Serie Generale n. 174 del 27-7-2023
DECRETI, DELIBERE E ORDINANZE MINISTERIALI
MINISTERO DELLA SALUTE
MINISTERO DELLA SALUTE
DECRETO 9 giugno 2023
Tempi di conservazione dei dati personali eventualmente forniti contestualmente alle comunicazioni di incidenti con i dispositivi medici. (23A04254) (GU Serie Generale n.174 del 27-07-2023)

IL MINISTRO DELLA SALUTE

Visto l'articolo 117, secondo comma, lettera r), della
Costituzione, che attribuisce allo Stato la legislazione esclusiva
nella materia del coordinamento informativo statistico e informatico
dei dati dell'amministrazione statale, regionale e locale;
Visto il decreto legislativo 7 marzo 2005, n. 82, e successive
modificazioni, recante il «Codice dell'amministrazione digitale»;
Visto il regolamento (UE) 2017/745 del Parlamento europeo e del
Consiglio del 5 aprile 2017, relativo ai dispositivi medici, che
modifica la direttiva 2001/83/CE, il regolamento (CE) n. 178/2002 e
il regolamento (CE) n. 1223/2009 e che abroga le direttive 90/385/CEE
e 93/42/CEE del Consiglio;
Visto il decreto legislativo 5 agosto 2022, n. 137, recante
disposizioni per l'adeguamento della normativa nazionale alle
disposizioni del regolamento (UE) 2017/745 del Parlamento europeo e
del Consiglio, del 5 aprile 2017, relativo ai dispositivi medici, che
modifica la direttiva 2001/83/CE, il regolamento (CE) n. 178/2002 e
il regolamento (CE) n. 1223/2009 e che abroga le direttive 90/385/CEE
e 93/42/CEE del Consiglio, nonchè per l'adeguamento alle
disposizioni del regolamento (UE) 2020/561 del Parlamento europeo e
del Consiglio, del 23 aprile 2020, che modifica il regolamento (UE)
2017/745 relativo ai dispositivi medici, per quanto riguarda le date
di applicazione di alcune delle sue disposizioni ai sensi dell'art.
15 della legge 22 aprile 2021, n. 53;
Visto, in particolare, l'articolo 10, comma 9, del decreto
legislativo 5 agosto 2022, n. 137 che demanda ad apposito decreto del
Ministro della salute di individuare i tempi di conservazione dei
dati personali eventualmente forniti contestualmente alle
comunicazioni di incidenti verificatisi dopo l'immissione in
commercio di un dispositivo medico;
Visto il regolamento (UE) 2016/679 del Parlamento europeo e del
Consiglio del 27 aprile 2016, relativo alla protezione delle persone
fisiche con riguardo al trattamento dei dati personali, nonchè alla
libera circolazione di tali dati e che abroga la direttiva 95/46/CE
(regolamento generale sulla protezione dei dati) e, in particolare
l'art. 5, paragrafo 1, lettera e);
Visto il Codice in materia di protezione dei dati personali di cui
al decreto legislativo 30 giugno 2003, n. 196, come modificato dal
decreto legislativo 10 agosto 2018, n. 101, recante «Disposizioni per
l'adeguamento della normativa nazionale alle disposizioni del
regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del
27 aprile 2016, relativo alla protezione delle persone fisiche con
riguardo al trattamento dei dati personali, nonchè alla libera
circolazione di tali dati e che abroga la direttiva 95/46/CE
(regolamento generale sulla protezione dei dati)» e, in particolare,
l'art. 2-septies;
Visto l'articolo 21 del decreto legislativo 5 agosto 2022, n. 137
in tema di riservatezza delle informazioni e dei dati ottenuti
nell'ambito delle attività disciplinate da tale decreto legislativo;
Visto l'articolo 1, comma 586, della legge 23 dicembre 2014, n.
190, in base al quale «con decreto del Ministro della salute, previa
intesa in sede di Conferenza permanente per i rapporti tra lo Stato,
le regioni e le province autonome di Trento e di Bolzano, sono
definite le modalità per l'attivazione, senza nuovi o maggiori oneri
per la finanza pubblica, di una rete di comunicazione dedicata alla
dispositivo-vigilanza che consenta lo scambio tempestivo e capillare
delle informazioni riguardanti incidenti che coinvolgono dispositivi
medici. Con il medesimo decreto sono determinati, nell'ambito del
Nuovo sistema informativo sanitario (NSIS) i contenuti informativi e
le modalità di interscambio dei dati del sistema informativo a
supporto della rete nazionale per la dispositivo-vigilanza»;
Visto il decreto del Sottosegretario di Stato per la salute 31
marzo 2022, recante «Istituzione della rete nazionale per la
dispositivo-vigilanza e del sistema informativo a supporto della
stessa» pubblicato nella Gazzetta Ufficiale della Repubblica italiana
del 16 aprile 2022, n. 90;
Visto l'Accordo-quadro tra il Ministro della salute, le regioni e
le province autonome, sancito dalla Conferenza permanente tra lo
Stato, le regioni e le Province autonome di Trento e di Bolzano nella
seduta del 22 febbraio 2001 (Rep. atti n. 1158/CSR), relativo al
piano di azione coordinato per lo sviluppo del Nuovo sistema
informativo sanitario nazionale («NSIS») che, all'articolo 6,
stabilisce che le funzioni di indirizzo, coordinamento e controllo
delle fasi di attuazione del NSIS, debbano essere esercitate
congiuntamente attraverso un organismo denominato «Cabina di regia»;
Ritenuto opportuno acquisire il parere del Garante per la
protezione dei dati personali - come suggerito dallo stesso nel
parere reso il 26 maggio 2022 (registro dei provvedimenti n. 189)
sullo schema di decreto legislativo recante disposizioni per
l'adeguamento della normativa nazionale alle disposizioni del
regolamento (UE) 2017/745 relativo ai dispositivi medici - sui tempi
di conservazione dei dati personali eventualmente forniti
contestualmente alle comunicazioni di incidenti verificatisi dopo
l'immissione in commercio di un dispositivo medico;
Acquisito il parere del Garante per la protezione dei dati
personali, reso in data 27 aprile 2023;
Considerato che, per le finalità di vigilanza dell'Autorità
competente sui dispositivi medici designata ai sensi dell'articolo 3,
comma 1, del decreto legislativo n. 137 del 2022 citato, è
necessario poter contattare gli operatori sanitari che segnalano gli
incidenti e avere, quindi, la disponibilità dei relativi dati
personali per il tempo strettamente necessario alla valutazione
dell'incidente;
Ritenuto, per quanto sopra premesso, di dover individuare i tempi
di conservazione dei dati personali eventualmente forniti
contestualmente alle comunicazioni di incidenti verificatisi dopo
l'immissione in commercio di un dispositivo medico;

Decreta:

Art. 1

Oggetto

1. Il presente decreto individua i tempi di conservazione dei dati
personali dei pazienti, eventualmente forniti contestualmente alle
comunicazioni di incidenti verificatisi dopo l'immissione in
commercio di un dispositivo medico, e degli operatori sanitari che
trasmettono tali segnalazioni.
2. Ai fini del presente decreto per «incidenti» si intendono quelli
di cui al'articolo 2, paragrafo 1, numeri 64) e 65) del regolamento
(UE) 2017/745.

Art. 2

Tempi di conservazione dei dati personali

1. I dati personali dei pazienti eventualmente trasmessi al
Ministero della salute, ai sensi dell'art. 10, comma 9, del decreto
legislativo 5 agosto 2022, n. 137, sono conservati per il tempo
strettamente necessario per la valutazione dell'incidente e,
comunque, non oltre due anni dalla relativa segnalazione.
2. I dati personali riferiti agli operatori sanitari ai sensi
dell'art. 10, comma 9, del decreto legislativo 5 agosto 2022, n. 137
sono conservati per il tempo necessario per la valutazione
dell'incidente e, comunque, non oltre cinque anni dalla relativa
segnalazione.
3. Il Ministero della salute provvede, attraverso i propri sistemi
informativi, alla cancellazione, decorsi i termini previsti, dei dati
personali di cui ai commi 1 e 2.

Art. 3

Entrata in vigore

1. Il presente decreto è pubblicato nella Gazzetta Ufficiale della
Repubblica italiana ed entra in vigore il giorno stesso della
pubblicazione.
Il presente decreto è trasmesso all'organo di controllo per gli
adempimenti di competenza.
Roma, 9 giugno 2023

Il Ministro: Schillaci

Registrato alla Corte dei conti il 12 luglio 2023
Ufficio di controllo sugli atti del Ministero dell'istruzione e del
merito, del Ministero dell'università e della ricerca, del Ministero
della cultura, del Ministero della salute e del Ministero del lavoro
e delle politiche sociali, n. 2047