L'utilizzo massiccio di internet, sempre più diffuso negli ultimi anni, sta in un certo qual modo educando i cittadini all'importanza di tutelare i propri dati personali, che sono diventati molto preziosi, tanto da richiedere delle tutele ad hoc per evitare che vengano utilizzati in modo errato da parte di malintenzionati.
Tutela della privacy e dati sanitari: principi, regole ed eccezioni
Nel nostro paese la tutela della privacy è affidata al GDPR – il Regolamento Privacy Europeo – e alle norme ancora rimaste in vigore del vecchio Codice Privacy.
In generale si definisce dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile, come ad esempio il nome, il codice fiscale o l'immagine di una persona. All'interno della grande categoria dei dati personali rientrano alcune tipologie di dati, particolarmente delicati, da proteggere, come ad esempio i dati relativi alla salute, cioè tutti quei dati che sono attinenti alla salute fisica o mentale di un soggetto, che rivelino informazioni relative al suo stato di salute.
In generale il trattamento dei dati alla salute è vietato, salvo alcune eccezioni specificate dal GPDR:
a) nell'ipotesi in cui il soggetto abbia prestato in maniera esplicita il consenso a trattare i suoi dati sanitari per una o più finalità specifiche (ad esempio per farsi consegnare il referto di un esame diagnostico a mezzo email o per utilizzare un'app medica)
b) nel caso in cui vi sia un interesse pubblico rilevante, sulla base del diritto europeo o delle leggi vigenti nei singoli Stati membri dell'UE,
c) per finalità di medicina preventiva o di medicina del lavoro, per valutare la capacità lavorativa del dipendente, per finalità di diagnosi, assistenza o terapia sanitaria/sociale, per gestione dei sistemi e dei servizi sanitari o sociali (la cosiddetta finalità di cura).
I dati personali, in generale, e ancor più quelli sanitari, devono essere trattati nel rispetto dei seguenti principi generali:
a) liceità, correttezza e trasparenza,
b) limitazione della finalità, nel senso che i dati devono essere raccolti solo per finalità esplicite, determinate e legittime, e trattati in modo compatibile con tali finalità,
c) minimizzazione dei dati, che devono essere adeguati, pertinenti e limitati a quanto strettamente necessario rispetto alle finalità per cui sono stati trattati,
d) esattezza, in quanto i dati raccolti devono essere esatti e – se necessario – aggiornati, con adozione di tutte le misure ragionevoli per cancellare o rettificare con tempestività eventuali dati inesatti,
e) limitazione della conservazione, in quanto i dati devono essere conservati in forma tale da consentire l'identificazione di chi li ha forniti solo per un arco di tempo limitato, non superiore a quello necessario per conseguire le finalità per i quali sono stati trattati,
f) integrità e riservatezza, poiché i dati devono essere trattati in maniera tale da garantirne un'adeguata sicurezza, adottando misure di protezione da trattamenti illeciti o non autorizzati, nonché da eventuali perdite, distruzione o danno accidentale ai dati,
g) responsabilizzazione, nel senso che il titolare del trattamento dei dati deve esser in grado di dimostrare di aver rispettato tutti i principi di cui sopra.
I dati sanitari, possono essere trattati solo previo consenso dell'interessato, il quale deve manifestare in modo chiaro e inequivocabile il proprio assenso al trattamento dei dati che lo riguardano. Il consenso, in particolare, deve essere:
- libero, cioè non estorto tramite raggiri, violenza o artifizi,
- specifico, poiché deve avere ad oggetto specificamente i dati sanitari che il medico dovrà trattare,
- informato, in quanto deve essere preceduto da un'apposita informativa scritta in cui siano fornite al paziente tutte le informazioni su come saranno trattati i suoi dati,
- inequivocabile, cioè esplicito, chiaro e trasparente, scevro da ogni dubbio.
Telemedicina e privacy: come tutelare i dati sanitari nelle televisite
Con il termine Telemedicina si intende, in maniera molto generica, la pratica della medicina a distanza, senza il tradizionale confronto fisico medico-paziente, tramite sistemi di comunicazione interattivi e multimediali.
Le prestazioni erogabili in Telemedicina, secondo le attuali Linee Guida del 21 settembre 2022, sono:
- teleconsulto,
- teleconsulenza,
- telemonitoraggio,
- teleassitenza.
Questo tipo di prestazioni sanitarie, secondo le Linee Guida, devono essere erogate tramite una piattaforma unica nazionale per i servizi di Telemedicina, gestita dal Centro erogatore e dal Centro servizi, i quali hanno compiti differenti:
- il Centro erogatore, gestito da operatori sanitari, si occupa di erogare la prestazione di telemedicina per il monitoraggio dei pazienti e la gestione degli alert sanitari,
- il Centro Servizi, gestito da personale tecnico, si occupa di tutti gli aspetti tecnologici come, ad esempio, la manutenzione della piattaforma, la gestione degli account, l'help desk per gli utenti, il monitoraggio del funzionamento dei dispositivi medici, la formazione di medici, pazienti e caregiver.
Ciò premesso, entriamo nel dettaglio della televisita, che consiste in un atto medico durante il quale il professionista sanitario interagisce con il paziente, a distanza e in tempo reale, durante la quale possono essere prescritti farmaci o ulteriori approfondimenti clinici.
Facendo applicazione dei principi in materia di privacy descritti nel paragrafo precedente, al fine di tutelare i dati sanitari del paziente durante la televisita è opportuno che prima di pubblicizzare ai pazienti la possibilità di usufruire del servizio di televisita il professionista sanitario si adoperi per munirsi di una Valutazione di Impatto (DPIA) ai sensi dell'art. 35 del GDPR, un documento da mettere a disposizione del Garante Privacy nell'ipotesi in cui venga richiesto, all'interno del quale dovranno confluire tutte le cautele organizzative che il medico ha adottato per tutelare la vita privata e la dignità del paziente nell'erogazione della tele-prestazione, nonché le misure di sicurezza tecniche e organizzative messe in campo.
In generale, è opportuno che prima di erogare un servizio di televisita il professionista:
- acquisisca previamente un consenso informato, per iscritto, da parte del paziente, dove lo informerà su come sarà erogata la televisita, attraverso quale piattaforma, come saranno trattati i suoi dati, se e per quanto tempo verranno conservati, quali misure di sicurezza sono adottate e come esercitare i suoi diritti in materia di tutela dei dati personali,
- si serva di una piattaforma o di un software che consenta la crittografia della videochiamata,
- nell'ipotesi in cui vengano scambiati dei documenti sanitari, ad esempio attraverso la chat della videochiamata o l'email, è preferibile che i file siano dotati di password, onde renderli inutilizzabili da parte di terzi.
È opportuno che prima di iniziare la televisita il professionista sanitario dia atto, anche per iscritto se possibile, dell'assenza in sala di personale non autorizzato a partecipare all'erogazione della prestazione.
Partendo dal presupposto che qualunque attività compiuta attraverso il web non è mai sicura al 100% da attacchi hacker, qualche ulteriore accorgimento utile si può trarre dal recentissimo parere reso dal Garante Privacy sul trattamento dei dati personali nella piattaforma nazionale di telemedicina; leggendo il testo, pare opportuno suggerire ai professionisti sanitari di:
- pseudonimizzare i dati personali dei pazienti, garantendo che non siano direttamente identificabili,
- scegliere software che garantiscano l'adozione di misure idonee ad attenuare il rischio di utilizzo fraudolento delle identità digitali dei pazienti e dei medici al sistema,
- Cifrare i dati mediante algoritmi robusti,
- Utilizzare sistemi di prevenzioni delle intrusioni,
- Monitorare gli eventi di sicurezza,
- Tracciare le operazioni tramite appositi file di log da proteggere contro eventuali attacchi di terzi.
In conclusione, quando eroga una televisita il medico deve accertarsi che nessun estraneo possa assistere alla prestazione e che i dati sanitari del paziente e i suoi eventuali referti non vadano in mano di terzi, come del resto già avviene per le visite erogate in presenza: nessuno si sognerebbe mai, ad esempio, di visitare un paziente con la finestra aperta su una pubblica piazza o di mettere il suo referto appeso alla porta dello studio, alla mercè di chiunque.
I paroloni tecnici che caratterizzano l'uso delle nuove tecnologie non devono assolutamente né spaventare né scoraggiare il professionista che decida di offrire prestazioni di televisita ai propri pazienti: è sufficiente affidarsi a professionisti del settore per organizzare questo tipo di prestazioni in sicurezza e in tranquillità, prendendo a monte tutte le misure necessarie per evitare eventuali sanzioni da parte del Garante. Il team Consulcesi è a disposizione dei Soci per rendere consulenze in materia privacy, in modo da far dormire sonni tranquilli al medico 4.0.