Privacy, i principali interventi del Garante nel settore sanitario

Un "diritto universale", così il Garante della privacy Antonello Soro nel suo discorso di presentazione della Relazione annuale ha definito il nuovo Regolamento europeo sulla protezione dei dati personali, sottolineando la natura extraterritoriale del Regolamento ed evidenziando che la Relazione annuale al Parlamento fotografa un panorama che presenta molteplici rischi per i nostri spazi di libertà: dalla ricerca di informazioni per combattere il terrorismo, alla raccolta massiva di dati fino al crimine informatico e alla profilazione online, ma anche dalla tecnologia applicata al lavoro alle intercettazioni, alla sanità elettronica.

Proprio la Sanità costituisce un capitolo della Relazione Annuale, il quinto. Ecco i principali aspetti toccati:

Per ciò che concerne i trattamenti per fini di cura si legge che continuano a pervenire numerose segnalazioni in merito al mancato rispetto delle disposizioni in materia di tutela dei dati personali da parte di strutture sanitarie pubbliche e private nell'erogazione dei servizi di diagnosi, cura e riabilitazione degli assistiti. A seguito della segnalazione di un cittadino, l'Ufficio ha verificato che sul sito web di un'Asl era possibile consultare i dati anagrafici degli assistiti. Il Garante ha rilevato l'illiceità del trattamento e ha ricordato alle PA che offrono servizi in rete di adottare idonee misure di sicurezza tali da ridurre al minimo i rischi di accesso non autorizzato o di trattamenti di dati non consentiti. Sebbene l'azienda abbia prontamente adempiuto, l'Autorità si è, comunque, riservata di approfondire il caso e ha al contempo avviato un autonomo procedimento sanzionatorio per le violazioni riscontrate.

Ulteriori chiarimenti sono stati resi nei confronti dei medici di medicina generale con riferimento alle cautele da adottare nella consegna delle ricette o di altri certificati medici qualora - su richiesta dell'interessato - la suddetta documentazione non sia consegnata direttamente ma, ad esempio, da un farmacista indicato dallo stesso interessato. In tali casi è indispensabile che il documento sia contenuto all'interno di una busta chiusa. Qualora l'interessato intenda far ritirare la suddetta documentazione da parte di un terzo (ad es., un parente o un convivente) è necessario che quest'ultimo, al momento del ritiro, esibisca una delega scritta. L'Ufficio è intervenuto in merito all'abbandono di documentazione clinica presso locali in disuso di strutture sanitarie dando avvio a un procedimento sanzionatorio per mancata adozione delle misure di sicurezza (nota 5 novembre 2015).

La Relazione si concentra poi su l'informativa e il consenso al trattamento dei dati sanitari perché sono pervenute numerose segnalazioni nelle quali i pazienti lamentano di non aver manifestato il proprio consenso al trattamento dei dati sanitari e di non aver ricevuto alcuna informativa in merito all'utilizzo degli stessi o di aver ricevuto al riguardo informazioni insufficienti o lacunose.

Il Garante ha precisato di aver accolto l'invito del Ministero della salute partecipando, già dal mese di luglio, al tavolo di lavoro interistituzionale sulla m-Health e sulle app in ambito medico cui partecipa, tra gli altri, il Ministero dello sviluppo economico, l'Istituto superiore di sanità, l'AgID, l'Aifa e l'Università Tor Vergata. Particolare attenzione sarà data all'aspetto dell'informativa e all'acquisizione del relativo consenso.

Nel settore della sanità elettronica, per garantire maggiori tutele per i dati dei pazienti il Garante ha adottato leLinee guida sul dossier sanitario. E sempre in ambito sanitario ha dato indicazioni sui registri di patologia, sullo screening neonatale, sulle misure di sicurezza per il nuovo sistema informativo centralizzato.

Sul Fascicolo sanitario elettronico si precisa poi che è stato adottato il primo dei decreti attuativi in cui sono stati definiti i contenuti del Fse, le responsabilità e i compiti dei soggetti coinvolti, le garanzie e le misure di sicurezza da adottare nel trattamento dei dati personali, le modalità e i livelli diversificati di accesso in relazione alle specifiche finalità, i criteri di interoperabilità, nonché i contenuti informativi e le codifiche del profilo sanitario sintetico e del referto di laboratorio, individuati quali primi contenuti da attivare a livello nazionale.

L'accesso al dossier sarà consentito solo al personale sanitario coinvolto nella cura. Ogni accesso e ogni operazione effettuata, anche la semplice consultazione, saranno tracciati e registrati automaticamente in appositi file di log che la struttura dovrà conservare per almeno 24 mesi. Eventuali violazioni di dati o incidenti informatici dovranno essere comunicati all'Autorità, entro quarantotto ore dalla conoscenza del fatto, attraverso un modulo predisposto dal Garante all'indirizzo: databreach.dossier@pec.gpdp.it.

Per quel che concernei referti e la documentazione sanitaria risulta un incremento delle segnalazioni relative alla consegna di documentazione sanitaria a soggetti diversi dall'interessato sprovvisti di delega. In molti dei casi esaminati la consegna di referti, lettere di dimissione ospedaliera o cartelle cliniche è avvenuta per errore umano dettato dal mancato rispetto delle disposizioni dettate dalla struttura sanitaria in occasione del ritiro della documentazione medica.

A proposito di tutela della dignità della persona anche nel 2015 l'Autorità ha prestato particolare attenzione riguardo al trattamento dei dati personali delle donne che decidono di partorire in anonimato con specifico riferimento alla tutela della loro dignità e riservatezza (art. 30, comma 1, d.P.R. n. 396/2000). Sono pervenute, infatti, molte richieste di chiarimenti e alcune segnalazioni in merito al trattamento dei dati personali delle madri che al momento del parto si sono avvalse del diritto di non essere nominate, con particolare riferimento agli effetti della sentenza della Corte costituzionale del 18 novembre 2013, n. 278 sul quadro normativo vigente. Più precisamente, è stato segnalato che talune agenzie di servizi, presumendo l'immediata esecutività della suddetta sentenza, hanno avviato iniziative commerciali per la ricerca delle origini biologiche dei figli nati da donne che si sono avvalse del diritto di partorire in anonimato.

In materia si evidenzia che il Garante ha già inviato una lettera al Presidente della Commissione giustizia della Camera dei deputati in merito alle proposte di legge in materia di anonimato materno, con particolare riferimento alle disposizioni in materia di accesso del figlio adottato non riconosciuto alla nascita, alle informazioni sulle proprie origini e sulla propria identità (segnalazione del 25 settembre 2014). Solo un organico intervento del legislatore può assicurare che il diritto dei figli a conoscere le proprie origini biologiche non vada a completo detrimento della riservatezza delle donne. Con specifico riferimento alle segnalazioni pervenute in ordine al mancato rispetto delle misure poste a tutela della riservatezza e della dignità della persona nell'erogazione della prestazione sanitaria e nello svolgimento delle attività amministrativa.

Merita poi particolare attenzione l'attività svolta con riferimento alla diffusione di immagini ed informazioni relative all'anamnesi e alla diagnosi dei pazienti di un pronto soccorso pubblicate da un medico ivi operante sul social network Twitter.

Le immagini pubblicate, sebbene lesive della dignità umana, non sono risultate riferibili a persone identificate o identificabile; i fatti sono stati comunque denunciati alla Procura della Repubblica.

Sul trattamento di dati personali concernente l'accertamento dell'infezione da HIV sono pervenute segnalazioni in merito al mancato rispetto delle misure a tutela della dignità e della riservatezza dei malati di HIV in occasione dell'erogazione di prestazioni sanitarie. Al riguardo l'Ufficio ha ricordato che la l. 5 giugno 1990, n. 135 "Programma di interventi urgenti per la prevenzione e la lotta contro l'Aids", ha previsto specifiche disposizioni per la protezione del contagio professionale da HIV nelle strutture sanitarie ed assistenziali pubbliche e private, che sono state attuate con il d.m. 28 settembre 1990.

In ragione della complessità della materia e delle implicazioni riguardanti il trattamento dei dati sanitari degli assistiti e, in misura minore, di quelli giudiziari, l'intervento dell'Autorità, ha consentito, tra l'altro, di estendere (a regime) al flusso informativo delle Sdo le cautele relative all'utilizzo di un codice univoco nazionale dell'assistito, previste dallo schema di regolamento sull'interconnessione dei sistemi informativi nell'ambito del Nsis.

Il Garante ha poi evidenziato già nel discorso di presentazione della Relazione che le sanzioni amministrative riscosse ammontano a circa 3 milioni e 500 mila euro.

A cura di: Monica Gobbato, Avvocato digitale. Docente e consulente di privacy e diritto dell'informatica @MonicaGobbato