regionale (UA-R): una per ciascuna regione/provincia autonoma, nelle quali sono conservati i dati estratti dai documenti sanitari relativi ai soggetti assistiti dalla regione/provincia autonoma, a prescindere da quale sia la regione/provincia autonoma di erogazione della prestazione;
una Unita' di archiviazione SASN (UA-SASN), nella quale sono conservati, in partizioni logiche separate, i dati estratti dai documenti sanitari prodotti dalle strutture SASN e i dati estratti dai documenti sanitari dei soggetti senza regione di assistenza.
I dati del Sistema TS che alimentano l'EDS sono indirizzati e conservati dalla UA-R della regione/provincia autonoma di assistenza dell'interessato oppure dalla UA-SASN»;
b) il paragrafo 2.2 - «Broker EDS», e' sostituito dal seguente:
«Il Broker EDS e' la componente che realizza la cooperazione delle unita' di archiviazione regionali, nonche' la cooperazione con l'unita' di archiviazione SASN. Il Broker EDS implementa le funzionalita' per la corretta alimentazione della UA-R (o UA-SASN) di assistenza con i dati provenienti dalla Soluzione tecnologica, nonche' le funzionalita' per il recupero e allineamento degli stessi dati per le finalita' di cura, prevenzione e profilassi internazionale. In particolare, per l'individuazione della UA-R di assistenza in fase di alimentazione, il Broker acquisisce, dalla stessa soluzione tecnologica che si avvale dell'ANA in fase di validazione del documento sanitario, come descritto al par 2.3, l'informazione relativa alla regione di assistenza del soggetto. Ai fini della consultazione, il Broker individua invece la UA-R di assistenza del soggetto interrogando l'ANA. Il Broker assicura, altresi', il trasferimento dei dati del soggetto assistito, nel caso in cui lo stesso effettui un cambio di regione di assistenza. In tal caso, il cambio di regione di assistenza viene comunicata al Broker dall'ANA, garantendo il trasferimento e l'allineamento coordinato dei dati estratti dai documenti sanitari del soggetto assistito. Nello svolgere le sue funzioni, il Broker garantisce la non persistenza dei dati.»;
c) il primo punto della sezione «Servizi di interrogazione delle anagrafiche» del paragrafo 2.3 - «Modulo dei servizi», e' sostituito dal seguente:
«Servizi di interrogazione delle anagrafiche, che garantiscono il corretto riconoscimento dell'assistito e la verifica dei livelli di visibilita' dei relativi dati (deleghe e consensi). Si riporta, di seguito, l'elenco delle anagrafiche interrogate dall'EDS:
Anagrafe nazionale degli assistiti (art. 62-ter del CAD), per l'identificazione dell'assistito, ivi incluso il reperimento dell'informazione relativa alla regione di assistenza del soggetto stesso, sia in fase di alimentazione che di consultazione dei relativi dati; tale anagrafe e' interrogata anche dalla soluzione tecnologica in fase di validazione e pubblicazione dei documenti;»;
d) al paragrafo 2.3 - «Modulo dei servizi» dopo la sezione «Servizi di interoperabilita'» e' inserita la seguente:
«Servizio di trasferimento dei dati, che garantisce, a fronte dell'assegnazione di una nuova regione di assistenza ad un soggetto, lo spostamento dei relativi dati tra le Unita' di archiviazione regionali interessate. In particolare, a seguito della comunicazione, da parte di ANA al Broker, dell'avvenuto perfezionamento del cambio di regione di assistenza di un soggetto (ivi incluso il caso di trasferimento da/verso SASN), il Broker medesimo garantisce il trasferimento dei relativi dati dalla UA-R della regione da cui il soggetto effettua il trasferimento alla UA-R della nuova regione di assistenza.»;
e) la sezione «Flusso dati in chiaro» del paragrafo 3 - «Flusso di alimentazione dei dati verso l'EDS», e' sostituita dalla seguente:
«La soluzione tecnologica, previa validazione del documento sanitario, estrae i dati FHIR e, per il tramite del Broker EDS, alimenta l'unita' di archiviazione della regione di assistenza dell'interessato o la UA-SASN.
Ove la regione/provincia autonoma si avvalga della facolta' di cui all'art. 23 del decreto, l'accordo di collaborazione, di cui al comma 3 del medesimo articolo, disciplina il trattamento dei dati personali connesso all'alimentazione della UA-R della regione/provincia autonoma di assistenza (che ne assume la titolarita') con particolare riferimento alle fattispecie relative all'erogazione di prestazioni da parte di altre regioni/province autonome, al trasferimento di assistenza dell'interessato e all'aggiornamento dei dati.».
Il presente decreto e' trasmesso ai competenti organi di controllo per la registrazione ed e' pubblicato nella Gazzetta Ufficiale della Repubblica italiana.

Roma, 8 luglio 2025

Il Ministro della salute
Schillaci

Il Ministro dell'economia
e delle finanze
Giorgetti

Il Sottosegretario di Stato
con delega all'innovazione tecnologica
Butti
Registrato alla Corte dei conti l'8 agosto 2025 Ufficio di controllo sugli atti del Ministero della salute e del Ministero del lavoro e delle politiche sociali, reg. n. 1010