[doc. web n. 10195335]

Parere sullo schema di decreto recante Disposizioni per l'avvio del programma pluriennale di screening su base nazionale nella popolazione pediatrica per l'individuazione degli anticorpi del diabete di tipo 1 e della celiachia - 31 ottobre 2025

Registro dei provvedimenti
n. 657 del 31 ottobre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (d.lgs. n. 196 del 30 giugno 2003, di seguito “Codice”);

VISTA la legge 29 dicembre 2022, n. 197 recante “Bilancio di previsione dello Stato per l'anno finanziario 2023 e bilancio pluriennale per il triennio 2023-2025” (legge di Bilancio 2023)”;

VISTA la legge 15 settembre 2023, n. 130, recante “Disposizioni concernenti la definizione di un programma diagnostico per l'individuazione del diabete di tipo 1 e della celiachia nella popolazione pediatrica” e, in particolare, l’articolo 1, comma 1, che dispone che il Ministro della salute adotti, mediante un decreto ministeriale, un programma pluriennale di screening su base nazionale nella popolazione pediatrica per l'individuazione degli anticorpi del diabete di tipo 1 e della celiachia, da avviare a decorrere dall'anno 2024;

VISTO, in particolare, l’articolo 2 della legge 15 settembre 2023, n. 130, secondo cui presso il Ministero della salute è istituito l’Osservatorio nazionale sul diabete di tipo 1 e sulla celiachia, avente il compito di studiare ed elaborare le risultanze dello screening e di pubblicare annualmente una relazione nel sito internet istituzionale dello stesso Ministero;

VISTO il decreto del Ministero della salute del 25 settembre 2024, istitutivo dell’Osservatorio nazionale sul diabete di tipo 1 e sulla celiachia, di cui all’articolo 2 della legge del 15 settembre 2023, n. 130 (di seguito Osservatorio), al quale è attribuito il compito di studiare ed elaborare le risultanze degli screening nazionali sulle predette patologie, stabilendo altresì che “i dati sono forniti, [...], dal Ministero della salute che li detiene e dall’Istituto superiore di sanità che gestisce il funzionamento della piattaforma informatica dedicata alla raccolta e all’elaborazione statistica dei dati. L’Osservatorio può richiedere all’Istituto superiore di sanità, per il tramite del Ministero della salute l’effettuazione di ulteriori ricognizioni statistiche e può proporre opportune implementazioni dei sistemi informatici”;

VISTO il parere reso dal Garante il 30 gennaio 2025 su una precedente versione dello schema di decreto del Ministro della salute recante “Disposizioni per l'avvio del programma pluriennale di screening su base nazionale nella popolazione pediatrica per l'individuazione degli anticorpi del diabete di tipo 1 e della celiachia” e sul relativo disciplinare tecnico inviato con nota del Ministero della salute del 10 gennaio 2025, prot. n. 992 (doc. web 10112237);

VISTA la nota del 24 luglio 2025, prot. 18209, con la quale il Ministero della salute ha trasmesso, per il previsto parere, una nuova versione dello schema di decreto su cui il Garante si era già espresso con il citato parere del 30 gennaio 2025;

TENUTO CONTO che, con nota del 28 luglio 2025, prot. n. 105335, l’Ufficio, attesa la mancanza di indicazioni in merito alle motivazioni che hanno portato il Dicastero a modificare il testo a suo tempo inviato e già esaminato dall’Autorità, ha chiesto informazioni, da acquisire anche mediante interlocuzioni informali, al fine di consentire all’Autorità di valutare la conformità delle modifiche proposte alla disciplina sulla protezione dei dati personali con particolare riferimento al principio di proporzionalità del trattamento e ha rappresentato che, in attesa di tali elementi, si intendevano sospesi i termini per l’adozione del richiesto parere;

VISTA la nota del 28 ottobre 2025, prot. n. 29038-P-28, con cui il Ministero della salute ha inviato la nuova versione dello schema di decreto recante “Disposizioni per l'avvio del programma pluriennale di screening su base nazionale nella popolazione pediatrica per l'individuazione degli anticorpi del diabete di tipo 1 e della celiachia”, unitamente a una nuova versione del disciplinare tecnico, corredati della relativa relazione illustrativa, in cui sono state specificate le ragioni che hanno reso necessario modificare i predetti documenti;

CONSIDERATO che lo schema di decreto da ultimo trasmesso, anche a seguito delle numerose interlocuzioni informali intercorse con l’Ufficio, risulta profondamente modificato per gli aspetti di protezione dei dati personali con particolare riferimento alla natura dei dati trattati, alle modalità di alimentazione della piattaforma nazionale di screening da parte delle regioni e province autonome e ai ruoli del trattamento;

TENUTO CONTO delle motivazioni addotte nella relazione illustrativa in merito alla necessità di modificare lo schema di decreto su cui l’Autorità si era già pronunciata che attengono, in particolare, alle esigenze manifestate dalle regioni e province autonome in sede di Conferenza permanente e che riguardano:

l’autonomia organizzativa e gestionale delle regioni e delle province autonome nello svolgimento dello screening, in funzione dei modelli operativi in uso e delle risorse previste dalla Legge n. 130/2023;

il coinvolgimento dei pediatri di libera scelta, da definirsi nell’ambito dell’organizzazione regionale;

la possibilità per le regioni e le province autonome di scegliere se inserire i dati direttamente sulla piattaforma nazionale oppure tramite i propri sistemi informativi in condizione di interoperabilità con la piattaforma nazionale;

la titolarità e la responsabilità del trattamento dei dati da parte dei diversi soggetti coinvolti nello screening;

la definizione della tipologia di test da effettuare e delle fasce di età da sottoporre a screening, in base alle risorse disponibili e alla programmazione dell’offerta vaccinale;

CONSIDERATO che le modifiche introdotte allo schema di decreto hanno reso necessario l’adeguamento del disciplinare tecnico, che descrive le modalità tecniche per la raccolta dei dati, le caratteristiche della piattaforma informatica nazionale, le modalità di interoperabilità e cooperazione applicativa nonché i requisiti dei sistemi informativi regionali;

PRESO ATTO che nel testo è stato esplicitato che la responsabilità di organizzare e coordinare le attività di screening compete alle regioni e alle province autonome, rientrando tale attività tra quelle previste dal Piano Nazionale della Prevenzione;

PRESO ATTO che è stata lasciata alle regioni e alle province autonome la facoltà di coinvolgere i pediatri di libera scelta (PLS), tenendo conto delle specificità organizzative e delle risorse disponibili;

PRESO ATTO che è stata prevista la possibilità per le regioni e le province autonome di alimentare la piattaforma nazionale direttamente o mediante cooperazione applicativa con i propri sistemi informativi regionali o provinciali;

PRESO ATTO che le predette modifiche hanno comportato la necessità di rivedere anche l’assetto relativo alla titolarità e alla responsabilità del trattamento dei dati personali, in funzione delle modalità di alimentazione della piattaforma nazionale;

PRESO ATTO che, in considerazione delle risorse finanziarie limitate, è stato eliminato il test genetico per la celiachia alla nascita, che ha comportato l’esclusione del relativo trattamento di tale categoria di dati personali e quindi del previsto consenso;

PRESO ATTO che, per quanto riguarda le fasce d’età da sottoporre a screening, è stato ritenuto opportuno – per ragioni sia finanziarie, sia organizzative – uniformarsi alla programmazione dell’offerta vaccinale, nonché rimodulare a 16 anni l’età massima dei soggetti arruolabili in funzione del target della popolazione pediatrica;

CONSIDERATO che lo schema di decreto si compone di un disciplinare tecnico (allegato 1) e di 14 articoli relativi all’obiettivo del programma pluriennale di screening su base nazionale nella popolazione pediatrica per l'individuazione degli anticorpi del diabete di tipo 1 e della celiachia (art. 1) a cui segue l’indicazione sulla popolazione target, sulla chiamata attiva, sul prelievo dei campioni ematici (art. 2) e sul Programma nazionale di screening (art. 3). Gli articoli 4 e 5 riguardano i ruoli di protezione dei dati personali e il consenso informato e l’informativa per il trattamento dei dati personali. I successivi articoli concernono la raccolta e l’analisi dei campioni ematici (art. 6), i risultati analitici, la comunicazione, il richiamo, la conferma diagnostica e la presa in carico (art. 7), nonché la Piattaforma nazionale e i sistemi informativi regionali (art. 8) e l’Osservatorio nazionale sul diabete di tipo 1 e sulla celiachia (art. 9). Gli articoli 10 e 11 riguardano le campagne di informazione e l’integrazione con i percorsi di prevenzione e promozione della salute. Le disposizioni finali sono dedicate ai criteri di riparto (art. 12), alla revisione del programma nazionale screening e agli aggiornamenti delle specifiche tecniche (art. 13) e all’entrata in vigore (art. 14);

PRESO ATTO che lo schema di decreto trasmesso e il disciplinare tecnico tengono conto delle osservazioni espresse dall’Ufficio nell’ambito delle predette interlocuzioni informali che hanno riguardato, in particolare, la necessità di:

1) chiarire i ruoli di protezione dei dati personali dei diversi soggetti che intervengono nella catena del trattamento anche in funzione delle modalità di alimentazione della piattaforma nazionale, rispetto ai quali è stato previsto che:

- il Ministero della salute è titolare del trattamento dei dati effettuato attraverso la piattaforma nazionale;

- l’Istituto Superiore di sanità, in qualità di responsabile del Ministero della salute, si occupa delle attività tecniche necessarie per la gestione della piattaforma e trasmetta al Ministero, in forma aggregata, le risultanze elaborate in una relazione con finalità di monitoraggio dell’andamento delle attività di screening e di sorveglianza epidemiologica;

- le regioni e le province autonome sono titolari dei trattamenti di dati personali effettuati per organizzare lo screening, verificarne il corretto andamento, effettuare analisi di efficienza ed efficacia dello screening stesso, accedendo, nel rispetto dei principi di minimizzazione e limitazione delle finalità, esclusivamente ai dati dei propri assistiti di cui al “Tracciato record” indicato nel disciplinare tecnico in formato pseudonimizzato;

- le regioni e le province autonome possono trasmettere i dati in via centralizzata al Ministero della Salute mediante la piattaforma nazionale o l’utilizzo di propri sistemi informativi, operanti in modalità di cooperazione applicativa, ai sensi degli artt. 1 comma 1 lett. ee) e 73 del del d.lgs. 7 marzo 2005, n. 82 e in piena conformità alle regole tecniche del Sistema Pubblico di Connettività (SPC) e al Modello di Interoperabilità adottato dall'Agenzia per l'Italia Digitale con la Determinazione n. 219/2017 e suoi successivi aggiornamenti. In tale caso queste ultime coordinano le attività del programma di screening e le strutture sanitarie ai fini della trasmissione dei dati pseudonimizzati alla piattaforma nazionale ed agiscono per tali trattamenti in qualità di titolari dei dati riferiti ai propri assistiti;

- i laboratori di riferimento per lo screening trattano i dati, in qualità di responsabili del trattamento dati ai sensi dell’art. 28 del Regolamento, limitatamente all’ambito di propria competenza;

- i Dipartimenti di prevenzione delle aziende sanitarie, ovvero la struttura dell’azienda sanitaria individuata dal modello organizzativo della regione/provincia autonoma, i pediatri di libera scelta, se coinvolti, i centri clinici di riferimento sono titolari del trattamento dei dati personali indicati trattati per finalità di cura e prevenzione;

2) eliminare il consenso al trattamento dei dati genetici in quanto, a seguito dei chiarimenti forniti, è stato rappresentato che gli screening in esame non comportano il trattamento di tale categoria di dati personali;

3) eliminare dal testo dello schema di decreto il riferimento alle soluzioni tecnologiche di cui all'articolo 12, comma 15-quater, ultimo capoverso, del decreto-legge 18 ottobre 2012, n. 179 e all’art. 13 comma 1 del Decreto del Ministero della Salute del 7 settembre 2023 sul Fascicolo sanitario elettronico (FSE) 2.0, in quanto tali soluzioni possono essere utilizzate esclusivamente per il trattamento dei dati personali effettuato attraverso il FSE e l’Ecosistema dati sanitari (EDS);

4) chiarire che l’interoperabilità dei sistemi informativi regionali e provinciali avvenga secondo le modalità previste nel disciplinare tecnico;

5) adottare tecniche di pseudonimizzazione in linea con quelle definite dal decreto del Ministero della salute n. 262 del 2016 al fine di consentirne la futura interconnessione;

6) specificare nei tracciati record quali dei dati raccolti siano inviati, previa pseudonimizzazione, alla piattaforma nazionale e quali, invece, siano raccolti dai laboratori ma non trasmessi;

7) nel caso di utilizzo di sistemi informativi gestiti a livello regionale e provinciale, coordinare e integrare le misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio in coerenza con le disposizioni di cui agli articoli 25 e 32 del Regolamento con quelle previste per la piattaforma nazionale;

RITENUTO di non dover formulare rilievi sullo schema di decreto trasmesso e sul relativo allegato, atteso che, nel recepire tutte le osservazioni formulate dall’Ufficio, è stato definito un chiaro quadro delle responsabilità, dei ruoli del trattamento e dei presupposti di liceità dello stesso connessi alle modifiche apportate allo schema di decreto e al disciplinare tecnico, mantenendo il complesso di misure di garanzia già ritenute dall’Autorità, nel richiamato parere del 30 gennaio 2025, appropriate a tutelare i diritti fondamentali e gli interessi delle persone fisiche coinvolte nelle operazioni di trattamento dei dati personali dando effettiva applicazione ai principi di protezione dei dati personali;

VISTA la documentazione in atti;

RITENUTO di adottare il presente parere, in via d’urgenza, in ragione della rappresentata esigenza di poter far iscrivere il provvedimento all’ordine del giorno della Conferenza Stato Regioni del 6 novembre 2025, ai sensi dell’art. 1, comma 1 della Legge n. 130 del 2023 al fine di non pregiudicare il riparto dei fondi alle regioni (nota del 29 ottobre 2025, prot. n. 29096);

RITENUTO quindi che ricorrano i presupposti per l'applicazione dell'art. 5, comma 8, del Regolamento n. 1/2000 sull’organizzazione e il funzionamento dell'ufficio del Garante, il quale prevede che “Nei casi di particolare urgenza e di indifferibilità che non permettono la convocazione in tempo utile del Garante, il Presidente può adottare i provvedimenti di competenza dell'organo, i quali cessano di avere efficacia sin dal momento della loro adozione se non sono ratificati dal Garante nella prima riunione utile, da convocarsi non oltre il trentesimo giorno”;

VISTA la documentazione in atti;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 58, par. 3, lett. b), del Regolamento esprime parere favorevole sullo schema di decreto recante “Disposizioni per l'avvio del programma pluriennale di screening su base nazionale nella popolazione pediatrica per l'individuazione degli anticorpi del diabete di tipo 1 e della celiachia”.

In Roma, 23 ottobre 2025

IL PRESIDENTE
Stanzione