Dopo quasi un anno dall’avvento del GDPR (cogente) la maggioranza delle aziende italiane non si è ancora “conformata” alla nuova normativa comunitaria. Non tutto è causato dagli atavici vizi italiani. In molti casi mancano professionisti qualificati, una corretta sensibilizzazione e la necessità di informare correttamente chi deve applicare il Regolamento. In ambito sanità, il Garante interviene.
Il Garante Privacy, dopo alcuni mesi di organizzazione, ha iniziato a sfornare provvedimenti per chiarire gli ambiti gestionali della privacy sotto la nuova normativa e il 7 marzo 2019 ha emesso un documento in materia di Sanità.
Sanità, il Garante interviene – Il Consenso
Il Consenso al trattamento dei dati sanitari è stato fino a poco tempo fa uno degli orpelli burocratici più osteggiati dai medici, che si chiedeva: “E’ più che ovvio che devo trattare i dati sanitari per curare una persona perché devo chiedere una firma extra?”
Cosa dice il Regolamento
Il Regolamento pone delle deroghe al divieto generale di trattare le “categorie particolari di dati”, tra cui rientrano quelli sulla salute. Il Parlamento europeo ha reso lecito il trattamento per:
- motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri (art. 9, par. 2, lett. g) del Regolamento), individuati dall’art. 2-sexties del Codice;
- motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell’Unione o degli Stati membri che preveda misure appropriate e specifiche per tutelare i diritti e le libertà dell’interessato, in particolare il segreto professionale (art. 9, par. 2, lett. i) del Regolamento e Considerando n. 54) (es. emergenze sanitarie conseguenti a sismi e sicurezza alimentare);
- finalità di medicina preventiva, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali (di seguito “finalità di cura”) sulla base del diritto dell’Unione/Stati membri o conformemente al contratto con un professionista della sanità, (art. 9 par. 2, lett. h) e par. 3 del Regolamento e considerando n. 53; art. 75 del Codice) effettuati da (o sotto la responsabilità di) un professionista sanitario soggetto al segreto professionale o da altra persona anch’essa soggetta all’obbligo di segretezza.
Lo stesso Garante, inoltre, tiene a precisare che
Ciò non esclude che a seconda dello specifico trattamento effettuato, non possa ritenersi applicabile al caso concreto una delle altre deroghe previste dall’art. 9 del Regolamento.
Sanità, il Garante interviene – GDPR vs vecchio Codice privacy
Come potete vedere dalla lettera c) del precedente elenco il professionista sanitario, sia esso libero professionista o dipendente/partner di una struttura sanitaria pubblica o privata, non ha più bisogno di chiedere il CONSENSO per il trattamento dei dati sanitari, cosa che in precedenza avveniva in base al Codice Privacy (D.Lgs. 196/03, ovviamente prima della riforma del D.Lgs. 101/18 che ha armonizzato la normativa italiana al contesto del GDPR).
Ovviamente stiamo parlando solo dei trattamenti “necessari” al perseguimento delle finalità di cura, ciò che non è strettamente necessario ha bisogno di un’altra base giuridica per far sì che il trattamento sia lecito (il Consenso è una opzione, ma ne esistono altre). Lo stesso Garante elenca delle categorie a titolo esemplificativo (attenzione: non è esaustivo come sempre):
- App mediche;
- Fidelizzazione della clientela;
- persone giuridiche private per finalità promozionali o commerciali;
- finalità commerciali o elettorali;
- Fascicolo sanitario elettronico.
Anche il caso della refertazione online richiede il consenso dell’Interessato per disposizione di settore in relazione alle modalità di consegna del referto (Decreto del Presidente del Consiglio dei Ministri 8 agosto 2013, art. 5).
Il Contenuto free finisce qui, per l’accesso al contenuto completo effettua il Login o Registrati
[ihc-hide-content ihc_mb_type=”show” ihc_mb_who=”2,11″ ihc_mb_template=”3″ ]Informazioni da fornire all’Interessato
Il Garante è chiaro, il GDPR non ha stravolto il precedente impianto e chiede, pertanto, di integrare gli elementi precedenti con le informazioni aggiuntive richieste dagli art. 13 e 14 del Regolamento. L’Informativa deve essere concisa, trasparente, intelligibile e facilmente accessibile, con linguaggio semplice e chiaro. Le modalità di distribuzione sono a scelta del Titolare del trattamento, che dovrà provvedere a seconda delle necessità.
Le Informative “minestrone” contenenti un po’ tutto sono quasi condannate. E’ necessaria la sintesi. I servizi opzionali dovrebbero essere tenuti separati per rendere possibile la facoltà di scelta (dato che serve il consenso in questi casi) da parte dell’Interessato.
Quanto tempo conservare i dati
L’Informativa, come saprete, deve contenere il periodo di conservazione dei dati (elemento di novità del GDPR) e lo stesso Garante evidenzia come i termini legali non siano stati modificati dalla disciplina sulla protezione dei dati personali e che, quindi, rimangono pienamente in vigore. A titolo esemplificativo elenca:
- Accertamenti effettuati nel corso delle visite per il rilascio del certificato di idoneità all’attività sportiva agonistica, che deve essere conservata dal medico visitatore, per almeno 5 anni (art. 5, D.M. 18/02/1982);
- alla conservazione delle cartelle cliniche che, unitamente ai relativi referti, vanno conservate illimitatamente (Circolare del Ministero della Sanità del 19 dicembre 1985, n. 900 2/AG454/260),
- Alla documentazione iconografica radiologica, che deve essere conservata per un periodo non inferiore a dieci anni (art. 4, D.M. 14 febbraio 1997)
- Nel caso in cui, invece, i tempi di conservazione di specifici documenti sanitari non siano stabiliti da una disposizione normativa, il titolare del trattamento, in virtù del principio di responsabilizzazione (accountability, nda), dovrà individuare tale periodo in modo che i dati siano conservati, in una forma che consenta l’identificazione degli interessati, per un arco di tempo non superiore al conseguimento delle finalità per le quali i dati sono trattati (principio di limitazione della conservazione) e indicare tale periodo (o i criteri per determinarlo) tra le informazioni da rendere all’interessato.
Sanità, il Garante interviene – Nomina DPO
Il Garante ritorna ancora una volta sull’obbligo di nomina del DPO, ossia il Data Protection Officer o in italiano Responsabile alla Protezione dei dati, chiarendo:
- Un ospedale pubblico (gli organismi pubblici sono tenuti da Regolamento),
- un ospedale privato, una casa di cura, una residenza sanitaria assistenziale (RSA) (rientrano nel concetto di larga scala)
sono tenute a nominare tale figura, mentre:
- il singolo professionista sanitario
NO.
Bisogna prestare attenzione a:
- Farmacie;
- Aziende ortopediche e sanitarie;
- Parafarmacie
Per le quali NON serve il DPO in linea generale, ma c’è bisogno di verificare la LARGA SCALA in quanto in caso di sussistenza di tale parametro DEVONO nominare il DPO.
Sanità, il Garante interviene – Registro dei trattamenti
Il Registro dei trattamenti è per il Garante un indice di accountability del Titolare e/o del Responsabile del trattamento e, soprattutto, in ambito sanitario è considerato obbligatorio per tutte le figure professionali in quanto ricade sicuramente una delle seguenti ipotesi:
- trattamento che presenta un rischio per i diritti e le libertà per l’interessato;
- dati relativi a condanne penali e a reati;
- trattamento non occasionale;
- trattamento che includa categorie particolari di dati di cui all’art. 9.
In poche parole DEVONO COMPILARE IL REGISTRO:
- medici in regime di libera professione;
- medici di medicina generale/pediatri di libera scelta;
- ospedali privati;
- case di cura
- RSA
- aziende sanitarie appartenenti al SSN
- farmacie
- parafarmacie
- aziende ortopediche.
Il Registro NON deve essere trasmesso al Garante
Infine, vi forniamo una scheda sintetica per illustrare meglio i singoli obblighi in capo ai professionisti sanitari.
Scheda sintetica
-DEVE NOMINARE UN DPO
-DEVE redigere il Registro dei trattamenti/anche più d’uno
-NON è necessario il CONSENSO per le finalità di cura
-CONSENSO OBBLIGATORIO o altra base giuridica per: refertazione online, fascicolo e dossier sanitario elettronico
-Informativa Privacy da aggiornare alle novità degli articoli 13 e 14 del GDPR
-Cartelle Cliniche vanno tenute non meno di dieci anni (termine massimo non definito)
Vuoi continuare ad approfondire? Prova con questo articolo