[normattiva_dump]

«Regolamento di attuazione dell'articolo 20, commi 2 e 3, dell'articolo 21 e dell'articolo 181, comma 1, lettera a), del decreto legislativo 30 giugno 2003, n. 196, recante: ''Codice in materia di protezione dei dati personalì'», con il quale si individuano i trattamenti dei dati sensibili e giudiziari effettuati dal Ministero della salute; Visto, in particolare, l'allegato C-01 del citato decreto del Ministro della salute n. 277 del 2007 che prevede il trattamento di dati sensibili per finalità di programmazione, gestione, controllo e valutazione dell'assistenza sanitaria, ai sensi dell'articolo 85, comma 1, lettera b), del citato Codice in materia di protezione dei dati personali, senza elementi identificativi diretti; Visti i regolamenti per il trattamento dei dati sensibili e giudiziari adottati dalle regioni e province autonome in conformità allo schema tipo di regolamento volto a disciplinare i trattamenti dei dati sensibili e giudiziari effettuati presso le regioni e le province autonome, le aziende sanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalle regioni e dalle province autonome, ai sensi degli articoli 20 e 21 del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni, approvato dal Garante per la protezione dei dati personali in data 26 luglio 2012; Rilevato, in particolare, che il suddetto schema tipo di regolamento prevede: nella scheda 12 dell'allegato A, che i dati provenienti dalle aziende sanitarie locali siano privati degli elementi identificativi diretti subito dopo la loro acquisizione da parte della regione; che, ai fini della verifica della non duplicazione delle informazioni e della eventuale interconnessione con altre banche dati sanitarie della regione, la specifica struttura tecnica individuata dalla Regione, alla quale viene esplicitamente affidata la funzione infrastrutturale, provvede ad assegnare ad ogni soggetto un codice univoco che non consente la identificazione dell'interessato durante il trattamento dei dati; che, qualora le regioni e le province autonome non dispongano di sistemi di codifica, coerenti con quanto stabilito nello schema tipo di Regolamento, i dati saranno inviati in forma anonima; Visto il decreto legislativo 6 settembre 1989, n. 322, recante «Norme sul sistema statistico nazionale e sulla riorganizzazione dell'Istituto nazionale di statistica, ai sensi dell'articolo 24 della legge 23 agosto 1988, n. 400», e successive modificazioni; Visto il decreto legislativo 7 marzo 2005, n. 82, recante il «Codice dell'amministrazione digitale» e successive modificazioni; Ritenuto di dover definire, in attuazione del citato articolo 15, comma 25-bis, del decreto-legge 6 luglio 2012, n. 95, convertito, con modificazioni, dalla legge 7 agosto 2012, n. 135, e del citato articolo 35 del decreto legislativo 23 giugno 2011, n. 118, le procedure per l'interconnessione a livello nazionale dei sistemi informativi su base individuale del Servizio sanitario nazionale, anche quando gestiti da diverse amministrazioni dello Stato, per le finalità indicate nelle disposizioni testè citate; Sentita la Cabina di regia del Nuovo sistema informativo sanitario in data 24 marzo 2015; Acquisito il parere del Garante per la protezione dei dati personali, reso in data 19 marzo 2015 ai sensi dell'articolo 154, comma 4, del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni; Acquisito il parere favorevole della Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano, ai sensi dell'articolo 2, comma 4, del decreto legislativo 28 agosto 1997, n. 281, nella seduta del 20 gennaio 2016 (Rep. atti n. 8/CSR); Udito il parere del Consiglio di Stato, espresso dalla Sezione consultiva per gli atti normativi nell'adunanza del 10 marzo 2016; Vista la comunicazione al Presidente del Consiglio dei ministri a norma dell'articolo 17, comma 3, della citata legge n. 400 del 1988, così come attestata dalla Presidenza del Consiglio dei ministri - Dipartimento per gli affari giuridici e legislativi con nota prot. n. 8399 del 12 agosto 2016; Adotta il seguente regolamento: Art. 1 Definizioni 1. Ai fini del presente decreto si intende per: a) NSIS: il Nuovo sistema informativo sanitario del Ministero della salute, gestito dalla Direzione generale della digitalizzazione, del sistema informativo sanitario e della statistica; b) livello nazionale: il Ministero della salute; c) fornitori dei dati per il livello nazionale: le regioni e le province autonome, e il Ministero dell'economia e delle finanze; d) codice identificativo: codice che identifica l'assistito nei rapporti con il Servizio sanitario nazionale, ovvero il codice fiscale, il codice Straniero temporaneamente presente (STP), il codice Europeo non iscritto (ENI) o il numero di identificazione personale della Tessera europea di assicurazione malattia (TEAM); e) codice univoco: codice assegnato, attraverso una procedura automatica, ad ogni assistito a partire dal codice identificativo, tale da non consentire la identificazione diretta dell'interessato durante il trattamento dei dati personali; f) SPC: il sistema pubblico di connettività di cui agli articoli 73 e seguenti del decreto legislativo 7 marzo 2005, n. 82 e successive modificazioni; g) regole tecniche SPC: le disposizioni di cui al decreto del Presidente del Consiglio dei ministri 1° aprile 2008, pubblicato nella Gazzetta Ufficiale 21 giugno 2008, n. 144, recante regole tecniche e di sicurezza per il funzionamento del sistema pubblico di connettività previste dall'articolo 71, comma 1-bis, del decreto legislativo 7 marzo 2005, n. 82, nonché le modalità definite nei documenti tecnico-operativi pubblicati dall'Agenzia per l'Italia Digitale a decorrere dal 14 ottobre 2005 e successivi aggiornamenti; h) cooperazione applicativa: l'interazione tra i sistemi informatici delle pubbliche amministrazioni disciplinata dalle regole tecniche SPC di cui alla lettera f), che avviene tramite le porte di dominio; i) accordo di servizio: atto tecnico che ha lo scopo di definire le prestazioni del servizio e le modalità di erogazione/fruizione, ovvero le funzionalità del servizio, le interfacce di scambio dei messaggi tra erogatore e fruitore, i requisiti di qualità del servizio dell'erogazione/fruizione, e i requisiti di sicurezza dell'erogazione/fruizione. È redatto dall'erogatore in collaborazione con i fruitori secondo le regole tecniche di cui alla lettera f) e viene reso pubblico dall'erogatore attraverso le infrastrutture condivise dal SPC (registro SICA). L'erogatore è inoltre responsabile della gestione del ciclo di vita dei propri accordi di servizio e dell'erogazione del servizio in conformità con gli accordi; l) credenziali di autenticazione: i dati e i dispositivi in possesso di una persona, da questa conosciuti o ad essa univocamente correlati, utilizzati per l'autenticazione informatica; m) porta di dominio: componente architetturale del SPC attraverso il quale si accede al dominio applicativo dell'Amministrazione per l'utilizzo dei servizi applicativi; n) profilo di autorizzazione: