![\"\"](\"http:\/\/www.lacostituzione.info\/wp-content\/uploads\/2017\/02\/th-6-150x149.jpg\")
di Ilenia Alagna<\/strong>*<\/a><\/p>\nIl Garante per la protezione dei dati personali, con provvedimento n. 331 del 4 giugno 2015<\/strong><\/a>, oltre a dettare le Linee guida che puntano a definire un quadro di riferimento unitario per il corretto trattamento dei dati raccolti nei dossier elettronici da parte di strutture sanitarie pubbliche e private, ha previsto le principali indicazioni a tutela dei pazienti e le prescrizioni per i titolari del trattamento.<\/p>\n In tale provvedimento rileva la differenza tra il dossier sanitario elettronico<\/strong> che \u00e8 lo strumento che raccoglie informazioni sulla salute di un paziente al fine di documentarne la storia clinica presso un\u2019unica struttura sanitaria (ospedale, casa di cura, azienda sanitaria) ed il fascicolo sanitario elettronico<\/strong> in cui confluisce, invece, l’intera storia clinica di una persona generata da pi\u00f9 strutture sanitarie.<\/p>\n Il tema del trattamento di dati personali effettuato tramite dossier sanitario utilizzato presso le strutture sanitarie era gi\u00e0 stato affrontato dall’Autorit\u00e0 nel 2009 prima di essere ripresa nelle Linee guida del 4 giugno 2015. In tale ultimo provvedimento il Garante ha illustrato gli adempimenti in materia di protezione dei dati personali che i titolari che effettuano trattamenti di dati personali, mediante il dossier sanitario, devono porre in essere per conformare gli stessi ai principi di legittimit\u00e0 stabiliti dal Codice, nel rispetto di elevati standard di sicurezza.<\/p>\n Il Garante, da un lato, ha ribadito gli adempimenti in materia di protezione dei dati personali trattati in ambito sanitario, fornendo indicazioni sulle modalit\u00e0 attuative degli stessi, e dall’altro lato ha prescritto che i titolari del trattamento comunichino al Garante, entro quarantotto ore dalla conoscenza del fatto, le violazioni dei dati personali trattati attraverso il dossier sanitario. L\u2019Autorit\u00e0 ha inoltre previsto che i titolari devono fornire all’interessato, che ha manifestato il proprio consenso al trattamento dei dati personali mediante il dossier sanitario, un riscontro alla richiesta avanzata dallo stesso o da un suo delegato volta a conoscere gli accessi eseguiti sul proprio dossier con l’indicazione della struttura o reparto che ha effettuato l’accesso, della data e dell’ora dello stesso.<\/p>\n Nella segnalazione pervenuta al Garante si lamentava una presunta violazione della disciplina in materia di protezione dei dati personali relativamente alle modalit\u00e0 di funzionamento del sistema informativo di archiviazione e refertazione delle prestazioni sanitarie erogate dall’Azienda USL 11 di Empoli. Da tale segnalazione sono poi derivate una serie di misure, dettate dallo stesso Garante Privacy, per sanare gravi violazioni riscontrate nella gestione di oltre 350 mila dossier sanitari<\/strong>, relativi a persone che si sono rivolte alla struttura.<\/p>\n Una prima irregolarit\u00e0 emersa nel corso degli accertamenti ispettivi riguardava gli accessi indiscriminati al sistema informatico. Secondo quanto segnalato gli applicativi in uso presso i diversi reparti dell’Azienda sarebbero stati configurati in modo tale da consentire ad ogni medico di accedere non solo ai dati personali dei propri pazienti, ma anche a quelli di qualsiasi altra persona che sia stata in cura presso la struttura sanitaria. L’accesso del personale sanitario autorizzato sarebbe, pertanto, indipendente dalla circostanza che le informazioni che questi possono conoscere siano riferite a soggetti dagli stessi assistiti. Durante i suddetti accertamenti \u00e8 stato verificato che il sistema informativo in uso presso la suddetta Azienda era finalizzato a gestire il percorso di cura dei pazienti che si rivolgono alla stessa e che lo stesso pu\u00f2 essere inquadrato nella definizione di dossier sanitario di cui alle menzionate Linee guida del Garante. In sede di accertamento ispettivo \u00e8 emerso che gli utenti dell’Azienda USL 11 di Empoli, abilitati ad accedere al sistema informatico mediante specifiche credenziali di autenticazione, erano circa 1.400, cui sono stati attribuiti diversi profili di accesso in relazione ai ruoli e alle funzioni agli stessi attribuite. Inoltre il personale sanitario (medico, infermieristico e farmacisti operanti presso l’Azienda) accede al sistema per finalit\u00e0 di cura, visualizzando tramite lo stesso, il dossier sanitario di tutti i pazienti assistiti dalla struttura di assegnazione di chi effettua l’accesso. In base a quanto emerso nel corso dell\u2019accertamento ispettivo e dall’esame della documentazione in atti, alcune delle specifiche garanzie previste dal Codice e richiamate nelle citate Linee guida del 2009 e del 2015 non sono state rispettate nel trattamento dei dati personali effettuati attraverso il dossier sanitario in uso presso l’Azienda USL 11 di Empoli. L’Autorit\u00e0 prende atto che subito dopo il predetto accertamento ispettivo l’Azienda ha posto in essere azioni migliorative che, tuttavia, non hanno consentito il superamento delle criticit\u00e0 riscontrate in sede ispettiva e di esame documentale degli atti inviati all’Autorit\u00e0 successivamente agli accertamenti in loco.<\/p>\n Un\u2019ulteriore irregolarit\u00e0 emersa nel corso degli accertamenti ispettivi riguardava l\u2019informativa. Questa era priva degli elementi essenziali per consentire una scelta consapevole sulla costituzione o meno del dossier. Essendo il dossier sanitario un trattamento di dati personali effettuato con modalit\u00e0 elettroniche atte a consentire un\u2019integrazione massiva di dati e documenti contenenti informazioni idonee a rivelare lo stato di salute, assume particolare rilievo il diritto riconosciuto all’interessato di poter ottenere l’indicazione della logica applicata a tale trattamento (art. 7, comma 2, lett.c, Codice Privacy), ovvero l’indicazione dei criteri utilizzati nell’elaborazione elettronica dei dati. Il trattamento dei dati personali effettuato tramite il dossier costituisce un trattamento \u201cfacoltativo\u201d: all’interessato deve essere consentito di scegliere, in piena libert\u00e0, che le informazioni cliniche che lo riguardano siano trattate o meno in un dossier sanitario, garantendogli anche la possibilit\u00e0 che i dati sanitari restino disponibili solo al professionista sanitario che li ha redatti, senza la loro necessaria inclusione in tale strumento, ed informandolo inoltre che tale scelta non incide sulle cure mediche richieste. Quindi qualora l’interessato non manifesti il proprio consenso al trattamento dei dati personali mediante il dossier sanitario, il professionista che lo prende in cura avr\u00e0 a disposizione solo le informazioni rese in quel momento dallo stesso interessato e quelle relative alle precedenti prestazioni erogate dallo stesso professionista. Analogamente, in tale circostanza, il personale sanitario di reparto o ambulatorio avr\u00e0 accesso solo alle informazioni relative all’episodio per il quale l’interessato si \u00e8 rivolto presso quella struttura e alle altre informazioni relative alle eventuali prestazioni sanitarie erogate in passato a quel soggetto da quel reparto o ambulatorio.<\/p>\n Un\u2019 ultima irregolarit\u00e0 riguarda il consenso. Il segnalante adduceva di non aver prestato alcun consenso informato in relazione al proprio trattamento di dati personali. La\u00a0costituzione del dossier, infatti, avvenne senza il consenso del paziente che fu, poi, acquisito solo a partire dal 2015, cinque anni dopo l’introduzione del documento elettronico nell’Azienda. Secondo quanto dichiarato in sede di accertamento ispettivo, l’Azienda USL 11 di Empoli, in qualit\u00e0 di titolare del trattamento, ha iniziato a raccogliere il consenso informato degli interessati in merito al trattamento dei dati personali effettuato mediante il dossier sanitario solo dal mese di febbraio 2015, sebbene tale strumento fosse in uso presso la stessa gi\u00e0 dal 2010. Si pu\u00f2 quindi affermare che l’Azienda ha trattato i dati personali degli interessati mediante il dossier sanitario dal 2010 al febbraio 2015 senza aver acquisito il consenso informato degli stessi.<\/p>\n <\/p>\n Il Provvedimento adottato dal Garante Privacy n. 4449114<\/strong><\/a> ha prescritto all’Azienda\u00a0USL 11 di Empoli, entro il 31 marzo 2016\u00a0di:<\/p>\n -modificare l’informativa, integrandola con tutti gli elementi previsti dalla normativa;<\/p>\n -adottare opportuni accorgimenti, anche tecnici, affinch\u00e9 i dati dei pazienti contenuti nei dossier sanitari siano accessibili solo ai professionisti sanitari che assistono il paziente in quel momento e solo per il tempo necessario alla cura; gli stessi non dovranno pi\u00f9 essere condivisi con gli operatori di altri reparti.<\/p>\n Il medico potr\u00e0 consultare anche altri dossier, motivando la richiesta\u00a0sulla base di una casistica predeterminata dall’Azienda (ad. es. guardia medica, richiesta di consulenza ecc..). Il\u00a0personale amministrativo\u00a0potr\u00e0 accedere esclusivamente ai dossier e ai dati indispensabili all’assolvimento delle sue funzioni.<\/p>\n L’Autorit\u00e0 Garante si \u00e8 riservata di valutare, con provvedimento separato, gli estremi per contestare all’Azienda l’applicazione delle sanzioni amministrative previste dal Codice della Privacy.<\/p>\n *<\/a> Cultore della materia in Informatica Giuridica presso l\u2019Universit\u00e0 di Milano<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" di Ilenia Alagna* Il Garante per la protezione dei dati personali, con provvedimento n. 331 del 4 giugno 2015, oltre a dettare le Linee guida che puntano a definire un quadro di riferimento unitario per il corretto trattamento dei dati raccolti nei dossier elettronici da parte di strutture sanitarie pubbliche e private, ha previsto le … Leggi tutto<\/a><\/p>\n