Un data protection officer (Dpo) negli organismi sanitari: è la figura professionale consigliata dal garante della privacy per la gestione del dossier sanitario e di tutti gli adempimenti imposti dalle Linee Guida, approvate con la deliberazione n. 331 del 4 giugno 2015. Viene introdotto anche l’obbligo a carico delle strutture sanitarie di segnalare al garante stesso eventuali attacchi ai data base e si prescrive la necessità di un consenso ad hoc per questo trattamento.
Ma vediamo di illustrare i contenuti del provvedimento, che riguarda le strutture sanitarie sia pubbliche sia private
Per prima cosa va evidenziato che cosa è il dossier elettronico, da tenere distinto dalla cartella clinica e dal Fascicolo sanitario elettronico (FSE). Il dossier sanitario elettronico è lo strumento costituito presso un’unica struttura sanitaria (un ospedale, un’azienda sanitaria, una casa di cura), che raccoglie informazioni sulla salute di un paziente al fine di documentarne la storia clinica presso quella singola struttura. Si differenzia dal fascicolo sanitario elettronico in cui invece confluisce l’intera storia clinica di una persona generata da più strutture sanitarie. Il dossier è diverso anche dalla cartella clinica, che è finalizzata a rilevare tutte le informazioni su un paziente e relative a un singolo episodio di ricovero.
La prima prescrizione concerne il consenso del paziente: all’interessato è consentito di scegliere se far costituire o meno il dossier sanitario. Il consenso al dossier, anche se manifestato unitamente a quello previsto per il trattamento dei dati a fini di cura, deve essere autonomo e specifico.
Se il paziente non acconsente ad aprire il dossier sanitario, il professionista che lo prende in cura avrà a disposizione solo le informazioni rese in quel momento dallo stesso interessato (in sostanza anamnesi e documentazione diagnostica consegnata) e quelle relative alle precedenti prestazioni erogate dallo stesso professionista. Anche il personale sanitario di reparto/ambulatorio, in mancanza di dossier, avrà accesso solo alle informazioni relative all’episodio per il quale l’interessato si è rivolto presso quella struttura e alle altre informazioni relative alle eventuali prestazioni sanitarie erogate in passato da quel reparto/ambulatorio. Il consenso è necessario anche per l’inserimento delle informazioni relative a eventi sanitari pregressi e il paziente può anche scegliere che le informazioni sanitarie pregresse non siano trattate mediante il dossier. La mancanza del consenso non deve, però, incidere minimamente sulla possibilità di accedere alle cure richieste.
Per poter inserire nel dossier informazioni particolarmente delicate sarà necessario un consenso specifico: si tratta, in particolare, dei dati relativi ad atti di violenza sessuale o di pedofilia, all’infezioni da HIV o all’uso di sostanze stupefacenti, di sostanze psicotrope e di alcool, interventi di interruzione volontaria della gravidanza o parti in anonimato e i servizi offerti dai consultori familiari. In tali casi, l’interessato può richiedere che tali informazioni siano consultabili solo da parte di alcuni soggetti dallo stesso individuati (per esempio, solo dallo specialista presso cui è in cura), fermo restando la possibilità che agli stessi possano sempre accedere i professionisti che li hanno elaborati.
La struttura sanitaria, inoltre, dovrà garantire al paziente l’esercizio dei diritti riconosciuti dal Codice privacy (accesso ai dati, integrazione, rettifica e la conoscenza del reparto, della data e dell’orario in cui è avvenuta la consultazione del suo dossier). Al paziente dovrà essere garantita anche la possibilità di oscurare alcuni dati o documenti sanitari che non intende far confluire nel dossier. Per questo la struttura sanitaria deve avvisare che i dati potrebbero non essere completi, in quanto l’interessato potrebbe aver esercitato il diritto di oscuramento. I dati oscurati restano comunque disponibili al professionista sanitario o alla struttura interna al titolare che li ha raccolti o elaborati (per esempio, referto accessibile tramite dossier da parte del professionista, che lo ha redatto, cartella clinica accessibile da parte del reparto di ricovero).
L’accesso al dossier sarà consentito solo al personale sanitario coinvolto nella cura. Ogni accesso e ogni operazione effettuata, anche la semplice consultazione, saranno tracciati e registrati automaticamente in appositi file di log che la struttura dovrà conservare per almeno 24 mesi. Sono esclusi periti, compagnie di assicurazione, datori di lavoro, associazioni o organizzazioni scientifiche, organismi amministrativi anche operanti in ambito sanitario, e anche il personale medico nell’esercizio di attività medico-legale (per esempio visite per l’accertamento dell’idoneità lavorativa o per il rilascio di certificazioni necessarie al conferimento di permessi o abilitazioni).
Per la gestione del dossier il garante auspica la nomina di un Data Protection Officer, anticipando per il settore sanità una norma del futuro regolamento europeo sulla privacy.
Eventuali violazioni di dati o incidenti informatici dovranno essere comunicati al garante, entro 48 ore dalla conoscenza del fatto, attraverso un modulo reperibile all’indirizzo databreach.dossier@pec.gpdp.it.