È in fase di studio un decreto del Ministero della salute, che dovrebbe modificare e abrogare il Regolamento in materia di FSE (dpcm n. 178/2015) ed inglobare il decreto del 18 maggio 2022 che integra dati e documenti essenziali che compongono il Fascicolo sanitario elettronico. Tale schema di decreto è discusso da oltre un anno.
Il nuovo schema di Regolamento FSE del 2023 elimina sia le previsioni in tema di Ecosistema dei Dati Sanitari (EDS), sia le norme sull’informativa del soggetto interessato. Queste ultime sono sostituite da rinvii programmatici, che attribuiscono la determinazione delle informative a successivi atti del Ministero della salute. Sono state inoltre espunte dallo schema di decreto le norme in tema di Dossier Farmaceutico.
FSE, stato di avanzamento dello schema di decreto e interventi del Garante
Nell’agosto del 2022, esso era stato valutato negativamente dall’Autorità Garante dei dati personali, interpellato nella sua funzione di “consulente” del governo ex art. 12 d.l. 179/2012. In data 8 giugno 2023, l’Autorità Garante dei dati personali ha espresso un parere positivo al nuovo schema di decreto del Ministero della Sanità datato 4 aprile 2023[1]. Questo, rispetto alla bozza bocciata nell’agosto del 2022 è privo delle sezioni più controverse, vale a dire quelle sull’ecosistema dati sanitari e sul gateway, risultando più breve di 8 articoli (29, contro i 37 della bozza su cui il Garante Privacy si era espressa nell’agosto 2022). Nel parere dell’8 giugno 2023 il Garante chiarisce a più riprese che lo schema di decreto è stato formulato in seguito ad intense interlocuzioni tra il Ministero della Salute ed il Garante stesso. Con tale provvedimento, il Garante ha approvato lo schema proposto dal Ministero, formulando solo delle riserve limitate. Si può pertanto ritenere con relativa certezza che l’aggiornamento della normativa secondaria in tema di FSE, sostitutiva del c.d. Regolamento in materia di FSE del 2015, non conterrà modifiche sostanziali rispetto allo schema di decreto formulato dal Ministero della salute e commentato dal Garante della Privacy.
L’uso aggregato dei dati personali dei cittadini
Tanto premesso, si deve sottolineare come in seguito all’intervento del Garante della Privacy, il nuovo schema di decreto risulti privo di alcune delle innovazioni più significative. A risultare notevolmente intaccata è innanzitutto la possibilità di utilizzare in modo aggregato i dati personali dei cittadini.
Questo potrebbe consentire alla PA di prevedere l’evolversi del fabbisogno di salute della popolazione, con evidenti vantaggi. Il Garante ha infatti tuttavia osteggiato il modello di Ecosistema dei Dati Sanitari, uno strumento di coordinamento informatico imprescindibile nell’ottica di sviluppare un sistema centralizzato di raccolta e analisi dei dati sanitari.
Per via della natura particolarmente sensibile dei dati coinvolti, la normativa in tema di EDS dovrebbe soddisfare al contempo delle cautele indirizzate sia alla tutela dei diritti fondamentali dei soggetti del trattamento, sia alla protezione di un più generale interesse nazionale alla sicurezza della rete.
La versione del Regolamento FSE commentata dal Garante nel 2022 ha omesso di soddisfare tali requisiti.
Del resto, lo stesso Garante, sempre il 22 agosto del 2022, ha espresso un parere negativo anche su uno schema di decreto sull’Ecosistema dei Dati sanitari, sottolineando peraltro l’intimo legame che intercorre tra la disciplina del trattamento dei dati contenuta nel Regolamento FSE e l’idoneità del Regolamento FSE a tutelare diritti individuali e sicurezza della rete[2]. Ne consegue che le perplessità del Garante si sono estese anche alla disciplina dell’informativa del soggetto interessato dal trattamento. Si tratta quest’ultima, di una materia che la versione del 2015 del Regolamento già regolava nel dettaglio all’ art. 7.
Contenuto del FSE
Tanto detto su ciò che il nuovo schema ha omesso di aggiungere, deve ribadirsi che esso ammoderna la disciplina del FSE attualmente in vigore. A rimanere immutati sono solo i capi III e IV della versione del 2015, che hanno ad oggetto questioni limitate alla raccolta di dati sanitari a fini statistici.
Importanti novità riguardano invece i contenuti del FSE, l’accesso al fascicolo, sia da parte dell’assistito, sia da parte del personale delle strutture sanitarie, i diritti dell’assistito, l’alimentazione del FSE, e l’interoperabilità dei fascicoli che pure continuano ad essere gestiti a livello regionale.
Lo schema di decreto del 2023, nel descrivere le informazioni che compongono il FSE, elimina la distinzione tra dati essenziali ed integrativi, che invece caratterizzava il Regolamento del 2015.
L’accesso al FSE è incentrato sulla predeterminazione da parte della normativa di profili di accesso dell’utente. L’abbinamento del singolo utente ad uno di tali profili limita strutturalmente le informazioni che possono essere consultate (o inserite) da parte del soggetto che accede.
Il par. 3 dell’Allegato B alla nuova bozza di Regolamento del 4 aprile del 2023 (che si sovrappone, modificandolo, al par. 4 del disciplinare tecnico allegato Regolamento in materia di FSE del 2015) chiarisce che la visione delle informazioni presenti nel FSE richiede l’individuazione di adeguati livelli di visibilità per ciascuna categoria di professionisti ed operatori sanitari, nonché per l’assistito o i suoi delegati. Tale operazione presuppone una preventiva classificazione delle informazioni presenti nel FSE. Successivamente, dopo aver inquadrato il soggetto che accede ad un profilo predeterminato, attribuisce al soggetto stesso autorizzazioni e diritti di accesso adatti, anche tenendo conto dei consensi prestati dall’assistito e dell’eventuale oscuramento di determinati dati e documenti da parte dello stesso.
I profili cui può essere collegata l’identità del soggetto che accede al FSE diverso dall’assistito sono elencati al par. 4.1. dell’Allegato A della bozza di Regolamento del 2023. Oltre all’assistito, il suo delegato o l’esercente responsabilità genitoriale, la norma prevede un numero di figure che vanno dal medico al farmacista, fino ad includere alcuni profili riferibili alla Direzione generale del ministero della salute. I successivi sotto-paragrafi elencano invece le informazioni cui ciascun profilo può accedere in diversi scenari, secondo un modello ispirato a principi di “need to know” e “segregation of duties”.
L’articolo 9 del nuovo schema di Regolamento, in tema di diritti dell’assistito, espande notevolmente la disciplina contenuta all’art. 8 del dpcm n. 178/2015. Quest’ultimo, si limita a prevedere un diritto all’oscuramento in termini alquanto generici. La nuova disciplina pone invece delle garanzie procedurali affinché il diritto possa essere effettivamente esercitato. L’assistito ha innanzitutto il diritto ad essere correttamente informato sulle modalità e sugli effetti della procedura di oscuramento. Inoltre, deve essergli consentito di svolgere l’operazione anche online.
L’oscuramento di alcune categorie di dati è solo una delle numerose operazioni che possono essere svolte sul FSE. Queste, come l’alimentazione del FSE, sono legate al medesimo principio di inquadramento nei diversi profili che regola l’accesso al FSE. E’ importante notare che a partire dal d.l. 34/2020, è ammessa la possibilità per l’assistito di inserire dati nel FSE e che l’obbligo di alimentare il FSE riguarda anche il personale sanitario di strutture non legate al SSN.
Nonostante i numerosi limiti dell’attribuzione del dovere di realizzare i fascicoli elettronici agli enti territoriali locali, gli standard semantici e formali continuano ad essere di competenza della Regioni. Allo scopo di semplificare i processi di interoperabilità del FSE, l’INI consente, in maniera trasparente ai sistemi regionali di FSE, l’identificazione del paziente tramite il sistema ANA e l’inoltro verso il corretto sistema regionale di FSE della richiesta ricevuta. Pertanto, il sistema regionale di FSE che necessita di effettuare una richiesta di interoperabilità inoltra la richiesta all’INI senza preoccuparsi di individuare la RDA (Regione di appartenenza) del paziente.
Valutazioni critiche sul nuovo Regolamento FSE
Senza insistere sui limiti concettuali che affliggono il sistema FSE in sé, e che sono stati già ampiamente dibattuti in questa rivista, è opportuno svolgere delle valutazioni critiche sullo schema di decreto in esame. Esso ha senz’altro il pregio di restaurare il Regolamento FSE, che risale all’ormai lontano 2015, una diversa era geologica, in termini di evoluzione della sanità digitale. Numerose previsioni sono finalmente aggiornate al contesto normativo rinnovato dal d.l. n. 34/2000 e dall’art. 21 del d.l. 27 gennaio 2022 ed il ruolo delle strutture chiamate a coordinare i fascicoli regionali, in parte chiarito. Anche le modalità di accesso di utenti e personale sanitario sono state snellite ed i diritti dei primi muniti di tutele procedurali che ne garantiscono l’esercizio.
D’altro canto, gli aspetti più ambiziosi della riforma del FSE si sono scontrati con i pareri contrari del Garante dei dati personali. Se ciò sia dovuto ad un atteggiamento luddista del Garante, ovvero ad un’effettiva inadeguatezza dello schema di Regolamento circolato nel 2022 (e della corrispondente bozza in tema di Ecosistema dati sanitari) di fornire un’adeguata sicurezza della rete e tutela ai diritti fondamentali dell’utenza, esula dagli scopi di questo breve scritto. Vi è però un altro aspetto, per così dire metodologico, che si può sottolineare già in questa sede. Una delle maggiori fonti di incertezza in materia di FSE risiede nello sfasamento che si è verificato tra le varie fonti del diritto che regolano la materia.
In altre parole, il Regolamento FSE del 2015 è stato seguito da decreti legislativi, fonti comunitarie, circolari AGID, specifiche tecniche, ecc. Tale moltitudine di fonti, non solo non ha potuto rimanere al passo con l’evolversi delle esigenze in campo sanitario, ma ha anche comportato che diversi aspetti della disciplina si evolvessero a velocità diverse. In questo quadro già disomogeneo, in mancanza di un consenso sulla forma da dare all’Ecosistema dei Dati Sanitari, il ministero della salute ha promosso una riforma necessaria, ma parziale, del FSE. La riforma di alcuni aspetti controversi, vale a dire il sistema EDS e le corrispondenti norme in tema di informativa dell’interessato, sono stati posposti. Si tratta evidentemente di una soluzione pratica, che ha consentito di scavalcare le questioni più spinose per favorire un restauro del Regolamento FSE che era quantomeno necessario.
Nondimeno, l’implementazione del sistema EDS rappresenta uno dei vantaggi potenzialmente più dirompenti del sistema FSE ed è plausibile che esso verrà infine implementato. In mancanza di un’attenta opera di manutenzione del Regolamento FSE e delle altre, numerose fonti secondarie che regolano la materia, questo rischierà di rappresentare un’ulteriore variabile nella complessa geometria della normativa in materia di FSE.
Note
[1] Il provvedimento, n. 254/2023, può essere consultato presso https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9900433
[2] v. il Parere al Ministero della Salute sullo schema di decreto da adottare assieme al Ministro delegato per l’innovazione tecnologica e la transizione digitale, di concerto con il Ministro dell’economia e delle finanze, sull’Ecosistema Dati Sanitari (EDS) – 22 agosto 2022 [9802752]
