Ricette mediche, medico sanzionato per violazione della privacy: il caso

Privacy delle ricette mediche: la normativa violata

I dati personali vanno maneggiati con cura, a norma dell’art. 5 del GDPR, nel rispetto dei seguenti principi:

1. Il principio di liceità, correttezza e trasparenza impone il trattamento dei dati in modo lecito, corretto e trasparente nei confronti dell'interessato,
2. Il principio di limitazione della finalità richiede che i dati siano raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità,
3. Il principio di minimizzazione dei dati vuole che i dati raccolti siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati,
4. Il principio di esattezza richiede che i dati raccolti siano esatti e, se necessario, aggiornati, e che siano adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati,
5. Il principio della limitazione della conservazione richiede che i dati siano conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, fatta salva l'attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell'interessato,
6. Il principio di integrità e riservatezza richiede che i dati siano trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali,
7. Il principio di responsabilizzazione fa sì che il rispetto di tutti i principi sopra elencati gravi esclusivamente sul titolare del trattamento dei dati personali, che nel nostro caso è il dottor A.

Com’è noto, a norma dell’art. 9 del GDPR il trattamento dei dati sanitari è – in linea di principio – vietato, e la loro divulgazione può avvenire solo ed esclusivamente in presenza del consenso esplicito del paziente o nell’ipotesi di sussistenza di motivi di interesse pubblico alla loro divulgazione.

In virtù dell’art. 32 del GDPR, il titolare del trattamento dei dati personali deve attuare tutte le misure tecniche e organizzative adeguate a garantire un livello di sicurezza alto, adeguato comunque al rischio di dispersione/smarrimento/lettura da parte di terzi dei dati personali; tra le misure suggerite dalla norma, ricordiamo:

1. la pseudonimizzazione e la cifratura dei dati personali;
2. la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
3. la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico;
4. una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.

Applicando i suddetti principi al caso di specie, è evidente che il dottor A., inserendo alla rinfusa le ricette mediche dei suoi pazienti – specialistiche e generiche – all’interno di una cassettina con la chiave inserita, collocata fuori dallo studio alla mercè di chiunque, non sia un comportamento diligente e volto alla tutela della riservatezza dei dati personali dei propri pazienti.

Pur sembrando un comodo e innocente sistema di gestione della consegna delle ricette, infatti, il dottor A. ha commesso plurime violazioni della normativa in materia di privacy, poiché:

-             Le ricette venivano collocate all’interno della cassetta tutte insieme, senza busta chiusa, perciò, qualunque paziente poteva leggere le prescrizioni degli altri,

-             Le ricette sono lasciate in un luogo aperto a un vasto pubblico, accessibili a chicchessia grazie alla chiave di apertura della cassetta lasciata sempre nella serratura.

Le ricette mediche, generiche o specialistiche, contengono numerose informazioni sulla salute dei pazienti: farmaci e patologie, infatti, sono facilmente riconducibili all’intestatario della ricetta, con grave nocumento per la sua riservatezza in materia di salute.

In Italia la gestione delle ricette è da sempre “allegra”, tant’è che il Garante Privacy si è dovuto esprimere più volte in materia, evidenziando ad esempio che “le ricette mediche possono essere lasciate presso le farmacie e gli studi medici per il ritiro da parte dei pazienti, purché siano messe in busta chiusa. Lasciare ricette e certificati alla portata di chiunque o perfino incustodite, in vaschette poste sui banconi delle farmacie o sulle scrivanie degli studi medici, viola la privacy dei pazienti”.

Il Garante, inoltre, ha rilevato già in passato che “le procedure, in vigore già da tempo, consentono ai medici di lasciare ai pazienti ricette e i certificati presso le sale d’attesa dei propri studi o presso le farmacie, senza doverglieli necessariamente consegnare di persona. Per impedire la conoscibilità da parte di estranei di dati delicati, come quelli sanitari, è però indispensabile che ricette e certificati vengano consegnati in busta chiusa. La busta chiusa è tanto più necessaria nel caso in cui non sia il paziente a ritirare i documenti, ma una persona da questi appositamente delegata”.

A ciò si aggiunga che dopo il COVID sono state prorogate le norme che consentono, sino al 31 dicembre 2024, di inviare la ricetta elettronica al paziente tramite e-mail, così evitando che si creino assembramenti in studio solo per il ritiro del promemoria cartaceo della ricetta elettronica e che terzi estranei possano venire a conoscenza dei dati dei pazienti (a meno che il medico non sbagli l’e-mail del destinatario e invii la ricetta a un altro soggetto).

Gli operatori sanitari, teoricamente, dovrebbero formarsi in materia di gestione dei dati sanitari e conoscere i principali orientamenti del Garante sul tema; tuttavia, spesso non è così, e le ordinanze ingiunzione emesse dall’Autorità ce lo ricordano.