Sanità italiana e Sicurezza Informatica – L’Ecosistema Dati Sanitari (EDS) come parte integrante del Sistema FSE (Fascicolo Sanitario Elettronico)
La pubblicazione del decreto sull’Ecosistema Dati Sanitari (EDS) rappresenta un evento di portata storica per la digitalizzazione della sanità italiana ed europea. Il decreto, pubblicato il 5 marzo 2025 nella Gazzetta Ufficiale, istituisce formalmente l’EDS come parte integrante del Sistema FSE (Fascicolo Sanitario Elettronico) e definisce un quadro normativo completo per la gestione, protezione e utilizzo dei dati sanitari nazionali.
Architettura di sicurezza dell’Ecosistema Dati Sanitari (EDS): il modello federato potenziato
Il nucleo dell’architettura di sicurezza dell’EDS è delineato nell’articolo 4, che definisce una soluzione basata su “unità di archiviazione distinte e indipendenti” progettate per garantire la massima protezione dei dati sanitari. Questa architettura implementa il principio di separazione dei dati in base alla tipologia (in chiaro, pseudonimizzati e anonimizzati) e al relativo livello di rischio.
La soluzione prevede ventuno unità di archiviazione dedicate alla gestione dei dati in chiaro per ciascuna regione e provincia autonoma, una unità dedicata ai SASN (Servizi di Assistenza Sanitaria al personale Navigante), una unità per i dati pseudonimizzati e una per i dati anonimi. Questa compartimentazione rappresenta un’implementazione avanzata dei principi di “separation of concerns” e “least privilege“, consentendo l’accesso solo ai profili specificamente abilitati al livello di dati pertinente.
Un elemento di forte innovazione è quanto previsto dall’articolo 23, che introduce la facoltà per le regioni e province autonome di sviluppare e gestire direttamente l’unità di archiviazione contenente i propri dati. Questa opzione, condizionata alla verifica che tale unità rispetti i requisiti di coordinamento informatico, qualità e sicurezza, implementa un vero e proprio modello federato di gestione dei dati, massimizzando il controllo locale pur mantenendo l’interoperabilità nazionale.
Misure di sicurezza tecniche e organizzative
L’articolo 22 delinea un insieme completo di misure di sicurezza che vanno oltre i requisiti minimi del GDPR, specificando controlli tecnici avanzati come:
- Sistemi di autorizzazione granulari basati su ruoli e necessità di accesso;
- Procedure di verifica periodica dei profili di autorizzazione;
- Protocolli di comunicazione basati su standard crittografici avanzati;
- Tecniche di cifratura o separazione per i dati particolarmente sensibili;
- Sistemi completi di tracciabilità e registrazione degli accessi (audit logging);
- Procedure di pseudonimizzazione conformi allo stato dell’arte.
L’articolo 20 definisce un sistema di registrazione delle operazioni avanzato che traccia ogni interazione con i servizi dell’EDS, includendo identificazione univoca del soggetto, timestamp e finalità dell’accesso. Questi log sono resi disponibili all’assistito tramite il portale FSE, implementando il principio di trasparenza nel trattamento dei dati.
Gestione dei consensi e controllo dell’accesso
Un elemento fondamentale dell’EDS è il sistema di gestione dei consensi descritto nell’articolo 8, che richiede un consenso “libero, specifico, informato, inequivocabile, esplicito” per ciascuna delle finalità di trattamento (cura, prevenzione e profilassi internazionale). Questi consensi sono gestiti in modo disgiunto, consentendo un controllo granulare da parte dell’assistito su chi può accedere ai suoi dati e per quali scopi.
L’implementazione tecnica di questo sistema si basa sull’Anagrafe consensi e revoche, parte integrante dell’infrastruttura INI (Infrastruttura Nazionale per l’Interoperabilità), che viene verificata ad ogni richiesta di consultazione. Questo rappresenta un’implementazione avanzata del principio di “consenso verificabile” richiesto dal GDPR.
Per casi eccezionali, l’articolo 18 definisce modalità di accesso in emergenza, limitandole a situazioni di “impossibilità fisica, incapacità di agire o incapacità di intendere o di volere e di rischio grave, imminente e irreparabile per la salute“. Anche in questi casi, l’accesso è limitato al tempo strettamente necessario e tracciato completamente.
Strategie di pseudonimizzazione e anonimizzazione
Il decreto implementa una strategia multi-livello per la protezione dei dati personali, con specifiche tecniche per la pseudonimizzazione e l’anonimizzazione in base alla finalità di utilizzo. L’articolo 16 specifica che per le finalità di governo i soggetti accedono “esclusivamente ai dati, messi a disposizione dai servizi dell’EDS, privati degli elementi identificativi diretti, pseudonimizzati irreversibili, nonché dati aggregati“.
Per la ricerca scientifica, l’articolo 17 stabilisce processi ancora più rigorosi, con servizi di estrazione di dati anonimizzati secondo le tecniche specificate nell’allegato B. Questi dati, una volta estratti e forniti ai richiedenti, non sono conservati nell’EDS, minimizzando ulteriormente i rischi.
La separazione delle responsabilità è garantita dal fatto che “il personale del Ministero della salute e delle regioni e province autonome che, per altre finalità, accede a flussi di dati pseudonimizzati, non accede ai dati messi a disposizione dai servizi dell’EDS per finalità di governo” (art. 16.3), implementando efficaci barriere organizzative oltre a quelle tecniche.
Notifiche e gestione degli incidenti
Il decreto istituisce sistemi avanzati per la notifica e gestione degli incidenti di sicurezza. L’articolo 21 stabilisce un meccanismo per informare l’assistito di ogni accesso ai servizi dell’EDS che rilasciano dati in chiaro, implementando un sistema di trasparenza continua.
L’articolo 22.7 affronta specificamente gli incidenti di sicurezza, stabilendo che in caso di violazioni che possono comportare rischi per i diritti e le libertà degli interessati, i titolari del trattamento devono condividere tempestivamente le informazioni necessarie per agevolare l’adempimento degli obblighi di notifica previsti dagli articoli 33 e 34 del GDPR. Questo approccio collaborativo alla gestione degli incidenti è fondamentale in un ecosistema complesso con molteplici titolari e responsabili del trattamento.
Allineamento con standard e normative di sicurezza
Il decreto fa esplicito riferimento a numerosi standard e normative di sicurezza, tra cui:
- Le Linee guida sulla crittografia adottate dall’Agenzia per la Cybersicurezza Nazionale (ACN) il 13 dicembre 2023;
- Il regolamento per le infrastrutture digitali e per i servizi cloud per la pubblica amministrazione adottato dall’ACN;
- Le disposizioni dell’articolo 51 del Codice dell’Amministrazione Digitale (CAD) in materia di sicurezza e disponibilità dei dati;
- Le Linee guida emanate da AGID e ACN per lo sviluppo e la gestione dei sistemi informativi.
Questo allineamento multi-normativo crea un framework di sicurezza solido e completo, che incorpora le migliori pratiche nazionali ed europee per la protezione dei dati sanitari.
Conclusioni tecniche
Il decreto sull’Ecosistema Dati Sanitari rappresenta un modello avanzato di architettura per la sicurezza dei dati sanitari digitali, combinando:
- Un’architettura federata con comparti di sicurezza ben definiti;
- Un sistema granulare di gestione dei consensi e controllo degli accessi;
- Tecniche avanzate di pseudonimizzazione e anonimizzazione basate sul rischio;
- Meccanismi completi di tracciamento e notifica;
- Procedure chiare per la gestione degli incidenti di sicurezza.
La vera innovazione risiede nell’equilibrio raggiunto tra requisiti apparentemente contrastanti: massima interoperabilità e accessibilità dei dati per fini legittimi da un lato, e massima protezione e compartimentazione dall’altro. Questo bilanciamento è ottenuto attraverso un sistema multilivello di controlli tecnologici, procedurali e organizzativi che lavorano in sinergia.
L’implementazione dell’EDS, prevista entro il 31 marzo 2026, rappresenterà un banco di prova fondamentale per questo modello di sicurezza, che potrebbe diventare un riferimento non solo per l’Italia ma per l’intera Unione Europea nell’ambito dello Spazio Europeo dei Dati Sanitari appena approvato.
https://www.ictsecuritymagazine.com/notizie/ecosistema-dati-sanitari-eds-fse-fascicolo-sanitario-elettronico/