Il Garante Privacy, il 4 Giugno 2015, ha adottato le nuove Linee Guida sul Dossier Sanitario Elettronico alle quali dovranno attenersi tutte le Strutture Sanitarie, pubbliche e private, che utilizzano o che intendono istituire il Dossier Sanitario elettronico.
Sul tema il Garante era già intervenuto nel 2009 con le “Linee guida in tema di Fascicolo Sanitario Elettronico (Fse) e di Dossier Sanitario“(provv. del 16 luglio 2009), in cui aveva dato una definizione di FSE (Fascicolo Sanitario Elettronico) e Dossier Sanitario.
Attraverso le Nuove Linee Guida, il Garante Privacy fornisce un quadro di riferimento unitario, che i titolari del trattamento dovranno seguire per conformarsi ai principi stabiliti dal Codice Privacy, visto il crescente utilizzo di questi strumenti in ambito sanitario.
Allo scopo di agevolare la lettura del documento, nell’allegato C vengono riportate le definizioni dei principali vocaboli utilizzati nelle Linee Guida.
Vediamo in dettaglio quali sono le principal novità che vengono introdotte:
- Libera scelta al paziente, che dovrà poter decidere in piena libertà se far costituire o meno il dossier sanitario, quindi un trattamento Specifico e Facoltativo;
- Consenso L’interessato dovrà scegliere in piena libertà, se adottare il Dossier Sanitario o meno (Facoltatività del Consenso). In assenza del consenso il medico avrà a disposizione solo le informazioni rese in quel momento dal paziente o in precedenti prestazioni fornite dallo stesso professionista;
- Consenso specifico, per poter inserire nel dossier informazioni particolarmente delicate (infezioni Hiv, interventi di interruzione volontaria della gravidanza, dati relativi ad atti di violenza sessuale o pedofilia);
- Informativa chiara in cui andrà indicato chi avrà accesso ai suoi dati e che tipo di operazioni potrà compiere. L’informativa dovrà seguire tutti gli elementi previsti dall’art. 13 del Codice.
- Esercizio dei diritti al paziente (art.7 e ss. del Codice), tra cui il diritto di accesso ai dati, di integrazione, di rettifica, di oscuramento di alcuni dati o documenti sanitari che non intende far confluire nel dossier, di conoscere il reparto, la data e l’orario in cui è avvenuta la consultazione del suo Dossier Sanitario;
- Elevate misure di sicurezza, tra cui la separazione dei dati sanitari dai dati personali, la cifratura dei dati sensibili, l’accesso al Dossier Sanitario solo al personale sanitario coinvolto nella cura, la tracciatura automatica (da conservare per almeno 24 mesi) di ogni operazione (inclusa la mera visualizzazione) sul Dossier Sanitario;
- Data Breach, segnalazione al Garante Privacy entro 48 ore di eventuali violazioni di dati o incidenti informatici, attraverso un modulo predisposto ad hoc.
Le misure di sicurezza
Possiamo notare come nelle Linee Guida il Garante sottolinei l’importanza dell’adozione di Misure di Sicurezza specifiche, cioè: Sistemi di Autenticazione e di Autorizzazione; Tracciabilità degli accessi e delle operazioni effettuate; Sistemi di Audit Log; Separazione e cifratura dei dati.
Inoltre, novità che anticipa il Nuovo Regolamento Europeo, il Data Breach. La comunicazione obbligatoria da inviare al Garante Privacy, in caso di incidenti informatici (accessi abusivi, azione di malware, etc.), oppure nel caso di violazione. La comunicazione andrà fatta entro 48 ore attraverso uno schema che troviamo nell’ allegato B delle Linee Guida sul Dossier Sanitario.
A ciò si aggiunge, o meglio come auspica il Garante, di individuare una figura come responsabile del trattamento dei dati, il Data Protection Officer (DPO). Questi sarà il referente con il Garante e dovrà relazione nei casi di data breach.
(Fonte Garante Privacy)