Vuoi ricevere i nostri aggiornamenti?
E-HEALTH: le nuove regole del Garante per la gestione del dossier sanitario nelle strutture sanitarie e negli ambulatori medici
Come Studio Legale in questi anni stiamo accompagnando i nostri clienti nel difficile percorso di informatizzazione delle strutture sanitarie. Per le strutture il grosso problema è soprattutto da un punto di vista economico, mentre per noi avvocati il problema è capire se le scelte giuridiche che il cliente fa sono in linea con la normativa e quali accorgimenti o adempimenti vanno apportati.
Un altro dato interessante della nostra esperienza è l’elevato numero delle strutture sanitarie che in questi anni hanno scelto di utilizzare un sistema di gestione del dato sanitario quasi completamente informatizzato (referti, prenotazione, cartella clinica, etc.). Tale scelta, tuttavia, ha, in molti casi, comportato in modo inconsapevole l’implementazione all’interno delle stesse strutture di un vero e proprio dossier sanitario elettronico, spesso privo, tuttavia, dell’analisi delle implicazioni legate alla riservatezza dei dati e all’applicazione della normativa privacy (D.lgs. 196/2003).
Si ricorda che il dossier sanitario elettronico e` lo strumento costituito presso un'unica struttura sanitaria che raccoglie informazioni sulla salute di un paziente al fine di documentarne la storia clinica presso quella singola struttura e offrirgli un migliore processo di cura.
La poca dimestichezza sugli adempimenti richiesti dalla normativa nel caso di dossier sanitario è dimostrata dai provvedimenti degli ultimi anni del Garante che hanno coinvolto anche Strutture Sanitarie blasonate e importanti. Forse proprio lo stato di adeguamento, o non adeguamento, della normativa sul Dossier sanitario ha spinto lo stesso Garante Privacy a predisporre delle nuove Linee Guida, riprendendo quanto previsto dal Provvedimento del 16 luglio 2009 “Linee Guida in tema di Fascicolo Sanitario Elettronico (Fse) e di dossier sanitario” (http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1634116 ).
Vediamo, quindi, le principali novità previste dal Garante nelle “Linee Guida in materia di Dossier sanitario - 4 giugno 2015”.
- INFORMATIVA TRATTAMENTO DATI
Il trattamento dei dati effettuato tramite il dossier sanitario costituisce un trattamento ulteriore, autonomo, specifico e facoltativo rispetto a quello effettuato dal professionista sanitario con le informazioni acquisite in occasione della cura del singolo evento clinico del paziente. Proprio per tale motivo, il trattamento dei dati personali nel dossier sanitario necessita di una specifica informativa che contenga tutti gli elementi previsti dall'art. 13 del Codice Privacy, affinché il paziente possa prestare un corrispondente consenso ulteriore, autonomo, specifico e facoltativo a questo preciso trattamento dei suoi dati.
Nell’informativa occorre inserire:
- i soggetti o le categorie di soggetti ai quali i dati personali trattati mediante il dossier sanitario possono essere comunicati o che possono venirne a conoscenza in qualità di Responsabili o Incaricati (compresi eventualmente i professionisti in regime di c.d. intramoenia)
- gli specifici criteri di profilazione degli utenti adottati e una breve descrizione delle misure che sono state poste in essere per la protezione dei dati da specifici rischi di accesso non autorizzato e di trattamento non consentito, unitamente a quelle individuate per garantire l'esattezza, l'integrità e la continuità della fruibilità dei dati.
L'informativa, poi, deve essere fornita al paziente prima dell'acquisizione del consenso e deve essere facilmente consultabile dall'interessato anche successivamente alla prestazione del consenso.
Le persone fisiche legittimate a consultare i dossier devono inoltre essere adeguatamente edotte in merito alle modalità di utilizzazione di tali strumenti, nonché alle misure adottate per la tutela dei dati personali trattati.
- CONSENSO AL TRATTAMENTO DATI
Al paziente deve essere consentito di scegliere, in piena libertà, che le informazioni cliniche che lo riguardano siano trattate o meno in un dossier sanitario, garantendogli anche la possibilità che i dati sanitari restino disponibili solo al professionista sanitario che li ha redatti. Da tale previsione deriva - come già anticipato - la necessità che il consenso prestato dall’interessato si configuri effettivamente come ulteriore, autonomo, specifico e facoltativo rispetto a quello già prestato in relazione alla cura del singolo evento clinico.
Il titolare del trattamento, inoltre, deve acquisire una specifica manifestazione di volontà dell'interessato qualora nel dossier siano inserite anche informazioni relative a prestazioni sanitarie offerte a soggetti nei cui confronti l'ordinamento vigente ha posto specifiche disposizioni a tutela della loro riservatezza e dignità personale: si tratta, in particolare, dei dati soggetti a maggiore tutela dell'anonimato, ovvero relativi ad atti di violenza sessuale o di pedofilia, all'infezioni da HIV o all'uso di sostanze stupefacenti, di sostanze psicotrope e di alcool, alle prestazioni erogate alle donne che si sottopongono a interventi di interruzione volontaria della gravidanza o che decidono di partorire in anonimato e ai servizi offerti dai consultori familiari.
In tali casi, infatti, l'interessato può legittimamente richiedere che tali informazioni siano consultabili solo da parte di alcuni soggetti dallo stesso individuati (ad es., solo dallo specialista presso cui è in cura), fermo restando la possibilità per i professionisti che le hanno elaborate di accedere sempre a queste informazioni.
- DIRITTI DELL’INTERESSATO E OSCURAMENTO DATI
Un'importante garanzia a tutela della riservatezza dell'interessato che abbia manifestato la propria volontà in merito al trattamento dei dati personali mediante il dossier sanitario elettronico consiste nella possibilità di richiedere l'oscuramento delle informazioni e/o dei documenti oggetto dello stesso: in questo caso, essi restano comunque disponibili al professionista sanitario o alla struttura interna al titolare che li ha raccolti o elaborati (ad es., referto accessibile tramite dossier da parte del professionista che lo ha redatto, cartella clinica accessibile da parte del reparto di ricovero). Tuttavia, occorre precisare che la documentazione clinica relativa all'evento oscurato deve essere comunque conservata dal Titolare del trattamento in conformità a quanto previsto dalla normativa di settore. Il Titolare del trattamento dei dati effettuato tramite il dossier sanitario è tenuto anche a informare i soggetti abilitati ad accedere ai dati presenti nel dossier della possibilità che gli stessi possano non essere completi, in quanto l'interessato potrebbe aver esercitato il suddetto diritto di oscuramento.
- SICUREZZA DEI DATI
Vista la particolare delicatezza dei dati personali trattati mediante il dossier sanitario, è importante adottare specifiche misure di sicurezza. L'Autorità, a tal fine, ha voluto indicare le principali misure di sicurezza che il Titolare del trattamento dei dati personali deve assicurare. In particolare:
• misure a protezione dell'identità del paziente e utilizzazione di canali di comunicazione sicuri;
• adozione di sistemi di autenticazione e autorizzazione che assicurino l'accesso selettivo ai dati in linea con i principi di necessità, pertinenza, non eccedenza e indispensabilità;
• individuazione di criteri e modalità per la separazione e la cifratura dei dati idonei a rivelare lo stato di salute e la vita sessuale degli interessati;
• registrazione delle operazioni di accesso in appositi file di log ai fini della verifica della liceità del trattamento dei dati;
• realizzazione di procedure per assicurare l'integrità, la disponibilità dei dati e il ripristino degli stessi in caso di guasti, malfunzionamenti o eventi disastrosi.
- DATA BREACH
Come specificamente previsto dalla Linee guida, risulta obbligatoria la comunicazione al Garante in caso di eventuali violazioni dei dati (data breach) o incidenti informatici (ad es. accessi abusivi, azione di malware, etc.), oppure anche solo nel caso in cui i dati siano stati esposti a rischi di violazione.
Entro 48 ore dalla conoscenza del fatto, i Titolari del trattamento dei dati sono tenuti a comunicare all'Autorità (ai sensi dell'art. 154, comma 1, lett. c) del Codice) tutte le violazioni dei dati o gli incidenti informatici che possano avere un impatto significativo sui dati personali trattati attraverso il dossier sanitario. Tali comunicazioni devono essere redatte secondo lo schema riportato nell'Allegato B delle Linee guida sul Dossier sanitario.
- DATA PROTECTION OFFICER
Da ultimo, si segnala che l'Autorità garante, anticipando quanto previsto nella Bozza di nuovo Regolamento europeo sulla privacy, auspica che i Titolari del trattamento individuino una figura di responsabile della protezione dei dati, c.d. Data Protection Officer, che svolga il ruolo di referente con il Garante anche riguardo ai casi di data breach.
* * *
Una conseguenza immediata e diretta di questo provvedimento è la necessità di verificare la completezza dell’informativa e dei moduli si acquisizione dei consensi del paziente, che con tutta probabilità richiederanno un aggiornamento o revisione. A parere di chi scrive, però, è importante anche verificare con il proprio fornitore di software di aver adottato tutte le misure informatiche richieste dalla normativa, nell’assoluta consapevolezza che la scelta di un software costoso o di un fornitore blasonato, non è sufficiente a garantire la compatibilità del sistema alla normativa privacy.
Si raccomanda di non prendere alla leggera il provvedimento del Garante, poiché le sanzioni previste sono davvero molto onerose e pesanti.