Negli ultimi mesi il Garante per la Protezione dei Dati Personali è tornato a esprimersi riguardo all’impiego di soluzioni tecnologiche in ambito sanitario volte a consentire agli utenti delle prestazioni sanitarie di accedere con maggior facilità e sicurezza ai propri dati e documenti di tipo sanitario derivanti da eventi clinici. Nello specifico, il Garante ha pubblicato sulla propria pagina web le FAQ in relazione al Fascicolo Sanitario Elettronico e ha aggiornato le FAQ sui referti online. Tali contenuti mirano a garantire a utenti e professionisti un’informazione chiara e facilmente accessibile affinché questi strumenti possano trovare un ampio utilizzo senza, però, che vengano meno le garanzie fondamentali per i diritti e le libertà degli interessati.
Le FAQ sul Fascicolo Sanitario Elettronico: consenso, informativa e accesso
Introdotto dall’articolo 12, comma 1, del Decreto-legge n. 179/2012, il Fascicolo Sanitario Elettronico (“FSE”) è l’insieme di dati e documenti digitali di tipo sanitario e sociosanitario generati da strutture sanitarie, sia pubbliche che private, in relazione ad eventi clinici presenti e trascorsi dell’assistito.
Inoltre, il FSE è volto a perseguire finalità di cura, di ricerca e di governo. Pertanto, l’implementazione del FSE è di estrema rilevanza sotto molteplici punti di vista, in primo luogo per una miglior gestione del rapporto di cura tra medico e paziente nelle sue diverse fasi (prevenzione, diagnosi, cura e riabilitazione); in secondo luogo il FSE ha un impatto rilevante sugli studi e le ricerche scientifiche in ambito medico, biomedico ed epidemiologico; infine, la gestione a livello statale della programmazione sanitaria, nonché della verifica e della valutazione dei servizi sanitari offerti, può trarre giovamento dal FSE.
Il consenso dell’assistito, l’informativa e l’alimentazione del FSE
La consultazione del FSE da parte del personale sanitario è soggetta al consenso dell’interessato reso una tantum e sempre revocabile. In ogni caso, anche laddove l’assistito non fornisca il proprio consenso, la prestazione sanitaria è sempre garantita.
Chiaramente prima che tale consenso venga espresso, all’interessato deve essere fornita un’informativa redatta con un linguaggio chiaro e secondo quanto richiesto dall’articolo 13 del Regolamento Generale sulla Protezione dei Dati (Regolamento (UE) n. 2016/679, “GDPR”). Il Garante precisa che tale informativa deve specificare
- che i dati che alimenteranno il FSE sono relativi allo stato di salute attuale ed eventualmente pregresso dell’interessato; e
- che l’interessato ha il diritto di conoscere quali accessi sono stati effettuati al proprio FSE.
Inoltre, il FSE è automaticamente alimentato dalle strutture sanitarie che generano dati e documenti digitali in seguito alle relative prestazioni, indipendentemente dalla loro ubicazione, in modo che l’assistito possa agevolmente consultare tali contenuti anche se prodotti da strutture al di fuori della propria regione di appartenenza.
Chi può accedere al FSE e l’oscuramento dei dati
L’assistito è libero di consultare il proprio FSE avendo accesso ai documenti clinici e amministrativi (e.g. ricette, certificati di malattia) e di inserire ulteriori informazioni personali e documenti relativi al percorso di cura nella sezione dedicata “taccuino personale dell’assistito”.
Previo consenso dell’assistito, come sopra descritto, possono avere accesso al FSE tutti gli esercenti le professioni sanitarie, pubblici e privati, che prendono parte al processo di cura. In particolare, il medico di medicina generale e il pediatra di libera scelta hanno il compito di redigere e aggiornare il profilo sanitario sintetico (c.d. “patient summary”), documento sociosanitario informatico che riassume la storia clinica dell’assistito affinché sia agevolata la continuità di cura mediante sintetico e rapido inquadramento del paziente.
A prescindere dal consenso dell’interessato, invece, gli organi di governo sanitario hanno accesso ai dati pseudonimizzati del FSE per le proprie funzioni istituzionali (e.g. programmazione delle cure, gestione delle emergenze sanitarie).
In aggiunta, sul presupposto che tutti i terzi non autorizzati non possono accedere al FSE, il Garante ha elencato espressamente soggetti specifici a cui è negato l’accesso al FSE, pur se operanti in ambito sanitario: periti, compagnie di assicurazione, datori di lavoro, associazioni scientifiche e organismi amministrativi.
Infine, l’interessato ha il diritto di richiedere l’oscuramento di dati e documenti sanitari e sociosanitari in modo che questi risultino consultabili solo all’assistito e ai titolari che li hanno generati. Tale oscuramento (a) può essere richiesto sia prima dell’alimentazione del FSE che successivamente; (b) può sempre essere revocato dall’assistito; e (c) deve garantire che gli altri soggetti che accedono al FSE non vengano automaticamente a conoscenza del fatto che alcuni dati siano stati oscurati.
Le FAQ sui referti online: consenso, modalità di consegna e sicurezza
Il referto medico consiste in una relazione scritta rilasciata dal medico sullo stato clinico del paziente in seguito all’esame clinico o strumentale. L’accesso a tale documento da parte dell’assistito può avvenire mediante modalità digitali, come attraverso il FSE, sito web, posta elettronica ordinaria o certificata e, in generale, mediante supporto elettronico. In tal caso, si parla di referto medico online, il quale è stato oggetto dell’intervento sia del Garante che del legislatore al fine di regolamentare le modalità di consegna e le tutele necessarie.
In particolare, successivamente alle Linee Guida in tema di referti online pubblicate dal Garante (Provvedimento n. 36 del 19 novembre 2009, “Linee Guida”), il DPCM dell’8 agosto 2013 (“DPCM”, emanato ai sensi dell’articolo 6, comma 2, lettera d), numeri 1 e 2 del D.L. 70/2011, convertito, con modificazioni, dalla L. 106/2011) ha disciplinato anche le modalità di consegna, da parte delle Aziende sanitarie, dei referti medici tramite web, posta elettronica certificata e altre modalità digitali. Lo schema di tale decreto è stato oggetto di parere favorevole del Garante, seppur con specifiche osservazioni (Provvedimento n. 382 del 6 dicembre 2012). È in tale contesto che si inseriscono le FAQ del Garante sui referti online aggiornate lo scorso ottobre.
Il consenso dell’assistito e l’informativa
Il Garante, pur ricordando che per i trattamenti necessari per l’erogazione della prestazione sanitaria non è più necessario che il titolare raccolga il consenso dell’interessato (Provvedimento n. 55 del 7 marzo 2019), richiama espressamente il DPCM che richiede l’acquisizione del consenso esplicito, libero, specifico e informato dell’assistito affinché lo stesso possa usufruire del servizio di refertazione digitale (articolo 5 del DPCM). Come per il FSE, anche in questo caso il mancato consenso non deve avere alcuna conseguenza sull’accesso alla prestazione medica che rimane in ogni caso garantita.
Tale consenso, però, non vincola l’assistito in relazione agli esami a cui si sottoporrà in futuro, in relazione ai quali gli/le sarà sempre garantito di manifestare una volontà contraria al fine di non usufruire della refertazione online. In ogni caso, pur avendo prestato il proprio consenso, l’interessato ha comunque il diritto di ottenere anche a domicilio copia cartacea del referto consegnato in modalità digitale.
Il titolare del trattamento deve dunque fornire all’assistito un’informativa conforme a quanto previsto dagli articoli 13 e 14 del GDPR che descriva in modo chiaro e comprensibile le caratteristiche del servizio di refertazione online. Questa deve essere distinta rispetto a quella per il trattamento dei dati personali per finalità di cura.
Le modalità di consegna
In relazione alle modalità digitali di consegna del referto, le FAQ si soffermano sui siti web e sulla posta elettronica. In caso di referti disponibili sul sito web della struttura sanitaria, questa deve:
- adottare protocolli di comunicazione sicuri (https) e sistemi di autenticazione forte dell’interessato (strong authentication);
- rendere disponibile il referto online sul proprio sito web per un massimo di 45 giorni;
- garantire all’utente la possibilità di cancellare dal sistema di consultazione, in modo complessivo o selettivo, i referti che lo riguardano.
Se il referto è consegnato tramite posta elettronica:
- il referto deve essere spedito in allegato al messaggio e-mail (non come testo nel corpo del messaggio); e
- il file contente il referto deve essere protetto, ad esempio per mezzo di una password.
Come ulteriore servizio, l’assistito può richiedere di essere avvisato della disponibilità del referto attraverso un sms che abbia quale unico contenuto la comunicazione della disponibilità, senza nessun’altra informazione sulla tipologia o l’esito degli esami, né sulle credenziali di autenticazione assegnate. L’assistito, inoltre, può richiedere che il referto sia consegnato in modalità digitale al proprio medico curante.
Infine, il Garante ricorda che non è ammesso il servizio di refertazione tramite modalità digitali in caso di accertamenti relativi ad indagini genetiche o all’HIV.
Le misure di sicurezza
L’impiego di modalità tecnologiche per la refertazione comporta la necessità di implementare misure di sicurezza adeguate ai rischi connessi al mezzo utilizzato per la consegna e alla particolare sensibilità dei dati oggetto di trattamento. A tal fine, sia le Linee Guida che il DPCM dispongono specifiche misure e accorgimenti tecnici da implementare per garantire la sicurezza del trattamento.
In via generale, le FAQ richiamano
(a) l’adozione di sistemi di autenticazione e autorizzazione per i soggetti autorizzati a seconda dei ruoli e delle finalità dei trattamenti;
(b) la predisposizione di differenti livelli di protezione a seconda del mezzo di consegna utilizzato (servizi Web, posta elettronica o supporto elettronico); e
(c) l’adeguata formazione di chiunque abbia accesso o tratti i dati dei referti online.
L’individuazione e l’implementazione di tali misure, però, non appare essere un processo di facile gestione, come evidenziato da una recente segnalazione al Garante in seguito alla quale l’Autorità ha aperto un’istruttoria in relazione al servizio “Tampone in un Click” predisposto dalla Regione Lombardia per la refertazione online dell’esito del tampone per l’individuazione dell’eventuale positività al COVID-19. Nello specifico, il sistema di autenticazione per l’accesso al referto attraverso la pagina web dedicata risulterebbe essere solo apparentemente multifattoriale. Infatti, nonostante venga richiesto all’utente di inserire due diversi elementi, ossia i dati riportati sulla tessera sanitaria e il numero di telefono per l’invio di un messaggio con il codice per accedere al referto, questi non sono oggetto di una precedente associazione. Ciò implica che il messaggio con il codice di accesso potrebbe essere inviato al numero di telefono di un soggetto diverso dell’assistito (i.e. soggetto qualsiasi che sia per un qualunque motivo in possesso dei dati relativi alla tessera sanitaria dell’assistito).
Gli adempimenti relativi ai data breach
Oltre all’implementazione di adeguate misure di sicurezza, è necessario che il titolare predisponga un’apposita procedura per la gestione di eventuali violazioni dei dati personali (“Data breach”) affinché sia possibile intervenire tempestivamente e monitorare la sicurezza dei dati trattati.
Proprio in relazione ai Data breach e alla loro gestione, l’attenzione del Garante sembra essere particolarmente elevata. Da un lato, infatti, uno tra i profili di interesse generale oggetto dell’attività ispettiva ad iniziativa dell’Ufficio del Garante per il semestre luglio-dicembre 2020 è quello dei Data breach (Deliberazione n.171 del 1 ottobre 2020). Dall’altro, in relazione al caso specifico della refertazione online, il Garante ha recentemente sanzionato per ventimila euro un policlinico proprio per aver violato la riservatezza dei referti consultabili dagli assistiti attraverso un portale web dedicato e la relativa applicazione da dispositivo mobile (nel caso di specie la violazione ha riguardato circa 39 utenti che, a causa di un errore umano nel corso della configurazione dell’applicazione, hanno avuto la possibilità di visualizzare i dati personali contenuti nei referti di altri utenti, Provvedimento n.174 del 1 ottobre 2020).
Ulteriori adempimenti
In aggiunta agli adempimenti descritti nei paragrafi precedenti, il titolare del trattamento relativo alla refertazione online deve comunque adeguarsi alle ulteriori disposizioni del GDPR. A tal riguardo le FAQ menzionano espressamente la tenuta del registro delle attività di trattamento ex articolo 30 del GDPR, nel quale devono essere inserite le specifiche caratteristiche e misure di sicurezza implementare per la refertazione online.
Inoltre, le FAQ precisano che il titolare dovrà svolgere la valutazione d’impatto sulla protezione dei dati, secondo quanto previsto dal GDPR, laddove voglia implementare l’utilizzo di nuove tecnologie offrendo su larga scala nuovi servizi digitali di refertazione.
