Ambiente e politica

Il dossier sanitario elettronico   

Si è già parlato del fascicolo sanitario elettronico, del consenso al trasferimento dei nostri dati sanitari pregressi al mese di maggio 2022 e dei notevoli rischi che la sua generazione automatica comporta per la nostra privacy. 

Ma si parla poco di una realtà attualmente molto presente sul nostro territorio nazionale anche se forse meno nota: il dossier sanitario elettronico. 

Come si può leggere sul sito del Garante per la Protezione dei Dati Personali nella sezione delle domande più frequenti, «il dossier sanitario è l'insieme dei dati personali generati da eventi clinici presenti e trascorsi riguardanti l'interessato, che vengono condivisi tra i professionisti sanitari che lo assistono presso un'unica struttura sanitaria (ad es. ospedale, casa di cura privata, ecc.)». 

Nel concreto si tratta dei dati sanitari in formato elettronico relativi allo stato di salute dei singoli pazienti, raccolti in occasione di eventi clinici relativi a prestazioni effettuate sia in regime istituzionale che in regime di libera professione in una struttura sanitaria (sia essa pubblica che privata) e consultabili mediante una interfaccia unificata. 

Credo che molti di noi abbiano dei trascorsi clinici in un'unica struttura sanitaria, che molto spesso è quella più vicina al luogo in cui ci troviamo domiciliati. 

Ci informa ancora il Garante che il dossier sanitario differisce dalla cartella clinica, in quanto «il dossier consente di ricostruire la storia clinica di un paziente con riferimento a tutte le prestazioni sanitarie ad esso erogate da una determinata struttura sanitaria. La cartella clinica, invece, è uno strumento che descrive, secondo degli standard definiti dal Ministero della salute, un singolo episodio di ricovero dell'interessato». 

Inoltre, sempre secondo quanto ci informa il Garante, «il dossier è accessibile da parte di tutti gli operatori sanitari della struttura sanitaria titolare del dossier che prenderanno in cura nel tempo l'interessato». 

A questo punto il discorso si fa più intrigante: il Garante ci rassicura che, nel caso venga attivato un dossier sanitario sul nostro conto, le informazioni ivi contenute saranno accessibili solo agli operatori sanitari che, nel tempo, ci avranno preso in cura in quella struttura. 

Inoltre, come sottolinea il Garante, il trattamento tramite dossier necessita del consenso dell'interessato: «È necessario acquisire il consenso informato dell'interessato. Va chiarito tuttavia (e l´informativa deve precisarlo) che l'eventuale mancato consenso al trattamento mediante dossier non incide sulla possibilità di accedere alle cure mediche richieste». 

Dunque, non è possibile attivare un dossier sanitario elettronico su una persona se questa non ha fornito uno specifico consenso informato.   

Le linee guida in materia di dossier sanitario elettronico   

Andiamo allora alle Linee guida in materia di dossier sanitario (Allegato A alla deliberazione del Garante del 4 giugno 2015), documento che ci fornisce altre preziose informazioni. 

Nella Premessa il Garante informa (i neretti nel corso del testo sono miei): 

«Negli ultimi anni l'utilizzo di sistemi informativi per la gestione e la consultazione delle informazioni sanitarie relative alla storia clinica di un individuo ha trovato un'ampia diffusione nel settore sanitario sia nazionale che internazionale. Tale fenomeno è stato colto anche dal legislatore nazionale attraverso la previsione di una disciplina giuridica del Fascicolo sanitario elettronico (FSE) che si colloca all'interno di una crescente attenzione alla materia della sanità elettronica (art. 12, decreto legge 18 ottobre 2012, n. 179).

Cartella clinica elettronica  

La conservazione in forma digitale della cartella clinica (d.l. 9 febbraio 2012, n.5, convertito, con modificazioni, dalla legge 4 aprile 2012, n. 35, art. 47-bis, comma 1-bis), la refertazione on-line sono solo alcuni dei più recenti interventi normativi nel settore, rispetto ai quali le misure a tutela della protezione dei dati personali hanno costituito un importante momento di riflessione istituzionale (cfr. provvedimento del Garante "Linee guida in tema di referti on-line" del 19 novembre 2009, doc. web n. 1679033; decreto del Presidente del Consiglio dei Ministri dell'8 agosto 2013, pubblicato in G.U. Serie Generale n.243 del 16-10-2013, su cui il Garante ha espresso parere favorevole). 

Le politiche di sanità integrata che si stanno sviluppando sia in ambito nazionale che regionale considerano la condivisione delle informazioni sulla salute del paziente tra gli operatori sanitari uno strumento per rendere più efficienti i processi di diagnosi e cura dello stesso, nonché per ridurre i costi della spesa sanitaria derivanti, ad esempio, dalla ripetizione di esami clinici. 

La sfida che tutti gli attori istituzionali sia nazionali che locali si pongono è, dunque, quella di garantire che i processi di integrazione dei dati sanitari assicurino un buon funzionamento dei sistemi clinici sia in termini di efficacia che di efficienza ed equità nel rispetto dei diritti fondamentali dell'individuo tra i quali si annovera quello alla tutela dei dati personali.» 

Qui si mette l'accento sul fatto che è diritto fondamentale di ogni persona la tutela dei suoi dati personali, sanitari e riservati. 

Ancora, continua la Premessa: 

«Affinché i dossier sanitari in uso presso le strutture sanitarie siano effettivamente degli strumenti di ausilio nei processi di diagnosi e cura dei pazienti è necessario che gli stessi siano realizzati con modalità tali da garantire in primo luogo la certezza dell'origine e della correttezza dei dati e l'accessibilità degli stessi solo da parte di soggetti legittimati. A questi aspetti sono connessi i principali rischi che il Garante ha potuto riscontrare nell'esame di numerosi dossier sanitari oggetto delle istruttorie svolte dall'Ufficio. 

Tali rischi derivano spesso dalla circostanza che nella maggior parte dei dossier sanitari esaminati gli stessi sono stati sviluppati in modo non strutturale e organizzato, bensì partendo da alcune iniziative estemporanee di informatizzazione delle cartelle cliniche di reparto o di ambulatorio e, quindi, senza tener conto del fatto che si andava predisponendo un sistema informativo in grado di gestire potenzialmente l'intera storia clinica di un individuo. Ciò ha determinato la realizzazione di sistemi in cui la mancanza di certezza sull'autenticità delle informazioni presenti, la possibilità che le stesse siano accessibili e modificabili da parte di soggetti non legittimati o siano persino diffuse, la non disponibilità delle stesse costituiscono rischi reali per lo più non considerati dalle strutture sanitarie almeno nelle prime fasi di realizzazione dei dossier. 

Molti degli accertamenti ispettivi realizzati dall'Ufficio sono stati avviati, infatti, proprio a seguito di segnalazioni relative ad accessi abusivi ai dossier sanitari: consultazione, estrazione, copia delle informazioni sanitarie accessibili tramite il dossier da parte di personale amministrativo o personale medico che non era stato mai coinvolto nel processo di cura del paziente e che per motivi di interesse personale aveva acceduto allo stesso per poi divulgare le informazioni così acquisite a terzi all'insaputa dell'interessato». 

A fronte dei vantaggi sopra elencati riguardo la costituzione di un dossier sanitario elettronico su ogni singolo individuo, si delinea qui una serie di possibili abusi a cui l'esistenza stessa del dossier espone gli interessati. 

Nella maggior parte dei casi sottoposti all'attenzione dell'Autorità l'accesso aveva riguardato informazioni relative a prestazioni sanitarie particolarmente delicate in merito alle quali l'ordinamento vigente ha posto specifiche disposizioni a tutela della riservatezza e della dignità dei soggetti interessati (ad es., affezioni da HIV, interruzione volontaria della gravidanza, parto in anonimato). 

A fronte di tali rischi e della complessità della materia in rapporto alla disciplina sul trattamento dei dati personali, l'Autorità intende delineare nelle presenti Linee guida un quadro di riferimento unitario sulla cui base i titolari possano orientare le proprie scelte e conformare i trattamenti ai principi di legittimità stabiliti dal Codice,
nel rispetto di elevati standard di sicurezza. Concreti strumenti di tutela che devono essere ricondotti al rispetto del diritto all'autodeterminazione informativa dell'interessato, delle misure atte a garantire l'esattezza, l'integrità e la disponibilità dei dati unitamente alla protezione da specifici rischi di accesso non autorizzato e di trattamento non consentito». 

Così si conclude la nostra Premessa. Il Garante ci parla sopra di "rispetto di elevati standard di sicurezza". E ancora di "concreti strumenti di tutela" e di "rispetto del diritto all'autodeterminazione informativa dell'interessato". Infine di "protezione da specifici rischi di accesso non autorizzato". 

È evidente d'altronde che «l'insieme delle informazioni sanitarie trattate mediante il dossier sanitario costituisce una banca dati di significativo rilievo non solo clinico ma anche economico. È facilmente intuibile, infatti, l'interesse economico che vari soggetti potrebbero vantare nei confronti di tale insieme di dati, la consultazione del quale rende agevolmente possibile ricostruire una significativa parte della storia clinica di un individuo». 

È quanto viene inoltre affermato al paragrafo 6 delle stesse Linee guida, riguardante i criteri di accesso al dossier. 

Ci chiediamo allora: questa encomiabile serie di tutele alla persona, sopra descritte, è pratica reale nelle nostre strutture sanitarie? 

Sottolineo che preferisco usare qui il termine "persona" a quello usato prima di "individuo", con tutte quelle accezioni e sfumature che tale termine riveste nella visione cristiana: la quale si rivela spiccatamente personalistica, a immagine del Creatore, e, come tale, conferente alla persona umana la massima dignità e rispetto. 

Oppure si tratta invece di nobili propositi che nella pratica reale sono destinati a restare molto spesso disattesi? Il nostro Paese è noto per la formulazione di leggi che nel loro contenuto sono senz'altro ineccepibili ma che nella pratica concreta restano del tutto disattese, a causa di una serie di circostanze che variano dai mancati controlli all'aggiramento delle leggi stesse, ecc.   

La nomina del DPO: "Le peggiori pratiche che abbiamo visto"   

Cominciamo dalla figura dei cosiddetti Data Protection Officer (DPO), introdotti dal GDPR (General Data Protection Regulation), ovvero il Regolamento Ue 2016/679, relativo alla protezione delle persone fisiche con riguardo al trattamento e alla libera circolazione dei dati personali. Detto regolamento è divenuto pienamente applicabile in tutti gli Stati membri a partire dal 25 maggio 2018.

Quello che sappiamo è che la nomina dei DPO è avvenuta in Italia, come spesso accade, in tutta fretta: si è entrati in fibrillazione - qualcuno scrisse allora "da Bianconiglio" - per gli adempimenti con scadenza 25 maggio 2018. 

L'adempimento più urgente e gravoso era quello della nomina del Data Protection Officer. Naturalmente, nel clima di grande fretta di adeguamento agli obblighi previsti dal GDPR, la loro nomina è stata vista anzitutto come un adempimento puramente formale. 

Come scriveva allora l'avvocato penalista Francesco Micozzi, «la individuazione e successiva nomina del DPO, pertanto, non può (e non deve) essere intesa quale mero adempimento formale. La scelta, infatti, deve ricadere su un soggetto che sia effettivamente dotato delle qualità professionali imposte dall'art. 37 del GDPR e, in particolare, "della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all'articolo 39"».  

Ma è stato così?  

«La prova del fatto che la nomina del DPO sia, purtroppo, spesso vista come mero adempimento formale emerge proprio dal testo di molti bandi per l'individuazione e nomina del DPO. In tale situazione possono rientrare sia i casi in cui - senza considerare le responsabilità e la mole di compiti incombenti sulla figura del DPO - si preveda, a titolo di corrispettivo economico, una somma "fino a mille euro annui lordi e omnicomprensivi" o, ancora, ai casi in cui si richiedano al DPO una serie di adempimenti che determinerebbero, automaticamente, l'insorgere di una situazione di conflitto di interessi». 

Scriveva ancora Micozzi: «Un altro degli errori che si è riscontrato nella recente prassi (e in cui possono incorrere i titolari o i responsabili del trattamento) è quello legato a una scarsa attenzione alla indipendenza che deve necessariamente caratterizzare la figura del DPO. 

Volendo schematizzare le ipotesi generali in cui possa dirsi assente tale caratteristica di indipendenza del DPO potremmo indicare, in primo luogo, il caso in cui il DPO riceva istruzioni, da parte del titolare o del responsabile del trattamento, per quanto riguarda lo svolgimento dei suoi compiti o, in secondo luogo, per la penalizzazione o la rimozione dall'incarico per aver svolto correttamente al suo incarico o, infine e in terzo luogo, per essersi trovato in una situazione di conflitto di interessi. 

[...] 

Con riferimento alla necessità di evitare i casi di conflitto di interesse l'Article 29 WP (nelle linee - guida) e il Garante per la protezione dei dati (nelle FAQ) hanno stilato un elenco delle situazioni-tipo in presenza delle quali è elevato il rischio di conflitto di interessi. Nel settore pubblico, ad esempio, si suggerisce di evitare di nominare quale DPO le figure apicali dell'amministrazione con capacità decisionali in ordine alle finalità e ai mezzi del trattamento, ivi compreso il responsabile IT (chiamato ad individuare le misure di sicurezza necessarie) e il responsabile dell'Ufficio di statistica. 

Tuttavia, nella pur breve prassi, possiamo riscontrare tante ipotesi in cui le PA hanno delegato o nominato proprio i responsabili IT quali DPO. In altri casi l'incarico è stato dato al soggetto che si occupava già del sito istituzionale dell'ente o a soggetti che erano già nominati quali responsabili del trattamento. 

Negli ultimi mesi, inoltre, abbiamo assistito anche al fenomeno del rastrellamento di incarichi come DPO. Vi è da chiedersi, tuttavia, se chi abbia ricevuto numerosissimi incarichi come DPO sia effettivamente in grado di svolgere quei compiti che l'art. 39 del GDPR gli riserva. I titolari o i responsabili, a tal proposito, avrebbero ben potuto - nel contratto di nomina del DPO - individuare, tra le condizioni contrattuali necessarie a garantire l'effettività di adempimento ai compiti del DPO, un sistema per limitare il fenomeno dell'accaparramento incontrollato di incarichi a discapito della piena efficacia dell'attività del DPO». 

E allora, alla luce di tutto questo, ci chiediamo se i sopracitati DPO svolgano correttamente le loro mansioni. Se siano realmente indipendenti, come si legge in bella mostra sul sito informativo di tante grosse Aziende sanitarie sparse sul nostro territorio nazionale. 

Soprattutto se essi siano davvero i referenti, come dovrebbero, con gli interessati; nel caso in cui si sospetti una violazione dei propri dati personali.    

Fine prima parte.