La gestione dei dati personali dei pazienti rappresenta una componente cruciale nell'ambito sanitario, e richiede una profonda comprensione del concetto di dato personale. In una prospettiva semplice, un dato personale si configura come qualsiasi informazione relativa a una persona fisica identificata o identificabile. Questa definizione abbraccia elementi quali il nome, il codice fiscale, l'indirizzo, e persino l'indirizzo IP, poiché tutti questi dati possono essere utilizzati per identificare in modo univoco un individuo.
Il Regolamento Europeo sulla Protezione dei Dati (GDPR) ha identificato specifiche categorie di dati personali che richiedono un trattamento particolare. Tra queste rientrano dati sensibili quali quelli razziali o etnici, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, i dati genetici e biometrici, i dati relativi alla salute e quelli sulla vita sessuale o sull'orientamento sessuale. In un contesto sanitario, è di fondamentale importanza comprendere che per queste categorie speciali di dati è applicato un trattamento distintivo.
Il GDPR ha cercato di delineare definizioni specifiche per alcuni di questi dati: i dati genetici si riferiscono alle caratteristiche genetiche di una persona, ottenute da analisi di campioni biologici; i dati biometrici sono quelli ottenuti da caratteristiche fisiche, fisiologiche o comportamentali che consentono l'identificazione univoca, come l'immagine del volto o l'impronta digitale; i dati sulla salute riguardano la salute fisica o mentale di una persona, inclusi i servizi di assistenza sanitaria e le informazioni sullo stato di salute.
Il principio guida sotteso a questi dati "particolari" stabilisce che, in linea generale, il loro trattamento è vietato, salvo alcune eccezioni. Nel contesto della salute, due elementi chiave emergono come possibili basi per il trattamento di tali dati delicati:
- il consenso esplicito del paziente,
- i motivi di interesse pubblico rilevante.
Questi criteri sono fondamentali per garantire che, mentre si gestiscono in modo appropriato le informazioni sensibili dei pazienti, si preservi al contempo il rispetto della loro privacy e dei diritti stabiliti dalle normative sulla protezione dei dati. La coniugazione di una pratica medica efficace con la massima tutela della privacy costituisce un pilastro essenziale nell'era digitale e normativa in cui si colloca l'attività sanitaria contemporanea.
Il trattamento di dati relativi alla salute, genetici, biometrici, sulla vita sessuale e sull’orientamento sessuale dei pazienti, in ambito farmaceutico, è la quotidianità: per questo motivo bisogna essere ben consapevoli della loro importanza e delle misure da adottare per proteggerli, onde evitare di incorrere nelle pesantissime sanzioni del Garante Privacy.
I principi da rispettare
La farmacia, nel curare il trattamento dei dati personali dei propri clienti, deve attenersi scrupolosamente ai principi generali stabiliti dal GDPR:
- Liceità, correttezza e trasparenza - i dati devono essere trattati in modo legale, corretto e trasparente nei confronti del cliente;
- limitazione della finalità - i dati devono essere raccolti solo per scopi specifici, legittimi e successivamente trattati in modo coerente con tali scopi;
- minimizzazione dei dati - i dati raccolti devono essere adeguati, pertinenti e limitati a quanto necessario rispetto agli scopi del trattamento;
- esattezza - dati devono essere accurati e aggiornati o modificati quando necessario, al verificarsi un loro cambiamento;
- limitazione della conservazione - i dati devono essere conservati solo per un periodo limitato, non oltre quanto necessario per gli scopi del trattamento;
- integrità e riservatezza - deve essere garantita la sicurezza dei dati con misure tecniche e organizzative adeguate a prevenire accessi non autorizzati o perdite;
- responsabilizzazione - il titolare del trattamento deve essere in grado di dimostrare la conformità ai suddetti principi.
Come raccogliere i dati in farmacia: le basi giuridiche e l'informativa
Il trattamento dei dati personali in farmacia deve fondarsi su una base giuridica, cioè su una determinata finalità disciplinata dalla legge. La base giuridica principale, per la farmacia, è rappresentata dalla finalità di assistenza o terapia sanitaria (art. 9 comma 2 lettera h GDPR), che non richiede un consenso ulteriore rispetto a quello che il paziente ha già dato per essere curato. Quando, perciò, il paziente si presenta in farmacia per acquistare un farmaco, perciò, il farmacista non dovrà acquisire un consenso per trattare i suoi dati personali.
Per quanto riguarda la ricetta medica, in particolare, il farmacista non ha l'obbligo di acquisire il consenso per trattare i dati ivi indicati, poiché il trattamento dei dati deriva dalla prestazione sanitaria fornita dal medico e viene comunque effettuato per finalità di terapia sanitaria.
Ulteriore base giuridica, all'interno della farmacia, è rappresentata dal consenso che il cliente/paziente potrà rilasciare (in maniera libera, informata ed espressa) per determinate attività, come ad esempio per il noleggio dell'apparecchiatura per la misurazione della pressione, per elaborare una scheda sanitaria personalizzata o per compilare la fattura.
Molte farmacie utilizzano il sistema della carta fedeltà per premiare i propri clienti con una raccolta punti o con sconti dedicati, approfittando per informarli periodicamente tramite e-mail o messaggistica istantanea sulle novità disponibili in farmacia: per questo tipo di trattamento il cliente deve fornire un consenso scritto previa lettura e consegna dell'informativa sui dati personali, anch'essa da sottoscrivere.
Tutte queste basi giuridiche dovranno essere specificamente indicate all'interno dell'informativa privacy affissa in farmacia, resa disponibile su depliant liberamente consultabili dai clienti/pazienti e consegnata loro nel caso di sottoscrizione della carta fedeltà.
L'informativa privacy ha un contenuto “obbligato”, costituito da:
- identità e contatti del titolare del trattamento dei dati e del responsabile della protezione dei dati (se presente);
- scopi del trattamento, base giuridica e, se applicabile, legittimi interessi;
- destinatari dei dati personali;
- informazioni sulla trasmissione dei dati a paesi terzi o organizzazioni internazionali;
- periodo di conservazione dei dati;
- diritti dell'interessato, inclusi il diritto di accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso e il diritto di proporre reclamo all'autorità di controllo;
- esistenza di un processo decisionale automatizzato, inclusa la profilazione.
L'informativa deve essere facilmente accessibile e comprensibile, perciò è opportuno evitare i classici muri di testo scritti con carattere piccolissimo, quasi illeggibile. Il consiglio è quello di utilizzare due informative:
- un'informativa estesa, costituita da solo testo;
- un'informativa grafica, realizzata con icone e con schemi esplicativi che rendano facilmente comprensibile al cliente/paziente tutte le informazioni contenute nell'informativa testuale.
L'informazione corretta del cliente sul trattamento dei dati personali, oltre che un obbligo di legge sanzionabile in caso di inadempimento, consente alla farmacia di creare un legame fiduciario con il paziente, che riuscendo – finalmente – a comprendere il messaggio informativo si sentirà messo al centro dell'attenzione.
La sicurezza dei dati in farmacia
Non esistono dei sistemi standardizzati per garantire la sicurezza dei dati personali in farmacia: in base all'articolo 32 del GDPR la farmacia, per garantire la sicurezza dei dati raccolti, deve mettere in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, tenendo conto dello stato dell'arte e dei costi di attuazione, della natura, dell'oggetto, del contesto e delle finalità del trattamento, del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche.
Ogni farmacia, perciò, dovrà effettuare una valutazione preventiva del rischio cui vengono sottoposti i dati dei pazienti, e adottare le soluzioni più adatte al modo in cui vengono conservati questi dati, tenendo conto dell'avanzamento tecnologico (il cosiddetto stato dell'arte) e dei costi di attuazione delle misure di sicurezza, che ovviamente devono essere adeguati al fatturato.
Se i dati vengono custoditi su supporto cartaceo, la farmacia dovrà avere cura di custodirli sottochiave, in modo tale da renderli accessibili solo al titolare e a eventuali collaboratori che siano autorizzati alla loro consultazione; la donna delle pulizie o l'informatore farmaceutico che accedono al “retrobottega”, ad esempio, non devono trovare l'armadio che custodisce i supporti cartacei aperto e poter così vedere o consultare i dati personali dei pazienti.
I dati custoditi su supporto telematico, invece, necessitano anzitutto dell'adozione da parte del titolare della farmacia di misure minime di sicurezza informatica, quali:
- predisposizione di accesso al PC o al supporto esterno (hard disk, NAS, cloud) tramite username e password;
- se necessario, predisporre più account di accesso al PC, in modo che il dipendente che non può consultare i dati personali dei pazienti acceda al sistema operativo con un altro account;
- utilizzo di password forti costituite da combinazioni di lettere, numeri e caratteri speciali;
- cambiare periodicamente le password, almeno ogni tre mesi;
- memorizzare le password su apposite “casseforti” virtuali, evitare di salvarle per la precompilazione e di scriverle sul post it attaccato allo schermo del computer;
- non lasciare il PC acceso e incustodito;
- predisporre periodico backup dei file su più supporti;
- dotare il PC di una rete sicura, nonché di software antivirus e di firewall originali (evitare software gratuiti);
- aggiornare costantemente il sistema operativo e i software in uso su tutti i device;
- cifrare i dati personali tramite sistemi di crittografia.
Queste accortezze minime di sicurezza informatica, oltre che per il PC, devono riguardare tutti i device utilizzati in farmacia e collegati in rete per l'accesso da più postazioni (ad esempio smartphone, tablet).
Il GDPR suggerisce, a titolo esemplificativo, alcuni metodi e/o strumenti di sicurezza, come:
- la pseudonimizzazione e la cifratura dei dati personali,
- la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
- la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico;
- una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative (penetration test), al fine di garantire la sicurezza del trattamento.
La sicurezza dei dati personali non può prescindere da un'adeguata formazione in materia di sicurezza informatica e dei dati personali: la farmacia dovrà perciò predisporre dei corsi periodici dedicati al titolare del trattamento e a tutti i dipendenti che abbiano accesso ai dati personali. Così facendo, la farmacia sarà perfettamente in grado di gestire i dati nel rispetto delle regole, affrontando situazioni d'emergenza senza problemi ed evitando le pesantissime sanzioni del Garante Privacy.