Il GDPR in sanità richiede di proteggere le informazioni cliniche senza ostacolare le cure necessarie. Per riuscirci, ospedali, ASL e studi medici devono distinguere la prestazione sanitaria dalle successive utilizzazioni dei dati: consultazione della storia clinica, consegna digitale di un referto, fatturazione, ricerca e comunicazione a un assicuratore non sono un unico trattamento autorizzato da una firma iniziale.
Una gestione affidabile collega ogni finalità alle informazioni realmente necessarie, alle persone autorizzate e alla regola che permette il trattamento. Questa guida spiega come costruire tali collegamenti, con particolare attenzione alle disposizioni italiane e alle differenze fra cartella clinica, dossier e Fascicolo sanitario elettronico. Gli esempi organizzativi sono indicazioni operative da adattare alla struttura, non termini o modelli imposti indistintamente dalla legge.
Individuare insieme la base dell’articolo 6 e la condizione dell’articolo 9
I dati relativi alla salute appartengono alle categorie particolari dell’articolo 9 GDPR. Il divieto generale di trattarli ammette le eccezioni previste dallo stesso articolo, ma individuarne una non sostituisce la verifica di una base giuridica dell’articolo 6. La struttura deve documentare entrambe, considerando il proprio ruolo, la finalità e la normativa applicabile.
Per diagnosi, assistenza e terapia, l’articolo 9, paragrafo 2, lettera h), opera alle condizioni previste dalla norma, compreso il diritto applicabile o il contratto con un professionista sanitario e le garanzie di segretezza del paragrafo 3. Sul versante dell’articolo 6, una struttura pubblica può dover ricondurre l’attività al compito di interesse pubblico o a obblighi legali; un professionista privato deve verificare, secondo l’operazione, necessità contrattuale e obblighi normativi. Non basta indicare genericamente «dati sanitari» nel gestionale.
I chiarimenti del Garante del 7 marzo 2019 spiegano che il professionista soggetto al segreto non deve raccogliere un consenso privacy per i trattamenti necessari alla prestazione sanitaria alle condizioni dell’articolo 9, paragrafo 2, lettera h). Questo non elimina il consenso informato all’atto medico, che risponde a una disciplina distinta. Neppure autorizza automaticamente impieghi promozionali delle informazioni cliniche.
La ricerca richiede una valutazione propria: non è corretto affermare che ogni progetto utilizzi necessariamente il consenso, oppure che tutti i dati raccolti durante la cura siano riutilizzabili senza ulteriori condizioni. Prima di trasferire un insieme di cartelle a un gruppo di ricerca, precisate scopo, fondamento normativo, garanzie e destinatari. Se non serve conoscere l’identità, progettate il flusso di conseguenza; la pseudonimizzazione e l’anonimizzazione hanno effetti diversi e un codice sostitutivo non rende automaticamente anonimo il paziente.
Separare la cartella dal dossier e dal FSE
Una cartella clinica documenta un episodio assistenziale. Il dossier permette invece la condivisione della storia clinica fra professionisti di una stessa struttura. Il FSE collega informazioni provenienti da più soggetti attraverso l’assetto previsto dalla normativa nazionale. La somiglianza dell’interfaccia non permette di applicare a tutti e tre gli strumenti la stessa scelta di accesso.
Le FAQ del Garante sul dossier richiedono un consenso informato alla sua utilizzazione, senza subordinare le cure all’adesione. La revoca interrompe l’alimentazione e la condivisione fra reparti, mentre i documenti restano disponibili a chi li ha prodotti e per le conservazioni legittime. Sono inoltre previste possibilità di oscuramento e di conoscenza degli accessi. Traducete queste scelte in configurazioni effettive, evitando che una revoca resti annotata soltanto in una pratica amministrativa.
Per il FSE, le FAQ attuali del Garante distinguono l’alimentazione automatica, introdotta nel 2020 indipendentemente dal consenso, dalla consultazione per finalità di cura, che richiede ancora il consenso dell’assistito. Il suo rifiuto o la revoca non devono impedire la prestazione. Il diritto di oscuramento opera secondo le regole specifiche del fascicolo; il personale non può superarlo semplicemente perché considera utile una visione completa.
L’accesso al FSE senza consenso in emergenza ha condizioni rigorose: impossibilità fisica o incapacità dell’interessato e rischio grave, imminente e irreparabile per salute o incolumità. La consultazione riguarda prima il profilo sintetico e, se necessario, altri documenti, escludendo quelli oscurati e limitandosi al tempo indispensabile. La guida al FSE, consultazione e oscuramento aiuta a distinguere questi passaggi nella procedura interna.
Autorizzare gli accessi secondo il lavoro concreto
L’appartenenza alla struttura non giustifica una visibilità universale. Un addetto alle prenotazioni, un medico curante e un amministratore tecnico hanno esigenze diverse. Per ogni profilo, indicate quali categorie di informazioni sono consultabili, per quale attività e con quale durata dell’abilitazione. Quando una persona cambia reparto o cessa il rapporto, aggiornate i permessi senza attendere la successiva revisione generale.
Il controllo degli accessi al dossier sanitario deve collegare autorizzazioni, tracciamento e verifica delle anomalie. Un registro tecnico inutilizzabile non aiuta a ricostruire una consultazione contestata. Stabilite chi analizza gli eventi, come vengono preservati quelli pertinenti a un’indagine e come si risponde a un paziente che segnala un accesso sospetto, rispettando anche i dati di altre persone coinvolte.
Un esempio operativo è il trasferimento temporaneo di un infermiere. Il responsabile del reparto conferma il periodo e le necessità assistenziali; l’amministrazione tecnica applica il profilo previsto; alla fine, l’accesso aggiuntivo viene rimosso. Conservare la motivazione della variazione permette di verificare la decisione, senza trasformare ogni accesso in un’autorizzazione manuale che rallenti la cura.
Consegnare referti e informazioni senza esporre il paziente
La refertazione online ha una scelta specifica, distinta dal trattamento necessario alla cura. Le FAQ del Garante sui referti online richiedono informazione dedicata e consenso al servizio, con possibilità di escludere singoli esami. La FAQ 11 esclude dalla modalità di refertazione digitale trattata in tali indicazioni i referti di indagini genetiche o relative all’HIV: la scelta del paziente non rende quindi disponibile quel servizio per ogni esame. Per la consultazione sul sito indicano autenticazione forte e disponibilità massima di quarantacinque giorni: questo limite riguarda quel servizio di consultazione, non la durata generale della documentazione sanitaria.
Nell’invio sicuro dei referti, la verifica del destinatario viene prima della consegna. Un indirizzo inserito mesi prima può essere errato o appartenere a una casella condivisa. Definite come il paziente conferma il recapito e come vengono gestite deleghe e cambiamenti. Un avviso di disponibilità non dovrebbe rivelare l’esito dell’esame né informazioni cliniche nell’oggetto o nell’anteprima.
La discrezione riguarda anche sportelli, sale d’attesa e conversazioni telefoniche. Prima di comunicare informazioni a chi si presenta come familiare, occorre verificare il titolo che consente la comunicazione. La comodità di un accompagnatore non sostituisce una delega o altra condizione applicabile. In formazione, esercitate questi casi con esempi realistici, perché un sistema informatico protetto non corregge una consegna verbale al soggetto sbagliato.
Definire ruoli, fornitori e responsabilità
Il titolare decide finalità e mezzi essenziali. Un fornitore che gestisce dati per conto della struttura può essere responsabile del trattamento; un laboratorio o altro professionista che determina autonomamente finalità e mezzi può invece operare come titolare distinto. Una collaborazione può anche comportare contitolarità quando ricorrono i presupposti dell’articolo 26. Il nome commerciale del servizio non risolve la qualificazione.
Quando si applica l’articolo 28, serve un contratto o altro atto giuridico vincolante previsto dal diritto dell’Unione o nazionale, in forma scritta anche elettronica. Verificate istruzioni, riservatezza, sicurezza, subresponsabili, assistenza e verifiche. Alla conclusione, il responsabile restituisce o cancella i dati secondo la scelta del titolare e cancella le copie, salvo conservazione imposta dal diritto dell’Unione o di uno Stato membro.
Nella scelta di un software per la conformità GDPR, chiedete dimostrazioni sui vostri flussi: assegnazione delle attività, ricostruzione delle decisioni ed esportazione dei documenti utili. Per un applicativo clinico valutate anche autorizzazioni, assistenza tecnica e ripristino. La sede europea del fornitore non esclude automaticamente trasferimenti: contano destinatari effettivi, subfornitori e accessi da paesi terzi, da esaminare secondo il capo V.
Il rapporto con un’assicurazione merita un controllo separato. Una richiesta di rimborso non autorizza l’invio dell’intera storia clinica. Individuate dati pertinenti e condizioni della comunicazione, tenendo distinti i ruoli della struttura e dell’impresa. L’approfondimento sul GDPR nelle assicurazioni serve a valutare il destinatario senza assimilarlo automaticamente a un fornitore della clinica.
Registro, DPO e valutazione d’impatto
Il registro dei trattamenti deve rappresentare le attività reali, non soltanto l’elenco dei programmi acquistati. Per una struttura sanitaria, cura, gestione del personale e fatturazione possono avere finalità, destinatari e conservazioni differenti. L’esenzione dell’articolo 30 per organizzazioni con meno di 250 addetti è limitata: non opera, per i trattamenti interessati, quando ricorrono rischio per le persone, carattere non occasionale, categorie particolari dell’articolo 9 oppure dati su condanne penali e reati dell’articolo 10. Le normali attività cliniche non diventano esenti perché lo studio è piccolo.
Il DPO o RPD è obbligatorio per autorità e organismi pubblici, salvo le autorità giurisdizionali nell’esercizio delle funzioni giurisdizionali. Nel privato rilevano, tra l’altro, attività principali che comportano trattamento su larga scala di categorie particolari o dati su condanne e reati, oppure monitoraggio regolare e sistematico su larga scala. Il singolo professionista sanitario non va equiparato automaticamente a un ospedale. La valutazione deve considerare attività e dimensioni effettive, mantenendo documentata la conclusione.
La DPIA è obbligatoria per il trattamento su larga scala di categorie particolari dell’articolo 9 o di dati su condanne penali e reati dell’articolo 10, secondo l’articolo 35, paragrafo 3, lettera b), e nelle altre situazioni previste dal GDPR e dagli elenchi applicabili. Va effettuata prima del trattamento. Un modello di valutazione d’impatto può organizzare l’analisi, ma occorre descrivere concretamente minacce, conseguenze sulle persone e misure. Se permane un rischio elevato senza misure sufficienti a mitigarlo, l’articolo 36 impone la consultazione preventiva dell’autorità.
Informative, richieste e conservazione
L’informativa deve chiarire titolare, contatti del DPO ove previsto, finalità, basi, destinatari, conservazione e diritti, includendo gli altri elementi richiesti dagli articoli 13 o 14 secondo l’origine dei dati. Una spiegazione progressiva può aiutare il paziente, purché il dettaglio resti accessibile. La firma di ricezione non trasforma l’informativa in consenso a tutte le attività descritte.
Organizzate le richieste in modo che arrivino a chi può ricercare i dati nei diversi sistemi. Il termine generale dell’articolo 12 è un mese, prorogabile di altri due per complessità o numero delle richieste, informando entro il primo mese della proroga e dei motivi. Se non si dà seguito, motivi e possibilità di reclamo e ricorso giurisdizionale vanno comunicati senza ritardo e al più tardi entro un mese dalla ricezione. L’identificazione deve essere proporzionata, senza richiedere automaticamente una copia del documento per qualsiasi domanda.
Le regole di conservazione dei dati dipendono dal documento e dalla sua funzione. Distinguete cartella, referto, copia di lavoro, log e documento contabile, indicando fonte del termine o criterio utilizzato e relativo evento iniziale. L’obbligo di conservare un documento non autorizza tutti gli operatori a consultarlo indefinitamente. La cancellazione richiesta dal paziente va valutata rispetto alle condizioni e alle eccezioni dell’articolo 17, senza promettere né distruzione immediata di ogni archivio né conservazione illimitata di qualsiasi copia.
Progettare sicurezza e continuità insieme ai sanitari
L’articolo 32 del GDPR richiede misure adeguate al rischio, considerando anche stato dell’arte, costi, natura e contesto del trattamento. Non impone una medesima combinazione tecnica a ogni studio e ospedale. Tuttavia la scelta deve essere spiegabile: quali danni potrebbe provocare un accesso abusivo, una modifica errata o l’assenza di un dato durante una decisione clinica, e come vengono ridotti?
Coinvolgete chi utilizza il sistema. Se una protezione rende impossibile una prestazione urgente, gli operatori possono ricorrere a canali impropri. Definite invece un percorso eccezionale controllato, coerente con i presupposti giuridici del trattamento, con autorizzazioni, motivazione e verifica successiva. Una funzione tecnica di emergenza non crea da sola una base giuridica per consultare dossier o FSE.
Per le copie di sicurezza, chiarite quali dati vengono salvati, chi può recuperarli e come si evita di reintrodurre nell’uso corrente informazioni che dovevano essere cancellate o limitate. Verificate il ripristino rispetto alle esigenze assistenziali, non soltanto la presenza di un file di backup. Quando un applicativo viene sostituito, pianificate accessibilità degli archivi legittimamente conservati, trasferimento dei permessi e disattivazione delle vecchie credenziali.
La formazione può partire da un errore concreto: un account condiviso impedisce di attribuire le operazioni; una cartella esportata sul dispositivo personale sfugge alle normali protezioni; un messaggio urgente può indurre a ignorare l’identificazione del richiedente. Raccogliete le difficoltà segnalate dal personale e correggete il processo. Frequenza e contenuti della formazione vanno adattati a ruoli e cambiamenti, senza inventare un calendario annuale universalmente stabilito dal GDPR.
Gestire una violazione e verificare le misure
Un attacco informatico, un referto consegnato a un omonimo o una consultazione abusiva possono costituire una violazione di dati personali. Contenete l’incidente, preservate elementi utili e valutate effetti sulla riservatezza, integrità e disponibilità. Anche l’indisponibilità di informazioni necessarie alla cura può avere conseguenze importanti, pur senza prova di pubblicazione online.
La notifica al Garante deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione, salvo sia improbabile un rischio per diritti e libertà. Se è tardiva, spiegate le ragioni; documentate comunque tutte le violazioni. La comunicazione agli interessati segue la distinta valutazione del rischio elevato dell’articolo 34, con le condizioni ed eccezioni previste: non coincide automaticamente con la decisione di notificare all’autorità.
Assegnate prima dell’incidente chi raccoglie i fatti, chi valuta il rischio e chi approva le comunicazioni. Il responsabile del trattamento avverte il titolare senza ingiustificato ritardo; la procedura contrattuale deve consentire a quest’ultimo di rispettare i propri obblighi. Verificate inoltre la possibilità effettiva di ripristinare dati e servizi e mantenete separati gli accessi amministrativi da quelli ordinari.
La lettura delle sanzioni del Garante in sanità può offrire casi da discutere internamente, verificando sempre decisione, data e stato procedurale. Per valutare la vostra organizzazione, però, servono prove proprie: una revoca applicata, una richiesta evasa, un’abilitazione rimossa e un ripristino riuscito. Questi riscontri rendono visibile se le regole documentate funzionano davvero durante l’attività assistenziale.