Lo scorso 9 dicembre 2022, il Ministero della Salute ha trasmesso al Garante della Privacy lo schema di decreto da adottare di concerto con il Ministero dell’Economia e delle Finanze riguardante la definizione delle caratteristiche e dei contenuti delle prescrizioni mediche rilasciate nel territorio italiano su richiesta di un paziente che intenda utilizzarle all’interno di uno Stato membro dell’UE. La trasmissione è avvenuta ai fini di ottenere il prescritto parere di competenza e lo schema di decreto è stato redatto di concerto al D. Lgs. 38/2014.
Le osservazioni e le criticità espresse dal Garante della Privacy
Per il Garante della Privacy è obbligatorio che all’interno dello schema di decreto non vengano tralasciati dei principi fondamentali in materia di protezione dati e in particolare:
“- liceità, correttezza e trasparenza, con specifico riferimento alla corretta individuazione del perimetro di titolarità dei trattamenti, ai limiti di responsabilità dei soggetti coinvolti e alla necessità di fornire all’interessato informazioni chiare in merito alle operazioni eseguite sui dati personali che lo riguardano (art. 5, par. 1, lett. a);
- minimizzazione, esattezza e limitazione della conservazione in base ai quali il trattamento dei dati deve essere limitato a quanto e al tempo necessario rispetto alle finalità per le quali sono trattati e deve essere effettuato adottando specifiche misure volte a garantire in concreto l’esattezza, l’integrità e l’aggiornamento dei dati (art. 5, par. 1, lett. c), d) ed e));
- integrità e sicurezza del trattamento mediante la previsione di misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche (art. 5, par. 1 lett. f));
- protezione dei dati fin dalla progettazione e per impostazione predefinita da assicurare anche mediante una preventiva valutazione di impatto considerata la tipologia dei trattamenti descritti nello schema di decreto in esame (artt. 25 e 35 del Regolamento)”.
Il parere espresso dal Garante della Privacy richiede una riformulazione delle disposizioni “al fine di delineare chiaramente i rapporti tra i diversi attori che intervengono nel processo di generazione e utilizzo della ricetta transfrontaliera, descrivendo la titolarità dei trattamenti effettuati, individuando le responsabilità e i compiti dei soggetti coinvolti, nel rispetto delle finalità che sono state individuate e attribuite dalla specifica disciplina di settore”.
Le criticità espresse dal Garante vengono elencate all’interno dello stesso comunicato e sono:
- non è descritto il ruolo del Ministero della salute, che, sulla base della normativa di settore, è designato National Contact Point eHealth, ovvero il soggetto che mette a disposizione un apposito portale per consentire ai professionisti sanitari coinvolti l’accesso ai dati clinici degli assistiti residenti nel territorio di uno Stato membro. Si segnala al riguardo che in alcuni punti della documentazione trasmessa il National Contact Point eHealth e il Ministero della salute sembrano essere soggetti distinti (cfr. ad esempio art. 8, comma 3, dello schema di decreto);
- non è indicato il soggetto che riveste la funzione di “national connector” che, secondo quanto indicato nello schema in esame, si occupa dell’interconnessione tra i sistemi nazionali e l’infrastruttura europea, effettuando le trasformazioni tra le codifiche previste nei due ambiti (cfr. artt. 1, comma 1, lett. n) e 4);
- non è indicato il soggetto che gestisca l’«infrastruttura eHDSI», ovvero l’infrastruttura informatica che assicura la continuità dell'assistenza ai cittadini europei durante i loro viaggi nell'Unione Europea (cfr. artt. 1, comma 1, lett. m) e 4);
- non è definito il perimetro di titolarità del trattamento effettuato attraverso la generazione della ricetta transfrontaliera effettuata dal medico prescrittore e le successive attività necessarie all’utilizzo della ricetta all’estero e al controllo della regolarità della stessa, descrivendo il momento in cui cessa la titolarità del soggetto che ha generato il dato (medico prescrittore) e inizia quella degli altri soggetti coinvolti nel trattamento. Il perimetro di titolarità deve essere evidenziato anche con riferimento alle operazioni di correzione e aggiornamento dei dati;
- alla luce della richiamata disciplina di settore non appare correttamente individuata la titolarità del Ministero dell’economia e delle finanze relativa alla c.d. “procedura di rilascio della ricetta elettronica transfrontaliera”, in quanto i dati inseriti nella ricetta sono raccolti e generati dal medico prescrittore e il soggetto che dovrebbe mettere a disposizione un apposito portale volto consentire ai professionisti sanitari coinvolti l’accesso ai dati clinici degli assistiti residenti nel territorio di uno Stato membro è demandata al National Contact Point eHealth, che -nel nostro Paese- è il Ministero della salute. Non risulta infatti che il quadro normativo di settore attribuisca, con riferimento al trattamento dei dati in esame, al Ministero dell’economia e delle finanze specifiche finalità perseguibili in qualità di titolare del trattamento (art. 9 dello schema di decreto);
- non sono chiaramente indicate le attività che verrebbero effettuate dalla società Sogei Spa, responsabile del Ministero dell’economia e delle finanze (art. 9 dello schema di decreto).
Che cos’è una ricetta transfrontaliera e come si ottiene?
La questione appena annoverata ruota attorno alla ricetta transfrontaliera ovvero una ricetta medica rilasciata all’interno di un Paese UE e valida in tutti gli altri Paesi afferente all’Unione.
Potrebbe, tuttavia, succedere che alcuni farmaci prescritti potrebbero essere non autorizzati alla vendita nel Paese di destinazione o non disponibili.
In ogni caso, non esiste un formato specifico per le ricette destinate a essere utilizzate in un altro paese dell'UE. La normale prescrizione medica dovrebbe già valere, per com’è, in un altro Paese UE, purché contenga almeno le seguenti informazioni:
- dati del paziente, quindi nome e cognome e data di nascita;
- data di emissione;
- dati del medico che compila la ricetta: nome e cognome, qualifica professionale, recapito diretto, indirizzo professionale e firma (scritta o digitale);
- dati del prodotto prescritto: nome comune preferibile al nome commerciale, che può variare a seconda dei paesi, formato (compresse, soluzione, ecc.), quantità, concentrazione e posologia.
Ovviamente, la prescrizione deve seguire le norme del Paese nella quale è stata emessa e, nel caso in cui venga rilasciata in formato elettronico, sarà necessario richiedere una copia cartacea, anche se già in alcuni Paesi UE il sistema è interoperabile (le ricette mediche finlandesi, ad esempio, possono essere utilizzate in Croazia, Estonia e Portogallo).
Come hanno fatto Estonia e Finlandia a rendere i sistemi interoperabili e cosa ha chiesto, invece, il Garante all’Italia?
Se si considera l’opzione relativa all’interoperabilità tra Paesi membri UE, si possono prendere ad esempio Estonia e Finlandia che, stringendo legami economici e sociali, hanno reso facile l’interoperabilità anche delle ricette mediche. Grazie alla prescrizione medica transfrontaliera i cittadini europei possono ottenere farmaci prescritti dai loro medici in un altro Stato membro, tramite l’utilizzo della Carta d’Identità Elettronica del paziente. Grazie ad essa, il farmacista è in grado id accedere ad una piattaforma, controllare quale prodotto è stato prescritto e quindi renderlo disponibile al paziente. Il collegamento tra farmaci è assicurato grazie all’infrastruttura di servizi digitali per l’assistenza digitale online che, però, richiede alti livelli di sicurezza per la salvaguardia dei dati.
Quello di Estonia e Finlandia è un'esperienza che rappresenta un prezioso contributo per l’Europa dei dati sanitari, al fine di rendere efficace e semplice l'assistenza transfrontaliera, sostenere la ricerca scientifica e le politiche sanitarie pubbliche.
L’Italia dovrà, però riformulare lo schema di decreto prima di poter entrare a far parte del flusso, soprattutto con riferimento al fatto che il Ministero dovrà inoltre rendere conformi alle indicazioni del Garante, rese anche con precedente parere (22 agosto 2022, n. 294), le modalità attraverso le quali il Sistema Tessera sanitaria rende disponibili i dati ai Fascicoli Sanitari Elettronici e ai dossier farmaceutici attraverso l’infrastruttura nazionale. Andranno specificati infine i soggetti che possono accedervi e per quali finalità. Allo scopo di garantire la qualità e la sicurezza delle informazioni verranno adottate opportune misure, quali, ad esempio, la preventiva valutazione d’impatto.