Tutelare la privacy dei pazienti per i dati dei referti online è una delle sfide più importanti (sempre più complesse) per la Sanità.
Sappiamo che il processo di digitalizzazione della sanità ha prodotto una crescente offerta di servizi all’utente da parte di strutture pubbliche e private, che ha imposto un necessario contemperamento con l’attuale disciplina della protezione dei dati personali prevista dal Regolamento (UE) 2016/679 – GDPR e dal Codice Privacy (d.lgs. 196/2003, integrato con le modifiche introdotte dal d.lgs. 101/2018), soprattutto per quanto concerne la gestione informatizzata e le comunicazioni telematiche di atti e documenti.
Definizione di “referto online” e disciplina applicabile
Tra le principali e più diffuse iniziative derivanti da tale processo vi è sicuramente quella relativa ai cosiddetti “referti online”, ovvero alla possibilità di accesso semplificato dell’utente ai referti relativi ad esami clinici e strumentali, al fine di rendere più rapidamente conoscibili all’interessato gli esiti degli accertamenti cui si è sottoposto.
Le “Linee guida in tema di referti on-line” del 25 giugno 2009”, definiscono, più precisamente, il “referto online” come la possibilità di “accesso alla relazione scritta rilasciata dal medico sullo stato clinico del paziente dopo un esame clinico o strumentale, con modalità informatica”.
Tale accesso, da parte del soggetto interessato, può avvenire in due distinte modalità:
- la consultazione e il download dal sito web della struttura del referto o del reperto (inteso come il risultato dell’esame clinico o strumentale effettuato, come ad es. un’immagine radiografica, un’ecografia o un valore ematico), da parte dell’utente.
- la ricezione del referto presso la casella di posta dell’interessato;
Le succitate Linee guida prevedono inoltre che:
- l’adesione al servizio di invio dei referti online, per entrambe le modalità indicate, deve essere facoltativa, ovvero all’interessato deve essere comunque riconosciuta la possibilità di scegliere di ritirare il referto in formato cartaceo;
- l’interessato può indicare un medico (es. il proprio medico curante) al quale consegnare il referto in modalità digitale;
- l’interessato, qualora il servizio fosse previsto, può chiedere di essere avvisato della disponibilità del referto tramite sms; in questo caso, il messaggio deve contenere la sola notizia della disponibilità del referto e non anche il dettaglio della tipologia o dell’esito dell’esame clinico o strumentale;
- non possono essere trasmessi in modalità digitale i referti relativi ad accertamenti riferibili ad indagini genetiche o all’HIV.
Informativa e consenso al trattamento dei dati
Resta fermo, in conformità al principio di trasparenza, l’obbligo di fornire all’interessato un’idonea informativa ex artt. 13 e 14 del GDPR, resa in forma concisa, trasparente, intelligibile e facilmente accessibile, con linguaggio semplice e chiaro. Con particolare riguardo ai referti online, in considerazione della natura del trattamento, è opportuno che per l’adesione al servizio, al soggetto interessato sia somministrata una specifica informativa, che descriva le caratteristiche del servizio stesso e ne evidenzi la facoltatività.
Inoltre, in relazione all’attività dei titolari del trattamento operanti in ambito sanitario che effettuano una pluralità di operazioni complesse (come ad esempio le aziende sanitarie), con i recenti “Chiarimenti sull’applicazione della disciplina per i trattamento dei dati relativi alla salute in ambito sanitario” del 7 marzo 2019, il Garante promuove il principio di “progressività informativa”, per il quale le informazioni concernenti particolari attività di trattamento, tra le quali figura proprio la consegna dei referti medici on-line, potrebbero essere rese in un secondo momento e soltanto ai pazienti effettivamente interessati dallo specifico servizio.
Per quanto concerne poi la base giuridica del trattamento dei dati personali, nonostante il Regolamento europeo abbia introdotto una significativa erosione dell’obbligo di acquisizione del consenso per i trattamenti in ambito sanitario, che sono oggi in larga parte legittimati dalle “altre” condizioni di liceità di cui agli artt. 6 e 9, in relazione all’adesione al servizio dei referti on-line permane la necessità del consenso, specifico, del soggetto interessato. Tale circostanza, già prevista dalle citate Linee guida del Garante e dalle disposizioni di settore in relazione alle modalità di consegna del referto (D.P.C.M. 8 agosto 2013, n. 5), trova conferma nel Provvedimento del Garante del 7 marzo 2019.
Una volta acquisito il consenso, con il quale si perfeziona l’adesione al servizio, all’interessato deve essere inoltre concessa, in relazione ai singoli esami clinici e strumentali cui si sottoporrà in futuro, di manifestare una volontà contraria, ovvero che i relativi referti non siano oggetto del servizio di refertazione on-line cui ha aderito in precedenza.
Sicurezza del trattamento: dalle misure “minime” alle misure “adeguate”
Le Linee guida del Garante in tema di referti on-line individuano una serie di misure, in relazione alle specifiche modalità di consegna, atte a garantire la sicurezza dello specifico trattamento:
Consultazione on-line dei referti tramite servizi Web accessibili da Internet
Nel caso in cui il servizio che si intenda offrire consti nella possibilità per l´interessato di collegarsi al sito Internet della struttura sanitaria che ha eseguito l´esame clinico, al fine di effettuare la copia locale (download) o la visualizzazione interattiva del referto, dovrebbero essere adottate delle specifiche cautele quali:
- protocolli di comunicazione sicuri, basati sull’utilizzo di standard crittografici per la comunicazione elettronica dei dati, con la certificazione digitale dell’identità dei sistemi che erogano il servizio in rete (protocolli https ssl – Secure Socket Layer);
- tecniche idonee ad evitare la possibile acquisizione delle informazioni contenute nel file elettronico nel caso di sua memorizzazione intermedia in sistemi di caching, locali o centralizzati, a seguito della sua consultazione on-line;
- l’utilizzo di idonei sistemi di autenticazione dell’interessato attraverso ordinarie credenziali o, preferibilmente, tramite procedure di strong authentication;
- disponibilità limitata nel tempo del referto on-line (massimo 30 gg.);
- possibilità da parte dellutente di sottrarre alla visibilità in modalità on-line o di cancellare dal sistema di consultazione, in modo complessivo o selettivo, i referti che lo riguardano.
Spedizione del referto tramite posta elettronica
Qualora il titolare del trattamento intenda inviare copia del referto alla casella di posta elettronica dell´interessato, a seguito di sua richiesta, per il referto prodotto in formato digitale dovranno essere osservate le seguenti cautele:
- spedizione del referto in forma di allegato a un messaggio e-mail e non come testo compreso nella body part del messaggio;
- il file contenente il referto dovrà essere protetto con modalità idonee a impedire l’illecita o fortuita acquisizione delle informazioni trasmesse da parte di soggetti diversi da quello cui sono destinati, che potranno consistere in una password per l´apertura del file o in una chiave crittografica rese note agli interessati tramite canali di comunicazione differenti da quelli utilizzati per la spedizione dei referti (Cfr. regola 24 del Disciplinare tecnico allegato B) al Codice). Tale cautela può non essere osservata qualora l´interessato ne faccia espressa e consapevole richiesta, in quanto l’invio del referto alla casella di posta elettronica indicata dall’interessato non configura un trasferimento di dati sanitari tra diversi titolari del trattamento, bensì una comunicazione di dati tra la struttura sanitaria e l’interessato effettuata su specifica richiesta di quest’ultimo;
- convalida degli indirizzi e-mail tramite apposita procedura di verifica online, in modo da evitare la spedizione di documenti elettronici, pur protetti con tecniche di cifratura, verso soggetti diversi dallutente richiedente il servizio.
In ogni caso, per il trattamento dei dati nell’ambito dell’erogazione del servizio online agli utenti dovrà essere garantita la disponibilità di:
- idonei sistemi di autenticazione e di autorizzazione per gli incaricati in funzione dei ruoli e delle esigenze di accesso e trattamento (ad es., in relazione alla possibilità di consultazione, modifica e integrazione dei dati), prevedendo il ricorso alla strong authentication con utilizzo di caratteristiche biometriche nel caso del trattamento di dati idonei a rivelare l´identità genetica di un individuo;
- separazione fisica o logica dei dati idonei a rivelare lo stato di salute e la vita sessuale dagli altri dati personali trattati per scopi amministrativo-contabili.
Il titolare del trattamento dovrebbe, inoltre, prevedere apposite procedure che rendano immediatamente non disponibili per la consultazione online o interrompano la procedura di spedizione per posta elettronica dei referti relativi a un interessato che abbia comunicato il furto o lo smarrimento delle proprie credenziali di autenticazione all’accesso al sistema di consultazione on-line o altre condizioni di possibile rischio per la riservatezza dei propri dati personali.
In ogni caso dovrebbero essere adottate tutte le misure di sicurezza necessarie per rispettare il divieto di diffusione dei dati sanitari.
E’ fondamentale considerare che le cautele elencate dal Provvedimento, precedente all’entrata in vigore del Regolamento europeo, sono da considerarsi “minime”: il principio di accountability impone, invece, al titolare del trattamento, “tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche”, di mettere in atto misure tecniche ed organizzative adeguate. E’ pertanto necessario che il titolare individui, in relazione alle specificità del servizio offerto e sulla base di una puntuale valutazione del rischio, le misure di sicurezza più idonee a garantire la riservatezza, l’integrità e la disponibilità dei dati personali trattati.
