Trattamento dati personali in sanità: dossier sanitario

Con la Deliberazione del 4 giugno 2015 il Garante della privacy ha adottato le linee guida in materia di dossier sanitario. Le motivazioni che stanno dietro tale scelta sono da rin venirsi nel fatto che l’utilizzazione dei dossier sanitari, per come si erano originariamente diffusi, presentava considerevoli rischi per i dati personali dei pazienti. Infatti, lo stesso Garante aveva esplicitato una serie di criticità relativamente all’uso di tali strumenti, in quanto: (i) nella maggior parte dei casi i dossier sanitari erano sviluppati in modo non organizzato ed erano frutto di iniziative estemporanee di informatizzazione delle cartelle cliniche di reparto o di ambulatorio; (ii) non vi era la certezza della veridicità delle informazioni contenute; (iii) vi era il forte rischio che dette informazioni fossero accessibili, modificabili ed addirittura diffuse da soggetti non legittimati.

Da un punto di vista definitorio, il dossier sanitario è l’insieme dei dati personali derivanti dagli eventi clinici presenti e passati relativamente al soggetto interessato, i quali vengono condivisi in maniera logica e connessa tra i vari professionisti sanitari che assistono il paziente presso lo stesso titolare del trattamento. Si tratta, quindi, di un trattamento di dati sanitari del paziente in grado di documentare tutta o una parte della storia clinica del medesimo.

In ragione di ciò, il dossier configura un trattamento di dati ulteriore e diverso rispetto al trattamento che il professionista sanitario compie allorquando acquisisce le informazioni relative al paziente nel momento in cui gli fornisce la singola prestazione di cura.

I presenti contributi sono tratti da 

Informativa

In considerazione del fatto che per la tenuta e l’implementazione del dossier sanitario, è necessario uno specifico e ulteriore consenso rispetto a quello rilasciato dal paziente per il trattamento dei suoi dati relativamente alla singola prestazione di cura relativamente alla quale egli si era rivolto al sanitario. Il trattamento dei dati personali del paziente che viene realizzata attraverso il dossier sanitario comporta l’obbligo di fornire all’interessato una specifica informativa ai sensi dell’articolo 13 del codice privacy (quindi, dal 25 maggio 2018 in poi, ai sensi degli artt. 13 o 14 del GDPR).

Nello specifico, all’interno della suddetta informativa, le linee guida in esame prevedono che debbano essere fornite le seguenti informazioni in maniera chiara:

1. che il titolare del trattamento intende realizzare un dossier sanitario contenente, quindi, l’insieme di informazioni personali sanitarie relative all’interessato che documentino tutta o parte della sua storia sanitaria e che permetta così ai vari professionisti sanitari che lo hanno in cura di poter accedere in maniera condivisa a tutte tali informazioni, in modo da garantire una migliore cura del paziente medesimo;
2. che, nel caso in cui l’interessato rifiuti il consenso al trattamento dei dati personali attraverso il dossier, tale sua scelta non gli impedirà di accedere alle cure mediche;
3. che il dossier potrà essere consultato sena il suo consenso, nel rispetto della relativa autorizzazione generale del garante privacy, nel caso in cui ciò sia ritenuto indispensabile per la salvaguardia della salute di un terzo o della collettività;
4. quali sono i soggetti o le categorie di soggetti a cui possono essere comunicati o comunque possono venire a conoscenza dei dati personali dell’interessato che sono trattati attraverso il dossier;
5. che i dati personali trattati attraverso il dossier non possono essere oggetto di diffusione poiché si tratta di dati idonei a rivelare lo stato di salute dell’interessato;
6. che il dossier sanitario può eventualmente essere consultato anche da professionisti sanitari che svolgono la libera professione intramuraria nella struttura sanitaria (cd. intramoenia) oppure da quelli che forniscono le proprie prestazioni professionali fuori dal normale orario di lavoro utilizzando le strutture ambulatoriali e diagnostiche della struttura sanitaria a fronte del pagamento di una tariffa da parte del paziente;
7. nell’individuazione dei suddetti soggetti che possono accedere a dossier sanitario, quali sono gli specifici criteri di profilazione degli utenti che sono adottati;
8. quali sono le misure previste per la protezione dei dati, per evitare il rischio di accessi non autorizzati e dei trattamenti non consentiti nonché le misure adottate per garantire l’esattezza, l’integrità e la non modificabilità dei dati;
9. quali sono le modalità attraverso cui l’interessato può esercitare i diritti di cui agli articoli 7 e seguenti del codice privacy (evidentemente, dal 25 maggio 2018, tale richiamo dovrà ritenersi esteso ai diritti riconosciuti all’interessato dal GDPR);
10. l’eventuale possibilità che siano accessibili attraverso il dossier sanitario anche i dati relativi a prestazioni sanitarie eseguite a favore di soggetti rispetto ai quali sono previste specifiche disposizioni a tutela dell’anonimato dell’interessato e della sua dignità personale (per esempio, le prestazioni fornite a persone sieropositive o che usano sostanze stupefacenti o a donne che si sottopongono all’interruzione volontaria della gravidanza o le prestazioni fornite in occasione di atti di violenza sessuale o di pedofilia).

La suddetta informativa deve essere fornita dal titolare del trattamento, il quale è tenuto, altresì, a individuare le modalità attraverso cui i soggetti autorizzati possono accedere al dossier e possono verificare se sia stata resa l’informativa ed acquisito il consenso dell’interessato al trattamento dei suoi dati personali attraverso il dossier sanitario.

L’informativa deve essere fornita all’interessato prima dell’acquisizione del suo consenso al trattamento dei dati attraverso il dossier sanitario e deve essere facilmente consultabile dallo stesso anche dopo che ha prestato il proprio consenso al trattamento.

I presenti contributi sono tratti da