Gazzetta n. 287 del 9 dicembre 2022 (vai al sommario) MINISTERO DELL'ECONOMIA E DELLE FINANZE DECRETO 1 dicembre 2022 Modifica del decreto 30 dicembre 2020, concernente le procedure di dematerializzazione delle ricette farmaceutiche non a carico SSN (c.d. ricetta bianca). IL RAGIONIERE GENERALE DELLO STATO del Ministero dell'economia e delle finanze di concerto con IL SEGRETARIO GENERALE del Ministero della salute Visto l'art. 50 del decreto-legge 30 settembre 2003, n. 269, convertito, con modificazioni, dalla legge 24 novembre 2003, n. 326, e successive modificazioni ed integrazioni (Sistema tessera sanitaria); Visto il decreto del Ministero dell'economia e delle finanze, di concerto con il Ministero della salute del 2 novembre 2011, pubblicato nella Gazzetta Ufficiale 12 novembre 2011, n. 264, e successive modificazioni e integrazioni, concernente la dematerializzazione delle ricette mediche, tramite il Sistema di accoglienza centrale (SAC), anche tramite Sistemi di accoglienza regionali o provinciali (SAR); Visto il decreto del Ministero dell'economia e delle finanze, di concerto con il Ministero della salute del 30 dicembre 2020, pubblicato nella Gazzetta Ufficiale 15 gennaio 2021, n. 11, concernente la dematerializzazione delle ricette farmaceutiche non a carico del Servizio sanitario nazionale (SSN); Visto l'art. 5 del decreto-legge 4 luglio 2006, n. 223, convertito, con modificazioni, dalla legge 4 agosto 2006, n. 248, concernente la possibilita', per gli esercizi commerciali di cui all'art. 4, comma 1, lettere d), e) e f), del decreto legislativo 31 marzo 1998, n. 114, di effettuare attivita' di vendita al pubblico dei farmaci da banco o di automedicazione, di cui all'art. 9-bis del decreto-legge 18 settembre 2001, n. 347, convertito, con modificazioni, dalla legge 16 novembre 2001, n. 405, e di tutti i farmaci non soggetti a prescrizione medica; Visto il decreto legislativo 7 marzo 2005, n. 82, e successive modificazioni, concernente il Codice dell'amministrazione digitale; Visto il regolamento n. 2016/679/UE del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati); Visto il decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni, concernente il Codice in materia di protezione dei dati personali, come modificato dal decreto legislativo 10 agosto 2018, n. 101, concernente «Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati)»; Acquisito il parere favorevole del Garante per la protezione dei dati personali espresso con provvedimento n. 400 del 24 novembre 2022, ai sensi dell'art. 36, paragrafo 4 del regolamento (UE) 2016/679 e recepita, nel disciplinare tecnico allegato al presente decreto, l'indicazione di adeguare, entro sei mesi dall'entrata in vigore del presente decreto, le modalita' di autenticazione informatica degli utenti ai servizi offerti attraverso il Sistema tessera sanitaria; Decreta: Art. 1 Modifiche al decreto 30 dicembre 2020 1. Al decreto 30 dicembre 2020 citato nelle premesse sono apportate le seguenti modifiche: a) all'art. 1, comma 1, dopo la lettera i) e' aggiunta la seguente: «j) "parafarmacia": esercizio commerciale di cui all'art. 4, comma 1, lettere d), e) e f), del decreto legislativo 31 marzo 1998, n. 114, che effettua attivita' di vendita al pubblico dei farmaci da banco o di automedicazione, di cui all'art. 9-bis del decreto-legge 18 settembre 2001, n. 347, convertito, con modificazioni, dalla legge 16 novembre 2001, n. 405.»; b) all'art. 2, dopo il comma 4, e' aggiunto il seguente: «4-bis. A fronte dell'utilizzo presso una parafarmacia da parte dell'assistito della ricetta di cui al presente articolo recante esclusivamente farmaci non soggetti a obbligo di prescrizione medica, il SAC rende disponibile alla medesima parafarmacia le funzionalita' per l'invio dei dati della prestazione erogata con le medesime modalita' di cui al decreto 2 novembre 2011, anche tramite servizi web.»; c) all'art. 2, comma 6, le parole «di cui al comma 4 e,» sono sostituite dalle seguenti: «di cui ai commi 4 e 4-bis e,»; d) all'art. 3, dopo il comma 2, e' aggiunto il seguente: «2-bis. Limitatamente alle ricette di cui all'art. 2, comma 4-bis del presente decreto, il SAC estende anche alle parafarmacie le funzionalita' di cui al comma 2 del presente articolo.»; e) dopo l'art. 4, e' inserito il seguente: «Art. 4-bis (Trattamento dei dati e modalita' tecniche attuative). - 1. Le modalita' tecniche per l'attuazione di quanto previsto dal presente decreto sono riportate nell'allegato disciplinare tecnico, che costituisce parte integrante del presente decreto. 2. Le specifiche tecniche dei servizi e le informazioni a supporto dello sviluppo degli stessi sono pubblicati nel portale del Sistema TS (www.sistemats.it). Gli aggiornamenti alle specifiche tecniche relative alle funzioni e ai servizi di cui al presente decreto, che non incidano sui tipi di dati trattati e sulle operazioni eseguibili, sono pubblicati nel portale del Sistema TS.». Il presente decreto sara' pubblicato nella Gazzetta Ufficiale della Repubblica italiana. Roma, 1° dicembre 2022 Il Ragioniere generale dello Stato Mazzotta Il Segretario generale Leonardi   Allegato 1 DISCIPLINARE TECNICO SISTEMA TS: SERVIZI TELEMATICI RICETTA BIANCA ELETTRONICA DATI E RELATIVO TRATTAMENTO Indice 1. Introduzione 2. Servizi per la comunicazione dei dati delle ricette bianche elettroniche 2.1. Descrizione dei servizi 2.2. Modalita' di fruizione 2.3. Accesso ai servizi 2.4. NRBE - Numero di ricetta bianca elettronica 2.5. Tracciati dei servizi per i medici 2.5.1. Servizio di invio dati della ricetta bianca elettronica 2.5.2. Servizio di annullamento della ricetta bianca elettronica 2.5.3. Servizio di visualizzazione della ricetta bianca elettronica 2.6. Tracciati dei servizi per farmacie e parafarmacie 2.6.1. Servizio di visualizzazione e presa in carico della ricetta bianca elettronica 2.6.2. Servizio per la comunicazione di chiusura dell'erogazione di una ricetta bianca elettronica 2.6.3. Servizio per la sospensione dell'erogazione di una ricetta bianca elettronica 2.6.4. Servizio per l'annullamento delle ricette bianche elettroniche gia' erogate 2.7. Registrazione degli accessi applicativi e tempi di conservazione 3. Modalita' di autenticazione 4. Misure di sicurezza 4.1. Infrastruttura fisica 4.2. Registrazione degli utenti ed assegnazione degli strumenti di sicurezza 4.3. Canali di comunicazione 4.4. Sistema di monitoraggio del servizio 4.5. Protezione da attacchi informatici 4.6. Sistemi e servizi di backup e disaster recovery 4.7. Sistema di log analysis applicativo 4.8. Accesso ai sistemi 1. Introduzione. Il presente documento descrive le modalita' tecniche per: la trasmissione al Sistema TS da parte dei medici dei dati relativi alle prescrizioni su ricetta bianca elettronica; la trasmissione al Sistema TS da parte delle farmacie e parafarmacie dei dati relativi alle erogazioni di farmaci prescritti su ricetta bianca elettronica. Le specifiche tecniche dei servizi e le informazioni a supporto dello sviluppo degli stessi, per entrambi gli argomenti trattati, sono pubblicati nel portale del Sistema TS www.sistemats.it - nel caso dovessero insorgere necessita' informatiche che prevedono la modifica sia della definizione dei campi dei tracciati tecnici sia dei valori da trasmettere ma che non cambiano la logica del trattamento descritto in questo documento, verranno apportate modifiche unicamente alle specifiche tecniche pubblicate nel portale del Sistema Ts. 2. Servizi per la comunicazione dei dati delle ricette bianche elettroniche. 2.1. Descrizione dei servizi. Si descrivono di seguito le funzionalita' necessarie alla trasmissione al Sistema TS delle ricette bianche elettroniche contenenti: le prescrizioni di farmaci effettuate dai medici; i dati di erogazione dei farmaci in esse contenute effettuate da farmacie e parafarmacie; in modo particolare le parafarmacie possono trasmettere unicamente i dati di erogazione dei farmaci non soggetti a obbligo di prescrizione medica, intendendo i farmaci da banco o di automedicazione, di cui all'art. 9-bis del decreto-legge 18 settembre 2001, n. 347, convertito, con modificazioni, dalla legge 16 novembre 2001, n. 405. I servizi sono fruibili direttamente dagli attori coinvolti nel processo anche per il tramite del Sistema di accoglienza regionale (SAR) per le regioni che ne sono provviste. 2.2. Modalita' di fruizione. I servizi descritti di seguito sono resi disponibili: in modalita' cooperativa tramite web service; attraverso l'utilizzo di applicazioni web nel portale www.sistemats.it 2.3. Accesso ai servizi. Le possibilita' di accesso ai servizi da parte degli attori coinvolti nel processo sono riassunte nella seguente tabella: Parte di provvedimento in formato grafico La trasmissione dei dati da parte degli utenti 1, 2, 3 e 4 di cui sopra sono da intendersi come collegamento diretto al Sistema TS (c.d. Sistema di accoglienza centrale - SAC). Le regioni e le Province autonome di Trento e Bolzano che intendono utilizzare il loro Sistema di accoglienza regionale (SAR) per assolvere agli obblighi di trasmissione dati da parte degli utenti 1 e/o 2 e/o 3 e/o 4 si pongono come intermediari nel colloquio con il Sistema TS (SAC). Gli utenti 1 e/o 2 e/o 3 e/o 4 si autenticano al SAR con credenziali e modalita' stabilite dalla regione e provincia autonoma; a sua volta la regione o provincia autonoma si autentica e coopera con il Sistema TS attraverso i servizi descritti nel presente documento. Il colloquio tra sistema regionale e Sistema TS avviene in mutua autenticazione con certificato client. Il sistema regionale deve garantire i requisiti minimi di sicurezza adottati dal Sistema TS in termini di autenticazione forte. Le regioni e province autonome possono autenticarsi al SAC sia in basic authentication con codice PIN come fattore di autenticazione che in mutua autenticazione con certificato client. E' prevista l'evoluzione della basic authentication con pincode verso un'autenticazione a 2 o pi fattori entro 6 mesi dalla pubblicazione del decreto. 2.4 NRBE - Numero di ricetta bianca elettronica. Il Numero di ricetta bianca elettronica, abbreviato in NRBE, e' un numero prodotto dal Sistema di accoglienza centrale (SAC) per identificare a livello univoco nazionale una ricetta bianca elettronica. L'NRBE e' composto da una stringa alfanumerica lunga 12 caratteri in cui: il primo carattere e' sempre una lettera dell'alfabeto; il secondo carattere e' una lettera dell'alfabeto o un numero; dal terzo al dodicesimo carattere e' sempre un numero. NRBE per pazienti provvisti di codice fiscale: l'NRBE per i pazienti provvisti di codice fiscale ha la seguente struttura: 1° carattere: lettera dell'alfabeto corrispondente al check digit del codice fiscale del paziente; le lettere utilizzate sono le seguenti: A, B, C, D, E, F, G, H, I, J, K, L, M, N, O, P, Q, R, S, T, U, V, W, X, Y, Z; 2° carattere: un numero da 0 a 9; dal 3° all'12° carattere: tutti i numeri da 0000000000 9999999999. Es: per la lettera A si hanno tutte le combinazioni da A00000000000 a A99999999999; per tutte le altre lettere dell'alfabeto si hanno le stesse combinazioni. Ogni numero successivo al precedente nell'ambito di ogni lettera dell'alfabeto e' assegnato alla prima ricetta bianca elettronica che viene prescritta a livello nazionale ad un paziente che abbia quella lettera come check digit del suo codice fiscale. 2.5. Tracciati dei servizi per i medici. Di seguito si descrivono i messaggi di richiesta e di risposta dei servizi, validi per la modalita' web service. 2.5.1. Servizio di invio dati della ricetta bianca elettronica. Messaggio di richiesta. Tutti i dati sono da intendersi come fonte medico. Parte di provvedimento in formato grafico Messaggio di risposta. Tutti i dati sono da intendersi come fonte Sistema TS. Parte di provvedimento in formato grafico 2.5.2. Servizio di annullamento della ricetta bianca elettronica. Messaggio di richiesta. Tutti i dati sono da intendersi come fonte medico. Parte di provvedimento in formato grafico Messaggio di risposta. Tutti i dati sono da intendersi come fonte Sistema TS. Parte di provvedimento in formato grafico 2.5.3. Servizio di visualizzazione della ricetta bianca elettronica. Messaggio di richiesta. Tutti i dati sono da intendersi come fonte medico. Parte di provvedimento in formato grafico Messaggio di risposta. Tutti i dati sono da intendersi come fonte Sistema TS. Parte di provvedimento in formato grafico 2.6. Tracciati dei servizi per farmacie e parafarmacie. 2.6.1. Servizio di visualizzazione e presa in carico della ricetta bianca elettronica. Messaggio di richiesta. Tutti i dati sono da intendersi come fonte farmacia o parafarmacia. NB: la visualizzazione della ricetta prescritta, nel caso in cui la prescrizione contenga farmaci non erogabili dal soggetto richiedente, viene bloccata e non e' possibile consultare i dati inseriti dal medico; in modo particolare la regola si applica alle parafarmacie, che possono erogare unicamente farmaci non soggetti a obbligo di prescrizione medica, intendendo i farmaci da banco o di automedicazione, di cui all'art. 9-bis del decreto-legge 18 settembre 2001, n. 347, convertito, con modificazioni, dalla legge 16 novembre 2001, n. 405. Parte di provvedimento in formato grafico Messaggio di risposta. Tutti i dati sono da intendersi come fonte Sistema TS. Parte di provvedimento in formato grafico 2.6.2. Servizio per la comunicazione di chiusura dell'erogazione di una ricetta bianca elettronica. Messaggio di richiesta. Tutti i dati sono da intendersi come fonte farmacia o parafarmacia. Parte di provvedimento in formato grafico Messaggio di risposta. Tutti i dati sono da intendersi come fonte Sistema TS. Parte di provvedimento in formato grafico 2.6.3. Servizio per la sospensione dell'erogazione di una ricetta bianca elettronica. Messaggio di richiesta. Tutti i dati sono da intendersi come fonte farmacia o parafarmacia. Parte di provvedimento in formato grafico Messaggio di risposta. Tutti i dati sono da intendersi come fonte Sistema TS. Parte di provvedimento in formato grafico 2.6.4. Servizio per l'annullamento delle ricette bianche elettroniche gia' erogate. Messaggio di richiesta. Tutti i dati sono da intendersi come fonte farmacia o parafarmacia. Parte di provvedimento in formato grafico Messaggio di risposta. Tutti i dati sono da intendersi come fonte Sistema TS. Parte di provvedimento in formato grafico 2.7. Registrazione degli accessi applicativi e tempi di conservazione. Il sistema registra gli accessi alle applicazioni e l'esito delle operazioni, e inserisce tali dati in un archivio dedicato. Per ciascuna transazione effettuata saranno registrati i seguenti dati relativi all'accesso e all'esito dell'operazione: identificativo del medico, della farmacia, della parafarmacia che esegue l'inserimento; data-ora-minuti-secondi-millisecondi dell'accesso; operazione richiesta; esito della transazione; identificativo della transazione. I log degli accessi cosi' descritti sono conservati per dodici mesi. 3. Modalita' di autenticazione. Per l'accesso al Sistema TS, i medici, le farmacie e le parafarmacie devono essere stati preventivamente abilitati secondo procedure standard. Le credenziali di autenticazione, prodotte dal Sistema TS e contenenti utente, password da cambiare al primo accesso e pin code, vengono distribuite da un Amministratore di sistema (Profilo amministratore). Tali credenziali permettono al Sistema TS di riconoscere l'utente con procedure di basic authentication. E' prevista l'evoluzione della basic authentication con pincode verso un'autenticazione a 2 o piu' fattori entro sei mesi dalla pubblicazione del decreto. Le regioni e le province autonome, oltre alle credenziali sopra descritte che permettono l'accesso in basic authentication, sono provviste anche di certificato client. Tutte le chiamate ai Web Service avvengono tramite protocollo HTTPS (TLS 1.2). 4. Misure di sicurezza. 4.1. Infrastruttura fisica. L'infrastruttura fisica e' realizzata dal Ministero dell'economia e delle finanze attraverso l'utilizzo dell'infrastruttura del Sistema tessera sanitaria in attuazione di quanto disposto dall'ordinanza di cui al titolo del presente documento. I locali sono sottoposti a videosorveglianza continua e sono protetti da qualsiasi intervento di personale esterno, ad esclusione degli accessi di personale preventivamente autorizzato necessari alle attivita' di manutenzione e gestione tecnica dei sistemi e degli apparati. L'accesso ai locali avviene secondo una documentata procedura, prestabilita dal titolare del trattamento, che prevede l'identificazione delle persone che accedono e la registrazione degli orari di ingresso ed uscita di tali persone. 4.2. Registrazione degli utenti ed assegnazione degli strumenti di sicurezza. E' presente una infrastruttura di Identity e Access Management che censisce direttamente le utenze, accogliendo flussi di autenticazione e di autorizzazione, per l'assegnazione dei certificati client di autenticazione, delle credenziali di autenticazione e delle risorse autorizzative. L'autenticazione dei medici, delle farmacie e delle parafarmacie avviene attraverso le credenziali rilasciate dal Sistema TS; le regioni e le province autonome possono accedere attraverso le credenziali rilasciate dal Sistema TS oppure tramite certificato client. In particolare, per le parafarmacie il rilascio delle credenziali del Sistema TS avviene secondo le modalita' di cui al decreto del Ministero dell'economia e delle finanze del 19 ottobre 2020 e successive modificazioni, concernente la trasmissione dei dati delle spese sanitarie a carico dei cittadini. 4.3. Canali di comunicazione. Le comunicazioni sono scambiate in modalita' sicura su rete internet, mediante protocollo TLS in versione minima 1.2, al fine di garantire la riservatezza dei dati. I protocolli di comunicazione TLS, gli algoritmi e gli altri elementi che determinano la sicurezza del canale di trasmissione protetto sono continuamente adeguati in relazione allo stato dell'arte dell'evoluzione tecnologica, in particolare per il TLS non sono negoziati gli algoritmi crittografici pi datati (es. MD5). 4.4. Sistema di monitoraggio del servizio. Per il monitoraggio dei servizi, il Ministero dell'economia e delle finanze si avvale di uno specifico sistema di reportistica. Il sistema di reportistica offre funzioni per visualizzare i dati aggregati come il numero di transazioni effettuate e i relativi esiti. L'aggregazione puo' essere fatta per regione o per tipologia di utente che effettua la transazione. La finalita' e' di fornire il monitoraggio dell'andamento del progetto sia nella fase di avvio che nella fase a regime. 4.5. Protezione da attacchi informatici. Per proteggere i sistemi dagli attacchi informatici al fine di eliminare le vulnerabilita', si utilizzano le seguenti tecnologie o procedure. a) aggiornamenti periodici dei sistemi operativi e dei software di sistema, hardening delle macchine; b) adozione di una infrastruttura di sistemi firewall e sistemi IPS (Intrusion Prevention System) che consentono la rilevazione dell'esecuzione di codice non previsto e l'esecuzione di azioni in tempo reale quali il blocco del traffico proveniente da un indirizzo IP attaccante; c) esecuzione di WAPT (web application penetration test), per la verifica della presenza di eventuali vulnerabilita' sul codice sorgente. 4.6. Sistemi e servizi di backup e disaster recovery E' previsto il backup dei sistemi. E' previsto il disaster recovery dei sistemi, che comprende anche il disaster recovery dei dati. 4.7. Sistema di log analysis applicativo Non e' previsto un sistema di log analysis applicativo non e' prevista la registrazione dei dati applicativi. 4.8. Accesso ai sistemi. L'infrastruttura dispone di sistemi di tracciamento degli accessi ai sistemi informatici di supporto come base dati, server web e infrastrutture a supporto del servizio. L'accesso alla base dati avviene tramite utenze nominali o riconducibili ad una persona fisica (escluse le utenze di servizio). Il sistema di tracciamento registra (su appositi log) le seguenti informazioni: identificativo univoco dell'utenza che accede, data e ora di login, logout e login falliti, postazione di lavoro utilizzata per l'accesso (IP client), tipo di operazione eseguita sui dati (ad esclusione delle risposte alle query). Per ogni accesso ai sistemi operativi, ai sistemi di rete, al software di base e ai sistemi complessi, il sistema di tracciamento registra (su appositi log) le seguenti informazioni: identificativo univoco dell'utenza che accede, data e ora di login, logout e login falliti, postazione di lavoro utilizzata per l'accesso (IP client). I log prodotti dai sistemi di tracciamento infrastrutturali sono soggetti a monitoraggio costante allo scopo di individuare eventuali anomalie inerenti alla sicurezza (accessi anomali, operazioni anomale, ecc.) e di valutare l'efficacia delle misure implementate. I log di accesso degli Amministratori di sistema e degli incaricati sono protetti da eventuali tentativi di alterazione e dispongono di un sistema di verifica della loro integrita'. I log relativi agli accessi e alle operazioni effettuate sui sistemi operativi, sulla rete, sul software di base e sui sistemi complessi sono conservati per dodici mesi.