• 15 Maggio 2023
• segreteria e affari generali
• Tag: amministrazione digitale cybersecurity

di LUISA DI GIACOMO*

Nel 2019, l’USL della Romagna ha notificato al Garante Privacy una violazione di dati personali ai sensi dell’art. 33 del GDPR in relazione alla trasmissione al medico di base di un referto con riferimento al quale l’interessata aveva esercitato il diritto di oscuramento (ovvero la volontà che quel dato, presente nel proprio fascicolo sanitario elettronico, non fosse visibile a terzi). Senza scendere eccessivamente nel dettaglio, un bug nel sistema informatico, che non ha reso effettivo tale oscuramento, ha causato all’azienda sanitaria l’irrogazione di una sanzione amministrativa pecuniaria di 120mila euro. Poiché negli Enti locali, soprattutto quelli di piccole dimensioni, può succedere che si trattino dati sanitari e anche dati che vanno a costituire il fascicolo sanitario elettronico, vediamone le caratteristiche principali e le modalità di “corretto utilizzo”.

Che cos’è il FSE?

Il FSE è l’insieme dei dati e dei documenti digitali di tipo sanitario e socio-sanitario che sono generati da eventi clinici presenti e trascorsi che riguardano l’assistito e che sono riferiti anche a prestazioni erogate al di fuori del servizio sanitario nazionale: prima della l. 77/2020 le prestazioni che venivano raccolte nel FSE erano esclusivamente quelle del servizio sanitario nazionale, ma a partire dal maggio del 2020 possono essere inserite anche le prestazioni erogate da strutture private.
Il FSE raccoglie dati che sono riferiti a un individuo e che sono trattati da una pluralità di soggetti che agiscono tutti in qualità di titolari autonomi del trattamento.
Questa pluralità di titolari varia a seconda delle finalità per cui vengono trattati i dati all’interno del fascicolo del paziente:

• la finalità di cura: prevenzione, diagnosi, cura, riabilitazione;
• le finalità di ricerca: studio, ricerca scientifica in campo medico, biomedico ed epidemiologico;
• le finalità di governo: tutte le finalità che attengono alla programmazione sanitaria, alla verifica della qualità delle cure e alla verifica e alla valutazione dell’assistenza sanitaria.

In relazione a queste tre finalità, il decreto rilancio, poi convertito nella l. 77/2020 individua tre categorie di soggetti diversi che possono accedere:

• per quanto riguarda la finalità di cura, si fa riferimento a tutti i soggetti del servizio sanitario nazionale e dei servizi regionali che prendono in cura il paziente e, in seguito alla già citata modifica introdotta nel 2020, sono stati ricompresi anche i soggetti che appartengono ad enti privati;
• per quanto riguarda le finalità di ricerca, vi accedono in qualità di titolari le regioni, le province autonome gli Enti locali, secondo le rispettive competenze attribuite dalla legge;
• per quanto riguarda, invece, le finalità di governo, il riferimento è alle regioni, alle province autonome, gli Enti locali, sempre secondo le rispettive competenze.

Chi può accedere al FSE?

In primis, il paziente, che ha il diritto di consultare liberamente il suo fascicolo sanitario elettronico, di accedere a tutti i documenti clinici e amministrativi che sono ivi contenuti e ha la possibilità di compilare anche la parte relativa al taccuino personale.
Anche i medici che hanno in cura il paziente, sia nell’ambito del servizio sanitario nazionale sia fuori da questo possono accedere al fascicolo; le aziende sanitarie devono, però, fare in modo che esistano delle procedure tali per cui questi soggetti accedano alle sole informazioni che sono rilevanti per le finalità di cura che stanno perseguendo. Anche il personale amministrativo, in qualità di soggetto autorizzato, può accedere al fascicolo sanitario di un paziente per assolvere alle funzioni amministrative cui è preposto e che siano strettamente correlate all’erogazione della prestazione (ad es. la fatturazione). Infine, anche gli organi di governo sanitario possono accedere, per lo svolgimento di funzioni istituzionali, a dati pseudonimizzati presenti nel FSE ma non ai dati identificativi del paziente: per questo i dati relativi alle prestazioni sanitarie devono essere conservati separatamente da quelli identificativi delle persone. Per alcune categorie di soggetti, come periti, compagnie di assicurazione, datori di lavoro, associazioni scientifiche e organismi amministrativi pur se operanti in ambito sanitario, e comunque terzi non autorizzati invece, sussiste un vero e proprio divieto di accesso al fascicolo sanitario elettronico.

L’informativa da fornire al paziente-interessato

L’informativa che occorre fornire agli assistiti al momento della costituzione e dell’attivazione del fascicolo sanitario elettronico deve contenere tutti gli elementi previsti dall’articolo 13 del GDPR: deve indicare quali sono le finalità, contenere una descrizione del fascicolo, chiarire le modalità di trattamento, includere l’indicazione secondo cui è necessario esprimere il consenso per la consultazione e che in caso di mancato consenso o di revoca dello stesso, i medici non potranno consultare il FSE ma non si avranno conseguenze sull’erogazione della prestazione sanitaria che deve essere comunque garantita.
Inoltre, deve contenere anche l’indicazione delle categorie di soggetti che in qualità di responsabili possono accedere al fascicolo, le modalità con cui si può accedere all’elenco aggiornato di responsabili del trattamento, le modalità con cui rivolgersi al titolare per esercitare i propri diritti.
Oltre a tutti diritti previsti dal GDPR, per il fascicolo sanitario elettronico esiste, per l’interessato, uno specifico diritto di oscuramento, consistente nel poter nascondere alcuni o tutti i dati contenuti nel fascicolo stesso.

L’interessato ha sempre il diritto di ottenere, richiedendolo o prima o dopo l’inserimento, che alcuni o tutti i suoi dati sanitari risultino consultabili soltanto da sé stesso e dai titolari che li hanno generati, decidendo, quindi, in maniera autonoma cosa rendere visibile, a chi.
Occorre garantire al paziente-interessato anche l’oscuramento dell’oscuramento ovvero che il personale che accede al fascicolo e per il quale i dati risultano oscurati, non deve sapere che ci sono dei dati che sono stati nascosti. Anche la scelta di oscuramento è sempre revocabile.

Oltre ai precedenti, l’informativa deve avere anche altri elementi che sono previsti da un insieme di fonti (linee guida, D.P.C.M., FAQ del Garante…), ad esempio deve descrivere i vantaggi ma anche gli aspetti problematici per il paziente derivanti dalla creazione del FSE come la possibilità per i medici di avere sì una visione complessiva del suo stato di salute, ma allo stesso tempo, informarlo anche del fatto che i dati contenuti nel fascicolo potranno essere visionati da un più o meno ampio uditorio.
L’informativa e la prestazione del consenso relativo alla stessa possono essere formulati o cumulativamente, per titolari diversi, o distintamente da ciascuno dei titolari, indicando l’ambito entro il quale i singoli soggetti trattano i dati all’interno del fascicolo sanitario elettronico.

Esiste poi una disciplina specifica per i soggetti a maggior tutela quali le persone sieropositive, le donne che si sono sottoposte ad una IVG o che hanno scelto di partorire in anonimato, le vittime di violenza sessuale o pedofilia, le persone che fanno uso di sostanze stupefacenti o alcol, le persone che usufruiscono di servizi come i consultori familiari.
I dati di questi soggetti sono visibili soltanto in seguito alla prestazione di un consenso esplicito da parte del paziente stesso; quindi, la consultazione non può avvenire sulla base di quel consenso che viene erogato una tantum, ma sulla base di un consenso specifico, acquisito in concomitanza dell’erogazione della prestazione (come è accaduto alla donna che in sede di IVG ha flaggato il modulo per non notificare l’intervento al suo MMG). L’alimentazione del FSE, in questi casi, è ammessa, ma non automaticamente.

Le misure di sicurezza del FSE

La normativa in materia di fascicolo sanitario elettronico prevede anche le misure di sicurezza che devono essere adottate e che devono garantire i tre principi della sicurezza delle informazioni: integrità, riservatezza e disponibilità dei dati.
Per la consultazione, devono essere adottati sistemi di autenticazione e di autorizzazione che minimizzino i rischi di accesso abusivo, furto e/o smarrimento dei dati.
Deve essere previsto l’utilizzo di protocolli di comunicazione sicuri basati su standard crittografici / criteri di cifratura ideati per le comunicazioni dei dati su reti telematiche.
Tutti i dati idonei a rivelare categorie particolari di dati devono essere tenuti separati rispetto ad altri dati personali identificativi.
Gli accessi e le operazioni sul FSE devono essere tracciati perché, il paziente-interessato ha il diritto di sapere chi ha avuto accesso al proprio fascicolo sanitario e quale operazione ha effettuato.
Devono essere previste poi anche delle procedure di anonimizzazione per i dati identificativi diretti, questo perché potendovi accedere una molteplicità di soggetti (come nel caso già accennato delle finalità di Governo) può essere rischioso per l’interessato che chiunque possa accedervi ed è fondamentale adottare ulteriori accorgimenti, come la formulazione di una classificazione delle varie tipologie di informazioni sanitarie che sono indispensabili rispetto alla finalità.

>> L’ARCHIVIO INTEGRALE DELLA RUBRICA DELL’AVV. LUISA DI GIACOMO.

L’AUTORE
* Luisa Di Giacomo è avvocato da oltre quindici anni, dal 2012 è consulente privacy presso diverse aziende nel nord Italia e dal 2018 ricopre l’incarico di DPO presso diverse Pubbliche Amministrazioni (Comuni, Enti di ricerca, Enti socio assistenziali) e società private. Dal 2022 fa parte del pool di consulenti esperti in Data Protection Law istituito presso l’European Data Protection Board.
Formata nell’ambito del diritto civile e commerciale, negli ultimi dieci anni si è dedicata in via esclusiva al diritto di internet, delle nuove tecnologie, della protezione dei dati personali e della cybersecurity.
Ha svolto periodi di studio e di lavoro all’estero, è docente e formatore per Maggioli spa, responsabile della sezione cybersecurity del portale diritto.it, redattrice per la Gazzetta degli Enti Locali.
Parla inglese e francese a livello madrelingua, ed ha una discreta conoscenza dello spagnolo e del portoghese.
Ama scrivere narrativa e dedicarsi all’attività di formazione in aula e online, già autrice per La Gazzetta degli Enti Locali della rubrica I martedì della cybersecurity.
Le piace definirsi Cyberavvocato.

© RIPRODUZIONE RISERVATA