L’Autorità Garante per la protezione dei dati personali ha avviato un’istruttoria sul trattamento dei dati effettuato tramite dossier sanitario presso un’Azienda Ospedaliera, a seguito di una segnalazione sul sistema di refertazione delle prestazioni sanitarie. Dall’analisi è emerso che il sistema consentiva accessi non autorizzati ai dati dei pazienti e che mancavano sia l’informativa sia il consenso al trattamento, evidenziando criticità rilevanti rispetto al Codice privacy e alle Linee guida del 2015.
Criticità riscontrate
Informativa e consenso sull’utilizzo del Dossier Sanitario.
Ritardo nella raccolta del consenso informato e informative incomplete rispetto all’art. 13 del Codice privacy; mancanza di distinzione tra dati per cura e dati per ricerca.
Nel modello di informativa in questione, emergono anche numerose omissioni rispetto agli elementi richiesti dall’art. 13 del Codice come obbligatori: non vengono indicate correttamente tutte le finalità perseguite, non vi sono indicati i responsabili del trattamento o le modalità attraverso le quali è possibile conoscerli e, soprattutto, non vengono fornite indicazioni in merito al diritto dell’interessato alla visione degli accessi al proprio dossier sanitario da parte del personale“.
Ulteriore criticità si ravvisa con riferimento agli elementi dell’informativa riguardanti i trattamenti di dati personali effettuati per finalità di ricerca.
Al riguardo, è necessario che siano ben distinti i trattamenti effettuati a fini di ricerca medica, biomedica ed epidemiologica relativi anche alla sperimentazione clinica (art. 110 del Codice) da quelli effettuati per fini di cura (art. 78, comma 5 del Codice). Ciò, con particolare riferimento alle indicazioni relative alla facoltatività del conferimento dei dati personali a fini di ricerca e a quelle relative alle conseguenze in ordine al mancato conferimento dei dati personali.
Accesso al dossier sanitario da parte del personale amministrativo.
Profili di accesso troppo ampi, che consentono la consultazione dei dossier anche dopo la dimissione dei pazienti.
L’Azienda dovrà mettere in atto di specifici accorgimenti che consentano al personale amministrativo di accedere alle sole informazioni indispensabili per assolvere alle funzioni amministrative cui sono preposti e per il tempo strettamente necessario per perseguire l’attività cui è preposto il soggetto che effettua l’accesso.
Sistemi di autenticazione e di autorizzazione
Sono necessari controlli periodici, revisione dei profili e aggiornamento in caso di cambiamenti organizzativi o eventi anomali.
E’ necessario che sia effettuata una verifica periodica circa la sussistenza dei presupposti che hanno originato l’abilitazione degli incaricati ad accedere ai dati dei dossier e che questa sia posta in essere -in ogni caso- a fronte di cambiamenti organizzativi e/o di eventi anomali. Ove dalle predette verifiche emergessero delle criticità, si afferma necessario prevedere un’immediata analisi, seguita da provvedimenti volti alla revisione/disabilitazione delle credenziali di accesso o del profilo di autorizzazione.
Tracciabilità degli accessi e delle operazioni effettuate.
Le strutture sanitarie, nell’ambito della discrezionalità riconosciuta nell’organizzare la funzione di compliance, devono realizzare sistemi di controllo delle operazioni effettuate sul dossier sanitario, mediante procedure che prevedano la registrazione automatica in appositi file di log degli accessi e delle operazioni compiute.
I file di log debbano registrare per ogni operazione di accesso al dossier effettuata da un incaricato, almeno le seguenti informazioni:
- il codice identificativo del soggetto incaricato che ha posto in essere l’operazione di accesso;
- la data e l’ora di esecuzione;
- il codice della postazione di lavoro utilizzata;
- l’identificativo del paziente il cui dossier è interessato dall’operazione di accesso da parte dell’incaricato e la tipologia dell’operazione compiuta sui dati.
Raccomandazioni del Garante
-
Limitare gli accessi alle sole informazioni necessarie per le funzioni svolte
-
Effettuare verifiche periodiche sui presupposti degli accessi
-
Aggiornare manuali e procedure indicando le informazioni registrate nei file di log
(Fonte Garante Privacy)
Leggi anche: