La normativa corrente sulla privacy alla luce del decreto attuativo al GDPR 679/2016

Il testo del decreto attuativo al GDPR 679/2016 recepisce la nuova regolamentazione in materia di tutela dei dati personali (General Data Protection Regulation 679/2016) stabilite dal regolamento europeo e già in vigore in Italia, con relative sanzioni, dal 25 maggio 2018 per cui gli studi medici devono aver già adeguato le misure di sicurezza dei dati (gestionale, armadi, distanze di cortesia, server, serrature ecc.), rivisto le informative e il registro dei consensi completato con i dati di titolare e incaricati.

Il decreto attuativo, in Gazzetta Ufficiale dal 4 settembre ed in vigore dal 19 settembre 2018, concilia, come stabilito da un’apposita commissione individuata a margine del Consiglio dei Ministri dell’8 agosto scorso, le norme stabilite in ambito europeo con il preesistente codice della privacy del 2003 modificandolo e lasciandolo in vigore “facendo salvi, per un periodo transitorio, i provvedimenti del Garante e le autorizzazioni, che saranno oggetto di successivo riesame, nonché i Codici deontologici vigenti”.

Il Garante è l’Autorità di controllo per le questioni di privacy incaricata di promuovere ulteriori regole deontologiche per il trattamento di dati sanitari e biometrici.

Molte le semplificazioni attuali in attesa di ulteriori misure che potranno ancora essere integrate dal Garante per la Privacy.

Nessun obbligo “formale” di consenso
In ambito sanitario la novità consiste nella possibilità, rispetto al vecchio Dpr 196/2003, di trattare senza bisogno di consenso dell’interessato tutti i casi di diagnosi e cura (cioè non deve più essere necessariamente documentato per iscritto), tuttavia ne rimane consigliabile l’acquisizione scritta dato che è precisato che deve essere “esplicito” ed “inequivocabile”, e anche per superare, ad esempio divieti di raccolta di dati particolarmente sensibili come la razza, l’etnia, le abitudini sessuali ecc. di cui potrebbe essere necessario tener conto per motivi epidemiologici e di cura.

Sono dunque confermate (articolo 2-sexies) come esenti da obbligo di consenso al trattamento, le attività sanitarie inclusi trapianti d’organo e tessuti e trasfusioni di sangue umano; le funzioni del SSN; le attività di igiene e sicurezza sul lavoro; quelle di protezione civile, programmazione, gestione, controllo e valutazione sanitaria (inclusa la sorveglianza sulla spesa); la vigilanza su sperimentazioni; la farmacovigilanza, l’autorizzazione all’immissione in commercio e all’importazione di medicinali e dispositivi medici; la tutela sociale della maternità ed IVG, dipendenze, assistenza e integrazione sociale, diritti dei disabili.

Ciò che non è consentito
Non è consentito l’utilizzo ed il trattamento dei dati genetici e di spesa senza consenso al di fuori delle motivazioni sopra citate e comunque se non in conformità a misure di garanzia disposte dal Garante (con cadenza biennale).

Le garanzie
Tali garanzie, adottate su parere del Ministero della salute e del Consiglio superiore di Sanità, includono cifratura, “pseudonimizzazione” dei dati e accesso selettivo e riguardano anche i gestionali in ambito sanitario, le modalità di comunicazione ai pazienti dei dati di diagnosi e di salute e le prescrizioni di farmaci. In caso di trattamenti ad alto rischio può essere previsto il ripristino della richiesta di consenso.

Nessuna pratica obbligatoria specifica
Non esistono attività specifiche o comportamenti da mettere assolutamente in pratica. Il GDPR, infatti, pone particolarmente in evidenza il concetto di “responsabilizzazione” (accountability) e definisce i risultati da raggiungere per quanto riguarda la sicurezza, non i mezzi per raggiungerli. Altro aspetto importante da considerare è accertarsi che le informazioni da proteggere siano state acquisite legittimamente e siano utilizzate in modo appropriato.
Non necessita, dunque, l’acquisto di particolari prodotti o consulenze che soddisfino formalismi non richiesti: è richiesto invece, anche se non in maniera formale ma necessariamente sostanziale, un approccio attivo e responsabile alla privacy e l’applicazione di comportamenti per il rispetto della sicurezza dei dati ovunque siano presenti informazioni personali. Bisogna creare il giusto equilibrio tra processi, formazione e dotazioni tecnologiche e rendicontare quanto fatto in materia di sicurezza (capacità di dimostrare il percorso fatto). Infatti, ad esempio, potrebbe essere redatto un di Registro dei Trattamenti dei Dati come previsto dall’art. 30 del Regolamento Europeo, cioè uno strumento utile per dimostrare le tipologie di trattamenti che vengono svolti dallo studio e che coinvolgono i dati personali degli interessati. Il Registro è uno strumento da rendere disponibile per eventuali supervisioni ma anche per avere un quadro aggiornato delle misure adottate e per la conservazione dei consensi (a piè di pagina) del personale o degli attori vari che siano coinvolti nel trattamento dei dati. Così come per la ricerca è richiesto un Documento di valutazione di impatto, infatti: “Alla […] sanzione amministrativa (oltre che chi viola le norme, ndr) è soggetto colui che non effettua la valutazione di impatto di cui all’articolo 110, comma 1, primo periodo, ovvero non sottopone il programma di ricerca a consultazione preventiva del Garante a norma del terzo periodo del predetto comma.” (art.166).

Le misure
Le misure pratiche da avviare sono in sostanza di tipo informatico (firewall, proxy, sistemi operativi aggiornati, antivirus, backup), di tipo fisico (studio medico, stanza del server e archivio chiuso a chiave) e di tipo organizzativo (documento programmatico – Registro dei Trattamenti dei Dati – sulle modalità di custodia delle password, sulle modalità e sulle sedi di raccolta dei dati, sulle procedure per rispondere alle richieste d’accesso; esposizione al pubblico di un’INFORMATIVA chiara, semplice e comprensibile, dove siano indicate le finalità, i riferimenti giuridici del trattamento, il periodo di conservazione dei dati – indeterminato nel rapporto di cura – e i diritti dell’interessato; atti di nomina dei responsabili e degli addetti al trattamento dei dati).

Diffusione e Comunicazione
I divieti
Per quanto riguarda i divieti in sanità, il decreto distingue tra “diffusione” di dati a terzi generici, vietata in sanità e “comunicazione” di dati rivolta a terzi diversi dall’interessato, possibile con le dovute cautele e accorgimenti, sono infatti individuati i presupposti e i procedimenti per i trattamenti effettuati per fini statistici o di ricerca scientifica, biomedica o sanitaria (non è necessario il consenso quando la ricerca è effettuata in base a disposizioni di legge e rientra in un programma previsto ai sensi dell’articolo 12-bis del decreto legislativo 30 dicembre 1992, n. 502 ed attuando specifiche misure di sicurezza e garanzia).

Il documento sulla valutazione di impatto (DPIA)
Qualora si decida di avviare un’attività del tutto nuova in studio (videosorveglianza, profilazione della clientela per motivi non destinati a percorsi di diagnosi e cura, ad es. promozionali) o si scelga un nuovo gestionale, si deve stilare il documento sulla valutazione di impatto (DPIA, non obbligatoria nella forma ma nella sostanza) che parte da una valutazione del rischio per questo singolo progetto e ripercorre le misure di sicurezza che si ritiene idoneo adottare. In alcuni casi di rischio elevato si può chiedere anche una consultazione al Garante.

I pazienti deceduti
I dati riguardanti i pazienti deceduti (Articolo 2 terdecies – Diritti riguardanti le persone decedute) possono essere utilizzati, qualora l’interessato non lo abbia vietato con dichiarazione scritta, da chi ha un interesse proprio o a tutela dell’interessato, o per ragioni familiari meritevoli di protezione. In quest’ultimo caso, il divieto non può pregiudicare i diritti degli eredi o di titolari di interessi da difendere in un eventuale giudizio.

Infatti Il decesso dell’assistito che non esime il medico dal dovere di tutelarne la riservatezza, pone gli eredi del defunto come subentranti in tutti i diritti del deceduto, per cui nei confronti di costoro il medico non può opporre il segreto. Se, per esempio, il paziente aveva una polizza assicurativa sulla vita, una volta deceduto i dati sanitari di costui possono essere comunicati agli eredi e anche alla compagnia di assicurazione, visto che nel contratto assicurativo il paziente aveva autorizzato la compagnia ad accedere a tali atti al momento della sua morte.

Informatizzazione dei dati
Nel trattamento dei dati informatizzati, ad alto rischio di hackeraggio, il Garante può imporre d’ufficio, al titolare, misure specifiche a garanzia dell’interessato.

Trattamento dei dati dei minori
Il trattamento dei dati personali del minore di età inferiore a quattordici anni (art. 6, 1a) è lecito a condizione che sia prestato dai genitori. Non c’è alcuna differenza se i genitori sono sposati, separati, divorziati o non coniugati ma riconosciuti legalmente.
Entrambi i genitori, indipendentemente dal loro status giuridico, hanno il dovere di tutelare la salute dei propri figli, per cui hanno il diritto-dovere di essere informati sullo stato di salute dei figli e il medico deve portare a loro conoscenza i dati sanitari di cui dispone, o disgiuntamente o congiuntamente. E’ responsabilità dei genitori (e non del medico) relazionarsi fra loro.

 

Partendo dalla considerazione che I DATI PERSONALI in ambito sanitario sono distinguibili in DATI PERSONALI COMUNI (identificativi) distinti in DIRETTI (ovvero i dati anagrafici come nome e cognome, data di nascita, le immagini ecc.)  e in INDIRETTI (il codice fiscale, l’indirizzo IP, il numero di targa, di telefono, la mail ecc.) e DATI PERSONALI SENSIBILI, (dati riguardanti la salute dell’utente e inoltre DATI circa l’etnia, le convinzioni religiose filosofiche e politiche, sfera sessuale ecc.), le figure significative responsabili del trattamento dei dati sanitari diretti ed indiretti sono:

  • Il titolare ed i contitolari (che hanno accesso a tutti i dati)

Il medico di Medicina Generale e il Pediatra di libera scelta in convenzione sono Titolari del Trattamento dei DATI SANITARI.

Qualora più medici (titolari) o più studi professionali siano accomunati nel trattamento dei dati riguardanti la salute del paziente, anche se specializzati in ambiti diversi (ad es. medici di medicina di gruppo, AFT, UCCP o anche medici che semplicemente occupano gli stessi spazi, lo studio o gli ambulatori con altri colleghi, magari con segreteria e servizi condivisi e un unico gestionale, PC, cartelle o archivi), questi medici sono “contitolari” ed il loro rapporto deve, opportunamente e non obbligatoriamente, essere normato da un contratto che individui le specifiche responsabilità.

  • Ildata processor

È un responsabile esterno (il personale di segreteria, il commercialista che riceva le fatture con informazioni dei pazienti, l’avvocato o il consulente informatico o una cooperativa che gestisca per il medico la segreteria, degli ambulatori medici, delle AFT e delle UCCP) autorizzato all’elaborazione ed al trattamento per lettura e per scrittura dei dati PERSONALI COMUNI e solo parzialmente dei dati sensibili (ad es. fatture per certificati di invalidità, di salute, porto d’armi ecc.) per conto del titolare. Il ruolo deve essere ufficializzato attraverso un atto di nomina (modelli a piè di pagina) che stabilisca I compiti, le possibilità di manovra, i limiti di applicazione.

  • Il Data Protection officer (DPO) (che ha accesso ai soli dati comuni)

È, invece, una figura professionale completamente nuova per l’Italia, ma già consolidata in Germania e in USA. Si tratta di un professionista con un’elevata conoscenza del diritto, competenze in ambito procedurale dell’azienda (risk e project manager) e conoscenze informatiche. La sua attività deve essere svolta in piena indipendenza e in assenza di conflitto di interessi ed il suo compito è quello di verificare e controllare i buoni comportamenti e le procedure idonee al rispetto della privacy, informare e consigliare il titolare del trattamento sugli obblighi di legge, formare il personale, e fornire pareri sulla valutazione dei rischi. Non può coincidere, in sostanza, con quella del consulente privacy (colui che elabora ed attua le procedure insieme al titolare) altrimenti sarebbe controllato e controllore allo stesso tempo.

Gli studi medici singoli o i piccoli gruppi non sono obbligati ad assumere un DPO ma la sua presenza in ambito sanitario è consigliata, specialmente quando il numero di professionisti che lavorano nella stessa struttura o rete è elevato (AFT, UCCP, Medicine di gruppo integrate). Uno stesso DPO potrebbe gestire un vasto territorio omogeneo o categoria (distretto sanitario, Cooperativa, ecc.).

ATTENZIONE:
Per ogni “violazione dei dati” (“data breach”) ad esempio la visione e la conoscenza di dati dell’utente a non incaricati o il furto, la perdita, l’alterazione, la manipolazione di dati personali sia comuni che sensibili cartacei o informatici, il Titolare dello studio deve notificare il fatto all’Autorità Garante per la privacy entro 72 ore dal momento in cui ne è venuto a conoscenza. Tuttavia non basta notificare il fatto che si è subita una violazione: bisogna anche dichiarare cosa si è fatto per contenere il danno.

È assolutamente indispensabile che il titolare dello studio progetti e rediga, in previsione di fenomeni di violazione, una “procedura di emergenza” (per iscritto) con la quale fronteggiare simili evenienze. Tale procedura di emergenza va predisposta per far fronte al data breach nel modo tecnicamente e organizzativamente più adeguato. Ad esempio si potrebbe stabilire a priori che, in caso di violazione di dati si spenga il server; lo si sposti in un luogo sicuro; si interrompa l’energia elettrica; si spostino i fascicoli in un luogo più sicuro; si allertino i Vigili del Fuoco, ecc.

– I diritti del paziente.
Il paziente diretto interessato ha diritto in ogni momento a sapere quali dati che lo riguardano sono in possesso del medico, ha diritto di verificare che tali dati siano esatti e corretti, ha diritto a chiedere la cancellazione in tutto o in parte dei dati che lo riguardano e ha diritto ad ottenere copia di tutti i dati che lo riguardano o gli originali (rilasciando atto di ricevuta) se lasciati in custodia del medico. Il medico NON può, in nessun caso, opporsi a queste richieste del paziente.

– Diritto alla cancellazione di tutti i dati sanitari di un paziente, il rapporto di cura non può proseguire.
Evidentemente non è possibile proseguire il rapporto dinamico di cura senza la possibilità di conservare ed analizzare, da parte del clinico, i dati sanitari per i fini convenuti.
Nell’informativa il medico fa presente che se il paziente si rifiuta di fornire al medico i dati sanitari necessari per instaurare il rapporto di cura questo non può aver luogo. Allo stesso modo, se il paziente chiede la cancellazione dei suoi dati è come se revocasse il consenso che originariamente aveva dato per cui il medico non può che prenderne atto, accogliere la richiesta del paziente e considerare terminato il rapporto di cura.

– Le richieste di accesso ai dati dai familiari o conoscenti.
L’accesso ai dati è possibile solo se il paziente ha dato il suo consenso. Se è così, allora il medico è autorizzato a fornire i dati sanitari ai familiari o conoscenti individuati dal paziente stesso. Ma se non è così il medico non può rivelare alcunché a nessun soggetto diverso dal diretto interessato.
Per evitare contestazioni, è “opportuno” che il medico si faccia indicare per iscritto chi sono i soggetti a cui acconsente che siano forniti dati e/o informazioni sul suo stato di salute.

– La consegna di documenti sanitari (certificato medico, ricetta ecc.).
La consegna dei documenti sanitari può essere adempiuta anche dal personale di segreteria, ma allora il documento sanitario deve sempre essere chiuso in una busta e spetterà al personale di segreteria identificare il soggetto che ritira la busta: se il diretto interessato o se un delegato. In quest’ultima ipotesi, dovrà acquisire la delega del diretto interessato.

– Le buste chiuse contenenti i documenti sanitari.
Le buste chiuse contenenti i documenti sanitari NON possono essere messe a disposizione dei pazienti per il ritiro, ad esempio in uno scaffale della sala d’attesa dello studio, perché così facendo non si sa chi è il soggetto che ritira la busta e potrebbe anche succedere che il paziente (magari anche in buona fede) ritiri una busta che non è la sua.
Per evitare questi rischi di indebita conoscenza di dati sanitari da parte di terzi non autorizzati, una efficace misura di sicurezza, ad esempio, è inserire le buste in appositi schedari ubicati non nella sala d’attesa dello studio, bensì nello spazio dedicato alla segreteria. In questo modo l’identificazione del soggetto e la consegna della busta è mediata dal personale di segreteria, che deve attenersi alle regole di tutela della privacy sopra descritte.

– I certificati di malattia per i dipendenti ai fini della giustificazione per il lavoro.
I certificati di malattia per pazienti che sono lavoratori dipendenti devono essere redatti prioritariamente con la procedura telematica, nella quale è previsto che l’indicazione della diagnosi sia portata a conoscenza solo dell’INPS ma non del datore di lavoro.
Ma anche per i certificati cartacei vale la stessa regola, e cioè che la diagnosi non deve essere portata a conoscenza del datore di lavoro.
Fanno eccezione solo i lavoratori dipendenti delle Forze Armate, della Polizia di Stato e dei Vigili del Fuoco, perché in questi casi il datore di lavoro (nella veste del medico incaricato del corpo) deve per legge essere a conoscenza del tipo di patologia sofferta dal militare. Ecco perché nei confronti di questi pazienti è tuttora obbligatorio il certificato cartaceo e non quello telematico (doppia copia: una per l’amministrazione senza diagnosi e una per il medico responsabile con diagnosi).

– Attestazioni e certificazioni dettagliate dello stato di salute.
Il medico non può assolutamente rifiutarsi di certificare o attestare stati di malattia per motivi di privacy, utilizzando i dati personali del paziente per presentarle, ad esempio, al datore di lavoro per usufruire di permessi speciali. La decisione se rivelare al datore di lavoro certi dati inerenti lo stato di salute spetta al paziente, non al medico. Quindi se il paziente desidera ottenere dei permessi speciali e vuole giustificare questa richiesta con una certificazione medica dettagliata, il medico deve soddisfare la richiesta del suo assistito, dichiarando i dati sanitari in suo possesso (ovviamente secondo verità). Non è compito del medico sindacare questa decisione del paziente. È, invece, buona pratica segnalare esplicitamente sull’attestazione la provenienza della richiesta dal paziente stesso.

-I certificati di malattia per i bambini che frequentano la scuola.
In caso di malattie infettive o diffusive, il medico è tenuto alla segnalazione, che però deve essere fatta alla ASL e non alla scuola.
La scuola, quindi, non può pretendere alcun certificato di malattia dell’alunno, ma semmai solo un certificato per la riammissione a scuola, una volta superata la malattia.
E’ evidente, quindi, che in questi casi il medico non deve mai indicare alcuna diagnosi nel certificato.

– Certificazioni per i pazienti che non sono né lavoratori dipendenti né studenti.
Allora si tratta di certificati di malattia che il paziente chiede per suoi motivi privati. In questi casi deve essere lo stesso paziente a chiedere al medico se indicare o meno la diagnosi sul certificato, tenendo conto dell’uso che egli ne vorrà fare ed il medico dichiarerà sulla certificazione la richiesta esplicita da parte del paziente.

– Altri tipi di documenti che contengono dati sanitari di pazienti.
Nella pratica medica i documenti sanitari possono assumere moltissime forme: si pensi ai documenti cartacei come le ricette, i certificati, le cartelle cliniche, le perizie, le relazioni e così via. Come sono altrettanti “documenti” anche i cd o le lastre della diagnostica per immagini.
Quello che è importante ricordare è che la tutela della legge riguarda i “dati sanitari” indipendentemente del “supporto” che li ospita. Ma siccome il medico è tenuto a tutelare e proteggere la riservatezza dei dati sanitari, è evidente che i supporti che li contengono devono avere un adeguato sistema di protezione.

– La richiesta di dati e informazioni sanitarie proveniente da un altro soggetto.
In generale vale la regola per cui senza il consenso del diretto interessato, il medico non può comunicare niente a nessuno. Quindi, solo se c’è il consenso del paziente il medico può fornire dati e informazioni sanitarie ad altri soggetti, come ad esempio alla compagnia di assicurazione del paziente, al datore di lavoro del paziente, e così via.

– I casi in cui il medico è autorizzato a comunicare a terzi i dati sanitari del paziente, in assenza del suo consenso.
Tali casi sono previsti da specifiche norme di legge (nazionali o regionali). Per esempio nei casi in cui sussiste obbligo di referto, il medico è tenuto a segnalare all’autorità giudiziaria i dati in suo possesso anche senza il consento del diretto interessato. Oppure per la segnalazione di malattie infettive o diffusive.

– Controllo della spesa sanitaria

I medici convenzionati (medici di famiglia e pediatri) sono tenuti a comunicare i dati degli assistiti alla ASL per motivi di controllo della spesa sanitaria.

– Situazioni in cui il medico può derogare all’obbligo della riservatezza

In particolari casi in cui si renda necessario tutelare la salute di un terzo o della collettività, oppure di un minore, di un soggetto disabile o comunque di un soggetto in situazione di fragilità, per esempio, se il medico ha in cura un paziente psichiatrico e vi è il rischio concreto e attuale che costui possa costituire un pericolo per l’incolumità di terzi o della collettività, è obbligo e dovere del medico segnalare il caso alle competenti autorità (servizi sociali e/o autorità giudiziaria). Oppure se il medico ha in cura un minore e constata che è oggetto di maltrattamenti o abusi, deve segnalare il caso alle medesime autorità. Si tratta di situazioni molto delicate, nelle quali il medico deve agire con la massima prudenza e attenzione, valutando caso per caso. Ma ricordando che il diritto alla privacy del paziente può essere superato se sussistono ragioni in cui prevale la necessità di tutelare interessi più rilevanti.

– Il caso in cui l’autorità giudiziaria chieda di rendere testimonianza o di esibire documenti riguardanti un suo paziente.
Il medico può sempre opporre il segreto professionale e rifiutarsi di rendere testimonianza o di esibire documenti. Tuttavia bisogna ricordare due cose importanti. La prima è che il segreto professionale è teso a proteggere il paziente, per cui potrebbe accadere che l’interesse del paziente sia tutelato in modo migliore rendendo testimonianza, piuttosto che non rendendola. In questi casi il medico, in coscienza, può ritenere opportuno rendere testimonianza perché così facendo rende un servizio migliore al suo assistito, piuttosto che restando in silenzio. La seconda cosa importante da ricordare è che se il medico oppone il segreto professionale, il giudice può comunque decidere che il segreto debba cedere alle superiori esigenze di giustizia e quindi ordinare al medico di deporre. In questi casi il medico non può più rifiutarsi e al contempo è liberato dall’obbligo del segreto, proprio perché vi è un ordine del giudice.

– I tempi della conservazione dei dati dei pazienti.

Per gli studi medici privati, a differenza degli ospedali e delle case di cura, non esiste una norma specifica che stabilisca la durata di conservazione degli atti sanitari. Vale la regola prevista dalla legge sulla privacy, secondo la quale i dati vanno conservati per il tempo necessario al perseguimento della finalità per cui sono stati raccolti. Tradotto nella prassi medica, significa che il medico deve conservare gli atti fin tanto che dura il rapporto di cura.
Tuttavia bisogna ricordare che a norma del Codice Civile, i documenti amministrativi di un lavoratore autonomo devono essere conservati per almeno 10 anni. Per cui, in conclusione, il comportamento corretto del medico consiste nel conservare gli atti dei pazienti per tutta la durata del rapporto di cura e per i 10 anni successivi al termine di esso. Una volta decorso tale termine, gli atti possono essere distrutti, anche se sarebbe preferibile consegnarli ai pazienti diretti interessati, ove possibile. La conservazione degli atti per tutti questi anni può non essere agevole ma è possibile ovviare mediante la conservazione dei dati in forma elettronica, ricordandosi che l’archiviazione con firma digitale ha la stessa validità legale del cartaceo. Per cui se si opta per una archiviazione digitale si può evitare la preoccupazione di reperire spazi idonei a conservare il cartaceo. Il secondo aspetto da considerare è che potrebbero (anche solo come ipotesi teorica) insorgere contestazioni, vertenze o cause fra medico e paziente e se il medico non dispone più della documentazione clinica non ha nemmeno strumenti per dimostrare la correttezza del suo operato. Conservare i documenti, quindi, significa anche conservare le prove della propria correttezza professionale.

– Cessazione dell’attività del medico e conservazione dei dati.
La cessazione dell’attività corrisponde alla cessazione del rapporto di cura. Da quel momento decorre la conservazione per 10 anni.

– “Distanze di cortesia” o sistemi di chiamata numerica nello studio medico.
A differenza delle strutture sanitarie pubbliche o private, che sono locali aperti al pubblico e dove è obbligatorio adottare misure per la riservatezza dei pazienti, negli studi medici privati, che non sono locali aperti al pubblico, non è obbligatorio adottare simili accorgimenti.
Tuttavia il medico (e il personale del suo studio) deve comunque rispettare la riservatezza dei pazienti, per cui vanno evitati tutti i comportamenti che possano essere poco rispettosi della privacy di ognuno. Sta al medico individuare, nel concreto, le modalità più idonee.

– Comunicazione dei dati sanitari dei pazienti a mezzo telefono.
Per i colloqui telefonici vale la stessa regola prevista per i colloqui di persona.
Quindi al diretto interessato si può comunicare ogni informazione sanitaria, sia di persona che per telefono.
Ai soggetti terzi, anche se familiari, la comunicazione (di persona o per telefono) è possibile solo con il consenso del diretto interessato.

– Completezza dell’informazione.
Il paziente ha diritto di sapere tutto sul suo stato di salute, senza nessun limite. Ovviamente, siccome il medico non è un burocrate, ma un professionista, deve aver cura di fornire le informazioni, soprattutto quando riguardano patologie serie, nel modo più consono ed appropriato, tenendo conto della personalità del paziente e rispettando la sua sensibilità.
Per il MMG non è obbligatorio il “corso di aggiornamento” del medico e del personale.
In proposito vale il principio sancito dal Codice Deontologico: le informazioni riguardanti prognosi gravi o infauste o tali da poter procurare preoccupazione e sofferenza alla persona, devono essere fornite con prudenza, usando terminologie non traumatizzanti e senza escludere elementi di speranza. La documentata volontà della persona assistita di non essere informata o di delegare ad altro soggetto l’informazione deve essere rispettata.

– Le sanzioni:

Il tipo di sanzione e l’importo pecuniario, è stabilito dall’Autorità (Garante) avendo considerato vari criteri:

– la natura, la gravità (più violazioni in un singolo contesto, o separate violazioni) e la durata della violazione (quindi se il titolare si è attivato tempestivamente) tenendo in considerazione la natura, l’oggetto o a finalità del trattamento in questione nonché il numero di interessati lesi dal danno (in relazione agli abitanti del paese) e il livello del danno da essi subito (in caso di violazioni minori, con rischio non significativo per gli interessati, l’autorità può procedere con un semplice avvertimento); ;
– il carattere doloso o colposo della violazione (una violazione intenzionale verrà considerata più grave);
– se la violazione ha portato un profitto al titolare;
– le misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno subito dagli interessati;
– il grado di responsabilità del titolare del trattamento o del responsabile del trattamento tenendo conto delle misure tecniche e organizzative (obbligo di riservatezza, integrità e disponibilità dei dati)da essi messe in atto;
– eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento o dal responsabile del trattamento;
– il grado di cooperazione con l’autorità di controllo al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi;
– le categorie di dati personali interessate dalla violazione;
– la maniera in cui l’autorità di controllo ha preso conoscenza della violazione, in particolare se e in che misura il titolare del trattamento o il responsabile del trattamento ha notificato la violazione;
– qualora siano stati precedentemente disposti provvedimenti nei confronti del titolare del trattamento o del responsabile del trattamento in questione relativamente allo stesso oggetto, il rispetto di tali provvedimenti;
– l’adesione ai codici di condotta o ai meccanismi di certificazione.

Sanzioni amministrative
In base all’articolo 83, le autorità di controllo nazionali (Garante) provvedono al comminare le sanzioni amministrative in maniera che siano effettive, proporzionate e dissuasive. In base al principio di coerenza (indicato dal Comitato europeo per la protezione dei dati che uniforma l’interpretazione e applicazione del Regolamento in tutti i Paesi dell’Unione, e fa si che un titolare del trattamento non debba negoziare con tutte le autorità di controllo dell’Unione), ed equivalenza tra i vari Stati. Nella peggiore delle ipotesi possono arrivare al 4% del fatturato globale in caso di violazioni gravi.

Sanzioni penali
Il legislatore italiano, col decreto di adeguamento del Codice Privacy, ha sostanzialmente confermato le fattispecie penali previste dal Codice, introducendo la previsione del danno come elemento caratterizzante in alternativa allo scopo di profitto. Quindi non si terrà contro del solo profitto economico dell’autore dell’illecito ma anche del danno arrecato agli interessati, compreso il danno d’immagine e reputazionale della vittima, in tal modo coprendo le fattispecie di revenge porn o, in sanità, l’integrità dell’immagine di salute.

I resti previsti dal Codice sono:
• il trattamento illecito dei dati,
• la comunicazione e la diffusione illecita di dati personali oggetto di trattamento su larga scala,
• l’acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala,
• la falsità nelle dichiarazioni al garante,
• l’interruzione dell’esecuzione di compiti e poteri del garante,
• l’inosservanza dei provvedimenti del garante.

L’art. 167 del Codice stabilisce che: “Quando per lo stesso fatto è applicata a norma del presente codice o del Regolamento a carico dell’imputato o dell’ente una sanzione amministrativa pecuniaria dal Garante e questa è stata riscossa, la pena è diminuita”. La norma, però, appare del tutto indeterminata rispetto ai criteri per stabilire la diminuzione. Inoltre, i reati previsti dall’art. 167 bis e 167 ter del Codice hanno come elemento caratterizzate il trattamento su larga scala, concetto già introdotto dal regolamento e sostanziato dai pareri del Working Party art. 29 (oggi European Data Protection Board). L’attuazione della norma penale potrebbe creare problemi di tassatività essendo il concetto estraneo alla normativa criminale.

-Consigli “finali” e considerazioni.
Come già detto in precedenza, i medici sono i professionisti che più di tutti, per tradizione millenaria, hanno nel loro patrimonio etico e deontologico la tutela del segreto professionale e della riservatezza dei pazienti che hanno in cura.
Questo valore deve essere mantenuto vivo e operante perché è alla base del rapporto fiduciario, in quanto nessun paziente riporrebbe la sua fiducia in un medico che divulgasse disordinatamente e a chiunque le informazioni che ha acquisito.
Proseguendo, quindi, in questo “binario” etico e deontologico, il medico troverà sempre il modo per affrontare le varie e disparate situazioni in cui si trova ad operare, fondando il suo agire sulla propria coscienza, sensibilità e accortezza.

Sentiti ringraziamenti all’OMCeO Firenze da cui è stata tratto liberamente spunto per questa guida.

ATTENZIONE: Un interessante software per l’automatizzazione e la messa in pratica di tutte le procedure per il rispetto della privacy secondo il  GDPR 679/2016 recepito dal Decreto attuativo 10/08/2018 è stato messo gentilmente a disposizione, a titolo gratuito, dal sig. Oricchio Gennaro ed è reperibile QUI

Leggi anche: 

Chiarimenti applicazione GDPR in ambito sanitario, provvedimento del 7 marzo 2019

Allegati:

Lascia un commento