Dossier sanitario e privacy. Linee guida del Garante

Maggiori tutele per i dati dei pazienti, piu' trasparenza e obbligo per le strutture sanitarie di comunicare immediatamente all'Autorita' i cosiddetti 'data breach' (violazioni o incidenti informatici, come attacchi, accessi abusivi, azioni di malware, perdita, furto), che possano avere un impatto significativo sui dati. E il paziente avra' la possibilita' di conoscere gli accessi eseguiti sul proprio dossier. Sono le nuove linee guida varate dal Garante della privacy in materia di dossier sanitario elettronico, vale a dire lo strumento costituito presso un'unica struttura sanitaria (un ospedale, un'azienda sanitaria, una casa di cura), che raccoglie informazioni sulla salute di un paziente al fine di documentarne la storia clinica presso quella singola struttura e offrirgli un migliore processo di cura.
Scopo delle Linee guida e' definire un quadro di riferimento unitario per il corretto trattamento dei dati raccolti nei dossier, gia' istituiti o che si intendono istituire, da parte di strutture sanitarie pubbliche e private. Il dossier sanitario elettronico si differenzia dal fascicolo sanitario elettronico per il fatto che quest'ultimo raccoglie l'intera storia clinica di una persona generata da piu' strutture sanitarie. Il provvedimento del Garante, in corso di pubblicazione nella Gazzetta ufficiale, stabilisce in particolare che ai pazienti deve essere consentito di scegliere, in piena liberta', se far costituire o meno il dossier sanitario. In assenza del consenso, il medico avra' a disposizione solo le informazioni rese in quel momento dal paziente o in precedenti prestazioni fornite dallo stesso professionista. La mancanza del consenso non deve incidere minimamente sulla possibilita' di accedere alle cure richieste. Per poter inserire nel dossier informazioni particolarmente delicate (come infezioni Hiv, interventi di interruzione volontaria della gravidanza, dati relativi ad atti di violenza sessuale o pedofilia) sara' necessario un consenso specifico. Per consentire al paziente di scegliere in maniera libera e consapevole, la struttura dovra' informarlo in modo chiaro, indicando in particolare, chi avra' accesso ai suoi dati e che tipo di operazioni potra' compiere.
La struttura sanitaria inoltre, dovra' garantire al paziente l'esercizio dei diritti riconosciuti dal Codice privacy (accesso ai dati, integrazione, rettifica, etc.) e la conoscenza del reparto, della data e dell'orario in cui e' avvenuta la consultazione del suo dossier. Al paziente dovra' essere garantita anche la possibilita' di "oscurare" alcuni dati o documenti sanitari che non intende far confluire nel dossier. Considerata la particolare delicatezza del dossier, il Garante della privacy ha prescritto l'adozione di elevate misure di sicurezza. I dati sulla salute dovranno essere separati dagli altri dati personali, e dovranno essere individuati criteri per la cifratura dei dati sensibili. L'accesso al dossier sara' consentito solo al personale sanitario coinvolto nella cura. Ogni accesso e ogni operazione effettuata, anche la semplice consultazione, saranno tracciati e registrati automaticamente in appositi 'file di log' che la struttura dovra' conservare per almeno 24 mesi. Eventuali violazioni di dati o incidenti informatici dovranno essere comunicati all'Autorita' entro 48 ore dalla conoscenza del fatto, attraverso un modulo predisposto dal Garante stesso all'indirizzo [email protected].