Dati personali nella sanità hi-tech, cosa si deve fare perché siano al sicuro

Questo documento vuole illustrare le motivazioni giuridiche ed organizzative che sono alla base di un corretto rapporto tra l’Organizzazione erogatrice di servizi sanitari e i fornitori di tecnologie biomedicali che trattano dati personali (riferiti anche a persone fisiche identificabili indirettamente tramite pseudonimi/incroci dati). Pertanto non è applicabile ai numerosi dispositivi medici che non trattano dati personali in nessuna forma (es. guanti, siringhe, ect.). Potrebbe essere applicabile, almeno in parte, ai servizi di gestione (es. noleggio, consegna, manutenzione, personalizzazione) qualora questa comprenda la gestione di dati personali, come sopra definiti. In tali casi dovranno essere gestiti solo i flussi dati collegati ai servizi.

Ricerca medica: ecco le indicazioni del Garante Privacy per un corretto trattamento dei dati personali

Lo scopo

Da una parte gli obblighi ricadono principalmente sull’Organizzazione, ma vi sono degli obblighi per il fornitore. In sostanza alcune attività non possono essere svolte dal Fornitore e quindi fatturate all’Organizzazione se non si è provveduto ai relativi adempimenti: per esempio le attività di configurazione ed importazione dei dati dai sistemi preesistenti non può avvenire in assenza di accordo ex art. 28 del GDPR. Quindi è opportuno, nel suo stesso interesse e per obbligo normativo, che il Fornitore collabori con l’Organizzazione.

Introduzione

In materia di Dispositivi medici e dei relativi servizi di assistenza vanno rispettate numerose normative da parte dell’Organizzazione erogatrice di servizi sanitari; le principali sono:

• La normativa sugli appalti di verificare la rispondenza ai requisiti contrattuali e alle normative applicabili;
• La normativa sui dispositivi medici (MDR 2017/745 e IVDR 2017/746, nonché i relativi regolamenti di attuazione e norme tecniche e le relative direttive abrogate ma ancora parzialmente in vigore visto il regime transitorio);
• La normativa sugli Operatori di Servizi Essenziali (direttiva NIS) recepita con D.lgs 65/2018 e il perimetro nazionale di sicurezza;
• La normativa sui dati personali (GDPR 2016/679) e le norme nazionali (D. Lgs 196/2003 e D. Lgs 101/2018). Queste impongono tra l’altro: 
  • La progettazione in modo da proteggere il trattamento per impostazione predefinita (ex art. 25 del GDPR): questo obbliga l’Organizzazione ad assicurarsi che i mezzi di trattamento siano progettati e realizzati sulla base di detti criteri. In ogni caso, ma soprattutto quando vi siano carenze in proposito, l’Organizzazione deve mettere in atto altre misure tecniche ed organizzative (affrontando i relativi costi) per conseguire l’obiettivo imposto dalla norma. È quindi importante che quanto acquistato sia il più possibile conforme al principio di cui sopra (considerando 78 del GDPR) e che quanto presente sia adeguato;
  • L’adozione di misure di sicurezza in modo da garantire la sicurezza dei dati trattati e del trattamento (art. 5 p.1 f), Art. 32, Art. 33, 34 e 35 del GDPR). Queste possono riguardare:
    • I dati (eventualmente pseudonimizzati) trattati per il tramite dell’apparato fornito: è quindi evidente che le misure di sicurezza intrinseche nell’apparato stesso (cifratura, pseudonimizzazione, controllo accessi, ridondanze, ect.) siano importanti. L’analisi e trattamento dei rischi (Safety e security) effettuata dal fornitore nell’ambito dello sviluppo/certificazione del DM è un elemento fondamentale per l’analisi e gestione dei rischi da parte dell’Organizzazione. L’analisi è svolta principalmente con attenzione alla sicurezza del paziente e degli operatori e deve:
      • Tener conto del contesto tecnico in cui opera il DM (SOUP quali il sistema operativo, la rete, i middleware);
      • Delle minacce alla sicurezza dei dati e alla sicurezza dei pazienti ed operatori presenti nel contesto di uso previsto e di quelle esistenti presso l’Organizzazione;
    • I processi di assistenza tecnica e i relativi strumenti (sistema di gestione segnalazioni, accesso da remoto, ect.) messi in atto dal fornitore, essi sono al contempo una misura di sicurezza (mantenere l’efficienza del DM) ma possono costituire una minaccia (es. accessi abusivi a funzionalità di piena gestione del DM, trasferimenti illeciti fuori SEE). In taluni casi vi sono DM presso il paziente e servizi in cloud del fornitore che si basano su SW DM. Questi processi possono essere svolti:
      • Con carattere di continuità:
        • Presidio/assistenza locale con frequenza dipendente dalla criticità dell’impianto da qualche ora a settimana ad h24;
        • Assistenza remota con possibilità più o meno diretta ed immediata di accesso;

In questi casi in base alla normativa vigente è indispensabile la definizione di un accordo ex art. 28 del GDPR tra l’Organizzazione e il fornitore dell’assistenza tecnica (che può coincidere con il produttore/importatore del DM oppure no).

Con carattere occasionale: Ritorno in fabbrica dell’apparato per riparazione/sostituzione; Chiamata di assistenza in loco.

In questi casi non è indispensabile l’accordo ex art. 28, se i dispositivi vengono privati di dati personali prima della messa a disposizione del fornitore.

• L’adozione di misure di sicurezza in modo da garantire la sicurezza dei dati trattati e del trattamento (art. 5 p.1 f), Art. 28) qualora altri soggetti trattino i dati su incarico dell’Organizzazione. Gli accordi scritti devono comprendere le misure di sicurezza da adottare nel trattamento esternalizzato (servizi di assistenza tecnica in primis, altri servizi (cloud computing, conservazione sostitutiva, ect.);
• In assenza di formalizzazione di accordi il Fornitore effettua un trattamento illecito ed il Titolare viola l’art. 5 per mancata adozione di misure di sicurezza;
• L’art. 28 prescrive al Responsabile di supportare l’Organizzazione negli adempimenti relativi alle misure di sicurezza (inclusa la DPIA) e alla gestione dei diritti degli interessati. Quando vi è un trattamento su vasta scala di dati sanitari è obbligatoria l’effettuazione di una valutazione di impatto ai sensi degli art. 35 e 36 del GDPR (DPIA) che può avere il parere preventivo del DPO. Gli obblighi di Privacy by design e Valutazione di impatto incombono direttamente sul Titolare ma il Responsabile deve prestare la propria collaborazione. L’art. 32 del GDPR sulla sicurezza impone al Titolare la definizione di misure da adottare da parte sua e del Responsabile/i ma il Responsabile è tenuto ad adottare dette misure ma, anche ulteriori, in base alle sue esperienze e alla propria valutazione del rischio sulla base degli elementi forniti anche dal Titolare con gli scritti;
• Quando i sistemi hanno una scala sovra aziendale (sistemi regionali) è necessario definire le relazioni privacy tra i diversi attori (altre Organizzazione, Regione);
• Le informazioni raccolte dai fornitori (per esempio i sub responsabili, la presenza di trasferimenti) devono essere riflesse nella documentazione privacy:
  • Registro dei trattamenti (art. 30);
  • Informative (art. 13 e 14);
  • Moduli di consenso e modalità di gestione (eventuali) (art. 7);
  • L’accordo di cui all’art. 28 del GDPR deve essere in vigore prima dell’inizio del trattamento:
  • Import dei dati del sistema precedente;
  • Attività di formazione;
  • Avviamento;
  • Assistenza tecnica.
• In generale il collaudo è il momento “ultimo” per l’accordo ed è il momento specifico per le verifiche della correttezza della fornitura.

Progettazione dell’affidamento

In via preliminare occorre che l’Organizzazione definisca le necessità alla base dell’affidamento:

• Definire gli obiettivi perseguiti con l’affidamento
• Descrivere in quali processi si inserisce l’affidamento
• Individuare il RUP tecnico
• Individuare il nucleo tecnico che redigerà il Capitolato tecnico
• Individuare la normativa di settore applicabile all’affidamento
• Individuare gli standard/buone prassi applicabili
• Individuare le criticità di eventuale affidamento in essere/passato: cose da migliorare

Elementi per la progettazione Privacy

L’organizzazione (rappresentata in prima battuta dal DEC dell’acquisto dei DM e dalla funzione che lo utilizzerà) deve:

• Individuare i trattamenti impattati e le misure di sicurezza in essere
• Individuare altri Enti che intervengono e i relativi ruoli
• Individuare le modifiche al flusso di lavoro
• Individuare i provvedimenti del Garante applicabili (autorizzazioni, ect.)
• Individuare le linee guida EDPB in materia
• Individuare gli standard applicabili di protezione dei dati personali

Elementi per la progettazione delle misure di sicurezza

L’organizzazione deve:

• Individuare le misure di sicurezza (tecniche ed organizzative) già in essere nel contesto in cui si colloca il DM
• Individuare le minacce ipotizzabili nel contesto

Predisposizione della documentazione di acquisto

Nella procedura è opportuno seguire le indicazioni di Agid 220 DT DG n. 220 – 17 mag 2020 – in tutto il processo.

A prescindere dal singolo affidamento occorre:

• Inserire nella documentazione contrattuale la bozza di accordo ex art. 28 (vedi allegato) e riferito dal Contratto di Acquisto, compilato in base alle informazioni presenti sul registro dei trattamenti impattati dalla procedura, richiedendo che l’affidataria/RTI affidatario sarà chiamata a sottoscrivere detto accordo
• Inserire nella bozza di accordo ex art. 28 le misure di sicurezza e riferimenti a standard individuati nei punti precedenti
• Richiedere la seguente documentazione:
  • Dichiarazione da sottoscrivere al collaudo
  • NEMA MDS2
  • Certificazione dei DM e dichiarazione che quanto fornito sarà rispondente alla certificazione applicabile al momento
  • Per ogni interfaccia prevista (DM e attività di assistenza/manutenzione):
    • Finalità d’uso;
    • Obbligatorietà per SLA contrattuali;
    • Luoghi presso i quali viene svolta;
    • Dichiarazione che non vi sia trasferimenti intesi come indicato di seguito oppure una puntuale elencazione
• Individuare un punteggio tecnico da attribuire alle misure di sicurezza collegati alla gestione dei dati, eventualmente suddivisi tra DM e servizi associati. Tale valore potrebbe essere di circa il 10% del PT. Ci possono essere sinergie tra altri elementi di valutazione (livelli di servizio, certificazioni di sistema richiesti, caratteristiche del servizio/DM) di cui tener conto che potrebbero far variare tale attribuzione
• La previsione di rendere obbligatorio un DPO del fornitore potrebbe essere inserita
• Inserire le misure previste dalla Tabella 8 dell’Allegato A delle citate linee guida Agid sul Procurement
• Inserire l’obbligo di applicare le misure minime ICT AGid almeno all’impianto presso l’Organizzazione ed eventualmente attribuire un punteggio tecnico alle relative modalità di attuazione, escludendo quelle che nella gestione del rischio del fornitore siano considerate nocive (in modo documentato)
• Inserire un punteggio tecnico collegato al rispetto delle misure previste dal Cybersecurity framework nazionale ai:
  • Servizi del fornitore e ai relativi supporti tecnici
  • Limitatamente ai requisiti tecnici al DM
• Inserire un punteggio tecnico per Misure di sicurezza adottate
  • per ogni interfaccia per assicurare:
    • Riservatezza:
      • Cifratura;
      • Autenticazione destinatario;
      • Logging delle comunicazioni;
      • Cancellazione sicura dei buffer/cache;
    • Integrità:
      • Trasmissione senza perdite;
      • Non ripudio consegna/ricezione;
      • Logging degli invii/ricezione;
      • Condivisione non equivoca delle codifiche;
      • Condivisione unità di misura;
      • Accuratezza ed univocità dei campi identificativi;
      • Gestione delle modifiche dei campi identificativi (merge, rename);
      • Versioning dei diversi reinvii;
    • Disponibilità:
      • Cancellazione solo a conferma ricezione/archiviazione;
      • Reinvi di comunicazioni fallite;
  • Per ogni archivio (anche temporaneo, buffer, cache):
    • Periodo/criteri di cancellazione;
    • Modalità di cancellazione (logica o fisica);
    • Descrizione contenuto (almeno in termini di classificazione dei dati personali);
    • Misure di sicurezza adottate per assicurare:
      • Riservatezza:
        • Cifratura (obbligatoria per dati genetici e dati da sottoporre a maggior tutela);
        • Autenticazione accesso:
        • Password complesse (almeno 12 caratteri di almeno 3 set diversi su 4) (obbligatoria);
        • Certificati digitali di autenticazione (occorre individuare chi si fa carico dell’acquisto e del rinnovo);
        • Multifattore/biometria (obbligatoria per dati genetici e per accesso da remoto);
        • Logging degli accessi;
        • Cancellazione sicura (Whiping);
      • Integrità:
        • Indicizzazione con impronta eventualmente firmata;
        • Logging degli aggiornamenti;
        • Accuratezza ed univocità dei campi identificativi;
        • Gestione delle modifiche dei campi identificativi (merge, rename);
        • Versioning degli aggiornamenti;
        • Controlli di congruità referenziale;
      • Disponibilità:
        • Cancellazione solo a conferma ricezione/archiviazione;
        • Gestione aggiornamenti accodati (rollback, rollforward);
        • Backup/restore (necessario almeno una copia on line);
        • Verifiche periodiche restore;
        • Duplicazione locale/remota;

Trasferimenti extra SEE

Occorre chiarire la nozione di trasferimento: personalmente mi rifaccio a in https://www.datenschutz-berlin.de/infothek-und-service/themen-a-bis-z/datenexporte. Molte categorie di DM sono di fatto prodotte ed assistite da organizzazioni al di fuori di SEE e presso nazioni (principalmente USA) che non hanno una decisione di adeguatezza.

In questi casi si dovrebbe attribuire un punteggio tecnico specifico ai fornitori che adottano maggiori cautele volte ad impedire l’accesso da parte delle Autorità di detti paesi o che siano in grado di erogare il servizio tramite organizzazioni non soggette a tali giurisdizioni e senza l’utilizzo di subfornitori (tipicamente di servizi cloud) che siano a loro volta soggetti a tali giurisdizioni, salvo casi limitati (che saranno oggetto di valutazione)

Certificazioni di sistema

Alcune certificazioni di sistema il cui ambito di certificazione comprendano i servizi e/o lo sviluppo del DM contribuiscono indirettamente ad un’affidabile gestione dei dati:

• ISO 27001
• Estensioni ISO 27701, ISO 27017, ISO 27018
• ISO 22301

Tali standard possono esser emessi come punteggio tecnico ove almeno un concorrente li possiede (o in procedure aperte)

Analisi e gestione dei rischi

Occorre prevenire i rischi di perdita di Riservatezza, Integrità, Disponibilità dei dati. Da una parte l’Organizzazione deve evidenziare sotto NDA (consegna della documentazione alle sole ditte che ne facciano richiesta a seguito di qualificazione) i rischi esistenti presso la propria rete (Ransomware, Indisponibilità di linee, errori umani, mancanza di alimentazione, ect.) dall’altra il Fornitore dovrà indicare nel proprio progetto come attenuarli. Al piano potrà essere associato un punteggio tecnico. SI può prevedere il riferimento al MDCG19-2016 e al relativo questionario

Requisiti di continuità operativa

La continuità di servizio può essere un fattore critico per l’erogazione dei servizi sanitari. Occorre valutare i tempi di ripristino delle funzionalità a fronte di ogni evento in funzione del contesto in cui il DM opererà (tipologia di servizio a cui è a supporto (Emergenza, Acuti, Ambulatoriale, Lungo degenza) e il grado di criticità per l’erogazione del servizio, la disponibilità di soluzioni alternative presso altre strutture.

Occorre ipotizzare scenari di tipo ransomware e/o problemi ambientali che portino alla indisponibilità di tutti i dispositivi presenti nell’Organizzazione. Quindi si devono ipotizzare, anche con la collaborazione dell’ASL o a totale carico del fornitore almeno negli scenari di incidenti più probabili o rilevanti:

• RTO (Recovery Time Objective): tempo in cui il servizio riparte:
  • Servizio del fornitore (per esempio se il tecnico di assistenza è malato/coinvolto in un sinistro in quanto ne arriva un altro, oppure la consegna al destinatario avviene entro il tempo indicato)
  • Servizio del DM: il DM è stato correttamente ripristinato (compresa la configurazione) e quindi può contribuire a svolgere le attività cliniche
• RPO (Recovery Point Objective): indica la finisetra temporale di dati che può andare persa, cioè la ripartenza sarà con i dati risalenti a un X tempo indietro rispetto all’incidente. In pratica indica la frequenza con cui viene effettuato il backup:
  • Servizio del fornitore: le richieste di assistenza al fornitore saranno perse (dovranno essere reintrodotte)
  • Servizio del DM: il DM sarà rispristinato con i dati di X ore indietro: quindi indica la frequenza del backup (o trasferimento verso altro sistema) dei dati
• MTPD (maximum tolerable period of disruption): indica il tempo dopo il quale il danno è quasi irreversibile.

Misure di sicurezza: come valutare, quantificare e mitigare il rischio di utilizzo di un fornitore

Documentazione da acquisire dai fornitori

• Certificazioni di sistema di gestione (ISO 9001, ISO 27001, ect.) e relativi ambiti di applicazione che devono comprendere le attività affidate ex art. 28: serve per valutare l’affidabilità del fornitore ed è relativo alla criticità dei dati gestiti e/o del trattamento;
• Certificazioni di prodotto (obbligatoria per MDR/IVDR);
• Dichiarazione secondo NEMA MDS2 sulle misure di sicurezza (quasi obbligatoria);
• Compilazione questionario MDCG19-2016 (facoltativo);
• DICOM Conformance Statement (se applicabile);
• Per ogni interfaccia prevista (DM e attività di assistenza/manutenzione):
  • Finalità d’uso;
  • Obbligatorietà per SLA contrattuali;
  • Luoghi presso i quali viene svolta;
  • Dichiarazione che non vi sia trasferimenti oppure una puntuale elencazione
  • Misure di sicurezza adottate per assicurare:

Cifratura;

Autenticazione destinatario;

Logging delle comunicazioni;

Cancellazione sicura dei buffer/cache;

Integrità:

Trasmissione senza perdite;

Non ripudio consegna/ricezione;

Logging degli invii/ricezione;

Condivisione non equivoca delle codifiche;

Condivisione unità di misura;

Accuratezza ed univocità dei campi identificativi;

Gestione delle modifiche dei campi identificativi (merge, rename);

Versioning dei diversi reinvii;

Disponibilità:

Cancellazione solo a conferma ricezione/archiviazione;

Reinvi di comunicazioni fallite;

Per ogni archivio (anche temporaneo, buffer, cache):

Periodo/criteri di cancellazione;

Modalità di cancellazione (logica o fisica);

Descrizione contenuto (almeno in termini di classificazione dei dati personali);

Misure di sicurezza adottate per assicurare:

Riservatezza:

Cifratura (obbligatoria per dati genetici e dati da sottoporre a maggior tutela);

Autenticazione accesso:

• Password complesse (almeno 12 caratteri di almeno 3 set diversi su 4) (obbligatoria);
• Certificati digitali di autenticazione (occorre individuare chi si fa carico dell’acquisto e del rinnovo);
• Multifattore/biometria (obbligatoria per dati genetici e per accesso da remoto);
• Logging degli accessi;
• Cancellazione sicura;

Integrità:

Indicizzazione con impronta eventualmente firmata;

Logging degli aggiornamenti;

Accuratezza ed univocità dei campi identificativi;

Gestione delle modifiche dei campi identificativi (merge, rename);

Versioning degli aggiornamenti;

Controlli di congruità referenziale;

Disponibilità:

Cancellazione solo a conferma ricezione/archiviazione;

Gestione aggiornamenti accodati (rollback, rollforward);

Backup/restore;

Verifiche periodiche restore;

Duplicazione locale/remota;

Per ogni servizio:

Garanzie di continuità operativa (RPO/RTO);

Modalità di ripristino delle banche dati associate;

Modalità di gestione (formazione, istruzioni) del personale addetto;

Modalità di gestione utenti

Adozione (o non adozione motivata) delle Misure Minime ICT Agid estese a:

• L’impianto (DM) presso l’Organizzazione (obbligatorio salvo problemi di Safety);
• Gli strumenti specifici di assistenza per l’Organizzazione (quasi obbligatorio);
• Altri strumenti generali per altri clienti non PA in uso del fornitore per altri servizi (esempio posta elettronica);
• Dimostrazione di aver proceduto ad un insieme di verifiche: se il fornitore dimostra che ha effettuato determinate attività dandone evidenza documentale, l’Organizzazione è rassicurata e potrà fare minori attività di verifica. Le certificazioni (se comprendenti le attività specifiche) sono il meglio.

Altrimenti possono bastare audit/verifiche di prima e seconda parte:

• Elencazione normativa applicabile ed applicata;
• Audit del DPO del fornitore (specifiche sui trattamenti in questione e su Governance);
• Progettazione del dimensionamento, installazione, configurazione, integrazioni necessarie;
• Piano e rapporto di test (con particolare attenzione alle parti personalizzate/integrate);
• Piano di gestione dei rischi (possibilmente specifici dell’impianto);

Modalità di governance: Presenza e qualifiche di:

• un DPO eventualmente certificato;
• un Responsabile della Sicurezza Informativa (CISO) dotato di eventuali certificazioni
• un Responsabile dei sistemi di Gestione dotato di eventuali certificazioni;

• Definizione di procedure interne: presenza ed eventualmente copia di:
  • Gestione incidenti di sicurezza informativa e violazione dei dati personali;
  • Procedure di Post Market Surveillance ai sensi del Regolamento MDR;
  • Gestione dei diritti interessati (GDPR);
  • Procedura di privacy by design;
  • Procedura di gestione dei rischi;