Il Regolamento europeo sulla protezione dei dati (GDPR), applicato dal 25 maggio 2018, tratta i dati relativi alla salute come "categorie particolari": le più protette. Per uno studio medico o un poliambulatorio non è un adempimento da archiviare, ma un modo di lavorare che riguarda ogni persona e ogni strumento del centro.
Chi è responsabile di cosa
- Il titolare del trattamento è lo studio o la società che gestisce il centro: decide perché e come si trattano i dati, e ne risponde.
- I responsabili del trattamento sono i fornitori che trattano dati per conto del centro: il gestionale in cloud, il laboratorio esterno, il consulente informatico. Con ciascuno serve un contratto (art. 28 GDPR).
- Il personale autorizzato riceve istruzioni scritte su cosa può fare con i dati.
Attenzione a un equivoco diffuso: scegliere un gestionale "a norma GDPR" aiuta molto, ma non trasferisce la responsabilità al fornitore. Il titolare resta il centro.
Informativa e consenso
Per i trattamenti necessari alla cura il Garante ha chiarito (2019) che non serve il consenso del paziente: serve un'informativa chiara. Il consenso torna necessario per altri scopi, come le comunicazioni promozionali o alcuni servizi accessori, per esempio il dossier sanitario o la consegna dei referti online.
Le misure pratiche
- Credenziali personali per ogni utente, mai condivise; secondo fattore di autenticazione dove possibile.
- Accessi per ruolo: chi si occupa di contabilità non deve vedere le cartelle cliniche.
- Registro dei trattamenti (art. 30): per chi tratta dati sanitari è di fatto sempre dovuto.
- Copie di sicurezza regolari e verificate, conservate separatamente.
- Registro degli accessi e delle modifiche ai dati, per sapere chi ha fatto cosa.
- Postazioni protette: blocco schermo, aggiornamenti, niente documenti in vista in accettazione.
Il responsabile della protezione dei dati (DPO)
Secondo i chiarimenti del Garante, il medico che lavora da solo in libera professione non è tenuto a nominarlo; per strutture più grandi va valutato in base alla quantità e al tipo di trattamenti. È una valutazione da fare con un consulente privacy, documentandola.
Se qualcosa va storto
Un computer rubato, un'email inviata al paziente sbagliato, un attacco informatico: sono violazioni dei dati. Vanno annotate in un registro e, se c'è un rischio per le persone, notificate al Garante entro 72 ore; nei casi più gravi vanno avvisati anche i pazienti coinvolti. Avere una procedura scritta prima che succeda fa risparmiare ore preziose.
Da ricordare: i dati economici del centro (incassi, costi, compensi) non sono dati sanitari, ma meritano la stessa cura. Separare i dati dei pazienti da quelli gestionali riduce i rischi e semplifica la vita a tutti.