DECRETO 7 dicembre 2016, n. 262

Art. 2

Finalita' e ambito di applicazione

Note all'art. 2: - Per il testo dell'art. 85, comma 1, lettera b) e dell'art. 98, comma 1, lettera b) del citato decreto legislativo 30 giugno 2003, n. 196 vedasi nelle note alle premesse. - Per il testo dell'art. 15, comma 25-bis, del citato decreto-legge 6 luglio 2012, n. 95 vedasi nelle note alle premesse. - Per il citato decreto legislativo 30 dicembre 1992, n. 502 vedasi nelle note alle premesse. - Per il testo del citato decreto legislativo 23 giugno 2011, n. 118 vedasi nelle note alle premesse. - Per il testo del citato decreto legislativo 6 settembre 1989, n. 322 vedasi nelle note alle premesse. - Per il decreto del Presidente del Consiglio dei ministri 29 novembre 2001 vedasi nelle note alle premesse.

Art. 3

Procedure per il trattamento e l'interconnessione

2.I dati di cui al comma 1, cosi' privati del codice identificativo, unitamente ai correlati dati sanitari, vengono inviati ai sensi delle disposizioni vigenti al NSIS e con le specificazioni indicate nel disciplinare tecnico allegato al presente decreto, in forma individuale, ma priva di ogni riferimento che ne permetta il collegamento diretto con gli interessati e comunque con modalita' che, pur consentendo il collegamento nel tempo delle informazioni riferite ai medesimi individui, rendono questi ultimi non identificabili.

3.Il Ministero della salute, per il perseguimento delle finalita' di cui all'articolo 2, comma 1, sostituisce il codice univoco non invertibile di cui al comma 1, lettera b) con il codice univoco nazionale dell'assistito (CUNA), come dettagliato nel disciplinare tecnico allegato al presente decreto. Tale codice permette l'interconnessione a livello nazionale, nell'ambito del NSIS, di tutti i sistemi informativi su base individuale oggetto del presente decreto.

4.L'Anagrafe nazionale degli assistiti, istituita ai sensi dell'articolo 62-ter del CAD, fornisce al Ministero della salute il servizio di verifica della validita' del codice identificativo e di aggiornamento dei dati.

Art. 4

Accesso ai dati

3.Solo qualora risulti indispensabile per corrispondere a comprovate e documentate esigenze strettamente connesse alle finalita' di cui all'articolo 2, comma 1, il Ministero della salute effettua operazioni di selezione, estrazione ed elaborazione dei soli dati sanitari indispensabili a tali fini, contenuti nei diversi sistemi informativi del NSIS oggetto di interconnessione e riferiti ad individui presenti in specifici elenchi o coorti, i cui dati identificativi sono acquisiti nel rispetto degli articoli 20 e 22 del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni, secondo le modalita' di cui al paragrafo 5.4 del disciplinare tecnico.

4.Al fine di consentire il perseguimento delle finalita' di cui all'articolo 2, comma 1, lettera c), il NSIS e' predisposto per permettere all'Ufficio di statistica del Ministro della salute di consultare le informazioni riferite anche ai singoli assistiti, nel rispetto della disciplina di settore e dell'allegato A3 del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni.

Note all'art. 4: - Per il testo dell'art. 20 del citato decreto legislativo 30 giugno 2003, n. 196 vedasi nelle note alle premesse. - Il testo dell'art. 22 del citato decreto legislativo 30 giugno 2003, n. 196 e' il seguente: «Art. 22 (Principi applicabili al trattamento di dati sensibili e giudiziari). - 1. I soggetti pubblici conformano il trattamento dei dati sensibili e giudiziari secondo modalita' volte a prevenire violazioni dei diritti, delle liberta' fondamentali e della dignita' dell'interessato. 2. Nel fornire l'informativa di cui all'art. 13 i soggetti pubblici fanno espresso riferimento alla normativa che prevede gli obblighi o i compiti in base alla quale e' effettuato il trattamento dei dati sensibili e giudiziari. 3. I soggetti pubblici possono trattare solo i dati sensibili e giudiziari indispensabili per svolgere attivita' istituzionali che non possono essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di dati personali di natura diversa. 4. I dati sensibili e giudiziari sono raccolti, di regola, presso l'interessato. 5. In applicazione dell'art. 11, comma 1, lettere c), d) ed e), i soggetti pubblici verificano periodicamente l'esattezza e l'aggiornamento dei dati sensibili e giudiziari, nonche' la loro pertinenza, completezza, non eccedenza e indispensabilita' rispetto alle finalita' perseguite nei singoli casi, anche con riferimento ai dati che l'interessato fornisce di propria iniziativa. Al fine di assicurare che i dati sensibili e giudiziari siano indispensabili rispetto agli obblighi e ai compiti loro attribuiti, i soggetti pubblici valutano specificamente il rapporto tra i dati e gli adempimenti. I dati che, anche a seguito delle verifiche, risultano eccedenti o non pertinenti o non indispensabili non possono essere utilizzati, salvo che per l'eventuale conservazione, a norma di legge, dell'atto o del documento che li contiene. Specifica attenzione e' prestata per la verifica dell'indispensabilita' dei dati sensibili e giudiziari riferiti a soggetti diversi da quelli cui si riferiscono direttamente le prestazioni o gli adempimenti. 6. I dati sensibili e giudiziari contenuti in elenchi, registri o banche di dati, tenuti con l'ausilio di strumenti elettronici, sono trattati con tecniche di cifratura o mediante l'utilizzazione di codici identificativi o di altre soluzioni che, considerato il numero e la natura dei dati trattati, li rendono temporaneamente inintelligibili anche a chi e' autorizzato ad accedervi e permettono di identificare gli interessati solo in caso di necessita'. 7. I dati idonei a rivelare lo stato di salute e la vita sessuale sono conservati separatamente da altri dati personali trattati per finalita' che non richiedono il loro utilizzo. I medesimi dati sono trattati con le modalita' di cui al comma 6 anche quando sono tenuti in elenchi, registri o banche di dati senza l'ausilio di strumenti elettronici. 8. I dati idonei a rivelare lo stato di salute non possono essere diffusi. 9. Rispetto ai dati sensibili e giudiziari indispensabili ai sensi del comma 3, i soggetti pubblici sono autorizzati ad effettuare unicamente le operazioni di trattamento indispensabili per il perseguimento delle finalita' per le quali il trattamento e' consentito, anche quando i dati sono raccolti nello svolgimento di compiti di vigilanza, di controllo o ispettivi. 10. I dati sensibili e giudiziari non possono essere trattati nell'ambito di test psico-attitudinali volti a definire il profilo o la personalita' dell'interessato. Le operazioni di raffronto tra dati sensibili e giudiziari, nonche' i trattamenti di dati sensibili e giudiziari ai sensi dell'art. 14, sono effettuati solo previa annotazione scritta dei motivi. 11. In ogni caso, le operazioni e i trattamenti di cui al comma 10, se effettuati utilizzando banche di dati di diversi titolari, nonche' la diffusione dei dati sensibili e giudiziari, sono ammessi solo se previsti da espressa disposizione di legge. 12. Le disposizioni di cui al presente articolo recano principi applicabili, in conformita' ai rispettivi ordinamenti, ai trattamenti disciplinati dalla Presidenza della Repubblica, dalla Camera dei deputati, dal Senato della Repubblica e dalla Corte costituzionale.».

Art. 5

Trattamento dei dati nel NSIS

1.Il Ministero della salute e' titolare del trattamento dei dati conferiti al NSIS, attraverso i sistemi informativi di cui all'articolo 2, comma 2, secondo quanto previsto dall'articolo 28 del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni.

2.Il Ministero della salute per le finalita' di cui all'articolo 2, comma 1, utilizza il codice univoco nazionale dell'assistito esclusivamente per collegare le informazioni sanitarie riferite al medesimo assistito secondo le modalita' previste dall'articolo 4.

3.Nel perseguimento delle finalita' di cui all'articolo 2, comma 1, qualora sia indispensabile consultare le informazioni riferite ai singoli assistiti nei limiti indicati all'articolo 4, commi 2 e 3 e 4, il trattamento dei dati avviene nel rispetto delle specifiche misure di sicurezza di cui all'articolo 6, commi 4 e 6.

4.Per il perseguimento delle finalita' di cui all'articolo 2, comma 1, lettera b), le modalita' e logiche di organizzazione ed elaborazione delle informazioni contenute nei sistemi informativi su base individuale cui si applica il presente decreto sono dirette esclusivamente a fornire una rappresentazione aggregata dei dati. L'accesso degli incaricati del trattamento ai dati avviene attraverso chiavi di ricerca che non consentono, anche mediante operazioni di interconnessione e raffronto, la consultazione, la selezione o l'estrazione di informazioni riferite a singoli individui o di elenchi di codici identificativi. Le funzioni applicative non consentono la consultazione e l'analisi di informazioni che rendano identificabile l'interessato, ai sensi del codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell'ambito del sistema statistico nazionale di cui all'allegato A3 del decreto legislativo 30 giugno 2003, n. 196.

5.I dati dei sistemi informativi su base individuale cui si applica il presente decreto sono archiviati previa separazione dei dati sanitari dagli altri dati e i dati sanitari sono trattati con tecniche crittografiche.

Note all'art. 5: - Il testo dell'art. 28 del citato decreto legislativo 30 giugno 2003, n. 196 e' il seguente: «Art. 28 (Titolare del trattamento). - 1. Quando il trattamento e' effettuato da una persona giuridica, da una pubblica amministrazione o da un qualsiasi altro ente, associazione od organismo, titolare del trattamento e' l'entita' nel suo complesso o l'unita' od organismo periferico che esercita un potere decisionale del tutto autonomo sulle finalita' e sulle modalita' del trattamento, ivi compreso il profilo della sicurezza.». - Il testo dell'allegato A3 del citato decreto legislativo 30 giungo 2003, n. 196 e' il seguente: «A.3 Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell'ambito del sistema statistico nazionale.».

Art. 6

Misure di sicurezza del NSIS

1.Le operazioni sui dati personali, necessarie per l'adempimento alle disposizioni di cui al presente decreto, sono effettuate mediante strumenti elettronici con modalita' e soluzioni necessarie per assicurare confidenzialita', integrita' e disponibilita' dei dati, adottate in coerenza con le misure di sicurezza espressamente previste nel decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, e nel relativo disciplinare tecnico (Allegato B).

2.La riservatezza dei dati trattati nell'ambito del NSIS, ai sensi del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni, e, in particolare, dell'articolo 34, comma 1, lettera h), e' garantita dalle procedure di sicurezza relative al software e ai servizi telematici, in conformita' alle regole tecniche di cui all'articolo 71, comma 1, del CAD. Tutte le operazioni effettuate dagli utenti incaricati sono registrate in appositi file di log ai fini della verifica della liceita' e correttezza del trattamento dei dati.

3.I file di log sono protetti con idonee misure contro ogni uso improprio o non conforme alle finalita' per cui sono registrati e sono trattati in forma anonima mediante opportuna aggregazione, salvo il caso in cui risulti indispensabile verificare la liceita' e correttezza di singole operazioni di trattamento. I file di log sono conservati per 12 mesi e cancellati alla scadenza.

4.Per il perseguimento delle finalita' di cui all'articolo 2, comma 1, qualora sia indispensabile consultare le informazioni riferite ai singoli assistiti nei limiti indicati all'articolo 4, commi 2, 3 e 4, il processo di autenticazione degli utenti avviene attraverso strumenti di autenticazione forte, in conformita' all'articolo 64 del CAD e all'articolo 34 del decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni. Il medesimo processo di autenticazione forte e' previsto per i soggetti cui sono attribuite funzioni di amministratore di sistema o assimilabili. L'accesso e' garantito tramite l'utilizzo di un protocollo sicuro.

6.Le specifiche misure di sicurezza adottate per gli accessi al sistema sono descritte nel disciplinare tecnico allegato al presente decreto.

Note all'art. 6: - Il testo dell'Allegato B del decreto legislativo 30 giugno 2003, n. 196 e' il seguente: «Allegato B (Disciplinare tecnico in materia di misure minime di sicurezza (articoli da 33 a 36 del codice)) Trattamenti con strumenti elettronici Modalita' tecniche da adottare a cura del titolare, del responsabile ove designato e dell'incaricato, in caso di trattamento con strumenti elettronici: Sistema di autenticazione informatica 1. Il trattamento di dati personali con strumenti elettronici e' consentito agli incaricati dotati di credenziali di autenticazione che consentano il superamento di una procedura di autenticazione relativa a uno specifico trattamento o a un insieme di trattamenti. 2. Le credenziali di autenticazione consistono in un codice per l'identificazione dell'incaricato associato a una parola chiave riservata conosciuta solamente dal medesimo oppure in un dispositivo di autenticazione in possesso e uso esclusivo dell'incaricato, eventualmente associato a un codice identificativo o a una parola chiave, oppure in una caratteristica biometrica dell'incaricato, eventualmente associata a un codice identificativo o a una parola chiave. 3. Ad ogni incaricato sono assegnate o associate individualmente una o piu' credenziali per l'autenticazione. 4. Con le istruzioni impartite agli incaricati e' prescritto di adottare le necessarie cautele per assicurare la segretezza della componente riservata della credenziale e la diligente custodia dei dispositivi in possesso ed uso esclusivo dell'incaricato. 5. La parola chiave, quando e' prevista dal sistema di autenticazione, e' composta da almeno otto caratteri oppure, nel caso in cui lo strumento elettronico non lo permetta, da un numero di caratteri pari al massimo consentito; essa non contiene riferimenti agevolmente riconducibili all'incaricato ed e' modificata da quest'ultimo al primo utilizzo e, successivamente, almeno ogni sei mesi. In caso di trattamento di dati sensibili e di dati giudiziari la parola chiave e' modificata almeno ogni tre mesi. 6. Il codice per l'identificazione, laddove utilizzato, non puo' essere assegnato ad altri incaricati, neppure in tempi diversi. 7. Le credenziali di autenticazione non utilizzate da almeno sei mesi sono disattivate, salvo quelle preventivamente autorizzate per soli scopi di gestione tecnica. 8. Le credenziali sono disattivate anche in caso di perdita della qualita' che consente all'incaricato l'accesso ai dati personali. 9. Sono impartite istruzioni agli incaricati per non lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento. 10. Quando l'accesso ai dati e agli strumenti elettronici e' consentito esclusivamente mediante uso della componente riservata della credenziale per l'autenticazione, sono impartite idonee e preventive disposizioni scritte volte a individuare chiaramente le modalita' con le quali il titolare puo' assicurare la disponibilita' di dati o strumenti elettronici in caso di prolungata assenza o impedimento dell'incaricato che renda indispensabile e indifferibile intervenire per esclusive necessita' di operativita' e di sicurezza del sistema. In tal caso la custodia delle copie delle credenziali e' organizzata garantendo la relativa segretezza e individuando preventivamente per iscritto i soggetti incaricati della loro custodia, i quali devono informare tempestivamente l'incaricato dell'intervento effettuato. 11. Le disposizioni sul sistema di autenticazione di cui ai precedenti punti e quelle sul sistema di autorizzazione non si applicano ai trattamenti dei dati personali destinati alla diffusione. Sistema di autorizzazione 12. Quando per gli incaricati sono individuati profili di autorizzazione di ambito diverso e' utilizzato un sistema di autorizzazione. 13. I profili di autorizzazione, per ciascun incaricato o per classi omogenee di incaricati, sono individuati e configurati anteriormente all'inizio del trattamento, in modo da limitare l'accesso ai soli dati necessari per effettuare le operazioni di trattamento. 14. Periodicamente, e comunque almeno annualmente, e' verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione. Altre misure di sicurezza 15. Nell'ambito dell'aggiornamento periodico con cadenza almeno annuale dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici, la lista degli incaricati puo' essere redatta anche per classi omogenee di incarico e dei relativi profili di autorizzazione. 16. I dati personali sono protetti contro il rischio di intrusione e dell'azione di programmi di cui all'art. 615-quinquies del codice penale, mediante l'attivazione di idonei strumenti elettronici da aggiornare con cadenza almeno semestrale. 17. Gli aggiornamenti periodici dei programmi per elaboratore volti a prevenire la vulnerabilita' di strumenti elettronici e a correggerne difetti sono effettuati almeno annualmente. In caso di trattamento di dati sensibili o giudiziari l'aggiornamento e' almeno semestrale. 18. Sono impartite istruzioni organizzative e tecniche che prevedono il salvataggio dei dati con frequenza almeno settimanale. Ulteriori misure in caso di trattamento di dati sensibili o giudiziari 20. I dati sensibili o giudiziari sono protetti contro l'accesso abusivo, di cui all'art. 615-ter del codice penale, mediante l'utilizzo di idonei strumenti elettronici. 21. Sono impartite istruzioni organizzative e tecniche per la custodia e l'uso dei supporti rimovibili su cui sono memorizzati i dati al fine di evitare accessi non autorizzati e trattamenti non consentiti. 22. I supporti rimovibili contenenti dati sensibili o giudiziari se non utilizzati sono distrutti o resi inutilizzabili, ovvero possono essere riutilizzati da altri incaricati, non autorizzati al trattamento degli stessi dati, se le informazioni precedentemente in essi contenute non sono intelligibili e tecnicamente in alcun modo ricostruibili. 23. Sono adottate idonee misure per garantire il ripristino dell'accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti degli interessati e non superiori a sette giorni. 24. Gli organismi sanitari e gli esercenti le professioni sanitarie effettuano il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale contenuti in elenchi, registri o banche di dati con le modalita' di cui all'art. 22, comma 6, del codice, anche al fine di consentire il trattamento disgiunto dei medesimi dati dagli altri dati personali che permettono di identificare direttamente gli interessati. I dati relativi all'identita' genetica sono trattati esclusivamente all'interno di locali protetti accessibili ai soli incaricati dei trattamenti ed ai soggetti specificatamente autorizzati ad accedervi; il trasporto dei dati all'esterno dei locali riservati al loro trattamento deve avvenire in contenitori muniti di serratura o dispositivi equipollenti; il trasferimento dei dati in formato elettronico e' cifrato. Misure di tutela e garanzia 25. Il titolare che adotta misure minime di sicurezza avvalendosi di soggetti esterni alla propria struttura, per provvedere alla esecuzione riceve dall'installatore una descrizione scritta dell'intervento effettuato che ne attesta la conformita' alle disposizioni del presente disciplinare tecnico. Trattamenti senza l'ausilio di strumenti elettronici Modalita' tecniche da adottare a cura del titolare, del responsabile, ove designato, e dell'incaricato, in caso di trattamento con strumenti diversi da quelli elettronici: 27. Agli incaricati sono impartite istruzioni scritte finalizzate al controllo ed alla custodia, per l'intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali. Nell'ambito dell'aggiornamento periodico con cadenza almeno annuale dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati, la lista degli incaricati puo' essere redatta anche per classi omogenee di incarico e dei relativi profili di autorizzazione. 28. Quando gli atti e i documenti contenenti dati personali sensibili o giudiziari sono affidati agli incaricati del trattamento per lo svolgimento dei relativi compiti, i medesimi atti e documenti sono controllati e custoditi dagli incaricati fino alla restituzione in maniera che ad essi non accedano persone prive di autorizzazione, e sono restituiti al termine delle operazioni affidate. 29. L'accesso agli archivi contenenti dati sensibili o giudiziari e' controllato. Le persone ammesse, a qualunque titolo, dopo l'orario di chiusura, sono identificate e registrate. Quando gli archivi non sono dotati di strumenti elettronici per il controllo degli accessi o di incaricati della vigilanza, le persone che vi accedono sono preventivamente autorizzate.». - Il testo dell'art. 34 del citato decreto legislativo 30 giugno 2003, n. 196 e' il seguente: «Art. 34 (Trattamenti con strumenti elettronici). - 1. Il trattamento di dati personali effettuato con strumenti elettronici e' consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime: a) autenticazione informatica; b) adozione di procedure di gestione delle credenziali di autenticazione; c) utilizzazione di un sistema di autorizzazione; d) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilita' dei dati e dei sistemi; [g) tenuta di un aggiornato documento programmatico sulla sicurezza;] h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari. 1-bis. 1-ter. Ai fini dell'applicazione delle disposizioni in materia di protezione dei dati personali, i trattamenti effettuati per finalita' amministrativo-contabili sono quelli connessi allo svolgimento delle attivita' di natura organizzativa, amministrativa, finanziaria e contabile, a prescindere dalla natura dei dati trattati. In particolare, perseguono tali finalita' le attivita' organizzative interne, quelle funzionali all'adempimento di obblighi contrattuali e precontrattuali, alla gestione del rapporto di lavoro in tutte le sue fasi, alla tenuta della contabilita' e all'applicazione delle norme in materia fiscale, sindacale, previdenziale-assistenziale, di salute, igiene e sicurezza sul lavoro.».

Art. 7

Fascicolo sanitario elettronico

1.La procedure di interconnessione di cui al presente decreto si applicano ai dati del fascicolo sanitario elettronico (FSE), per le finalita' di cui all'articolo 12, comma 2, lettera c) del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221.

Note all'art. 7: - Per il testo dell'art. 12, comma 2, lettera c) del citato decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221,vedasi nelle note all'art. 1.

Art. 8

Prima attuazione delle procedure per l'interconnessione

1.Entro sei mesi dalla data di entrata in vigore del presente regolamento, si applicano le disposizioni di cui all'articolo 3, comma 1.

2.Entro sessanta giorni dall'entrata in vigore del presente regolamento, la Cabina di regia del NSIS individua, previa consultazione del Garante per la protezione dei dati personali, un cronoprogramma che, tenuto conto della disponibilita', da parte delle regioni e province autonome, dei servizi a supporto dell'interoperabilita' delle schede di dimissione ospedaliera di cui al decreto del Ministro della sanita' del 27 ottobre 2000, n. 380, e successive modificazioni, preveda la graduale applicazione delle disposizioni di cui all'articolo 3, comma 1, al flusso delle schede di dimissione ospedaliera.

3.Nelle more dell'applicazione delle disposizioni di cui all'articolo 3, comma 1, al flusso delle schede di dimissione ospedaliera si applicano le procedure indicate al paragrafo 5.2 del disciplinare tecnico allegato al presente decreto.

Note all'art. 8: - Per il decreto del Ministro della sanita' 27 ottobre 2000, n. 380 vedasi nelle note all'art. 1.

Art. 9

Disposizioni transitorie

3.Le ulteriori disposizioni relative ai sistemi informativi di cui all'articolo 2, comma 2, lettera a), da interconnettere, sono adottate con successivi decreti.

Art. 10

Entrata in vigore

1.Il presente decreto entra in vigore il quindicesimo giorno successivo a quello della sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana.

Il Ministro: Lorenzin

Visto, il Guardasigilli: Orlando Registrato alla Corte dei conti il 31 gennaio 2017

Ufficio di controllo sugli atti del MIUR, MIBAC, Min. salute e Min.

lavoro, foglio n. 83

Allegato

Allegato Disciplinare tecnico Sommario 1 Introduzione e obiettivi del documento 2 Definizioni 3 I soggetti 4 Descrizione della piattaforma NSIS 4.1 Caratteristiche infrastrutturali 4.1.1 Gestione dei supporti di memorizzazione 4.1.2 Misure idonee a garantire la continuita' del servizio 4.2 Modalita' di abilitazione degli utenti 4.2.1 Fase A - Abilitazione alla piattaforma NSIS 4.2.2 Fase B - Abilitazione ai servizi 4.2.3 Fase B - Regole speciali per l'abilitazione ai servizi che prevedono l'accesso a informazioni riferite ai singoli assistiti 4.2.4 Abilitazione alla piattaforma codice univoco nazionale assistito 4.3 Sistema di registrazione delle operazioni di trattamento 4.4 Modalita' di trasmissione dei dati dei sistemi informativi alimentanti il NSIS 4.5 Garanzie per la sicurezza delle basi dati 4.6 Servizi applicativi (reportistica ed analisi) 5 La procedura di assegnazione del codice univoco nazionale dell'assistito 5.1 Assegnazione del codice univoco non invertibile ("CUNI") da parte dei soggetti alimentanti il NSIS 5.2 Assegnazione del codice univoco non invertibile (CUNI) da parte del Ministero della salute per il flusso SDO 5.3 Assegnazione del codice univoco nazionale dell'assistito (CUNA) 5.4 Procedure per il trattamento dei dati di specifiche coorti di assistiti 6 Procedura di verifica della validita' del codice identificativo 7 Schema logico del Sistema di Integrazione delle Informazioni Sanitarie Individuali 1 Introduzione e obiettivi del documento Nel contesto di profonda evoluzione del Servizio sanitario nazionale, la Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano ha siglato, il 22 febbraio 2001, l'Accordo quadro per lo sviluppo del Nuovo Sistema Informativo Sanitario Nazionale (NSIS). Il disegno di un nuovo sistema informativo sanitario si propone quale strumento essenziale per il governo della sanita' a livello nazionale, regionale e locale e per migliorare l'accesso alle strutture e la fruizione dei servizi da parte dei cittadini - utenti. Il protocollo d'intesa del 23 marzo 2005 e, successivamente, il Patto per la Salute del 28 settembre 2006 hanno ribadito l'utilizzo del NSIS per le misure di qualita', efficienza ed appropriatezza del Servizio sanitario nazionale, evidenziando il conferimento dei dati al Nuovo Sistema Informativo Sanitario «fra gli adempimenti a cui sono tenute le regioni». Il Sistema di integrazione delle Informazioni Sanitarie Individuali (SIISI), inserito nell'ambito del NSIS, e' il sistema di supporto ai diversi livelli del Servizio sanitario nazionale (locale/regionale e nazionale), ideato ed implementato secondo il principio che e' necessario intercettare l'informazione relativa al singolo evento sanitario, su base individuale, per consentire diverse e articolate forme di aggregazione e di analisi dei dati, non essendo possibile prevedere a priori tutti i possibili criteri di aggregazione degli eventi stessi al fine del perseguimento delle finalita' del NSIS. In considerazione della rilevanza delle procedure derivanti dall'attuazione delle disposizioni di cui al presente decreto, il Ministero della salute (di seguito Ministero) adotta il presente disciplinare tecnico che descrive le caratteristiche tecniche del NSIS, le modalita' di trattamento e le misure di sicurezza previste, con particolare riferimento alla gestione dei sistemi informativi su base individuale. Ogni variazione significativa alle caratteristiche descritte nel presente disciplinare e' resa pubblica sul sito Internet del Ministero (www.nsis.salute.gov.it), secondo le modalita' previste dall'art. 54 del Codice dell'amministrazione digitale. Il presente disciplinare tecnico definisce: la procedura di verifica della validita' del codice identificativo, in attuazione di quanto gia' indicato nell'art. 3, comma 1, lettera a) e nell'art. 8, comma 4, lettera a); la procedura di assegnazione del codice univoco non invertibile (CUNI), in attuazione di quanto gia' indicato nell'art. 3, comma 1, lettera b); le specificazioni per l'invio dei dati al NSIS, in attuazione di quanto gia' indicato nell'art. 3, comma 2; la procedura di assegnazione del codice univoco non invertibile (CUNI) da parte del Ministero della salute per il flusso SDO, in attuazione di quanto gia' indicato nell'art. 8, comma 3; la procedura di assegnazione del codice univoco nazionale dell'assistito (CUNA), in attuazione di quanto gia' indicato nell'art. 3, comma 3; la procedura di verifica della validita' del codice identificativo e di aggiornamento dei dati, in attuazione di quanto gia' indicato nell'art. 3, comma 4 e nell'art. 8, comma 4; la procedura di selezione, estrazione ed elaborazione di dati riferiti ad individui presenti in specifici elenchi o coorti, in attuazione di quanto gia' indicato nell'art. 4, comma 3; le misure di sicurezza adottate per gli accessi al NSIS, quali: le modalita' di abilitazione degli utenti, il sistema di tracciatura degli accessi ai dati personali, le modalita' di trasmissione dei dati dei sistemi informativi alimentanti il NSIS e le garanzie per la sicurezza delle basi dati, in attuazione di quanto gia' indicato nell'art. 6, comma 6. 2 Definizioni Ai fini del presente disciplinare tecnico si intende per: a) crittografia: tecnica per rendere inintelligibili informazioni a chi non dispone dell'apposita chiave di decifrazione e dell'algoritmo necessario; b) crittografia simmetrica: un tipo di crittografia in cui la stessa chiave viene utilizzata per crittografare e decrittografare il messaggio, ovvero una chiave nota sia al mittente che al destinatario; c) crittografia asimmetrica: un tipo di crittografia in cui ogni soggetto coinvolto nello scambio di informazioni dispone di una coppia di chiavi, una privata, da mantenere segreta, l'altra da rendere pubblica. L'utilizzo combinato delle chiavi dei due soggetti permette di garantire l'identita' del mittente, l'integrita' delle informazioni e di renderle inintelligibili a terzi; d) sito Internet del Ministero: il sito istituzionale del Ministero della salute www.salute.gov.it accessibile dagli utenti per le funzioni informative relative alla trasmissione telematica dei dati; e) XML: il linguaggio di markup aperto e basato su testo che fornisce informazioni di tipo strutturale e semantico relative ai dati veri e propri. Acronimo di "eXtensible Markup Language" metalinguaggio creato e gestito dal World Wide Web Consortium (W3C); f) Centro Elaborazione Dati o CED: l'infrastruttura dedicata ai servizi di Hosting del complesso delle componenti tecnologiche del NSIS, dove i servizi di sicurezza fisica logica e organizzativa sono oggetto di specifiche procedure e processi; g) DGSISS: la Direzione Generale della Digitalizzazione, del Sistema Informativo Sanitario e della Statistica del Ministero della salute; h) CUNI: il codice univoco non invertibile; i) CUNA: il codice univoco nazionale dell'assistito; l) SDO, le schede di dimissione ospedaliera di cui al decreto del Ministro della sanita' del 27 ottobre 2000, n. 380, e successive modificazioni. 3 I soggetti I soggetti che alimentano il NSIS e che effettuano le procedure di cui agli articoli 3 e 8 sono i seguenti: le regioni e le province autonome di Trento e di Bolzano (art. 3, commi 1 e 2 e art. 8, commi 3 e 4, lettera a)); il Ministero dell'economia e delle finanze (art. 3, commi 1, 2, e 4 nelle more dell'attivazione dell'Anagrafe nazionale degli assistiti, istituita ai sensi dell'art. 62-ter del CAD, art. 8, comma 4); Il Ministero della salute (art. 3, commi 3 e 4, e art. 8, commi 3 e 4, lettera b). 4 Descrizione della piattaforma NSIS 4.1 Caratteristiche infrastrutturali Date le caratteristiche organizzative, le necessita' di scambio di informazioni tra sistemi eterogenei e le caratteristiche dei dati trattati, il NSIS e' basato su un'architettura standard del mondo Internet: utilizza lo standard XML per definire in modo unificato il formato e l'organizzazione dei dati scambiati nelle interazioni tra le applicazioni; attua forme di cooperazione applicativa tra sistemi; prevede un'architettura di sicurezza specifica per la gestione dei dati personali trattati. Ogni sistema informativo che ne fa parte, e' costituito, a livello nazionale, da: un sistema che ospita il front-end web del sistema informativo (avente la funzione di web server); un sistema che ospita il sistema informativo (avente la funzione di application server); un sistema dedicato alla memorizzazione dei dati (data server); un sistema dedicato alla autenticazione degli utenti e dei messaggi; un sistema dedicato a funzioni di Business Intelligence. In aggiunta a questi sistemi esiste un sistema infrastrutturale trasversale denominato "piattaforma codice univoco nazionale dell'assistito", dedicato alla procedura di cui all'art. 3, che provvede alla generazione ed assegnazione del codice univoco nazionale dell'assistito, che non consente la identificazione diretta dell'interessato, utilizzato per l'interconnessione dei sistemi informativi su base individuale. Le specifiche caratteristiche e modalita' di trattamento che si applicano a tale sistema sono riportate nella sezione 0. Tutti i succitati sistemi sono collegati in rete locale e connessi alle infrastrutture comunicative attraverso firewall opportunamente configurati. Inoltre, la sicurezza degli stessi e' incrementata mediante: strumenti IPS/IDS (Intrusion Prevention System/Intrusion Detection System) collocati nei punti di accesso alla rete al fine di consentire l'identificazione di attivita' ostili, ostacolando l'accesso da parte di soggetti non identificati e permettendo una reazione automatica alle intrusioni; aggiornamenti dei software, secondo la tempistica prevista dalle case produttrici ovvero, periodicamente, a seguito di interventi di manutenzione; configurazioni delle basi di dati per consentire un ripristino completo delle informazioni senza causarne la perdita di integrita' e disponibilita'; gruppi di continuita' che, in caso di mancanza di alimentazione elettrica di rete, garantiscono la continuita' operativa; un sistema di gestione degli accessi e di profilazione utenti, che prevede anche, ove opportuno, strumenti di autenticazione forte e certificazione digitale delle postazioni; un sistema di tracciatura delle operazioni di accesso ai sistemi (sia tramite funzioni applicative o tramite accesso diretto), al fine di permettere l'individuazione di eventuali anomalie. 4.1.1 Gestione dei supporti di memorizzazione I supporti di memorizzazione, che includono nastri magnetici, dischi ottici e cartucce, possono essere fissi o rimovibili. Sui supporti di memorizzazione non vengono, comunque, conservate informazioni in chiaro; cio' malgrado, per ridurre al minimo il rischio di manomissione delle informazioni, viene identificato un ruolo di custode dei supporti di memorizzazione, al quale e' attribuita la responsabilita' della gestione dei supporti di memorizzazione rimovibili. Per la gestione dei supporti di memorizzazione sono state adottate, in particolare, le seguenti misure: tutti i supporti sono etichettati a seconda della classificazione dei dati contenuti; viene tenuto un inventario dei supporti di memorizzazione secondo controlli predefiniti; sono state definite ed adottate misure di protezione fisica dei supporti di memorizzazione. I supporti di memorizzazione non piu' utilizzati saranno distrutti e resi inutilizzabili. 4.1.2 Misure idonee a garantire la continuita' del servizio A garanzia della corretta operativita' del servizio sono state attivate procedure idonee a definire tempi e modi per salvaguardare l'integrita' e la disponibilita' dei dati e consentire il ripristino del sistema in caso di eventi che lo rendano temporaneamente inutilizzabile. In particolare, per quel che riguarda i dati custoditi presso il Centro Elaborazione Dati (CED), sono previste: procedure per il salvataggio periodico dei dati (backup sia incrementale che storico); procedure che regolamentano la sostituzione, il riutilizzo e la rotazione dei supporti ad ogni ciclo di backup; procedure per il data recovery; procedure per la verifica dell'efficacia sia del backup che del possibile, successivo ripristino. La struttura organizzativa del CED e le procedure adottate consentono, in caso di necessita', di operare il ripristino dei dati in un arco di tempo inferiore ai sette giorni. 4.2 Modalita' di abilitazione degli utenti Gli utenti accedono ai servizi del NSIS attraverso gli strumenti definiti dalla vigente normativa (art. 64 del Codice dell'amministrazione digitale) per l'autenticazione telematica ai servizi erogati in rete dalle pubbliche amministrazioni. In fase di prima attuazione, qualora compatibile con la tipologia dei dati trattati, come meglio specificato nei paragrafi che seguono, gli utenti possono accedere al sistema tramite credenziali di autenticazione generate secondo le modalita' riportate sul sito del Ministero, in conformita' all'art. 64 del Codice dell'amministrazione digitale. Il NSIS dispone di un sistema di gestione delle identita' digitali, attraverso il quale vengono definiti i profili di autorizzazione previsti per ogni sistema, definiti secondo le logiche del Controllo degli accessi basato sui ruoli, declinati nello specifico in relazione al ruolo istituzionale, alle funzioni svolte e all'ambito territoriale delle azioni di competenza. Gli amministratori del sistema, nominati dal Ministero della salute, gestiscono la designazione degli utenti e l'assegnazione dei privilegi di accesso. Per l'accesso, l'architettura prevede un'abilitazione in due fasi. 4.2.1 Fase A - Abilitazione alla piattaforma NSIS La prima fase consente la registrazione da parte dell'utente mediante l'inserimento delle generalita' e del proprio indirizzo di posta elettronica ove ricevere le credenziali di autenticazione nonche' dei dettagli inerenti la struttura organizzativa di appartenenza. Successivamente, il sistema di registrazione invia una e-mail contenente l'identificativo e la password che l'utente e' obbligato a cambiare al primo accesso e, periodicamente, con cadenza trimestrale. La parola chiave dovra' avere le seguenti caratteristiche: sara' composta da almeno otto caratteri; non conterra' riferimenti facilmente riconducibili all'incaricato. Le credenziali di autorizzazione non utilizzate da almeno sei mesi sono disattivate. 4.2.2 Fase B - Abilitazione ai servizi Nella seconda fase, l'utente (che viene definito utente NSIS) puo' chiedere l'abilitazione ad un profilo di un sistema informativo censito nel NSIS. Il sistema permette di formulare richieste solo per le applicazioni associate alla struttura organizzativa di appartenenza dell'utente. L'amministratore del sistema effettua un riscontro della presenza del nominativo nella lista di coloro che sono stati formalmente designati dal referente competente (ad es. della regione o provincia autonoma di appartenenza). Qualora questa verifica abbia esito negativo, la procedura di registrazione si interrompe; nel caso in cui questa verifica abbia esito positivo, l'utente e' abilitato all'utilizzo del sistema. Per garantire l'effettiva necessita', da parte del singolo utente NSIS, di accedere alle informazioni per le quali ha ottenuto un profilo di accesso, le utenze vengono, periodicamente, sottoposte a revisione e l'amministratore verifica, con i referenti competenti, il permanere degli utenti abilitati nelle liste delle persone autorizzate ad accedere all'NSIS e ai sistemi ad esso riconducibili. 4.2.3 Fase B - Regole speciali per l'abilitazione ai servizi che prevedono l'accesso a informazioni riferite ai singoli assistiti Nel caso il servizio per il quale e' richiesta l'abilitazione, preveda l'accesso a informazioni riferite ai singoli assistiti (art. 4, comma 2) sono previste ulteriori misure specifiche (art. 6, comma 4). Il processo di autenticazione degli utenti avviene esclusivamente da postazioni identificate e attraverso strumenti di autenticazione forte, in conformita' all'art. 64 del decreto legislativo 7 marzo 2005, n. 82 e successive modificazioni e all'art. 34 del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni. L'accesso e' garantito tramite l'utilizzo di un protocollo sicuro. L'amministratore del sistema effettua uno specifico riscontro della presenza del nominativo nella lista di coloro che sono stati designati, la cui gestione e' a cura del Ministero della salute. (1) Qualora questa verifica abbia esito negativo la procedura di registrazione si interrompe; nel caso in cui questa verifica abbia esito positivo viene confermata all'utente la possibilita' di accedere a tali servizi e gli viene chiesto di indicare la postazione da cui intende accedere al servizio. La postazione viene censita nell'elenco delle postazioni abilitate e vengono predisposti gli opportuni certificati digitali, emessi da un'autorita' di certificazione ufficiale, da adottare per abilitare l'accesso. Infine, per rendere piu' sicuro il processo di abilitazione, un altro amministratore del sistema, distinto dall'amministratore che ha generato le credenziali, provvede all'eventuale consegna dello strumento di autenticazione forte (se non gia' in possesso dell'utente che richiede l'abilitazione) e, in ogni caso, alla sua associazione alle suddette credenziali. In nessun caso i servizi consentono di effettuare piu' accessi contemporanei con le medesime credenziali. Al collegamento dell'utente al servizio, vengono visualizzati: una informativa per l'assunzione di responsabilita' circa il trattamento dei dati acceduti; gli estremi dell'ultima sessione effettuata, indicativa di: data e ora, indirizzo ip/nome macchina da cui e' stata effettuata la precedente connessione, anche al fine di evidenziare eventuali abusi. Inoltre, ad ulteriore garanzia dell'effettiva titolarita' da parte del singolo utente di accedere alla procedura: le Unita' organizzative competenti segnalano tempestivamente il venir meno di tale titolarita' per gli utenti; le utenze vengono, trimestralmente, sottoposte a revisione e l'amministratore verifica con i referenti dell'Unita' organizzativa competente, il permanere degli utenti abilitati, nelle liste delle persone autorizzate. 4.2.4 Abilitazione alla piattaforma codice univoco nazionale assistito Con riferimento alla piattaforma codice univoco nazionale assistito, di cui al paragrafo 5.3, date le caratteristiche e le finalita' della piattaforma, che prevede esclusivamente procedure automatizzate, gli utenti incaricati al trattamento del dato ricoprono la funzione di amministratori di sistemi applicativi complessi e accedono al sistema esclusivamente per finalita' di gestione e manutenzione. Pertanto trova integrale applicazione il Provvedimento dell'Autorita' Garante per la protezione dei dati personali in materia di "Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema" del 27 novembre 2008 e successive modificazioni. Il processo di autenticazione degli utenti avviene esclusivamente attraverso strumenti di autenticazione forte, in conformita' all'art. 64 del decreto legislativo 7 marzo 2005, n. 82 e successive modificazioni e all'art. 34 del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni. L'accesso e' garantito tramite l'utilizzo di un protocollo sicuro. L'amministratore della piattaforma codice univoco nazionale assistito effettua uno specifico riscontro della presenza del nominativo utente da abilitare nella lista di coloro che sono stati designati, la cui gestione e' a cura del Ministero della salute. Qualora questa verifica abbia esito negativo, la procedura di registrazione si interrompe; nel caso in cui questa verifica abbia esito positivo, l'utente e' abilitato all'utilizzo della piattaforma e gli vengono assegnate le credenziali di autenticazione digitali (utenza e password). Al fine di rendere piu' sicuro il processo di abilitazione, un altro amministratore della piattaforma codice univoco nazionale assistito, distinto dall'amministratore che ha generato le credenziali, provvede all'eventuale consegna dello strumento di autenticazione forte e, in ogni caso, alla sua associazione alle suddette credenziali. Per quel che riguarda la variazione della password e le caratteristiche che la devono contraddistinguere, si vedano i paragrafi 4.2.1 e 4.2.2. Inoltre, per garantire l'effettiva titolarita' da parte del singolo utente, di accedere alla piattaforma, le utenze vengono, trimestralmente, sottoposte a revisione e l'amministratore della piattaforma codice univoco nazionale assistito verifica con i referenti del Ministero della salute, il permanere degli utenti abilitati, nelle liste delle persone autorizzabili. L'abilitazione a questo specifico trattamento e' incompatibile con ogni altro servizio o funzionalita' di amministrazione del NSIS. Qualora l'utente fosse in precedenza abilitato ad uno o piu' dei suddetti servizi, l'incompatibilita' cessa decorsi sei mesi dalla revoca dell'abilitazione dell'ultimo servizio. 4.3 Sistema di registrazione delle operazioni di trattamento Nel caso lo specifico servizio preveda il trattamento di dati comprensivi del codice univoco, le operazioni di accesso degli utenti sono registrate e i dati vengono conservati in appositi file di log, al fine di evidenziare eventuali anomalie e/o utilizzi impropri, anche tramite specifici alert. Le informazioni registrate in tali file di log sono le seguenti: i dati identificativi del soggetto che ha effettuato l'accesso; la data e l'ora dell'accesso; l'operazione effettuata. I predetti file di log sono conservati in modalita' sicura e vengono trattati in forma aggregata, salvo la necessita' di verificare la correttezza e la liceita' delle singole operazioni effettuate. I file di log sono conservati per dodici mesi e cancellati alla scadenza. 4.4 Modalita' di trasmissione dei dati dei sistemi informativi alimentanti il NSIS I soggetti alimentanti il NSIS forniscono le informazioni secondo le modalita' stabilite nei decreti di istituzione dei singoli sistemi informativi, con le seguenti specifiche ed integrazioni ai tracciati di anagrafica: utilizzo del codice CUNI di cui all'art. 3, comma 1, lettera b) in luogo del codice univoco assegnato a ciascun soggetto, in applicazione di quanto previsto dai regolamenti per il trattamento dei dati sensibili e giudiziari adottati dalle regioni e province autonome in conformita' alla scheda 12 dell'allegato A dello schema tipo di regolamento volto a disciplinare i trattamenti dei dati sensibili e giudiziari effettuati presso le regioni e le province autonome, le aziende sanitarie, gli enti e agenzie regionali/provinciali, gli enti vigilati dalle regioni e dalle province autonome, ai sensi degli articoli 20 e 21 del decreto legislativo 30 giugno 2003, n. 196; utilizzo del codice CUNI di cui all'art. 3, comma 1, lettera b) in luogo del codice fiscale previsto dal decreto del Ministro della sanita' 16 luglio 2001, n. 349; integrazione dell'informazione relativa alla presenza nella banca dati del sistema Tessera Sanitaria del codice identificativo dell'assistito (codice fiscale, STP, ENI, TEAM) corrispondente al codice CUNI (cfr. paragrafo 6, tabella 1, campo A); integrazione dell'informazione relativa alla tipologia del codice identificativo dell'assistito (codice fiscale, STP, ENI, TEAM) corrispondente al codice CUNI (cfr. paragrafo 6, tabella 1, campo B). 4.5 Garanzie per la sicurezza delle basi dati I dati dei sistemi informativi su base individuale cui si applica il presente decreto sono archiviati previa separazione dei dati sanitari dagli altri dati ed i dati sanitari sono trattati con tecniche crittografiche. Le tecniche crittografiche applicate sono tali da rendere inintelligibili i dati sanitari ai soggetti preposti alla funzione di amministratore di sistema. Le procedure di interconnessione vengono applicate ai predetti archivi di norma mediante elaborazioni software. Tuttavia, in funzione delle specifiche esigenze e tipologie di elaborazioni, e' prevista anche la memorizzazione temporanea di porzioni di dati interconnessi in appositi, specifici archivi cui vengono applicate tecniche di cifratura e che sono protetti con idonee misure contro ogni uso improprio o non conforme alle finalita' per cui sono predisposti. Tali archivi vengono cancellati al termine delle analisi che ne hanno richiesto la creazione. Il NSIS e' inoltre concepito in modo tale da mettere a disposizione basi dati derivate, aggregate o anonime, ottenute attraverso trattamenti eseguiti esclusivamente con modalita' automatizzate dei dati comprensivi del codice univoco al fine di minimizzare l'utilizzo dei dati individuali, comprensivi del codice univoco, ai soli casi di effettiva necessita'. 4.6 Servizi applicativi (reportistica ed analisi) Nell'ambito del NSIS sono previsti servizi di reportistica e di analisi sui dati dei singoli sistemi informativi e sui dati derivanti dall'interconnessione dei suddetti sistemi. Tali funzionalita' sono riconducibili a tre tipologie distinte, in base ai tipi di dati trattati ed alle tipologie di elaborazioni, e rispondono alle necessita' di trattamento derivanti dal perseguimento delle diverse finalita' di cui al presente decreto:

Funzionalita' di reportistica ed analisi Descrizione Finalita' perseguita

Elaborazioni ottenute a partire da basi di dati che sono gia' risultato di processi automatizzati che aggregano o, comunque, rendono il dato disponibile in forma anonima Tutte le finalita' di cui all'art. 2, comma 1

```

Elaborazioni ottenute a partire da basi di dati contenenti dati individuali (codice univoco), tuttavia interrogabili solo attraverso chiavi di ricerca o altre funzioni applicative che non consentono in alcun modo la selezione o l'estrazione di informazioni riferite a singoli individui o codici univoci. In nessun caso e' consentita la consultazione e l'analisi di informazioni che rendano l'interessato identificabile ai sensi del codice di deontologia e di buona condotta a scopi statistici e di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale, di cui all'allegato A3 del decreto legislativo 30 giugno 2003, n. 196 ```

Le finalita' di cui all'art. 2, comma 1, lettere a) e b)

```

Elaborazioni anche non automatiche ottenute a partire da basi di dati contenenti dati individuali (codice univoco), che prevedono la consultazione, la selezione o l'estrazione di informazioni riferite a singoli individui o codici univoci Le finalita' di cui all'art. 2, comma 1, lettera a) ```

5 La procedura di assegnazione del codice univoco nazionale dell'assistito La procedura di cui all'art. 3 prevede un processo complesso, articolato su piu' fasi eseguite da soggetti diversi, al fine di garantire la massima sicurezza per il trattamento di dati personali e viene dettagliata nel seguito. 5.1 Assegnazione del codice univoco non invertibile ("CUNI") da parte dei soggetti alimentanti il NSIS Ai sensi delle disposizioni dell'art. 3, comma 1, lettera b), i sistemi informativi dei soggetti alimentanti il NSIS, mediante procedure automatiche eseguite successivamente alla verifica di validita' del codice identificativo di cui alla successiva sezione 6 e preliminarmente alla trasmissione dei dati anagrafici al NSIS, sostituiscono i codici identificativi presenti nei tracciati di origine con i corrispettivi codici univoci prodotti da una funzione non invertibile e resistente alle collisioni. (2) Tale funzione e' rappresentata da un algoritmo di hash (3) che, applicato ad un codice identificativo (dato in input), produce un codice univoco (digest di output) dal quale non e' possibile risalire al codice identificativo di origine. L'algoritmo di hash adottato e' definito dalla DGSISS ed e' condiviso tra tutti i soggetti alimentanti, al fine di rendere il codice univoco non invertibile (CUNI) cosi' ottenuto, a fronte del codice identificativo dell'assistito, unico sul territorio nazionale, anche in caso di mobilita' di questi ultimi (ad es. trattamenti sanitari fuori regione, cambi di residenza, etc.). 5.2 Assegnazione del codice univoco non invertibile (CUNI) da parte del Ministero della salute per il flusso SDO Ai sensi delle disposizioni dell'art. 8, comma 3, i soggetti alimentanti trasmettono al NSIS il tracciato anagrafico del flusso SDO, contenente, in luogo del codice identificativo, un codice cifrato ottenuto applicando un algoritmo asimmetrico (4) , a chiave pubblica nota, al codice identificativo originario. Il predetto algoritmo di cifratura di tipo asimmetrico, definito dalla DGSISS e abilitato da chiavi diverse da quelle adottate da ogni altro algoritmo utilizzato nel NSIS, viene reso noto a tutti i soggetti alimentanti il NSIS. Il Ministero della salute mediante procedure automatiche procede: alla decifratura del codice cifrato, applicando all'algoritmo asimmetrico la propria chiave privata; alla verifica di validita' del codice identificativo di cui alla successiva sezione 6; alla sostituzione dei codici identificativi presenti nei tracciati di origine con i corrispettivi codici univoci (CUNI) prodotti dalla stessa funzione non invertibile e resistente alle collisioni, di cui alla sezione 5.1. Ai fini di garantire il massimo livello di sicurezza nel trattamento dei dati, le suddette procedure vengono effettuate dal Ministero della salute mediante il dispositivo in alta affidabilita' denominato Hardware Security Module (HSM), descritto piu' diffusamente nella sezione 5.3. 5.3 Assegnazione del codice univoco nazionale dell'assistito (CUNA) Le procedure di cui agli articoli 3, commi 3 e 4 e art. 8, commi 3 e 4, lettera b) sono attuate in modo centralizzato nel NSIS e sono abilitate dall'adozione di una componente infrastrutturale tecnologica denominata "piattaforma codice univoco nazionale assistito" che effettua la generazione ed assegnazione del codice univoco nazionale dell'assistito (CUNA) agli assistiti rappresentati dal codice identificativo non invertibile (CUNI). Tale operazione avviene contestualmente all'acquisizione dei tracciati dei dati anagrafici contenenti i codici univoci non invertibili (5) , con le seguenti modalita' operative: il CUNA e' generato mediante l'adozione di una funzione di Hash, rappresentata da un algoritmo (6) definito dalla DGSISS, del codice identificativo non invertibile CUNI ricevuto nei tracciati anagrafici; il CUNA e' assegnato attraverso la diretta sostituzione del codice identificativo non invertibile CUNI all'interno del tracciato anagrafico di pertinenza con il CUNA; il CUNA e' utilizzato come unico elemento identificativo dell'assistito nel corso di tutti i successivi trattamenti operati sul NSIS. La "piattaforma codice univoco nazionale dell'assistito" si avvale per la funzionalita' di cifratura di un dispositivo in alta affidabilita' denominato Hardware Security Module (HSM) e presenta le seguenti caratteristiche: prevede una gestione esclusivamente automatizzata delle procedure di generazione, assegnazione ed utilizzo del codice univoco; dispone di algoritmi di hashing e di cifratura simmetrica o asimmetrica volti all'elaborazione del codice univoco a partire dal codice univoco non invertibile ed alla cifratura e decifratura dei codici identificativi per le deroghe concesse; gestisce esclusivamente in un'area protetta della memoria i dati di input, rimuovendoli dalla stessa una volta applicate le tecniche crittografiche di pertinenza e calcolato pertanto i corrispettivi dati di output. Tale accorgimento preclude la potenziale costruzione di matrici di associazione 'dato di input - dato di output' che consentirebbero di rendere invertibili le elaborazioni eseguite senza conoscere la chiave degli algoritmi; genera, memorizza e protegge per l'intero ciclo di vita, le chiavi che consentono il calcolo del codice univoco e la cifratura e decifratura dei codici identificativi per le deroghe concesse; prevede l'autenticazione forte per gli amministratori della piattaforma che accedono al sistema esclusivamente per finalita' di gestione e manutenzione (il sistema di autenticazione e' integrato con il sistema di autenticazione del NSIS) e per gli utenti autorizzati ad accedere direttamente od indirettamente alle funzionalita' di hashing, cifratura e decifratura. Le operazioni di accesso da parte degli amministratori sono registrate e i dati relativi sono registrati in appositi file di log, al fine di evidenziare eventuali anomalie e/o utilizzi impropri, anche tramite specifici allarmi. Le informazioni registrate in tali file di log sono le seguenti: i dati identificativi del soggetto che ha effettuato l'accesso; la data e l'ora dell'accesso; l'operazione effettuata. I predetti file di log sono conservati in modo sicuro e trattati in forma aggregata, salvo la necessita' di verificare la correttezza e la liceita' delle singole operazioni effettuate. I file di log sono conservati per dodici mesi e cancellati alla scadenza. 5.4 Procedure per il trattamento dei dati di specifiche coorti di assistiti Nei casi di cui all'art. 4, comma 3, il Ministero della salute applica le procedure di assegnazione dei codici univoci a elenchi o coorti di assistiti identificati dal codice identificativo (codice fiscale, STP, ENI o TEAM), procedendo alla sostituzione dei predetti codici identificativi con i corrispettivi codici univoci (CUNI) prodotti dalla stessa funzione non invertibile e resistente alle collisioni, di cui alla sezione 5.1, nonche' all'assegnazione del codice univoco nazionale dell'assistito (CUNA), di cui alla sezione 5.3. Gli elenchi di assistiti cosi' ottenuti sono utilizzati esclusivamente per collegare al medesimo assistito le diverse informazioni sanitarie che lo riguardano. Tali elenchi vengono cancellati al termine delle analisi che ne hanno richiesto la creazione. 6 Procedura di verifica della validita' del codice identificativo Nelle more dell'attivazione dell'Anagrafe nazionale degli assistiti, istituita ai sensi dell'art. 62-ter del CAD, la procedura di verifica della validita' del codice identificativo, di cui all'art. 3, comma 1, lettera a) prevede uno scambio informativo con il servizio fornito dal sistema Tessera Sanitaria (art. 8, comma 4). Il servizio viene invocato, preventivamente alla sostituzione del codice identificativo con il codice univoco non invertibile, da: soggetti alimentanti NSIS, per le procedure di cui all'art. 8, comma 4, lettera a); Ministero della salute, per le procedure di cui all'art. 8, commi 3 e 4, lettera b). Tale servizio, a fronte di un codice identificativo in ingresso, restituisce le informazioni inerenti la sua validita' (valido, non valido - in quanto variato - o errato in quanto inesistente nella banca dati del sistema Tessera Sanitaria), utilizzando, limitatamente ai soli campi indicati di seguito, il tracciato definito nel disciplinare tecnico, allegato 1 del decreto 22 luglio 2005 del Ministero dell'economia e delle finanze, di concerto con il Ministero della salute, attuativo del comma 9 dell'art. 50 del decreto-legge 30 settembre 2003, n. 269, convertito, con modificazioni, dalla legge 24 novembre 2003, n. 326, e successive modificazioni, nella sezione "Trasmissione dei dati relativi agli assistiti", come esposto nella tabella "Variazioni anagrafiche trasmesse dal Ministero dell'economia e delle finanze", integrato, a cura del Ministero dell'economia e delle finanze, da due ulteriori campi A e B descritti in tabella:

Progressivo campo Descrizione campo Note

6 Codice fiscale attuale Da intendersi come codice identificativo, ovvero: codice fiscale, STP, ENI o TEAM

9 Sesso

10 Data di nascita

20 Indicatore di soggetto deceduto

21 Data di decesso

A Validita' del codice identificativo dell'assistito (codice fiscale, STP, ENI, TEAM) Informazione relativa alla presenza in banca dati del codice di cui si verifica la validita': 0 = Codice identificativo valido (presente in banca dati) 1 = Codice identificativo errato (non presente in banca dati)

B Tipo di codice identificativo Informazione relativa alla tipologia del codice identificativo di cui si verifica la validita': 0 = Codice fiscale 1 = Codice STP 2 = Codice ENI 3 = Codice TEAM 99 = Codice non presente in banca dati

Tabella 1 - Informazioni restituite nella procedura di verifica del codice identificativo Inoltre, ai sensi dell'art. 8, comma 4, lettera b), il sistema Tessera Sanitaria, nelle more dell'attivazione dell'Anagrafe nazionale degli assistiti, istituita ai sensi dell'art. 62-ter del CAD, attiva verso il Ministero della salute un flusso, con periodicita' non superiore al mese, contenente le variazioni di validita' dei codici univoci, secondo il formato esposto nella citata tabella "Variazioni anagrafiche trasmesse dal Ministero dell'economia e delle finanze", valorizzando con dati significativi solamente i seguenti campi:

Progressivo campo Descrizione campo Note

1 Tipo variazione Devono essere inviate tutte le variazioni ad eccezione del tipo = 3, con i corrispondenti tipo variazione

4 Data evento

5 Codice fiscale precedente Contiene il codice univoco non invertibile (CUNI) corrispondente al codice identificativo precedente (codice fiscale, STP, ENI o TEAM)

6 Codice fiscale attuale Contiene il codice univoco non invertibile (CUNI) corrispondente al codice identificativo attuale (codice fiscale, STP, ENI o TEAM)

9 Sesso

10 Anno di nascita

20 Indicatore di soggetto deceduto

21 Data di decesso

Tabella 2 - Informazioni nella procedura di inoltro variazioni del codice univoco Le informazioni cosi' ricevute vengono acquisite nel NSIS e assoggettate alle procedure di cui alla sezione 5.3, al fine di mantenere aggiornate le informazioni in merito alla validita' del codice identificativo, anche in tempi successivi all'acquisizione dei dati dei sistemi informativi di cui all'art. 2, comma 2, lettere b) e c). Le predette informazioni di cui alle tabelle 1 e 2 sono conservate per il tempo strettamente necessario a completare le operazioni tecniche di verifica della validita' del codice identificativo e di variazione del codice univoco e, al termine delle operazioni, sono cancellate irreversibilmente. 7 Schema logico del Sistema di Integrazione delle Informazioni Sanitarie Individuali Lo schema seguente rappresenta, in forma semplificata, i flussi dati, i blocchi logico-funzionali e le tipologie di servizi che il NSIS implementa, con riferimento al Sistema di Integrazione delle Informazioni Sanitarie Individuali, evidenziando gli elementi che attuano le disposizioni del presente decreto in materia di interconnessione. Parte di provvedimento in formato grafico (1) Si prevede infatti che la gestione della lista di nominativi autorizzati a tali specifici servizi sia accentrata presso il Ministero della salute. Le diverse unita' organizzative del Ministero, di AGENAS e delle regioni comunicheranno al referente del Ministero preposto a tale funzione i nominativi degli incaricati che necessitano dell'accesso a tali servizi. (2) Per il dominio rappresentato dalla totalita' dei codici identificativi teoricamente possibili. (3) La funzione di Hash dipendera' da una chiave di lunghezza adeguata alla dimensione e al ciclo di vita dei dati. (Si vedano in proposito le raccomandazioni ENISA contenute nel rapporto "Algorithms, Key Sizes and Parameters Report", October 2013 (https://www.enisa.europa.eu/activities/identity-and-trust/librar y/deliverables/algorithms-key-sizes-and-parameteres-report). (4) L'algoritmo asimmetrico dipendera' da una coppia di chiavi di lunghezza adeguata alla dimensione e al ciclo di vita dei dati. (Si vedano in proposito le raccomandazioni ENISA contenute nel rapporto "Algorithms, Key Sizes and Parameters Report", October 2013 (https://www.enisa.europa.eu/activities/identity-and-trust/librar y/deliverables/algorithms-key-sizes-and-parameteres-report). (5) In luogo dei codici identificativi. (6) La funzione di Hash dipendera' da una chiave di lunghezza adeguata alla dimensione e al ciclo di vita dei dati. (Si vedano in proposito le raccomandazioni ENISA contenute nel rapporto "Algorithms, Key Sizes and Parameters Report", October 2013 (https://www.enisa.europa.eu/activities/identity-and-trust/librar y/deliverables/algorithms-key-sizes-and-parameteres-report).