[doc. web n. 10292232]

Parere sul progetto di legge della Regione Veneto volto ad istituire il Sistema informativo regionale per il governo del personale del Servizio Socio-Sanitario Regionale (SSR) - 23 luglio 2026

Registro dei provvedimenti
n. 547 del 23 luglio 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

Visto il Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito: “Regolamento”) e, in particolare, l’articolo 57, par. 1, lett. c);

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (decreto legislativo n. 196 del 2003, come modificato dal decreto legislativo 10 agosto 2018, n. 101, di seguito: “Codice”) e, in particolare, l’articolo 154, comma 5;

Vista la richiesta di parere trasmessa dalla Regione Veneto;

Vista la documentazione in atti;

Viste le osservazioni del segretario generale, rese ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000; 

Relatore il prof. Pasquale Stanzione; 
    

PREMESSO

La Regione del Veneto ha richiesto il parere del Garante su di uno schema di progetto di legge volto a istituire il Sistema informativo regionale per il governo del personale del Servizio Socio-Sanitario Regionale (infra: SSR). Esso è definito quale insieme coordinato di basi dati, flussi e indicatori a supporto delle funzioni di programmazione e monitoraggio regionale. 

La ratio dell’intervento è quella di delineare una compiuta disciplina dei trattamenti di dati personali connessi alle attività di programmazione e controllo del SSR, con la definizione espressa delle finalità perseguite, dei ruoli dei soggetti coinvolti e delle garanzie applicabili. 

L’iniziativa legislativa- espressione delle prerogative regionali in materia di tutela della salute e organizzazione dei servizi sanitari- si inscrive in un contesto di necessario coordinamento sistematico con l’ordinamento statale e, in particolare, con il decreto legislativo 30 dicembre 1992, n. 502 e s.m.i., recante il riordino della disciplina sanitaria.

Sotto il profilo del riparto delle competenze, il progetto di legge costituisce esercizio delle funzioni legislative e amministrative spettanti alle Regioni in materia di assistenza sanitaria ai sensi dell’articolo 2, comma 1, del d.lgs. n. 502 del 1992, finalizzato a determinare i principi organizzativi, di “governance” e l’indirizzo tecnico necessario a supportare le unità sanitarie locali. 

L’architettura del nuovo Sistema informativo rinviene ulteriore legittimazione nell’articolo 3-quater, comma 3, lettera a), del d.lgs. n. 502 del 1992, relativamente alla realizzazione di sistemi informativi integrati per l’analisi dei bisogni di salute e la programmazione delle attività, fondati sulla piena accessibilità ai dati del Servizio sanitario regionale. 

In conformità al principio di autonomia imprenditoriale e gestionale delle aziende sanitarie sancito dall’articolo 3, comma 1-bis, del d.lgs. n. 502 del 1992, la proposta di legge introduce una specifica clausola di salvaguardia, assicurando che l'operatività del Sistema non pregiudichi le competenze datoriali degli Enti del SSR (art. 1, c. 5). 

RILEVATO

Il progetto di legge, costituito da sei articoli, dispone all’articolo 1 che la Regione Veneto, nell’esercizio delle proprie funzioni di programmazione, governo, monitoraggio e valutazione del Servizio Socio‑Sanitario Regionale, istituisce il Sistema informativo regionale per il governo del personale del SSR. Tale Sistema, costituito da un insieme coordinato di basi-dati e strumenti analitici, è finalizzato a supportare le attività regionali di programmazione, governo, monitoraggio e valutazione del personale impiegato nel Servizio Socio‑Sanitario Regionale.

Il comma 2 dell’articolo precisa che per “governo del personale” si intendono solo attività di livello programmatorio e strategico (fabbisogni, indirizzo, coordinamento, monitoraggio aggregato, sostenibilità economico finanziaria), con esclusione della gestione dei rapporti di lavoro individuali. 

Ai sensi del comma 3, il Sistema consente anche il monitoraggio delle azioni del Piano regionale contro la carenza di personale (DGR 960/2024), precisando che esso non costituisce autonomo presupposto di liceità del trattamento. 

Il comma 4 delimita poi l’ambito applicativo del Sistema ai soli trattamenti strettamente necessari e proporzionati alle finalità perseguite e alle competenze regionali in materia di organizzazione e programmazione del SSR, mentre il comma 6 impone il rispetto del principio di “privacy by design” ai sensi dell’articolo 25 del Regolamento.

L’articolo 2 chiarisce che i trattamenti di dati personali effettuati nell’ambito del Sistema sono funzionali all’esecuzione di compiti di interesse pubblico o connessi all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. e) del Regolamento, in coerenza con le competenze regionali in materia di programmazione e governo del SSR.

Il comma 2 individua espressamente le finalità sottese al trattamento, al quale si impone (comma 3) il rispetto del Regolamento (di cui peraltro si citano in maniera specifica e ulteriore i principi, con formula che sarebbe opportuno assorbire nella più generale) e del Codice vietando ogni forma di profilazione, scoring o valutazione individuale del personale. 

Il comma 5 vieta poi l’utilizzo dei dati del Sistema anche per finalità disciplinari, ispettive individuali o di controllo a distanza dell’attività lavorativa, salvo espressa previsione di legge. Il Sistema infine – si precisa al comma 6 – non è utilizzato per l’adozione di decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano significativamente sugli interessati, ai sensi dell’art. 22 del Regolamento. 

L’articolo 3 legittima il Sistema a trattare, nei limiti di quanto indispensabile alle finalità di cui all’articolo 2, dati relativi al personale del SSR e all’organizzazione del lavoro, inclusi dati anagrafico-professionali e di gestione del rapporto e della prestazione lavorativa.

Con riferimento all’analisi di efficienza, appropriatezza ed equilibrio organizzativo (art. 2, c. 2, lett. d), si legittima il Sistema a trattare anche dati di attività e produzione riferiti a strutture e unità operative, in forma aggregata e per indicatori, per consentire analisi comparative e di performance organizzativa.

Si demanda a un regolamento attuativo la definizione dei set informativi, dei livelli di aggregazione, delle modalità di pseudonimizzazione/anonimizzazione, dei profili di accesso e dei divieti di re identificazione (c. 2). 

I commi 3 e 4 limitano la consultazione, attraverso il cruscotto direzionale regionale, alle sole informazioni aggregate e/o pseudonimizzate, ammettendo il trattamento di categorie particolari di dati personali solo se strettamente necessario per le finalità su indicate e nei limiti degli artt. 9, par. 2, lett. g) del Regolamento e 2 sexies del Codice. 

Il comma 5 qualifica l’accesso a dati identificativi come eccezione soggetta a specifica autorizzazione e tracciatura integrale nei log. Viene inoltre consentito il trattamento di dati individuali identificativi solo se strettamente necessario e nei soli casi in cui le finalità poste dalla norma non siano realizzabili attraverso l’utilizzo di dati aggregati o pseudonimizzati. 

L’ultimo comma esclude ogni interoperabilità con ulteriori sistemi informativi non espressamente prevista dalla legge o dal disciplinare. 

L’articolo 4 individua i titolari del trattamento. In particolare, le Aziende e gli Enti del SSR, insieme ad Azienda Zero, restano titolari autonomi dei trattamenti connessi alla gestione del rapporto di lavoro e dei sistemi informativi di loro competenza, mentre la Regione Veneto è titolare dei trattamenti effettuati nell’ambito del Sistema, limitatamente ai dati strettamente necessari alle finalità indicate nell’articolo 2. 

Azienda Zero, avente funzioni di supporto tecnico organizzativo e gestionale indispensabili per la realizzazione e il funzionamento del Sistema, per conto della Regione, opera come responsabile del trattamento ai sensi dell’articolo 28 del Regolamento (c. 3). 

I flussi informativi verso la Regione avvengono quali comunicazioni tra titolari, secondo regole tecniche che definiscono standard, controlli di qualità e modalità sicure di trasmissione. Coloro che svolgono attività applicative o infrastrutturali sono nominati responsabili del trattamento e si limita la possibilità, per le regole tecniche, di estendere le categorie di dati suscettibili di trattamento. 

L’articolo 5 elenca le misure di sicurezza obbligatorie, disponendo che vengano adottate misure tecniche e organizzative adeguate, tra le quali la gestione delle autorizzazioni, la tracciatura e la conservazione dei log di accesso, la segregazione degli ambienti, la pseudonimizzazione e, quando opportuno, la cifratura. 

Il comma 2 dell’articolo prevede poi che la Regione effettui obbligatoriamente la valutazione d’impatto sulla protezione dei dati ai sensi dell’articolo 35 del Regolamento (DPIA) prima dell’avvio del Sistema, aggiornandola quando necessario o in caso di modifiche sostanziali, nonché svolgendo eventuali ulteriori valutazioni normativamente previste.

Il comma 3 dispone che, qualora dalla DPIA emerga un rischio residuo elevato, venga effettuata una consultazione preventiva ai sensi dell’articolo 36 del Regolamento, con le conseguenti azioni e valutazioni necessarie. 

Il comma 4, fissa in dieci anni il termine massimo di conservazione dei dati, salvo esigenze di archiviazione nel pubblico interesse. 

L’articolo 6, infine, demanda a un regolamento attuativo giuntale – da sottoporre a parere del Garante - la disciplina di funzionamento del Sistema, volta a definire: a) basi-dati e flussi informativi, indicatori e misure di qualità del dato; b) categorie di dati e operazioni di trattamento ammesse per ciascuna finalità; c) profili di accesso e livelli di visibilità (aggregato/pseudonimizzato/identificativo); d) tempi di conservazione e criteri di cancellazione/archiviazione; e) misure di sicurezza, audit periodici e gestione dei log; f) procedure per informativa agli interessati e coordinamento per l’esercizio dei diritti; g) criteri e modalità per analisi comparative e benchmark interaziendale, inclusi i livelli minimi di aggregazione e le misure per prevenire rischi di re-identificazione. 

Le eventuali modifiche alle finalità del trattamento o alle categorie di dati personali trattati, incidendo sugli elementi essenziali del trattamento stesso, potranno essere introdotte esclusivamente mediante legge regionale, anche in questo caso, previa acquisizione del parere del Garante.

RITENUTO

Lo schema di proposta di legge non presenta profili di criticità sul piano della disciplina di protezione dei dati personali e recepisce le indicazioni formulate dall’Ufficio nelle interlocuzioni con la Regione, rendendo l’articolato conforme alla disciplina unionale e statale. 

IL GARANTE

ai sensi dell’articolo 57, par. 1, lett. c) del Regolamento, esprime parere favorevole sul progetto di legge della Regione Veneto volto ad istituire il Sistema informativo regionale per il governo del personale del Servizio Socio-Sanitario Regionale (SSR).

Roma, 23 luglio 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori