Serie Generale n. 287 del 9-12-2022
DECRETI, DELIBERE E ORDINANZE MINISTERIALI
MINISTERO DELL'ECONOMIA E DELLE FINANZE
MINISTERO DELL'ECONOMIA E DELLE FINANZE
DECRETO 1 dicembre 2022
Modifica del decreto 30 dicembre 2020, concernente le procedure di dematerializzazione delle ricette farmaceutiche non a carico SSN (c.d. ricetta bianca). (22A07025) (GU Serie Generale n.287 del 09-12-2022)

IL RAGIONIERE GENERALE DELLO STATO
del Ministero dell'economia
e delle finanze

di concerto con

IL SEGRETARIO GENERALE
del Ministero della salute

Visto l'art. 50 del decreto-legge 30 settembre 2003, n. 269,
convertito, con modificazioni, dalla legge 24 novembre 2003, n. 326,
e successive modificazioni ed integrazioni (Sistema tessera
sanitaria);
Visto il decreto del Ministero dell'economia e delle finanze, di
concerto con il Ministero della salute del 2 novembre 2011,
pubblicato nella Gazzetta Ufficiale 12 novembre 2011, n. 264, e
successive modificazioni e integrazioni, concernente la
dematerializzazione delle ricette mediche, tramite il Sistema di
accoglienza centrale (SAC), anche tramite Sistemi di accoglienza
regionali o provinciali (SAR);
Visto il decreto del Ministero dell'economia e delle finanze, di
concerto con il Ministero della salute del 30 dicembre 2020,
pubblicato nella Gazzetta Ufficiale 15 gennaio 2021, n. 11,
concernente la dematerializzazione delle ricette farmaceutiche non a
carico del Servizio sanitario nazionale (SSN);
Visto l'art. 5 del decreto-legge 4 luglio 2006, n. 223, convertito,
con modificazioni, dalla legge 4 agosto 2006, n. 248, concernente la
possibilità, per gli esercizi commerciali di cui all'art. 4, comma
1, lettere d), e) e f), del decreto legislativo 31 marzo 1998, n.
114, di effettuare attività di vendita al pubblico dei farmaci da
banco o di automedicazione, di cui all'art. 9-bis del decreto-legge
18 settembre 2001, n. 347, convertito, con modificazioni, dalla legge
16 novembre 2001, n. 405, e di tutti i farmaci non soggetti a
prescrizione medica;
Visto il decreto legislativo 7 marzo 2005, n. 82, e successive
modificazioni, concernente il Codice dell'amministrazione digitale;
Visto il regolamento n. 2016/679/UE del Parlamento europeo e del
Consiglio del 27 aprile 2016, relativo alla protezione delle persone
fisiche con riguardo al trattamento dei dati personali, nonchè alla
libera circolazione di tali dati e che abroga la direttiva 95/46/CE
(Regolamento generale sulla protezione dei dati);
Visto il decreto legislativo 30 giugno 2003, n. 196 e successive
modificazioni, concernente il Codice in materia di protezione dei
dati personali, come modificato dal decreto legislativo 10 agosto
2018, n. 101, concernente «Disposizioni per l'adeguamento della
normativa nazionale alle disposizioni del regolamento (UE) 2016/679
del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo
alla protezione delle persone fisiche con riguardo al trattamento dei
dati personali, nonchè alla libera circolazione di tali dati e che
abroga la direttiva 95/46/CE (Regolamento generale sulla protezione
dei dati)»;
Acquisito il parere favorevole del Garante per la protezione dei
dati personali espresso con provvedimento n. 400 del 24 novembre
2022, ai sensi dell'art. 36, paragrafo 4 del regolamento (UE)
2016/679 e recepita, nel disciplinare tecnico allegato al presente
decreto, l'indicazione di adeguare, entro sei mesi dall'entrata in
vigore del presente decreto, le modalità di autenticazione
informatica degli utenti ai servizi offerti attraverso il Sistema
tessera sanitaria;

Decreta:

Art. 1

Modifiche al decreto 30 dicembre 2020

1. Al decreto 30 dicembre 2020 citato nelle premesse sono apportate
le seguenti modifiche:
a) all'art. 1, comma 1, dopo la lettera i) è aggiunta la
seguente:
«j) "parafarmacia": esercizio commerciale di cui all'art. 4,
comma 1, lettere d), e) e f), del decreto legislativo 31 marzo 1998,
n. 114, che effettua attività di vendita al pubblico dei farmaci da
banco o di automedicazione, di cui all'art. 9-bis del decreto-legge
18 settembre 2001, n. 347, convertito, con modificazioni, dalla legge
16 novembre 2001, n. 405.»;
b) all'art. 2, dopo il comma 4, è aggiunto il seguente:
«4-bis. A fronte dell'utilizzo presso una parafarmacia da parte
dell'assistito della ricetta di cui al presente articolo recante
esclusivamente farmaci non soggetti a obbligo di prescrizione medica,
il SAC rende disponibile alla medesima parafarmacia le funzionalità
per l'invio dei dati della prestazione erogata con le medesime
modalità di cui al decreto 2 novembre 2011, anche tramite servizi
web.»;
c) all'art. 2, comma 6, le parole «di cui al comma 4 e,» sono
sostituite dalle seguenti: «di cui ai commi 4 e 4-bis e,»;
d) all'art. 3, dopo il comma 2, è aggiunto il seguente:
«2-bis. Limitatamente alle ricette di cui all'art. 2, comma 4-bis
del presente decreto, il SAC estende anche alle parafarmacie le
funzionalità di cui al comma 2 del presente articolo.»;
e) dopo l'art. 4, è inserito il seguente:
«Art. 4-bis (Trattamento dei dati e modalità tecniche attuative).
- 1. Le modalità tecniche per l'attuazione di quanto previsto dal
presente decreto sono riportate nell'allegato disciplinare tecnico,
che costituisce parte integrante del presente decreto.
2. Le specifiche tecniche dei servizi e le informazioni a supporto
dello sviluppo degli stessi sono pubblicati nel portale del Sistema
TS (www.sistemats.it). Gli aggiornamenti alle specifiche tecniche
relative alle funzioni e ai servizi di cui al presente decreto, che
non incidano sui tipi di dati trattati e sulle operazioni eseguibili,
sono pubblicati nel portale del Sistema TS.».
Il presente decreto sarà pubblicato nella Gazzetta Ufficiale della
Repubblica italiana.

Roma, 1° dicembre 2022

Il Ragioniere generale
dello Stato
Mazzotta
Il Segretario generale
Leonardi

Allegato 1


DISCIPLINARE TECNICO
SISTEMA TS: SERVIZI TELEMATICI
RICETTA BIANCA ELETTRONICA
DATI E RELATIVO TRATTAMENTO

Indice
1. Introduzione
2. Servizi per la comunicazione dei dati delle ricette bianche
elettroniche
2.1. Descrizione dei servizi
2.2. Modalità di fruizione
2.3. Accesso ai servizi
2.4. NRBE - Numero di ricetta bianca elettronica
2.5. Tracciati dei servizi per i medici
2.5.1. Servizio di invio dati della ricetta bianca
elettronica
2.5.2. Servizio di annullamento della ricetta bianca
elettronica
2.5.3. Servizio di visualizzazione della ricetta bianca
elettronica
2.6. Tracciati dei servizi per farmacie e parafarmacie
2.6.1. Servizio di visualizzazione e presa in carico della
ricetta bianca elettronica
2.6.2. Servizio per la comunicazione di chiusura
dell'erogazione di una ricetta bianca elettronica
2.6.3. Servizio per la sospensione dell'erogazione di una
ricetta bianca elettronica
2.6.4. Servizio per l'annullamento delle ricette bianche
elettroniche già erogate
2.7. Registrazione degli accessi applicativi e tempi di
conservazione
3. Modalità di autenticazione
4. Misure di sicurezza
4.1. Infrastruttura fisica
4.2. Registrazione degli utenti ed assegnazione degli strumenti
di sicurezza
4.3. Canali di comunicazione
4.4. Sistema di monitoraggio del servizio
4.5. Protezione da attacchi informatici
4.6. Sistemi e servizi di backup e disaster recovery
4.7. Sistema di log analysis applicativo
4.8. Accesso ai sistemi

1. Introduzione.

Il presente documento descrive le modalità tecniche per: la
trasmissione al Sistema TS da parte dei medici dei dati relativi alle
prescrizioni su ricetta bianca elettronica;
la trasmissione al Sistema TS da parte delle farmacie e
parafarmacie dei dati relativi alle erogazioni di farmaci prescritti
su ricetta bianca elettronica.
Le specifiche tecniche dei servizi e le informazioni a supporto
dello sviluppo degli stessi, per entrambi gli argomenti trattati,
sono pubblicati nel portale del Sistema TS www.sistemats.it - nel
caso dovessero insorgere necessità informatiche che prevedono la
modifica sia della definizione dei campi dei tracciati tecnici sia
dei valori da trasmettere ma che non cambiano la logica del
trattamento descritto in questo documento, verranno apportate
modifiche unicamente alle specifiche tecniche pubblicate nel portale
del Sistema Ts.

2. Servizi per la comunicazione dei dati delle ricette bianche
elettroniche.

2.1. Descrizione dei servizi.
Si descrivono di seguito le funzionalità necessarie alla
trasmissione al Sistema TS delle ricette bianche elettroniche
contenenti:
le prescrizioni di farmaci effettuate dai medici;
i dati di erogazione dei farmaci in esse contenute effettuate
da farmacie e parafarmacie; in modo particolare le parafarmacie
possono trasmettere unicamente i dati di erogazione dei farmaci non
soggetti a obbligo di prescrizione medica, intendendo i farmaci da
banco o di automedicazione, di cui all'art. 9-bis del decreto-legge
18 settembre 2001, n. 347, convertito, con modificazioni, dalla legge
16 novembre 2001, n. 405. I servizi sono fruibili direttamente dagli
attori coinvolti nel processo anche per il tramite del Sistema di
accoglienza regionale (SAR) per le regioni che ne sono provviste.

2.2. Modalità di fruizione.
I servizi descritti di seguito sono resi disponibili:
in modalità cooperativa tramite web service;
attraverso l'utilizzo di applicazioni web nel portale
www.sistemats.it

2.3. Accesso ai servizi.
Le possibilità di accesso ai servizi da parte degli attori
coinvolti nel processo sono riassunte nella seguente tabella:

Parte di provvedimento in formato grafico

La trasmissione dei dati da parte degli utenti 1, 2, 3 e 4 di cui
sopra sono da intendersi come collegamento diretto al Sistema TS
(c.d. Sistema di accoglienza centrale - SAC). Le regioni e le
Province autonome di Trento e Bolzano che intendono utilizzare il
loro Sistema di accoglienza regionale (SAR) per assolvere agli
obblighi di trasmissione dati da parte degli utenti 1 e/o 2 e/o 3 e/o
4 si pongono come intermediari nel colloquio con il Sistema TS (SAC).
Gli utenti 1 e/o 2 e/o 3 e/o 4 si autenticano al SAR con credenziali
e modalità stabilite dalla regione e provincia autonoma; a sua volta
la regione o provincia autonoma si autentica e coopera con il Sistema
TS attraverso i servizi descritti nel presente documento. Il
colloquio tra sistema regionale e Sistema TS avviene in mutua
autenticazione con certificato client. Il sistema regionale deve
garantire i requisiti minimi di sicurezza adottati dal Sistema TS in
termini di autenticazione forte. Le regioni e province autonome
possono autenticarsi al SAC sia in basic authentication con codice
PIN come fattore di autenticazione che in mutua autenticazione con
certificato client. È prevista l'evoluzione della basic
authentication con pincode verso un'autenticazione a 2 o pi fattori
entro 6 mesi dalla pubblicazione del decreto.

2.4 NRBE - Numero di ricetta bianca elettronica.
Il Numero di ricetta bianca elettronica, abbreviato in NRBE, è
un numero prodotto dal Sistema di accoglienza centrale (SAC) per
identificare a livello univoco nazionale una ricetta bianca
elettronica. L'NRBE è composto da una stringa alfanumerica lunga 12
caratteri in cui:
il primo carattere è sempre una lettera dell'alfabeto;
il secondo carattere è una lettera dell'alfabeto o un numero;
dal terzo al dodicesimo carattere è sempre un numero.
NRBE per pazienti provvisti di codice fiscale: l'NRBE per i
pazienti provvisti di codice fiscale ha la seguente struttura:
1° carattere: lettera dell'alfabeto corrispondente al check
digit del codice fiscale del paziente; le lettere utilizzate sono le
seguenti: A, B, C, D, E, F, G, H, I, J, K, L, M, N, O, P, Q, R, S, T,
U, V, W, X, Y, Z;
2° carattere: un numero da 0 a 9;
dal 3° all'12° carattere: tutti i numeri da 0000000000
9999999999.
Es: per la lettera A si hanno tutte le combinazioni da
A00000000000 a A99999999999; per tutte le altre lettere dell'alfabeto
si hanno le stesse combinazioni.
Ogni numero successivo al precedente nell'ambito di ogni lettera
dell'alfabeto è assegnato alla prima ricetta bianca elettronica che
viene prescritta a livello nazionale ad un paziente che abbia quella
lettera come check digit del suo codice fiscale.

2.5. Tracciati dei servizi per i medici.
Di seguito si descrivono i messaggi di richiesta e di risposta
dei servizi, validi per la modalità web service.
2.5.1. Servizio di invio dati della ricetta bianca elettronica.
Messaggio di richiesta.
Tutti i dati sono da intendersi come fonte medico.

Parte di provvedimento in formato grafico

Messaggio di risposta.
Tutti i dati sono da intendersi come fonte Sistema TS.

Parte di provvedimento in formato grafico

2.5.2. Servizio di annullamento della ricetta bianca elettronica.
Messaggio di richiesta.
Tutti i dati sono da intendersi come fonte medico.

Parte di provvedimento in formato grafico

Messaggio di risposta.
Tutti i dati sono da intendersi come fonte Sistema TS.

Parte di provvedimento in formato grafico

2.5.3. Servizio di visualizzazione della ricetta bianca elettronica.
Messaggio di richiesta.
Tutti i dati sono da intendersi come fonte medico.

Parte di provvedimento in formato grafico

Messaggio di risposta.
Tutti i dati sono da intendersi come fonte Sistema TS.

Parte di provvedimento in formato grafico

2.6. Tracciati dei servizi per farmacie e parafarmacie.
2.6.1. Servizio di visualizzazione e presa in carico della ricetta
bianca elettronica.
Messaggio di richiesta.
Tutti i dati sono da intendersi come fonte farmacia o
parafarmacia.
NB: la visualizzazione della ricetta prescritta, nel caso in cui
la prescrizione contenga farmaci non erogabili dal soggetto
richiedente, viene bloccata e non è possibile consultare i dati
inseriti dal medico; in modo particolare la regola si applica alle
parafarmacie, che possono erogare unicamente farmaci non soggetti a
obbligo di prescrizione medica, intendendo i farmaci da banco o di
automedicazione, di cui all'art. 9-bis del decreto-legge 18 settembre
2001, n. 347, convertito, con modificazioni, dalla legge 16 novembre
2001, n. 405.

Parte di provvedimento in formato grafico

Messaggio di risposta.
Tutti i dati sono da intendersi come fonte Sistema TS.

Parte di provvedimento in formato grafico

2.6.2. Servizio per la comunicazione di chiusura dell'erogazione di
una ricetta bianca elettronica.
Messaggio di richiesta.
Tutti i dati sono da intendersi come fonte farmacia o
parafarmacia.

Parte di provvedimento in formato grafico

Messaggio di risposta.
Tutti i dati sono da intendersi come fonte Sistema TS.

Parte di provvedimento in formato grafico

2.6.3. Servizio per la sospensione dell'erogazione di una ricetta
bianca elettronica.
Messaggio di richiesta.
Tutti i dati sono da intendersi come fonte farmacia o
parafarmacia.

Parte di provvedimento in formato grafico

Messaggio di risposta.
Tutti i dati sono da intendersi come fonte Sistema TS.

Parte di provvedimento in formato grafico

2.6.4. Servizio per l'annullamento delle ricette bianche elettroniche
già erogate.
Messaggio di richiesta.
Tutti i dati sono da intendersi come fonte farmacia o
parafarmacia.

Parte di provvedimento in formato grafico

Messaggio di risposta.
Tutti i dati sono da intendersi come fonte Sistema TS.

Parte di provvedimento in formato grafico

2.7. Registrazione degli accessi applicativi e tempi di
conservazione.
Il sistema registra gli accessi alle applicazioni e l'esito delle
operazioni, e inserisce tali dati in un archivio dedicato. Per
ciascuna transazione effettuata saranno registrati i seguenti dati
relativi all'accesso e all'esito dell'operazione:
identificativo del medico, della farmacia, della parafarmacia
che esegue l'inserimento;
data-ora-minuti-secondi-millisecondi dell'accesso;
operazione richiesta;
esito della transazione;
identificativo della transazione.
I log degli accessi così descritti sono conservati per dodici
mesi.

3. Modalità di autenticazione.

Per l'accesso al Sistema TS, i medici, le farmacie e le
parafarmacie devono essere stati preventivamente abilitati secondo
procedure standard. Le credenziali di autenticazione, prodotte dal
Sistema TS e contenenti utente, password da cambiare al primo accesso
e pin code, vengono distribuite da un Amministratore di sistema
(Profilo amministratore). Tali credenziali permettono al Sistema TS
di riconoscere l'utente con procedure di basic authentication.
È prevista l'evoluzione della basic authentication con pincode
verso un'autenticazione a 2 o più fattori entro sei mesi dalla
pubblicazione del decreto.
Le regioni e le province autonome, oltre alle credenziali sopra
descritte che permettono l'accesso in basic authentication, sono
provviste anche di certificato client.
Tutte le chiamate ai Web Service avvengono tramite protocollo
HTTPS (TLS 1.2).

4. Misure di sicurezza.

4.1. Infrastruttura fisica.
L'infrastruttura fisica è realizzata dal Ministero dell'economia
e delle finanze attraverso l'utilizzo dell'infrastruttura del Sistema
tessera sanitaria in attuazione di quanto disposto dall'ordinanza di
cui al titolo del presente documento.
I locali sono sottoposti a videosorveglianza continua e sono
protetti da qualsiasi intervento di personale esterno, ad esclusione
degli accessi di personale preventivamente autorizzato necessari alle
attività di manutenzione e gestione tecnica dei sistemi e degli
apparati.
L'accesso ai locali avviene secondo una documentata procedura,
prestabilita dal titolare del trattamento, che prevede
l'identificazione delle persone che accedono e la registrazione degli
orari di ingresso ed uscita di tali persone.

4.2. Registrazione degli utenti ed assegnazione degli strumenti di
sicurezza.
È presente una infrastruttura di Identity e Access Management
che censisce direttamente le utenze, accogliendo flussi di
autenticazione e di autorizzazione, per l'assegnazione dei
certificati client di autenticazione, delle credenziali di
autenticazione e delle risorse autorizzative.
L'autenticazione dei medici, delle farmacie e delle parafarmacie
avviene attraverso le credenziali rilasciate dal Sistema TS; le
regioni e le province autonome possono accedere attraverso le
credenziali rilasciate dal Sistema TS oppure tramite certificato
client.
In particolare, per le parafarmacie il rilascio delle credenziali
del Sistema TS avviene secondo le modalità di cui al decreto del
Ministero dell'economia e delle finanze del 19 ottobre 2020 e
successive modificazioni, concernente la trasmissione dei dati delle
spese sanitarie a carico dei cittadini.

4.3. Canali di comunicazione.
Le comunicazioni sono scambiate in modalità sicura su rete
internet, mediante protocollo TLS in versione minima 1.2, al fine di
garantire la riservatezza dei dati. I protocolli di comunicazione
TLS, gli algoritmi e gli altri elementi che determinano la sicurezza
del canale di trasmissione protetto sono continuamente adeguati in
relazione allo stato dell'arte dell'evoluzione tecnologica, in
particolare per il TLS non sono negoziati gli algoritmi crittografici
pi datati (es. MD5).

4.4. Sistema di monitoraggio del servizio.
Per il monitoraggio dei servizi, il Ministero dell'economia e
delle finanze si avvale di uno specifico sistema di reportistica. Il
sistema di reportistica offre funzioni per visualizzare i dati
aggregati come il numero di transazioni effettuate e i relativi
esiti. L'aggregazione può essere fatta per regione o per tipologia
di utente che effettua la transazione. La finalità è di fornire il
monitoraggio dell'andamento del progetto sia nella fase di avvio che
nella fase a regime.

4.5. Protezione da attacchi informatici.
Per proteggere i sistemi dagli attacchi informatici al fine di
eliminare le vulnerabilità, si utilizzano le seguenti tecnologie o
procedure.
a) aggiornamenti periodici dei sistemi operativi e dei software
di sistema, hardening delle macchine;
b) adozione di una infrastruttura di sistemi firewall e sistemi
IPS (Intrusion Prevention System) che consentono la rilevazione
dell'esecuzione di codice non previsto e l'esecuzione di azioni in
tempo reale quali il blocco del traffico proveniente da un indirizzo
IP attaccante;
c) esecuzione di WAPT (web application penetration test), per
la verifica della presenza di eventuali vulnerabilità sul codice
sorgente.

4.6. Sistemi e servizi di backup e disaster recovery
È previsto il backup dei sistemi. È previsto il disaster
recovery dei sistemi, che comprende anche il disaster recovery dei
dati.

4.7. Sistema di log analysis applicativo
Non è previsto un sistema di log analysis applicativo non è
prevista la registrazione dei dati applicativi.

4.8. Accesso ai sistemi.
L'infrastruttura dispone di sistemi di tracciamento degli accessi
ai sistemi informatici di supporto come base dati, server web e
infrastrutture a supporto del servizio. L'accesso alla base dati
avviene tramite utenze nominali o riconducibili ad una persona fisica
(escluse le utenze di servizio). Il sistema di tracciamento registra
(su appositi log) le seguenti informazioni: identificativo univoco
dell'utenza che accede, data e ora di login, logout e login falliti,
postazione di lavoro utilizzata per l'accesso (IP client), tipo di
operazione eseguita sui dati (ad esclusione delle risposte alle
query). Per ogni accesso ai sistemi operativi, ai sistemi di rete, al
software di base e ai sistemi complessi, il sistema di tracciamento
registra (su appositi log) le seguenti informazioni: identificativo
univoco dell'utenza che accede, data e ora di login, logout e login
falliti, postazione di lavoro utilizzata per l'accesso (IP client).
I log prodotti dai sistemi di tracciamento infrastrutturali sono
soggetti a monitoraggio costante allo scopo di individuare eventuali
anomalie inerenti alla sicurezza (accessi anomali, operazioni
anomale, ecc.) e di valutare l'efficacia delle misure implementate.
I log di accesso degli Amministratori di sistema e degli
incaricati sono protetti da eventuali tentativi di alterazione e
dispongono di un sistema di verifica della loro integrità.
I log relativi agli accessi e alle operazioni effettuate sui
sistemi operativi, sulla rete, sul software di base e sui sistemi
complessi sono conservati per dodici mesi.