L’Istituto Superiore di Sanità il 28 ottobre 2019 ha organizzato un Seminario tenutosi a Roma destinato al personale di enti e istituzioni sanitarie e di ricerca (quali medici, ingegneri, fisiatri, personale per la riabilitazione, logopedisti, infermieri e ricercatori ecc.), al quale hanno contribuito anche funzionari dell’Autorità Garante per la protezione dei dati e studiosi di elevato standing al fine di analizzare il fenomeno dell’impatto privacy in ambito sanitario che appare estremamente attuale in ragione del recente stato emergenziale ex art. 14 DL 14 del 2020 (Disposizioni sul trattamento dei dati personali nel contesto emergenziale).
Il Seminario si è proposto di individuare un modello organizzativo per la gestione della protezione dei dati nelle strutture pubbliche e private ed efficace sia nell’utilizzo sia della medicina tradizionale che di quella digitale fornendo profili pratici per il trattamento dei dati personali relativi alla salute.
Dopo l’entrata in vigore del DPCM del 9 marzo 2020 e DPCM dell’11 marzo 2020 recante nuove misure per il contenimento e il contrasto del diffondersi del virus sull’intero territorio Covid-19 sono successivamente pervenuti all’Istituto Superiore di Sanità numerosi quesiti da parte dei medici e operatori sanitari di differenti aree territoriali operanti presso i Consigli dell’Ordine dei medici territoriali che avevano partecipato all’evento.
Si ritiene, pertanto, utile fornire ora alcune indicazioni rese nel Seminario anche da rappresentanti dell’Ufficio del Garante in merito agli impatti privacy in relazione al rapporto medico-paziente che entra in contatto con le strutture sanitarie in tutto il percorso, dalla diagnosi alla terapia.
I dati personali “sensibili”, infatti, in grado di rilevare lo stato di salute delle persone, se gestiti con rigore, nel rispetto di precise regole condivise e della normativa sulla privacy, rappresentano una preziosa fonte di informazioni a tutela della salute. Per garantire la più assoluta riservatezza delle informazioni si devono seguire iter precisi.
L’analisi dei quesiti illustrata nel corso del seminario ha consentito anche la ricostruzione delle maggiori criticità che si riscontrano quotidianamente nei processi di questa natura che bilanciano spesso gli indubbi vantaggi offerti da spesso eccellenti prestazioni del servizio sanitario nazionale.
Gli atti del Seminario sono qui ripotati in sintesi, in attesa della pubblicazione in forma integrale sul sito dell’Istituto Superiore di Sanità degli interventi resi.
Indice degli argomenti
Le caratteristiche dei dati sanitari nel GDPR
Come noto, il Regolamento Europeo definisce trattamento di dati ogni operazione di raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, modificazione, selezione, estrazione, raffronto, utilizzo, interconnessione, blocco, comunicazione, diffusione, cancellazione e distruzione di dati, anche se non registrati in una banca di dati, sia che si utilizzi il computer, sia che si lavori su carta.
I dati sanitari sono quindi informazioni idonee a rivelare lo stato di salute fisica o mentale di una persona nonché le prestazioni che riceve dai servizi sanitari.
Importante è sapere che qualsiasi informazione sulla persona fisica raccolta deve essere tutelata fin dal momento della sua registrazione al fine di ricevere l’assistenza sanitaria.
Le ricette, i certificati, le cartelle cliniche, le perizie, le relazioni ma anche i cd o le lastre della diagnostica per immagini contengono dati sanitari di pazienti ma anche gli esami effettuati sul corpo o sostanza organica, i dati genetici e i campioni biologici, informazioni su malattie o disabilita, anamnesi medica trattamenti clinici, stato fisiologico o biometrico, sono oggetto di protezione.
I dati personali in ambito sanitario sono distinguibili in:
- personali comuni (identificativi) distinti in:
- diretti (ovvero i dati anagrafici come nome e cognome, data di nascita, le immagini ecc.);
- indiretti (il codice fiscale, l’indirizzo IP, il numero di targa, di telefono, la mail ecc.);
- personali sensibili (dati riguardanti la salute dell’utente e inoltre dati circa l’etnia, le convinzioni religiose filosofiche e politiche, sfera sessuale ecc.).
È bene ricordare che gli operatori sanitari devono adeguare il proprio standard comportamentale e organizzativo secondo il considerando 35 del Regolamento UE che protegge tutti i dati riguardanti lo stato di salute fisica o mentale.
Il trattamento dei dati può considerarsi lecito solo se avviene:
- per finalità di medicina preventiva, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei servizi sanitari o sociali (finalità di cura);
- per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici;
- a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici.
Quindi per un medico il “trattamento” dei dati dei propri pazienti potrà risultare lecito nel caso in cui tenga gli appuntamenti in un’agenda con i nominativi dei pazienti o emetta una fattura con i dati del paziente o fornisca le fatture al commercialista per gli adempimenti fiscali.
Chi sono i titolari e contitolari del trattamento?
Le figure responsabili del trattamento dei dati sanitari diretti ed indiretti sono il titolare e i contitolari che hanno accesso a tutti i dati dei loro diretti assistiti.
Il medico titolare del trattamento
Il medico titolare del trattamento è qualsiasi esercente le professioni sanitarie e le strutture sanitarie:
- gli esercenti le professioni sanitarie cioè i medici chirurghi (esempio: il medico di Medicina Generale e il pediatra di libera scelta in convenzione sono pure titolari del trattamento dei dati sanitari);
- gli organismi sanitari pubblici (ASL, ASO, enti ricerca, sperimentazione medica ecc.).
Sono esclusi:
- tecnici ortopedici, igienisti dentali, infermieri, ostetrici ecc.;
- i praticanti la “medicina alternativa” (es.: chiropratica, neuropatia).
I medici contitolari
Qualora più medici (titolari) o più studi professionali siano accomunati nel trattamento dei dati riguardanti la salute del paziente, anche se specializzati in ambiti diversi (ad es. medici di medicina di gruppo, AFT, UCCP o anche medici che semplicemente occupano gli stessi spazi, lo studio o gli ambulatori con altri colleghi, magari con segreteria e servizi condivisi e un unico gestionale, PC, cartelle o archivi oppure più semplicemente medici in studio associato in forma stabile e continuativa o in più reparti che condividono i dati dei pazienti), questi medici sono “contitolari” ed il loro rapporto deve opportunamente essere normato da un contratto che individui le specifiche responsabilità cioè regolamentato con un accordo di contitolarità per legittimare il trattamento in comune dei dati. I contitolari potranno così avere accesso a tutti i dati dei loro diretti assistiti.
Il WP29 suggerisce comunque l’inserimento di ruoli e responsabilità dei titolari dei dati all’interno del codice di condotta.
Adempimenti del titolare in ospedale, poliambulatori e studi medici
Si è detto che il titolare è responsabile della gestione dei dati personali e quindi deve organizzarsi in maniera tale da conformarsi alle finalità della normativa vigente ma deve anche saper porre in essere un’applicazione pratica adattata al caso concreto.
Conformemente al principio dell’accountability sancito nel GDPR la responsabilità grava sul titolare delle strutture pubbliche ma anche sul titolare delle strutture private (parere 3 del 2010 del WP. Articolo 29).
Alla luce del nuovo Regolamento nel settore della sanità trovano però applicazione anche ulteriori principi a cui il titolare deve attenersi come:
- il principio della trasparenza (informativa e consenso);
- il principio dell’accountability;
- il principio della privacy by design e by default.
Conseguentemente dovranno essere curati dal titolare i seguenti adempimenti:
- identificazione dei soggetti interessati al trattamento dei dati;
- individuazione del responsabile del trattamento;
- adeguata informativa ed eventuale consenso tranne in caso di cura;
- revoca del consenso nei casi in cui sia necessario;
- obbligo di informare se il trattamento sia automatizzato;
- Data Protection Impact Assessment (DPIA) o autodichiarazione del titolare che non sussiste necessità di esperire la citata DPIA;
- registro delle attività di trattamenti in cui riportare le modalità di gestione dei dati dei pazienti. strumento utile a dimostrare come il titolare del trattamento si è attrezzato per proteggere i dati, e va consegnato al Garante in caso di ispezione;
- procedure per fronteggiare le ipotesi di violazione della privacy;
- misure di sicurezza adeguate.
La protezione dei dati in ambito sanitario, ai tempi del coronavirus
Il Garante ha fatto espresso divieto a tutti i datori di lavoro di raccogliere informazioni, in qualsiasi modalità, circa la presenza di eventuali sintomi, spostamenti e contatti che riguardino la sfera extra lavorativa dei propri lavoratori dipendenti.
Tuttavia, va fatta qualche considerazione.
La protezione dei dati non è un diritto assoluto. il legislatore europeo nel Considerando 4 al GDPR, infatti, afferma: “Il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità sancito dal GDPR”.
In questo senso deve essere letta la disposizione dell’art. 14 del D.L. 14/2020, rubricato “Disposizioni sul trattamento dei dati personali nel contesto emergenziale”. Da ciò la possibilità di interscambio dei dati nell’ambito degli organismi sanitari ed antri enti istituzionali e di omissione dell’informativa.
L’attenzione va anche all’ultimo comma, a mente del quale “al termine dello stato di emergenza […] i soggetti di cui al comma 1 adottano misure idonee a ricondurre i trattamenti di dati personali effettuati nel contesto dell’emergenza, all’ambito delle ordinarie competenze e delle regole che disciplinano i trattamenti di dati personali”.
In emergenza coronavirus la gestione di dati sulla salute dei cittadini mette di fronte la garanzia della riservatezza personale con quella della sicurezza pubblica.
L’Ufficio del Garante per la protezione dei dati personali in passato ha ricevuto numerosi quesiti da parte di soggetti pubblici e privati in merito alla possibilità di raccogliere, all’atto della registrazione di visitatori e utenti, informazioni circa la presenza di sintomi da coronavirus e notizie sugli ultimi spostamenti, come misura di prevenzione dal contagio.
Analogamente, datori di lavoro pubblici e privati hanno chiesto la possibilità di acquisire una “autodichiarazione” da parte dei dipendenti in ordine all’assenza di sintomi influenzali e vicende relative alla sfera privata.
Il Garante precisa: “I datori di lavoro devono astenersi dal raccogliere, a priori e in modo sistematico e generalizzato, anche attraverso specifiche richieste al singolo lavoratore o indagini non consentite, informazioni sulla presenza di eventuali sintomi influenzali del lavoratore e dei suoi contatti più stretti o comunque rientranti nella sfera extra lavorativa”. Infatti, “la finalità di prevenzione dalla diffusione del Coronavirus deve essere svolta da soggetti che istituzionalmente esercitano queste funzioni in modo qualificato”. Dunque, “l’accertamento e la raccolta di informazioni relative ai sintomi tipici del Coronavirus e alle informazioni sui recenti spostamenti di ogni individuo spettano agli operatori sanitari e al sistema attivato dalla protezione civile, che sono gli organi deputati a garantire il rispetto delle regole di sanità pubblica recentemente adottate”. “Resta fermo l’obbligo del lavoratore di segnalare al datore di lavoro qualsiasi situazione di pericolo per la salute e la sicurezza sui luoghi di lavoro”. In tale quadro, “il datore di lavoro può invitare i propri dipendenti a fare, ove necessario, tali comunicazioni agevolando le modalità di inoltro delle stesse, anche predisponendo canali dedicati; permangono altresì i compiti del datore di lavoro relativi alla necessità di comunicare agli organi preposti l’eventuale variazione del rischio biologica derivante dal coronavirus per la salute sul posto di lavoro e gli altri adempimenti connessi alla sorveglianza sanitaria sui lavoratori per il tramite del medico competente”.
Nel caso in cui, nel corso dell’attività lavorativa, il dipendente che svolge mansioni a contatto con il pubblico venga in relazione con un caso sospetto di coronavirus, “lo stesso, anche tramite il datore di lavoro, provvederà a comunicare la circostanza ai servizi sanitari competenti e ad attenersi alle indicazioni di prevenzione fornite dagli operatori sanitari interpellati”.
Pertanto, il Garante, accogliendo l’invito delle istituzioni competenti a un necessario coordinamento sul territorio nazionale delle misure in materia di coronavirus, “invita tutti i titolari del trattamento ad attenersi scrupolosamente alle indicazioni fornite dal Ministero della salute e dalle istituzioni competenti per la prevenzione della diffusione del coronavirus, senza effettuare iniziative autonome che prevedano la raccolta di dati anche sulla salute di utenti e lavoratori che non siano normativamente previste o disposte dagli organi competenti”.
Molte le identità di alcuni soggetti “pubblici” contagiati, sono state rivelate. Tale eccezione è però giustificata dal fatto che tali persone hanno un particolare notorietà.
Si può informare il collega che forse un altro collega ha il virus Covid-19?
No, solo se l’ufficiale medico ritenga che l’uso o la divulgazione siano necessari al fine di prevenire o ridurre una grave minaccia per la salute o la sicurezza pubblica.
Partecipanti ad eventi in cui si è verificato un caso di Covid-19: come comportarsi
Dovranno essere fornite dal responsabile dell’evento le informazioni di contatto dei partecipanti alle autorità sanitarie.
Le autorità sanitarie decideranno se la gravità merita di informare gli altri partecipanti che potrebbero essere stati in contatto con una persona infetta e potrebbero decidere se prendere o meno provvedimenti per mettere in quarantena le persone interessate
Comunque, un dipendente ha il diritto di mantenere le proprie informazioni sanitarie riservate.
Richiesta di informazioni sanitarie da soggetti terzi: il medico può fornirle?
Senza il consenso del diretto interessato, il medico non può comunicare niente a nessuno.
I dati sullo stato della salute possono essere forniti anche a terzi, come parenti, familiari, conviventi, conoscenti o datori di lavoro purché ovviamente il paziente abbia consentito (ad es. compagnia di assicurazione).
Il medico può derogare all’obbligo della riservatezza?
In ipotesi particolari. Anche nei casi in cui sussiste obbligo di referto, il medico è tenuto a segnalare all’autorità giudiziaria i dati in suo possesso anche senza il consenso del diretto interessato (si pensi proprio alla segnalazione di malattie infettive o diffusive in cui si renda necessario tutelare la salute di un terzo o della collettività, oppure di un minore, di un soggetto disabile o comunque di un soggetto in situazione di particolare fragilità può derogare).
Come si deve comportare il medico a cui l’autorità giudiziaria chiede documenti di un paziente?
Il medico può sempre opporre il segreto professionale e rifiutarsi di rendere testimonianza o di esibire documenti.
In questi casi spetta al magistrato valutare se la testimonianza del medico è indispensabile per la soluzione della vertenza giudiziaria o meno.
In tal caso il magistrato può decidere che il segreto debba cedere alle superiori esigenze di giustizia e quindi ordinare al medico di deporre.
Consulti telefonici, messaggistica e registrazione: il medico può divulgare dati sanitari?
Al paziente si può comunicare ogni informazione sanitaria, sia di persona che per telefono ciò in quanto la volontà della persona assistita deve essere sempre preliminarmente documentata e deve essere rispettata.
Ai soggetti terzi, anche se familiari, la comunicazione (di persona o per telefono) è invece ammessa previo consenso del diretto interessato. Il paziente può chiedere di non essere informato o di delegare ad altro soggetto l’informazione.
La registrazione di qualsiasi telefonata non è ammessa a meno che non sia comunicata e accettata dal paziente.
È poi assolutamente necessario non fornire per mezzo telefono dati ed informazioni di carattere sanitario o di natura comunque riservata qualora non si conosca o non si abbia verosimilmente cognizione dell’identità o della legittimazione ad ottenere i dati richiesti del soggetto chiamante.
In alcuni casi si consiglia, qualora si nutrano dubbi sull’identità di chi è dall’altra parte dell’apparecchio, di richiedere identità dell’interlocutore con un documento di riconoscimento da registrare.
WhatsApp o strumenti simili nel rapporto medico-paziente
Gli strumenti di chat o messaggistica non danno alcuna garanzia legale sull’identità del mittente. Sono ammesse comunicazioni WhatsApp fra medici qualora in casi eccezionali di emergenza e per un consulto immediato ma non nella relazione medico-paziente secondo le prescrizioni del Garante.
Quando il medico è autorizzato a comunicare a terzi i dati sanitari del paziente, in assenza del consenso?
I dati potranno essere comunicati a destinatari appartenenti alle seguenti categorie:
- soggetti interni allo studio con funzione di Incaricati al trattamento;
- professionisti medici e personale sanitario, anche con rapporto di collaborazione occasionale con lo studio;
- soggetti esterni incaricati di funzioni di manutenzione e assistenza dei sistemi informatici e di comunicazione;
- soggetti esterni consulenti in materia fiscale;
- autorità ed Enti Pubblici competenti per obbligo di legge;
- (eventuali altre categorie di destinatari);
- i soggetti appartenenti alle categorie suddette svolgono la funzione di responsabile del trattamento dei dati, oppure operano in totale autonomia come distinti titolari del trattamento;
- i dati potranno essere comunicati a familiari o conoscenti solo su espressa autorizzazione dell’interessato per telefono e non.
Il medico, nel proprio studio, deve predisporre “distanze di cortesia” o sistemi di chiamata numerica?
Il medico (e il personale del suo studio) deve comunque rispettare la riservatezza dei pazienti, per cui vanno evitati tutti i comportamenti che possano essere poco rispettosi della privacy di ognuno. Sta al medico individuare, nel concreto, le modalità più idonee.
Comunque, a differenza delle strutture sanitarie pubbliche che sono locali aperti al pubblico e dove è obbligatorio adottare misure per la riservatezza dei pazienti, negli studi medici privati, che non sono locali aperti al pubblico, non è obbligatorio adottare simili accorgimenti.
La consegna di documenti sanitari deve farla materialmente il medico o anche il personale di segreteria?
Il documento sanitario deve sempre essere chiuso in una busta e spetterà al personale di segreteria identificare il soggetto che ritira la busta: se il diretto interessato o se un delegato.
In quest’ultima ipotesi, dovrà acquisire la delega del diretto interessato e formalizzare l’incarico alla segreteria che adempie alla consegna.
La geolocalizzazione può essere considerata una misura utile finalizzata alla prevenzione da Covid-19?
Per battere la pandemia Corea del Sud, Cina, Taiwan e Singapore stanno adottando il completo tracciamento degli spostamenti di contagiati e potenzialmente tali. Anche in Italia secondo esperti si può fare usando tutte le tecnologie a disposizione: il GPS, il Wi-Fi, il GSM. Ogni spostamento che facciamo infatti è tracciato perché ogni dispositivo aggancia costantemente una cella gestita dalle torri di trasmissione delle compagnie telefoniche (ad es. Tim, Vodafone, Wind3, Iliad).
La geolocalizzazione, quale misura di prevenzione del contagio da Covid-19, è possibile, ma solo a tre condizioni: deve avere una base giuridica normativa; deve rispettare i principi di proporzionalità; deve essere garantito il diritto di difesa in via giudiziale. (vedasi dichiarazione ufficiale del Comitato Europeo per la protezione dei dati – EDPB del 16 marzo 2020).
Basterebbe usare i modelli di profilazione delle telco per tracciare digitalmente tutti i contatti dei contagiati nei 14 giorni precedenti in modo da isolarli in quarantena. Il nostro dispositivo ha una memoria che ricorda, anche se lo ignoriamo, ogni spostamento.
Il consenso informato nel CUP è ammissibile? I chiarimenti del Garante
È stato spesso rilevato dal Garante che le aziende sanitarie non forniscono agli interessati una idonea informativa, ovvero procedono alla richiesta di consenso al trattamento, effettuato nell’ambito della prenotazione richiesta, tramite i sistemi CUP. Il Garante della privacy ha così dettato regole in base al regolamento Ue sulla protezione dei dati (GDPR) con il provvedimento del 7 marzo 2018 che regolamenta anche i CUP.
Il trattamento dei dati personali effettuato nell’ambito del sistema CUP si configura come un trattamento svolto per finalità amministrative, correlate all’attività di diagnosi e cura per il quale, fornita un’idonea informativa, non è richiesto il consenso dell’interessato.
Il presupposto di liceità di tale trattamento, come di tutti quelli effettuati per finalità amministrative correlate alla cura, deve essere, infatti, rinvenuto nel rispetto del regolamento per i trattamenti dei dati sensibili e giudiziari delle aziende sanitarie adottato dalla regione di appartenenza (nota 3 ottobre 2016). I trattamenti per “finalità di cura” sono quelli previsti all’articolo 9, paragrafo 2, lettera h): “… e cioè il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell’Unione o degli Stati membri”.
Il Garante prosegue specificando che gli eventuali trattamenti attinenti, solo in senso lato, alla cura, ma non strettamente necessari, richiedono, quindi, anche se effettuati da professionisti della sanità, “una distinta base giuridica da individuarsi, eventualmente, nel consenso dell’interessato o in un altro presupposto di liceità (artt. 6 e 9, par. 2, del Regolamento)”.
Il consenso rimane assolutamente necessario di converso per le finalità di trattamento accessorie all’erogazione della prestazione, (art. 9, par. 2, lett. a) del Regolamento).
Di seguito alcuni dei trattamenti connessi all’utilizzo di App mediche (trattamenti preordinati alla fidelizzazione della clientela, effettuati dalle farmacie attraverso programmi di accumulo punti):
- trattamenti effettuati in campo sanitario da persone giuridiche private per finalità promozionali o commerciali;
- trattamenti effettuati da professionisti sanitari per finalità commerciali o elettorali;
- trattamenti effettuati attraverso il Fascicolo sanitario elettronico (DL 18 ottobre 2012, n. 179, art. 12, comma 5);
- referti inviati via e-mail o gestiti online e prenotazione online;
- Dossier Sanitario Elettronico;
- dati da impiegare per finalità di marketing e profilazione;
- dati biometrici per autorizzazione all’impiego della firma grafometrica.
Con riferimento alla quantità e qualità dei dati e alla presenza dei dati storici nel sistema CUP, sono emerse notevoli criticità in merito alla tipologia dei dati consultabili dagli operatori relativi alle prestazioni sanitarie già erogate all’utente sia in regime di libera professione, sia a carico del SSN.
Le istruttorie effettuate dal Garante nel periodo 2016 e 2017 hanno consentito infatti di rivedere tali impostazioni riducendo al minimo indispensabile le informazioni disponibili, rendendo non più visualizzabili le prestazioni sanitarie già erogate all’interessato, in quanto la conoscenza di tali informazioni non è stata considerata, dalle stesse aziende sanitarie, necessaria all’operatore CUP per procedere all’attività di prenotazione richiesta (nota 30 marzo 2016).
Misure organizzative di lavoro dello studio medico
La pericolosità dell’epidemia impatta anche nelle nuove misure organizzative di lavoro dello Studio medico volte a contenere il fenomeno e che possono pregiudicare il diritto alla protezione dei dati.
Nelle aziende i questionari anamnestici da compilare alla segreteria o all’ ospedale , unitamente allo smart working non-concordato, sono frutto delle disposizioni che ormai quasi dappertutto vengono poste in essere.
Anche nello studio medico e in certi settori di ospedale analogamente, si inizia ora a parlare di smart working contenuta nel DPCM dell’01/03/2020.
Da ricordare che l’attuazione del lavoro agile non può contrastare le prescrizioni dell’articolo 4 dello Statuto del Lavoratori.
Pertanto, qualsiasi controllo datoriale effettuato mediante apparecchiature finalizzate a monitorare l’attività dello smart working è vietato, senza eccezioni.
Come noto infatti secondo le indicazioni dell’Autorità Garante qualsiasi controllo (non finalizzato a monitorare l’attività del lavoratore agile) ma per finalità organizzative, produttive, di sicurezza sul lavoro o di tutela del patrimonio aziendale, che venga attuato mediante apparecchiature che non risultino essenziali per rendere la prestazione, richiede comunque il preventivo espletamento della procedura sindacale o, in mancanza, di quella amministrativa.
Occorre fornire al lavoratore agile anche nello Studio medico o in certi reparti ospedalieri un’adeguata informativa preliminare circa le modalità di uso e di controllo di tali apparecchiature, nel rispetto della disciplina sulla privacy.
Conservazione documentale dei dati sanitari in ambulatori privati e ospedali: come è strutturata?
Conservazione documentale cartacea
I documenti cartacei che contengono dati sanitari devono essere conservati in archivi ad accesso controllato, e comunque in modo che terzi non possano accedervi (armadi chiusi a chiave oppure si può utilizzare la conservazione sostitutiva, effettuata con una procedura informatica in grado di garantire nel tempo la validità legale di un documento informatico conferendone valore probatorio).
Come noto i dati vanno conservati per il tempo necessario al perseguimento della finalità per cui sono stati raccolti fin tanto che dura il rapporto di cura.
Per gli studi medici privati, a differenza degli ospedali e delle case di cura, non esiste una norma di legge specifica che stabilisca la durata di conservazione degli atti sanitari.
Il Garante precisa che i dati relativi a ciascun episodio assistenziale, raccolti nella relativa scheda sanitaria, verranno conservati a tempo indeterminato, perdurando il rapporto contrattuale di cura. Al termine del rapporto contrattuale lo Studio o l’Ospedale conserverà i dati per un periodo non superiore al termine prescrizionale di legge per la tutela dei propri diritti legali e di difesa (cioè 10 anni).
La conservazione degli atti è legittimata dal fatto che possono insorgere vertenze o cause fra medico e paziente e se il medico non dispone più della documentazione clinica non ha nemmeno strumenti per dimostrare la correttezza del suo operato.
Conservazione documentale digitale
In questo caso vale lo stesso principio di evitare o ridurre al minimo il rischio di perdita, distruzione, sottrazione, manomissione o alterazione dei dati memorizzati nel computer. Quindi il computer deve essere protetto da una password alfanumerica (la meno intuitiva possibile) che deve essere cambiata ogni tre mesi.
Inoltre, il computer deve essere protetto da un software antivirus, anti-malware e, se è connesso a Internet, anche da un firewall di ultima generazione, capace di identificare le minacce e bloccarle prima che si concretizzino.
Infine, deve essere previsto un salvataggio periodico dei dati da poter utilizzare in caso di emergenza.
Il sostituto o comunque il collaboratore medico può usare il computer del medico titolare ma munito di lettera di incarico e può accedere ai fascicoli cartacei dei pazienti, dello studio o nella struttura ospedaliera con un proprio nome utente e una propria password, in modo che sul computer rimanga una “traccia informatica” di chi, come e quando ha acceduto al sistema.
Le eccezioni
Le cartelle cliniche, i referti e resoconti radiologici devono essere conservati per sempre (si tratta di atti ufficiali indispensabili a garantire la certezza del diritto, oltre a costituire preziosa fonte per ricerche di carattere storico-sanitario). Non hanno limiti temporali.
Le immagini radiologiche e di medicina nucleare devono essere conservate per un periodo non inferiore a dieci anni.
La documentazione relativa agli accertamenti effettuati nel corso delle visite per il rilascio dei certificati di idoneità sportiva deve essere conservata, a cura del medico visitatore, per almeno cinque anni.
In ogni caso il termine di conservazione deve essere indicato nel registro dei trattamenti e nell’informativa privacy. Cresce la necessità di introdurre nuovi sistemi di sicurezza per ridurre (temporalmente) i presidi di conservazione dei dati.
Gli sviluppatori hanno la possibilità di utilizzare due strumenti innovativi nel processo di configurazione della conservazione documentale: la privacy by design e la privacy by default
Il protocollo per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro
Il 14 marzo 2020, è stato sottoscritto il “Protocollo condiviso di regolazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro”.
L’obiettivo del protocollo condiviso di regolamentazione è fornire indicazioni operative finalizzate a incrementare, negli ambienti di lavoro l’efficacia delle misure precauzionali di contenimento adottate per contrastare l’epidemia di Covid-19.
Il documento contiene linee guida per agevolare le imprese nell’adozione di protocolli di sicurezza anti-contagio. La prosecuzione delle attività produttive può infatti avvenire solo in presenza di condizioni che assicurino alle persone che lavorano adeguati livelli di protezione.
Le parti hanno inteso favorire la possibilità per l’azienda di ricorrere al lavoro agile e soluzioni organizzative straordinarie, per evitare la diffusione del virus.
In questa prospettiva si è stabilito che, dentro i luoghi di lavoro:
- l’azienda, attraverso le modalità più idonee ed efficaci, informi tutti i lavoratori e chiunque entri in azienda circa le disposizioni delle Autorità, consegnando e/o affiggendo all’ingresso e nei luoghi maggiormente visibili dei locali aziendali, appositi depliant informativi. In particolare, le informazioni devono riguardare la consapevolezza e l’accettazione del fatto di non poter fare ingresso o di poter permanere in azienda e di doverlo dichiarare tempestivamente laddove, anche successivamente all’ingresso, sussistano le condizioni di pericolo (sintomi di influenza, temperatura, provenienza da zone a rischio o contatto con persone positive al virus nei 14 giorni precedenti ecc.) in cui i provvedimenti dell’Autorità impongono di informare il medico di famiglia e l’Autorità sanitaria e di rimanere al proprio domicilio;
- l’impegno a informare tempestivamente e responsabilmente il datore di lavoro della presenza di qualsiasi sintomo influenzale durante l’espletamento della prestazione lavorativa, avendo cura di rimanere ad adeguata distanza dalle persone presenti;
- il personale, prima dell’accesso al luogo di lavoro potrà essere sottoposto al controllo della temperatura corporea1. Se tale temperatura risulterà superiore ai 37,5°, non sarà consentito l’accesso ai luoghi di lavoro. Le persone in tale condizione – nel rispetto delle indicazioni riportate in nota – saranno momentaneamente isolate e fornite di mascherine non dovranno recarsi al Pronto Soccorso e/o nelle infermerie di sede, ma dovranno contattare nel più breve tempo possibile il proprio medico curante e seguire le sue indicazioni;
- il datore di lavoro informa preventivamente il personale, e chi intende fare ingresso in azienda, della preclusione dell’accesso a chi, negli ultimi 14 giorni, abbia avuto contatti con soggetti risultati positivi al Covid-19 o provenga da zone a rischio secondo le indicazioni dell’OMS.
La rilevazione in tempo reale della temperatura corporea costituisce un trattamento di dati personali e, pertanto, deve avvenire ai sensi della disciplina privacy vigente.
A tal fine si suggerisce di:
- rilevare a temperatura e non registrare il dato acquisto. È possibile identificare l’interessato e registrare il superamento della soglia di temperatura solo qualora sia necessario a documentare le ragioni che hanno impedito l’accesso ai locali aziendali;
- fornire l’informativa sul trattamento dei dati personali. Si ricorda che l’informativa può omettere le informazioni di cui l’interessato è già in possesso e può essere fornita anche oralmente.
Quanto ai contenuti dell’informativa, con riferimento alla finalità del trattamento potrà essere indicata la prevenzione dal contagio da Covid-19 e con riferimento alla base giuridica può essere indicata l’implementazione dei protocolli di sicurezza anti-contagio ai sensi dell’art. art. 1, n. 7, lett. d) del DPCM 11 marzo 2020 e con riferimento alla durata dell’eventuale conservazione dei dati si può far riferimento al termine dello stato d’emergenza; definire le misure di sicurezza e organizzative adeguate a proteggere i dati.
In particolare, sotto il profilo organizzativo, occorre individuare i soggetti preposti al trattamento e fornire loro le istruzioni necessarie. A tal fine, si ricorda che i dati possono essere trattati esclusivamente per finalità di prevenzione dal contagio da Covid-19 e non devono essere diffusi o comunicati a terzi al di fuori delle specifiche previsioni normative (es. in caso di richiesta da parte dell’Autorità sanitaria per la ricostruzione della filiera degli eventuali “contatti stretti di un lavoratore risultato positivo al Covid-19).
In caso di isolamento momentaneo dovuto al superamento della soglia di temperatura, il datore di lavoro dovrà assicurare modalità tali da garantire la riservatezza e la dignità del lavoratore. Tali garanzie devono essere assicurate anche nel caso in cui il lavoratore comunichi all’ufficio responsabile del personale di aver avuto, al di fuori del contesto aziendale, contatti con soggetti risultati positivi al Covid-19 e nel caso di allontanamento del lavoratore che durante l’attività lavorativa sviluppi febbre e sintomi di infezione respiratoria e dei suoi colleghi (v. infra).
Con riferimento ai tempi dell’eventuale conservazione dei dati (conformemente all’art. 13, par. 2, lett. a), GDPR) si potrà fare riferimento al termine dello stato d’emergenza.
Conclusioni
Con il presente articolo si è cercato di fornire utili indicazioni su un tema di assoluta attualità che sta mettendo alla prova l’intero Paese e chiamando tutti a rivedere in modo critico e costruttivo anche atteggiamenti e norme che fino a ieri apparivano ineccepibili.
Quando questa triste emergenza avrà avuto termine probabilmente si renderanno necessari ulteriori affinamenti di norme e procedure in tutti i campi, e in tal senso la privacy non farà eccezione.
